Monitorar bancos de dados com o Cloud Monitoring

Relevante apenas para a edição Enterprise do Cloud Firestore.

Neste documento, descrevemos a geração de registros de auditoria do Cloud Firestore com compatibilidade com o MongoDB. Os serviços do Google Cloud geram registros de auditoria que registram atividades administrativas e de acesso nos recursos do Google Cloud.

Para mais informações sobre os Registros de auditoria do Cloud, consulte:

• Tipos de registros de auditoria
• Estrutura da entrada de registro de auditoria
• Como armazenar e rotear registros de auditoria
• Resumo de preços do Cloud Logging
• Ativar registros de auditoria de acesso a dados

Observações

Ao configurar o registro de auditoria, use o nome do serviço datastore.googleapis.com para configurar datastore.googleapis.com e firestore.googleapis.com. Once configured, logs for the Cloud Firestore with MongoDB compatibility API include the service namefirestore.googleapis.com.

Para conferir o tempo necessário para processar uma solicitação DATA_READ ou DATA_WRITE, consulte o campo processing_duration no objeto metadata de um AuditLog. O campo processing_duration descreve o tempo que o banco de dados levou para processar uma solicitação. Esse valor é menor que a latência do usuário final. Em particular, ele não inclui a sobrecarga de rede.

Nome do serviço

Os registros de auditoria do Cloud Firestore usam o nome de serviço firestore.googleapis.com. Filtrar por este serviço:

protoPayload.serviceName="firestore.googleapis.com"

Métodos por tipo de permissão

Cada permissão do IAM tem uma propriedade type, com o valor de um tipo enumerado que pode ser um dos quatro valores: ADMIN_READ, ADMIN_WRITE, DATA_READ ou DATA_WRITE. Quando você chama um método, o Cloud Firestore gera um registro de auditoria com categoria dependente da propriedade type da permissão necessária para executar o método.

Os métodos que exigem uma permissão do IAM com o valor da propriedade type de DATA_READ, DATA_WRITE ou ADMIN_READ geram registros de auditoria de acesso a dados.

Métodos que exigem uma permissão do IAM com o valor da propriedade type de ADMIN_WRITE geram registros de auditoria de atividade do administrador.

Tipo de permissão	Métodos
ADMIN_READ	google.cloud.location.Locations.GetLocation google.cloud.location.Locations.ListLocations google.firestore.admin.v1.FirestoreAdmin.GetBackup google.firestore.admin.v1.FirestoreAdmin.GetBackupSchedule google.firestore.admin.v1.FirestoreAdmin.GetDatabase google.firestore.admin.v1.FirestoreAdmin.GetField google.firestore.admin.v1.FirestoreAdmin.GetIndex google.firestore.admin.v1.FirestoreAdmin.ListBackupSchedules google.firestore.admin.v1.FirestoreAdmin.ListBackups google.firestore.admin.v1.FirestoreAdmin.ListDatabases google.firestore.admin.v1.FirestoreAdmin.ListFields google.firestore.admin.v1.FirestoreAdmin.ListIndexes google.firestore.admin.v1beta1.FirestoreAdmin.GetIndex google.firestore.admin.v1.MongoDBCompatible.ListIndexes google.firestore.admin.v1.MongoDBCompatible.ListDatabases
ADMIN_WRITE	google.firestore.admin.v1.FirestoreAdmin.CreateBackupSchedule google.firestore.admin.v1.FirestoreAdmin.CreateDatabase google.firestore.admin.v1.FirestoreAdmin.CreateIndex google.firestore.admin.v1.FirestoreAdmin.DeleteBackup google.firestore.admin.v1.FirestoreAdmin.DeleteBackupSchedule google.firestore.admin.v1.FirestoreAdmin.DeleteDatabase google.firestore.admin.v1.FirestoreAdmin.DeleteIndex google.firestore.admin.v1.FirestoreAdmin.RestoreDatabase google.firestore.admin.v1.FirestoreAdmin.UpdateBackupSchedule google.firestore.admin.v1.FirestoreAdmin.UpdateDatabase google.firestore.admin.v1.FirestoreAdmin.UpdateField google.longrunning.Operations.CancelOperation google.longrunning.Operations.DeleteOperation
DATA_READ	google.firestore.v1.MongoDBCompatible.Find google.firestore.v1.MongoDBCompatible.Aggregate google.firestore.v1.MongoDBCompatible.GetMore google.firestore.v1.MongoDBCompatible.ListCollections google.firestore.v1.MongoDBCompatible.Count google.firestore.v1.MongoDBCompatible.Distinct google.firestore.v1.MongoDBCompatible.CommitTransaction google.firestore.v1.MongoDBCompatible.AbortTransaction google.firestore.v1.MongoDBCompatible.EndSessions google.firestore.v1.MongoDBCompatible.KillCursors
DATA_WRITE	google.firestore.v1.MongoDBCompatible.Insert google.firestore.v1.MongoDBCompatible.Update google.firestore.v1.MongoDBCompatible.Delete google.firestore.v1.MongoDBCompatible.FindAndModify google.firestore.v1.MongoDBCompatible.CreateCollection

Identificar chamadores de solicitação

As entradas de registro de auditoria incluem informações sobre a identidade que executou a operação registrada. Para identificar um autor da chamada de solicitação, consulte os campos a seguir em um objeto AuditLog:

• A identidade do autor da chamada é mantida no campo AuthenticationInfo. Isso pode incluir o principalEmail do usuário. Essas informações às vezes são encobertas.

• O campo callerIp no objeto requestMetadata de uma entrada AuditLog inclui o endereço IP do autor da chamada.