На этой странице описаны журналы аудита, созданные Firebase как часть журналов аудита облака .
Обзор
Службы Firebase ведут журналы аудита, которые помогут вам ответить на вопросы: «Кто, где и когда что сделал?». Это журналы аудита облака, предоставляемые как часть проекта Google Cloud, связанного с вашим проектом Firebase .
Каждый из ваших проектов Firebase содержит только журналы аудита для ресурсов, которые находятся непосредственно в проекте.
Общий обзор журналов облачного аудита см. в разделе Обзор журналов облачного аудита . Более глубокое понимание формата журнала аудита см. в разделе Общие сведения о журналах аудита .
Доступные журналы аудита
Для базы данных Firebase Realtime доступны следующие типы журналов аудита:
Журналы аудита активности администратора
Включает операции «административной записи», которые записывают метаданные или информацию о конфигурации.
Вы не можете отключить журналы аудита активности администратора.
Журналы аудита доступа к данным
Включает операции «административного чтения», которые читают метаданные или информацию о конфигурации. Также включает операции «чтение данных» и «запись данных», которые считывают или записывают данные, предоставленные пользователем.
Чтобы получать журналы аудита доступа к данным, необходимо явно включить их.
Более полное описание типов журналов аудита см. в разделе Типы журналов аудита .
Проверенные операции
Ниже приводится краткая информация о том, какие операции API соответствуют каждому типу журнала аудита в базе данных Firebase Realtime:
Категория журналов аудита | Операции с базой данных Firebase Realtime |
---|---|
Журналы аудита активности администратора (ADMIN_WRITE) |
|
Журналы аудита доступа к данным (ADMIN_READ) |
|
Журналы аудита доступа к данным (DATA_READ или DATA_WRITE) |
|
Журналы аудита доступа к данным (DATA_READ) |
|
Журналы аудита доступа к данным (DATA_WRITE) |
|
Аудит аутентификационной информации
Записи журнала аудита включают информацию о личности, выполнившей зарегистрированную операцию. Чтобы идентифицировать вызывающую сторону запроса, просмотрите следующие поля в объекте AuditLog:
Установление соединений в реальном времени. Операции
Connect
к базе данных реального времени не регистрируют данные аутентификации, поскольку база данных Realtime проверяет подлинность после установления соединения. ПоэтомуConnect
не имеет информации для аутентификации. ОбъектAuthenticationInfo
содержит заполнительprincipalEmail
audit-pending-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com
.Google-аутентификация. Операции с базой данных в реальном времени, использующие стандартную аутентификацию Google, например трафик из Firebase Admin SDK или запросы REST , аутентифицированные с помощью стандартного токена OAuth , имеют объект
AuthenticationInfo
, который содержит фактическое электронное письмо с учетными данными.Аутентификация Firebase. Операции с базой данных в реальном времени, использующие аутентификацию Firebase, имеют объект
AuthenticationInfo
, который содержит значениеprincipalEmail
audit-third-party-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com
. То же самое верно, если вы реализуете собственное решение для аутентификации, создавая собственные JWT.- Если для сторонней проверки подлинности использовался веб-токен JSON (JWT), поле
thirdPartyPrincipal
включает заголовок и полезные данные токена. Например, журналы аудита для запросов, аутентифицированных с помощью Firebase Authentication, включают в себя токен Firebase Authentication этого запроса.
- Если для сторонней проверки подлинности использовался веб-токен JSON (JWT), поле
Никакой аутентификации. Операции с базой данных реального времени, не использующие аутентификацию, имеют объект
AuthenticationInfo
, который содержит значениеprincipalEmail
audit-no-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com
. Экземпляр базы данных реального времени с открытыми правилами безопасности может разрешать такие запросы. . Мы рекомендуем всем пользователям правильно защищать свои базы данных.Жетоны секретов наследия. Операции с базой данных в реальном времени с использованием устаревших токенов имеют объект
AuthenticationInfo
, который содержит заполнительprincipalEmail
audit-secret-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com
. Для JWT, подписанного секретом,thirdPartyPrincipal
содержит заголовки JWT и полезные данные.
Аудит оценок правил безопасности Firebase
Журналы облачного аудита можно использовать для выявления запросов, на которые потенциально могут повлиять изменения правил.
В объекте AuthorizationInfo authorization.permission
может быть одним из:
-
firebasedatabase.data.get
: доступ на чтение предоставлен по пути, указанному вresource
. -
firebasedatabase.data.update
: доступ на запись предоставлен по пути, указанному вresource
. -
firebasedatabase.data.connect
: заполнитель дляConnect
иDisconnect
. Для подключения к экземпляру базы данных реального времени не требуется авторизация. -
firebasedatabase.data.cancel
: используется дляUnlisten
иOnDisconnectCancel
. Отзыв или отмена ранее авторизованной операции не требует дополнительной авторизации.
Сопоставление журналов облачного аудита с результатами профилировщика базы данных в реальном времени.
Вы можете выполнить углубленный анализ производительности базы данных реального времени с помощью профилировщика базы данных реального времени в сочетании с ведением журнала аудита базы данных реального времени. У каждого инструмента есть свои сильные стороны.
Ведение журнала облачного аудита | Профилировщик базы данных в реальном времени |
---|---|
|
|
Содержимое журнала аудита соответствует показателям профилировщика, как показано ниже.
Название операции ведения журнала аудита | Особые ценности вRealtimeDatabaseAuditMetadata | Имя операции профилировщика |
---|---|---|
Соединять | RequestType — REALTIME | одновременное подключение |
Отключить | RequestType — REALTIME | одновременное отключение |
Читать | RequestType — REALTIME | чтение в реальном времени |
Читать | RequestType — REST | отдохнуть-прочитать |
Писать | RequestType — REALTIME | запись в реальном времени |
Писать | RequestType — REST | отдыхай-пиши |
Обновлять | RequestType — REALTIME .Проверьте PreconditionType . | обновление в реальном времени транзакция в реальном времени |
Обновлять | RequestType — REST .Проверьте PreconditionType . | отдых-обновление остальная транзакция |
СлушательСлушать | RequestType — REALTIME | слушатель-слушай |
СлушательОтключить прослушивание | RequestType — REALTIME | слушатель-не слушать |
OnDisconnectPut | RequestType — REALTIME | на-отключить-поставить |
OnDisconnectUpdate | RequestType — REALTIME | обновление при отключении |
При отключении Отмена | RequestType — REALTIME | при отключении-отмене |
RunOnDisconnect | RequestType — REALTIME | работа при отключении |
Формат журнала аудита
Записи журнала аудита включают следующие объекты:
Сама запись журнала, которая является объектом типа
LogEntry
. Полезные поля включают в себя следующее:-
logName
содержит идентификатор ресурса и тип журнала аудита. -
resource
содержит цель проверяемой операции. -
timestamp
содержит время проверяемой операции. -
protoPayload
содержит проверенную информацию.
-
Данные журнала аудита, которые представляют собой объект
AuditLog
, хранящийся в полеprotoPayload
записи журнала.Необязательная информация аудита, специфичная для службы, которая является объектом, специфичным для службы. В более старых версиях интеграции этот объект хранится в поле
serviceData
объектаAuditLog
; более новые интеграции используют полеmetadata
.
Информацию о других полях в этих объектах и о том, как их интерпретировать, см. в разделе Понимание журналов аудита .
Дополнительная информация о полях вprotoPayload.metadata
для операций DATA_READ
и DATA_WRITE
доступна в справочной документации .Имя журнала
Названия ресурсов журналов аудита облака указывают на проект Firebase или другой объект Google Cloud, которому принадлежат журналы аудита, а также на то, содержит ли журнал данные журнала действий администратора, доступа к данным, отказа в политике или системных событий. Например, ниже показаны имена журналов аудита действий администратора на уровне проекта и журналов аудита доступа к данным организации. Переменные обозначают идентификаторы проекта и организации Firebase.
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
Наименование услуги
Журналы аудита базы данных Firebase Realtime используют имя службы firebasedatabase.googleapis.com
.
Полный список всех названий сервисов Cloud Logging API и соответствующих им типов отслеживаемых ресурсов см. в разделе Сопоставление сервисов с ресурсами .
Типы ресурсов
Журналы аудита базы данных Firebase Realtime используют тип ресурса audited_resource
для всех журналов аудита.
Список всех типов ресурсов, отслеживаемых с помощью Cloud Logging, и их описательную информацию см. в разделе «Типы отслеживаемых ресурсов» .
Включить ведение журнала аудита
Журналы аудита активности администратора всегда включены; вы не можете их отключить.
Журналы аудита доступа к данным отключены по умолчанию и не записываются, если это явно не включено (исключением являются журналы аудита доступа к данным для BigQuery, которые невозможно отключить).
Журналы аудита доступа к данным для базы данных реального времени переключаются путем проверкиDATA_READ
и/или DATA_WRITE
в консоли GCP. Между включением/отключением журналов в консоли GCP и временем начала/остановки доставки журналов может пройти до одного часа.Инструкции по включению некоторых или всех журналов аудита доступа к данным см. в разделе Настройка журналов доступа к данным .
Разрешения и роли
Разрешения и роли Cloud IAM определяют вашу возможность доступа к данным журналов аудита в ресурсах Google Cloud.
Принимая решение о том, какие разрешения и роли, связанные с ведением журнала , применимы к вашему варианту использования, учтите следующее:
Роль просмотра журналов (
roles/logging.viewer
) предоставляет вам доступ только для чтения к журналам аудита действий администратора, запретов политики и системных событий. Если у вас есть только эта роль, вы не можете просматривать журналы аудита доступа к данным, которые находятся в сегменте_Default
.Роль просмотра частных журналов
(roles/logging.privateLogViewer
) включает в себя разрешения, содержащиеся вroles/logging.viewer
, а также возможность читать журналы аудита доступа к данным в сегменте_Default
.Обратите внимание: если эти частные журналы хранятся в определенных пользователем сегментах, то любой пользователь, у которого есть разрешения на чтение журналов в этих сегментах, может читать частные журналы. Дополнительные сведения о сегментах журналов см. в разделе Обзор маршрутизации и хранения .
Дополнительную информацию о разрешениях и ролях Cloud IAM, которые применяются к данным журналов аудита, см. в разделе Контроль доступа .
Просмотр журналов
Чтобы найти и просмотреть журналы аудита, вам необходимо знать идентификатор проекта, папки или организации Firebase, для которых вы хотите просмотреть информацию журналов аудита. Вы также можете указать другие индексированные поля LogEntry
, например resource.type
; Подробности см. в разделе Быстрый поиск записей журнала .
Ниже приведены имена журналов аудита; они включают переменные для идентификаторов проекта, папки или организации Firebase:
projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy
Вы можете просматривать журналы аудита в Cloud Logging с помощью консоли GCP, инструмента командной строки gcloud
или API ведения журналов.
Консоль
Вы можете использовать обозреватель журналов в консоли GCP, чтобы получить записи журнала аудита для вашего проекта, папки или организации Firebase:
В консоли GCP перейдите на страницу «Ведение журналов» > «Обозреватель журналов» .
На странице обозревателя журналов выберите существующий проект, папку или организацию Firebase.
На панели «Конструктор запросов» выполните следующие действия:
В поле «Тип ресурса» выберите ресурс Google Cloud, журналы аудита которого вы хотите просмотреть.
В поле «Имя журнала» выберите тип журнала аудита, который вы хотите видеть:
- Для журналов аудита активности администратора выберите активность .
- Для журналов аудита доступа к данным выберите data_access .
- Для журналов аудита системных событий выберите system_event .
- Для журналов аудита «Отказано в политике» выберите политику .
Если вы не видите эти параметры, значит, в проекте, папке или организации Firebase нет журналов аудита этого типа.
Дополнительные сведения о запросах с помощью обозревателя журналов см. в разделе Создание запросов к журналу .
gcloud
Инструмент командной строки gcloud
предоставляет интерфейс командной строки для API Cloud Logging. Укажите действительный PROJECT_ID
, FOLDER_ID
или ORGANIZATION_ID
в каждом имени журнала.
Чтобы прочитать записи журнала аудита уровня проекта Firebase, выполните следующую команду:
gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID
Чтобы прочитать записи журнала аудита на уровне папки, выполните следующую команду:
gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID
Чтобы прочитать записи журнала аудита на уровне организации, выполните следующую команду:
gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID
Дополнительные сведения об использовании инструмента gcloud
см. в разделе Чтение записей журнала .
API
При построении запросов замените переменные допустимыми значениями, замените соответствующие имена или идентификаторы журнала аудита на уровне проекта, папки или организации, указанные в именах журналов аудита. Например, если ваш запрос включает PROJECT_ID , то идентификатор проекта, который вы указываете, должен относиться к выбранному в данный момент проекту Firebase.
Чтобы использовать API ведения журналов для просмотра записей журнала аудита, выполните следующие действия:
Перейдите в раздел «Попробуйте этот API» в документации по методу
entries.list
.Вставьте следующее в часть тела запроса формы «Попробуйте этот API» . Нажатие на эту предварительно заполненную форму автоматически заполняет тело запроса, но вам необходимо указать действительный
PROJECT_ID
в каждом имени журнала.{ "resourceNames": [ "projects/PROJECT_ID" ], "pageSize": 5, "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" }
Нажмите «Выполнить» .
Дополнительные сведения о запросах см. в разделе Язык запросов ведения журнала .
Пример записи журнала аудита и способы поиска в нем наиболее важной информации см. в разделе Образец записи журнала аудита .
Маршрутизация журналов аудита
Вы можете направлять журналы аудита в поддерживаемые пункты назначения так же, как и другие виды журналов. Вот несколько причин, по которым вам может потребоваться маршрутизация журналов аудита:
Чтобы хранить журналы аудита в течение более длительного периода времени или использовать более мощные возможности поиска, вы можете направить копии своих журналов аудита в Google Cloud Storage, BigQuery или Google Cloud Pub/Sub. Используя Cloud Pub/Sub, вы можете направлять данные к другим приложениям, другим репозиториям и третьим лицам.
Чтобы управлять журналами аудита во всей организации, вы можете создать агрегированные приемники , которые могут маршрутизировать журналы из любого или всех проектов Firebase в организации.
- Если включенные журналы аудита доступа к данным перемещают ваши проекты Firebase за выделенные вами журналы, вы можете создать приемники, которые исключают журналы аудита доступа к данным из ведения журналов.
Инструкции по маршрутизации журналов см. в разделе Настройка приемников .
Цены
Журналы аудита активности администратора и журналы аудита системных событий предоставляются бесплатно.
Журналы аудита доступа к данным и журналы аудита «Отказано в доступе к данным» являются платными.
Дополнительную информацию о ценах на ведение журнала в облаке см. в разделе «Цены на пакет операций Google Cloud: ведение журнала в облаке» .