Detalhes sobre os registros da transparência no acesso e como usá-los

Nesta página, você vai encontrar o conteúdo das entradas de registro da transparência no acesso e como visualizá-las e usá-las.

Acessar registros de transparência em detalhes

Os registros de transparência no acesso podem ser integrados às ferramentas atuais de informações de segurança e gerenciamento de eventos (SIEM, na sigla em inglês) para automatizar as auditorias da equipe do Google ao acessar seu conteúdo. Os registros de Transparência no acesso estão disponíveis no console Google Cloud junto com os registros de auditoria do Cloud.

As entradas de registro da transparência no acesso incluem os seguintes tipos de detalhes:

• o recurso e a ação afetados;
• a hora da ação;
• Os motivos da ação , por exemplo: o número do caso associado a uma solicitação de suporte ao cliente
• Dados sobre quem está agindo no conteúdo, como a localização da equipe do Google

Como ativar a transparência no acesso

Para informações sobre como ativar a transparência no acesso na sua organização do Google Cloud , consulte Como ativar a transparência no acesso.

Como visualizar registros da transparência no acesso

Depois de configurar a transparência no acesso para sua organização do Google Cloud, defina controles de quem pode acessar os registros da transparência no acesso atribuindo a um usuário ou grupo o papel de Visualizador de registros particulares. Consulte o Guia de controle de acesso do Cloud Logging para mais detalhes.

Para conferir os registros de transparência no acesso, use o seguinte filtro de geração de registros da observabilidade do Google Cloud.

logName="projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"

Para saber como visualizar registros da transparência no acesso no Explorador de registros, consulte Como usar o Explorador de registros.

Também é possível monitorar os registros usando a API Cloud Monitoring ou as funções do Cloud Run. Para começar, consulte a documentação do Cloud Monitoring.

Opcional: crie uma métrica com base em registros e configure uma política de alertas para receber avisos rapidamentes sobre problemas encontrados por esses registros.

Exemplo de entrada de registro da transparência no acesso

Este é um exemplo de uma entrada de registro de transparência no acesso.

{
 insertId:  "abcdefg12345"
 jsonPayload: {
  @type:  "type.googleapis.com/google.cloud.audit.TransparencyLog"
  location: {
   principalOfficeCountry:  "US"
   principalEmployingEntity:  "Google LLC"
   principalPhysicalLocationCountry:  "CA"
  }
  principalJobTitle: "Engineering"
  product: [
   0:  "Cloud Storage"
  ]
  reason: [
    detail:  "Case number: bar123"
    type:  "CUSTOMER_INITIATED_SUPPORT"
  ]
  eventId: "asdfg12345asdfg12345asdfg12345"
  accesses: [
   0: {
    methodName: "GoogleInternal.Read"
    resourceName: "//googleapis.com/storage/buckets/BUCKET_NAME/objects/foo123"
    }
  ]
  accessApprovals: [
   0: "projects/123/approvalRequests/abcdef12345"
  ]
 }
 logName:  "projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Faccess_transparency"
 operation: {
  id:  "12345xyz"
 }
 receiveTimestamp:  "2017-12-18T16:06:37.400577736Z"
 resource: {
  labels: {
   project_id:  "1234567890"
  }
  type:  "project"
 }
 severity:  "NOTICE"
 timestamp:  "2017-12-18T16:06:24.660001Z"
}

Descrições do campo de registro

Valores do campo accesses:methodNames

Os seguintes métodos podem aparecer no campo accesses:methodNames nos registros da Transparência no Acesso:

• Métodos padrão: são List, Get, Create, Update e Delete. Para mais informações, consulte Métodos padrão.
• Métodos personalizados: referem-se a métodos de API além dos cinco métodos padrão. Os métodos personalizados comuns incluem Cancel, BatchGet, Move, Search e Undelete. Para mais informações, consulte Métodos personalizados.
• Métodos GoogleInternal: estes são exemplos de métodos GoogleInternal que aparecem no campo accesses:methodNames:

Os acessos ao GoogleInternal são estritamente restritos a pessoal autorizado para acesso justificado e auditável. A presença de um método não indica disponibilidade para todas as funções. As organizações que buscam controles aprimorados sobre o acesso administrativo em um projeto ou organização podem ativar a Aprovação de acesso para permitir ou negar acessos com base nos detalhes de acesso. Por exemplo, os usuários da Aprovação de acesso podem permitir apenas solicitações com a justificativa CUSTOMER_INITIATED_SUPPORT para solicitações feitas por um funcionário do Google. Para mais informações, consulte Visão geral da aprovação de acesso.

Se um evento atender aos critérios de acesso de emergência restrito, a aprovação de acesso poderá registrar esse acesso de emergência com o status auto approved. A transparência no acesso e a aprovação de acesso foram projetadas especificamente para incluir o registro ininterrupto em cenários de acesso de emergência.

Se você quiser mais controle de segurança de dados sobre suas cargas de trabalho, recomendamos usar o Assured Workloads. Os projetos do Assured Workloads oferecem funcionalidades aprimoradas, como residência de dados, controles soberanos e acesso a recursos como a computação confidencial no Compute Engine. Ele usa as justificativas de acesso à chave para chaves de criptografia gerenciadas externamente.

Códigos de motivo da justificativa

Como monitorar registros da Transparência no acesso

É possível monitorar os registros da transparência no acesso usando a API Cloud Monitoring. Para começar, consulte a documentação do Cloud Monitoring.

É possível configurar uma métrica com base em registros e uma política de alertas para receber avisos rapidamente sobre problemas encontrados por esses registros. Por exemplo, é possível criar uma métrica com base em registros que capture os acessos de funcionários do Google ao seu conteúdo e, em seguida, criar uma política de alertas no Monitoring que informe se o número de acessos em um período específico exceder um limite especificado.

A seguir

• Saiba como ver e entender os registros da transparência no acesso para serviços do Google Workspace.