Log di controllo per Firebase Data Connect

In questa pagina vengono descritti gli audit log creati da Firebase nell'ambito di Cloud Audit Logs.

Panoramica

I servizi Firebase scrivono gli audit log per aiutarti a rispondere alle domande: "Chi ha fatto cosa, dove e quando?". Questi sono i log di controllo Cloud, forniti nell'ambito del progetto Google Cloud collegato al tuo progetto Firebase.

Ogni progetto Firebase contiene solo gli audit log per le risorse che si trovano direttamente al suo interno.

Per una panoramica generale di Cloud Audit Logs, vedi Panoramica di Cloud Audit Logs. Per una comprensione più approfondita del formato del log di controllo, vedi Comprendere i log di controllo.

Log di controllo disponibili

Per Firebase Data Connect sono disponibili i seguenti tipi di audit log:

• Audit log delle attività di amministrazione

  Include le operazioni di "scrittura amministratore" che scrivono i metadati o le informazioni di configurazione.

  Non puoi disattivare gli audit log delle attività di amministrazione.

• Audit log degli accessi ai dati

  Include le operazioni di "lettura amministratore" che leggono i metadati o le informazioni di configurazione. Include anche le operazioni di "lettura dati" e "scrittura dati" che leggono o scrivono i dati forniti dall'utente.

  Per ricevere gli audit log di accesso ai dati, devi abilitarli esplicitamente.

Per descrizioni più dettagliate dei tipi di log di controllo, vedi Tipi di log di controllo.

Operazioni con audit

Di seguito è riepilogato quali operazioni API corrispondono a ogni tipo di audit log in Firebase Data Connect:

Tipo di autorizzazione	Metodi
ADMIN_READ	google.firebase.dataconnect.v1.FirebaseDataConnect.GetConnector google.firebase.dataconnect.v1.FirebaseDataConnect.GetSchema google.firebase.dataconnect.v1.FirebaseDataConnect.GetService google.firebase.dataconnect.v1.FirebaseDataConnect.ListConnectors google.firebase.dataconnect.v1.FirebaseDataConnect.ListSchemas google.firebase.dataconnect.v1.FirebaseDataConnect.ListServices google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.GetService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListConnectors google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListSchemas google.firebase.dataconnect.v1alpha.FirebaseDataConnect.ListServices google.firebase.dataconnect.v1beta.FirebaseDataConnect.GetConnector google.firebase.dataconnect.v1beta.FirebaseDataConnect.GetSchema google.firebase.dataconnect.v1beta.FirebaseDataConnect.GetService google.firebase.dataconnect.v1beta.FirebaseDataConnect.ListConnectors google.firebase.dataconnect.v1beta.FirebaseDataConnect.ListSchemas google.firebase.dataconnect.v1beta.FirebaseDataConnect.ListServices
ADMIN_WRITE	google.firebase.dataconnect.v1.FirebaseDataConnect.CreateConnector google.firebase.dataconnect.v1.FirebaseDataConnect.CreateSchema google.firebase.dataconnect.v1.FirebaseDataConnect.CreateService google.firebase.dataconnect.v1.FirebaseDataConnect.DeleteConnector google.firebase.dataconnect.v1.FirebaseDataConnect.DeleteSchema google.firebase.dataconnect.v1.FirebaseDataConnect.DeleteService google.firebase.dataconnect.v1.FirebaseDataConnect.UpdateConnector google.firebase.dataconnect.v1.FirebaseDataConnect.UpdateSchema google.firebase.dataconnect.v1.FirebaseDataConnect.UpdateService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.CreateService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.DeleteService google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateConnector google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateSchema google.firebase.dataconnect.v1alpha.FirebaseDataConnect.UpdateService google.firebase.dataconnect.v1beta.FirebaseDataConnect.CreateConnector google.firebase.dataconnect.v1beta.FirebaseDataConnect.CreateSchema google.firebase.dataconnect.v1beta.FirebaseDataConnect.CreateService google.firebase.dataconnect.v1beta.FirebaseDataConnect.DeleteConnector google.firebase.dataconnect.v1beta.FirebaseDataConnect.DeleteSchema google.firebase.dataconnect.v1beta.FirebaseDataConnect.DeleteService google.firebase.dataconnect.v1beta.FirebaseDataConnect.UpdateConnector google.firebase.dataconnect.v1beta.FirebaseDataConnect.UpdateSchema google.firebase.dataconnect.v1beta.FirebaseDataConnect.UpdateService
DATA_READ	google.firebase.dataconnect.v1.GraphqlService.ExecuteGraphqlRead google.firebase.dataconnect.v1alpha.GraphqlService.ExecuteGraphqlRead google.firebase.dataconnect.v1beta.GraphqlService.ExecuteGraphqlRead
DATA_WRITE	google.firebase.dataconnect.v1.GraphqlService.ExecuteGraphql google.firebase.dataconnect.v1alpha.GraphqlService.ExecuteGraphql google.firebase.dataconnect.v1beta.GraphqlService.ExecuteGraphql

Formato degli audit log

Le voci del log di controllo includono i seguenti oggetti:

• La voce di log stessa, che è un oggetto di tipo LogEntry. Di seguito vengono riportati alcuni campi utili:

  • logName contiene l'ID risorsa e il tipo di log di controllo.
  • resource contiene il target dell'operazione sottoposta ad audit.
  • timestamp contiene l'ora dell'operazione sottoposta ad audit.
  • Il protoPayload contiene le informazioni sottoposte ad audit.

• I dati di audit log, che sono un oggetto AuditLog contenuto nel campo protoPayload della voce di log.

• Informazioni di audit facoltative e specifiche del servizio, che sono un oggetto specifico del servizio. Per le integrazioni precedenti, questo oggetto è contenuto nel campo serviceData dell'oggetto AuditLog; le integrazioni più recenti utilizzano il campo metadata.

Per informazioni sugli altri campi in questi oggetti e su come interpretarli, consulta Comprendere i log di controllo.

Nome log

I nomi delle risorse di Audit log di Cloud indicano il progetto Firebase o un'altra entità proprietaria degli audit log, oltre a specificare se il log contiene dati di audit logging relativi ad attività di amministrazione, accesso ai dati, accesso negato in base ai criteri o eventi di sistema.Google Cloud Ad esempio, l'esempio seguente mostra i nomi dei log per gli audit log dell'attività di amministrazione a livello di progetto e gli audit log di accesso ai dati di un'organizzazione. Le variabili indicano gli identificatori del progetto Firebase e dell'organizzazione.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity

organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Nota: la parte del nome del log che segue /logs/ deve essere codificata come URL. Il carattere della barra (/) deve essere scritto come %2F.

Nome servizio

Gli audit log di Firebase Data Connect utilizzano il nome servizio firebasedataconnect.googleapis.com.

Per un elenco completo di tutti i nomi dei servizi API Cloud Logging e dei relativi tipi di risorse monitorate, consulta Mappare i servizi alle risorse.

Tipi di risorse

Tutti gli audit log di Firebase Data Connect utilizzano il tipo di risorsa audited_resource.

Per un elenco di tutti i tipi di risorsa monitorata di Cloud Logging e informazioni descrittive, consulta Tipi di risorse monitorate.

Abilitazione degli audit log

Gli audit log per le attività di amministrazione sono sempre abilitati; non puoi disattivarli.

Gli audit log di accesso ai dati sono disabilitati per impostazione predefinita e non vengono scritti a meno che non siano abilitati esplicitamente (fanno eccezione gli audit log di accesso ai dati per BigQuery, che non possono essere disabilitati).

Per istruzioni su come abilitare alcuni o tutti gli audit log di accesso ai dati, consulta la pagina Configurare i log di accesso ai dati.

Autorizzazioni e ruoli

I ruoli e le autorizzazioni Cloud IAM determinano la tua capacità di accedere ai dati dei log di controllo nelle risorse Google Cloud.

Quando decidi quali autorizzazioni e ruoli specifici per la registrazione si applicano al tuo caso d'uso, considera quanto segue:

• Il ruolo Visualizzatore log (roles/logging.viewer) ti consente di accedere in sola lettura agli audit log di attività di amministrazione, accesso negato in base ai criteri ed eventi di sistema. Se hai solo questo ruolo, non puoi visualizzare gli audit log di accesso ai dati che si trovano nel bucket _Default.

• Il ruolo Visualizzatore log privati(roles/logging.privateLogViewer) include le autorizzazioni contenute in roles/logging.viewer, oltre alla possibilità di leggere gli audit log di accesso ai dati nel bucket _Default.

  Tieni presente che se questi log privati sono archiviati in bucket definiti dall'utente, qualsiasi utente che dispone delle autorizzazioni per leggere i log in questi bucket può leggere i log privati. Per saperne di più sui bucket di log, consulta la panoramica su routing e archiviazione.

Per saperne di più su ruoli e autorizzazioni Cloud IAM che si applicano ai dati degli audit log, consulta Controllo dell'accesso.

Visualizza i log

Per trovare e visualizzare gli audit log, devi conoscere l'identificatore del progetto, della cartella o dell'organizzazione Firebase per cui vuoi visualizzare le informazioni di audit logging. Puoi specificare ulteriormente altri campi LogEntry indicizzati, come resource.type. Per maggiori dettagli, consulta Trovare rapidamente le voci di log.

Di seguito sono riportati i nomi degli audit log, che includono variabili per gli identificatori del progetto, della cartella o dell'organizzazione Firebase:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Puoi visualizzare gli audit log in Cloud Logging utilizzando la console Google Cloud, lo strumento a riga di comando gcloud o l'API Logging.

Console

Puoi utilizzare Esplora log nella console Google Cloud per recuperare le voci di audit log per il tuo progetto, cartella o organizzazione Firebase:

1. Nella console Google Cloud, vai alla pagina Logging > Esplora log.

   Vai alla pagina Esplora log

   Nota: se utilizzi la pagina Visualizzatore log legacy, passa alla pagina Esplora log.

2. Nella pagina Explorer log, seleziona un progetto, una cartella o un'organizzazione Firebase esistente.

3. Nel riquadro Query Builder, procedi nel seguente modo:

   • In Tipo di risorsa, seleziona la risorsa Google Cloud di cui vuoi visualizzare gli audit log.

   • In Nome log, seleziona il tipo di audit log che vuoi visualizzare:

     • Per gli audit log delle attività di amministrazione, seleziona activity.
     • Per gli audit log di accesso ai dati, seleziona data_access.
     • Per gli audit log degli eventi di sistema, seleziona system_event.
     • Per gli audit log negati da criteri, seleziona policy.

   Se non visualizzi queste opzioni, significa che non sono disponibili audit log di questo tipo nel progetto, nella cartella o nell'organizzazione Firebase.

   Per maggiori dettagli sull'esecuzione di query utilizzando Esplora log, vedi Creare query sui log.

gcloud

Lo strumento a riga di comando gcloud fornisce un'interfaccia a riga di comando per l'API Cloud Logging. Fornisci un PROJECT_ID, FOLDER_ID o ORGANIZATION_ID valido in ciascuno dei nomi dei log.

Per leggere le voci del log di controllo a livello di progetto Firebase, esegui il seguente comando:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

Per leggere le voci del log di controllo a livello di cartella, esegui il comando seguente:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

Per leggere le voci di audit log a livello di organizzazione, esegui questo comando:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Per saperne di più sull'utilizzo dello strumento gcloud, consulta Leggere le voci di log.

API

Quando crei le query, sostituisci le variabili con valori validi, sostituisci il nome o gli identificatori del log di controllo appropriati a livello di progetto, cartella o organizzazione come elencato nei nomi dei log di controllo. Ad esempio, se la query include PROJECT_ID, l'identificatore del progetto che fornisci deve fare riferimento al progetto Firebase attualmente selezionato.

Per utilizzare l'API Logging per esaminare le voci del log di controllo:

1. Vai alla sezione Prova questa API nella documentazione del metodo entries.list.

2. Inserisci quanto segue nella sezione Corpo della richiesta del modulo Prova questa API. Se fai clic su questo modulo precompilato, il corpo della richiesta viene compilato automaticamente, ma devi fornire un PROJECT_ID valido in ciascuno dei nomi dei log.

   {
     "resourceNames": [
       "projects/PROJECT_ID"
     ],
     "pageSize": 5,
     "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
   }

3. Fai clic su Esegui.

Per ulteriori dettagli sulle query, consulta la sezione Linguaggio delle query di Logging.

Per un esempio di voce dell'audit log e su come trovare le informazioni più importanti, vedi Voce di audit log di esempio.

Log di controllo delle route

Puoi instradare i log di controllo alle destinazioni supportate nello stesso modo in cui puoi instradare altri tipi di log. Ecco alcuni motivi per cui potresti voler instradare i tuoi audit log:

• Per conservare gli audit log più a lungo o utilizzare funzionalità di ricerca più avanzate, puoi indirizzare copie degli audit log a Google Cloud Storage, BigQuery o Google Cloud Pub/Sub. Utilizza quest'ultimo per eseguire il routing verso altre applicazioni, altri repository e terze parti.

• Per gestire gli audit log in tutta l'organizzazione, puoi creare dei sink aggregati che permettono di indirizzare i log da qualsiasi progetto Firebase o anche da tutti i progetti Firebase nell'organizzazione.

• Se i log di controllo dell'accesso ai dati abilitati causano il possibile superamento della soglia consentita per i progetti Firebase, puoi creare sink che escludano i log di controllo dell'accesso ai dati da Logging.

Per istruzioni sul routing dei log, vedi Configurare i sink.

Prezzi

Gli audit log delle attività amministrative e gli audit log degli eventi di sistema non prevedono costi.

Gli audit log di accesso ai dati e gli audit log sugli accessi negati in base ai criteri sono a pagamento.

Per ulteriori informazioni sui prezzi di Cloud Logging, consulta la pagina Prezzi della suite operativa di Google Cloud: Cloud Logging.