액세스 투명성 로그 이해 및 사용

이 페이지에서는 액세스 투명성 로그 항목 콘텐츠와 이를 보고 사용하는 방법을 설명합니다.

액세스 투명성 로그 세부정보

액세스 투명성 로그를 기존 보안 정보 및 이벤트 관리(SIEM) 도구와 통합하여 Google 직원이 콘텐츠에 액세스할 때 감사를 자동화할 수 있습니다. 액세스 투명성 로그는 Cloud 감사 로그와 함께 Google Cloud 콘솔에서 사용할 수 있습니다.

액세스 투명성 로그 항목에는 다음과 같은 유형의 세부정보가 포함됩니다.

• 영향을 받는 리소스와 작업
• 작업 수행 시간
• 작업 이유(예: 고객 지원 요청과 관련된 사례 번호)
• 콘텐츠 작업을 수행한 직원에 대한 데이터(예: Google 직원의 위치)

액세스 투명성 사용 설정

Google Cloud 조직에 액세스 투명성을 사용 설정하는 방법에 관한 자세한 내용은 액세스 투명성 사용 설정을 참고하세요.

액세스 투명성 로그 보기

Google Cloud 조직에 액세스 투명성을 구성한 후에는 사용자 또는 그룹에 비공개 로그 뷰어 역할을 할당하여 액세스 투명성 로그에 액세스할 수 있는 사용자에 대한 제어를 설정할 수 있습니다. 자세한 내용은 Cloud Logging 액세스 제어 가이드를 참조하세요.

액세스 투명성 로그를 보려면 다음 Google Cloud Observability 로깅 필터를 사용합니다.

logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"

로그 탐색기에서 액세스 투명성 로그를 확인하는 방법은 로그 탐색기 사용을 참조하세요.

Cloud Monitoring API나 Cloud Run Functions를 사용하여 로그를 모니터링할 수도 있습니다. 시작하려면 Cloud Monitoring 문서를 참조하세요.

선택사항: 로그 기반 측정항목을 만든 후 알림 정책을 설정하면 이러한 로그를 통해 발생한 문제를 신속하게 확인할 수 있습니다.

샘플 액세스 투명성 로그 항목

다음은 액세스 투명성 로그 항목의 예입니다.

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

로그 필드 설명

accesses:methodNames 필드 값

다음 메서드는 액세스 투명성 로그의 accesses:methodNames 필드에 표시될 수 있습니다.

• 표준 메서드: 이러한 메서드는 List, Get, Create, Update, Delete입니다. 자세한 내용은 표준 메서드를 참고하세요.
• 커스텀 메서드: 커스텀 메서드란 5가지 표준 메서드를 제외한 API 메서드를 말합니다. 일반적인 맞춤 메서드로는 Cancel, BatchGet, Move, Search, Undelete가 있습니다. 자세한 내용은 커스텀 메서드를 참고하세요.
• GoogleInternal 메서드: 다음은 accesses:methodNames 필드에 표시되는 GoogleInternal 메서드의 예입니다.

GoogleInternal 액세스는 타당하고 감사 가능한 액세스를 위해 승인된 인력으로 엄격하게 제한됩니다. 메서드가 있다고 해서 모든 역할에서 사용할 수 있는 것은 아닙니다. 프로젝트 또는 조직의 관리 액세스에 대한 향상된 제어를 원하는 조직은 액세스 승인을 활성화하여 액세스 세부정보에 따라 액세스 승인 또는 거부를 사용 설정할 수 있습니다. 예를 들어 액세스 승인 사용자는 Google 직원이 제출한 요청에 대해 CUSTOMER_INITIATED_SUPPORT 사유가 있는 요청만 허용하도록 선택할 수 있습니다. 자세한 내용은 액세스 승인 개요를 참고하세요.

이벤트가 엄격한 긴급 액세스 기준을 충족하는 경우 액세스 승인은 해당 긴급 액세스를 auto approved 상태로 로깅할 수 있습니다. 액세스 투명성 및 액세스 승인은 긴급 액세스 시나리오에 대한 중단 없는 로깅을 포함하도록 특별히 설계되었습니다.

워크로드에 대한 데이터 보안 제어를 강화하려면 Assured Workloads를 사용하는 것이 좋습니다. Assured Workloads 프로젝트는 데이터 상주, 주권 제어, Compute Engine의 기밀 컴퓨팅과 같은 기능에 대한 액세스와 같은 향상된 기능을 제공합니다. 외부 관리 암호화 키에 키 액세스 근거를 활용합니다.

정당성 이유 코드

액세스 투명성 로그 모니터링

Cloud Monitoring API를 사용하여 액세스 투명성 로그를 모니터링할 수 있습니다. 시작하려면 Cloud Monitoring 문서를 참조하세요.

로그 기반 측정항목을 설정한 후 알림 정책을 설정하면 이러한 로그를 통해 발생한 문제를 신속하게 확인할 수 있습니다. 예를 들어 Google 직원의 콘텐츠 액세스를 캡처하는 로그 기반 측정항목을 만든 후 Monitoring에서 알림 정책을 만들어 특정 기간 동안의 액세스 수가 지정된 기준점을 초과되는지 확인할 수 있습니다.

다음 단계

• Google Workspace 서비스의 액세스 투명성 로그를 보고 이해하는 방법 알아보기