Firebase Realtime Database 的审核日志记录

本文档介绍了 Firebase Realtime Database 的审核日志记录。Google Cloud 服务会生成审核日志，以记录 Google Cloud 资源中的管理和访问活动。如需详细了解 Cloud Audit Logs，请参阅以下内容：

• 审核日志类型
• 审核日志条目结构
• 存储和路由审核日志
• Cloud Logging 价格摘要
• 启用数据访问审核日志

备注

如需详细了解 protoPayload.metadata 中针对 DATA_READ 和 DATA_WRITE 操作的字段，请参阅参考文档。

服务名称

Firebase Realtime Database 审核日志使用服务名称 firebasedatabase.googleapis.com。针对此服务的过滤条件：

    protoPayload.serviceName="firebasedatabase.googleapis.com"
  

方法（按权限类型）

对于带有前提条件的 google.firebase.database.v1.RealtimeDatabase.Update，请参阅关联的 Precondition。如需了解 google.firebase.database.v1.RealtimeDatabase.Listen 和 google.firebase.database.v1.RealtimeDatabase.Read，请参阅关联的 ReadMetadata。如需了解 google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate 和 google.firebase.database.v1.RealtimeDatabase.Update，请参阅关联的 WriteMetadata。

每个 IAM 权限都有一个 type 属性，该属性的值是一个枚举，可以是以下四个值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。若您调用某个方法，则 Firebase Realtime Database 会生成一个审核日志，其类别取决于执行该方法所需权限的 type 属性。需要 IAM 权限且 type 属性值为 DATA_READ、DATA_WRITE 或 ADMIN_READ 的方法会生成数据访问审核日志。需要 IAM 权限且 type 属性值为 ADMIN_WRITE 的方法会生成管理员活动审核日志。

权限类型	方法
ADMIN_READ	google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances
ADMIN_WRITE	google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance
DATA_READ	google.firebase.database.v1.RealtimeDatabase.Connect google.firebase.database.v1.RealtimeDatabase.Disconnect google.firebase.database.v1.RealtimeDatabase.Listen google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel google.firebase.database.v1.RealtimeDatabase.Read google.firebase.database.v1.RealtimeDatabase.Unlisten
DATA_WRITE	google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect google.firebase.database.v1.RealtimeDatabase.Update google.firebase.database.v1.RealtimeDatabase.Write

API 接口审核日志

如需了解如何评估每种方法的权限以及评估哪些权限，请参阅 Firebase Realtime Database 的 Cloud Identity and Access Management 文档。

google.firebase.database.v1.RealtimeDatabase

以下审核日志与属于 google.firebase.database.v1.RealtimeDatabase 的方法相关联。

Connect

• 方法：google.firebase.database.v1.RealtimeDatabase.Connect
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.connect - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Connect"
  

Disconnect

• 方法：google.firebase.database.v1.RealtimeDatabase.Disconnect
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.connect - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Disconnect"
  

Listen

• 方法：google.firebase.database.v1.RealtimeDatabase.Listen
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.get - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Listen"
  

OnDisconnectCancel

• 方法：google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.cancel - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel"
  

OnDisconnectPut

• 方法：google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.update - DATA_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut"
  

OnDisconnectUpdate

• 方法：google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.update - DATA_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate"
  

Read

• 方法：google.firebase.database.v1.RealtimeDatabase.Read
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.get - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Read"
  

RunOnDisconnect

• 方法：google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.update - DATA_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect"
  

Unlisten

• 方法：google.firebase.database.v1.RealtimeDatabase.Unlisten
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.cancel - DATA_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Unlisten"
  

Update

• 方法：google.firebase.database.v1.RealtimeDatabase.Update
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.get - DATA_WRITE
  • firebasedatabase.data.update - DATA_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Update"
  

Write

• 方法：google.firebase.database.v1.RealtimeDatabase.Write
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.data.update - DATA_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Write"
  

google.firebase.database.v1beta.RealtimeDatabaseService

以下审核日志与属于 google.firebase.database.v1beta.RealtimeDatabaseService 的方法相关联。

CreateDatabaseInstance

• 方法：google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance
  
• 审核日志类型：管理员活动
  
• 权限：
  • firebasedatabase.instances.create - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance"
  

DeleteDatabaseInstance

• 方法：google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance
  
• 审核日志类型：管理员活动
  
• 权限：
  • firebasedatabase.instances.delete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance"
  

DisableDatabaseInstance

• 方法：google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance
  
• 审核日志类型：管理员活动
  
• 权限：
  • firebasedatabase.instances.disable - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance"
  

GetDatabaseInstance

• 方法：google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.instances.get - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance"
  

ListDatabaseInstances

• 方法：google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances
  
• 审核日志类型：数据访问
  
• 权限：
  • firebasedatabase.instances.list - ADMIN_READ
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances"
  

ReenableDatabaseInstance

• 方法：google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance
  
• 审核日志类型：管理员活动
  
• 权限：
  • firebasedatabase.instances.reenable - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance"
  

UndeleteDatabaseInstance

• 方法：google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance
  
• 审核日志类型：管理员活动
  
• 权限：
  • firebasedatabase.instances.undelete - ADMIN_WRITE
• 方法是长时间运行的操作或流式传输操作：否。
  
• 此方法的过滤条件： protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance"
  

审核身份验证信息

审核日志条目包含有关执行所记录操作的身份的信息。如需识别请求调用方，请查看 AuditLog 对象中的以下字段：

• 建立实时连接。Realtime Database Connect 操作不记录身份验证数据，因为 Realtime Database 在建立连接后才进行身份验证。因此，Connect 没有身份验证信息。AuthenticationInfo 对象包含 audit-pending-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com 的占位 principalEmail。

• Google 身份验证。使用标准 Google 身份验证的 Realtime Database 操作（例如来自 Firebase Admin SDK 的流量或使用标准 OAuth 令牌进行身份验证的 REST 请求）的 AuthenticationInfo 对象其中包含实际的凭据电子邮件。

• Firebase Authentication。使用 Firebase Authentication 的 Realtime Database 操作具有一个 AuthenticationInfo 对象，其中包含值为 principalEmail 的 audit-third-party-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com。如果您通过创建自定义 JWT 实现自己的身份验证解决方案，也是如此。

  • 如果 JSON Web 令牌 (JWT) 用于第三方身份验证，则 thirdPartyPrincipal 字段会包含该令牌的标头和载荷。例如，使用 Firebase Authentication 进行身份验证的请求的审核日志包括该请求的 Firebase Authentication 令牌。

• 无身份验证。不使用任何身份验证的 Realtime Database 操作具有一个 AuthenticationInfo 对象，该对象包含值为 audit-no-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com 的 principalEmail。具有开放安全规则的 Realtime Database 实例可能授予此类请求。我们建议所有用户都适当地保护其数据库。

• 旧版 Secret 令牌。使用旧版令牌的 Realtime Database 操作具有一个 AuthenticationInfo 对象，该对象包含 audit-secret-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com 的占位 principalEmail。对于由 Secret 签名的 JWT，thirdPartyPrincipal 包含 JWT 标头和载荷。

审核 Firebase Security Rules 评估

Cloud Audit Logs 可用于识别可能受 Rules 更改影响的请求。

在 AuthorizationInfo 对象中，authorization.permission 可以是以下某项：

• firebasedatabase.data.get：在 resource 中指定的路径授予的读取权限。
• firebasedatabase.data.update：在 resource 中指定的路径授予的写入权限。
• firebasedatabase.data.connect：Connect 和 Disconnect 的占位符。无需授权即可连接到 Realtime Database 实例。
• firebasedatabase.data.cancel：用于 Unlisten 和 OnDisconnectCancel。无需额外授权即可撤销或取消以前授权的操作。

将 Cloud Audit Logs 与 Realtime Database 性能分析器结果相关联

您可以将 Realtime Database 性能分析器与 Realtime Database 审核日志记录功能结合使用，对 Realtime Database 进行深入的性能分析。每个工具都有自己的优势。

Cloud Audit Logs	Realtime Database 分析器
审核对数据库的访问权限 持续捕获所有请求 允许追溯查询 包含详细的身份验证令牌信息 会产生使用费	用于性能分析 提供用于识别热点进而优化性能的实用工具 可以测量监听器广播，审核日志中不提供该数据（由于潜在的数据量） 轻量级且实时进行，因而非常适合实时负载测试。审核日志条目可能需要几分钟才会显示。

审核日志内容与分析器指标相对应，如下所示。

注意：此参考指南介绍了对性能分析器操作类型。如需了解 Realtime Database 审核日志的元数据详情，请参阅参考文档。

Audit Logging 操作名称	RealtimeDatabaseAuditMetadata 中的特殊值	性能分析器操作名称
连接	RequestType 为 REALTIME	concurrent-connect
断开连接	RequestType 为 REALTIME	concurrent-disconnect
读取	RequestType 为 REALTIME	realtime-read
读取	RequestType 为 REST	rest-read
写入	RequestType 为 REALTIME	realtime-write
写入	RequestType 为 REST	rest-write
更新	RequestType 是 REALTIME。 查看 PreconditionType。	realtime-update realtime-transaction
更新	RequestType 是 REST。 查看 PreconditionType。	rest-update rest-transaction
ListenerListen	RequestType 为 REALTIME	listener-listen
ListenerUnlisten	RequestType 为 REALTIME	listener-unlisten
OnDisconnectPut	RequestType 为 REALTIME	on-disconnect-put
OnDisconnectUpdate	RequestType 为 REALTIME	on-disconnect-update
OnDisconnectCancel	RequestType 为 REALTIME	on-disconnect-cancel
RunOnDisconnect	RequestType 为 REALTIME	run-on-disconnect