本頁面由 Cloud Translation API 翻譯而成。

Certificate Manager 稽核記錄

本文說明 Certificate Manager 的稽核記錄。 Google Cloud 服務會產生稽核記錄，記錄 Google Cloud 資源中的管理和存取活動。如要進一步瞭解 Cloud 稽核記錄，請參閱下列資源：

服務名稱

Certificate Manager 稽核記錄會使用服務名稱 certificatemanager.googleapis.com。這項服務的篩選器：

    protoPayload.serviceName="certificatemanager.googleapis.com"

依權限類型劃分的方法

每個 IAM 權限都有一個 type 屬性，其值是枚舉，可為四個值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。當您呼叫方法時，憑證管理工具會產生稽核記錄，其類別取決於執行方法所需權限的 type 屬性。需要 DATA_READ、DATA_WRITE 或 ADMIN_READ 的 type 屬性值的 IAM 權限的程式會產生資料存取稽核記錄。需要 IAM 權限，且 type 屬性值為 ADMIN_WRITE 的方法會產生管理員活動稽核記錄。

權限類型方法

ADMIN_READ google.cloud.certificatemanager.v1.CertificateManager.GetCertificate
google.cloud.certificatemanager.v1.CertificateManager.GetCertificateIssuanceConfig
google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMap
google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMapEntry
google.cloud.certificatemanager.v1.CertificateManager.GetDnsAuthorization
google.cloud.certificatemanager.v1.CertificateManager.GetTrustConfig
google.cloud.certificatemanager.v1.CertificateManager.ListCertificateIssuanceConfigs
google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMapEntries
google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMaps
google.cloud.certificatemanager.v1.CertificateManager.ListCertificates
google.cloud.certificatemanager.v1.CertificateManager.ListDnsAuthorizations
google.cloud.certificatemanager.v1.CertificateManager.ListTrustConfigs
google.longrunning.Operations.GetOperation
google.longrunning.Operations.ListOperations

ADMIN_WRITE google.cloud.certificatemanager.v1.CertificateManager.CreateCertificate
google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateIssuanceConfig
google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMap
google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMapEntry
google.cloud.certificatemanager.v1.CertificateManager.CreateDnsAuthorization
google.cloud.certificatemanager.v1.CertificateManager.CreateTrustConfig
google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificate
google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateIssuanceConfig
google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMap
google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMapEntry
google.cloud.certificatemanager.v1.CertificateManager.DeleteDnsAuthorization
google.cloud.certificatemanager.v1.CertificateManager.DeleteTrustConfig
google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificate
google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateIssuanceConfig
google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMap
google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMapEntry
google.cloud.certificatemanager.v1.CertificateManager.UpdateDnsAuthorization
google.cloud.certificatemanager.v1.CertificateManager.UpdateTrustConfig
google.longrunning.Operations.CancelOperation
google.longrunning.Operations.DeleteOperation

權限類型	方法
`ADMIN_READ`	`google.cloud.certificatemanager.v1.CertificateManager.GetCertificate` `google.cloud.certificatemanager.v1.CertificateManager.GetCertificateIssuanceConfig` `google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMap` `google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMapEntry` `google.cloud.certificatemanager.v1.CertificateManager.GetDnsAuthorization` `google.cloud.certificatemanager.v1.CertificateManager.GetTrustConfig` `google.cloud.certificatemanager.v1.CertificateManager.ListCertificateIssuanceConfigs` `google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMapEntries` `google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMaps` `google.cloud.certificatemanager.v1.CertificateManager.ListCertificates` `google.cloud.certificatemanager.v1.CertificateManager.ListDnsAuthorizations` `google.cloud.certificatemanager.v1.CertificateManager.ListTrustConfigs` `google.longrunning.Operations.GetOperation` `google.longrunning.Operations.ListOperations`
`ADMIN_WRITE`	`google.cloud.certificatemanager.v1.CertificateManager.CreateCertificate` `google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateIssuanceConfig` `google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMap` `google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMapEntry` `google.cloud.certificatemanager.v1.CertificateManager.CreateDnsAuthorization` `google.cloud.certificatemanager.v1.CertificateManager.CreateTrustConfig` `google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificate` `google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateIssuanceConfig` `google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMap` `google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMapEntry` `google.cloud.certificatemanager.v1.CertificateManager.DeleteDnsAuthorization` `google.cloud.certificatemanager.v1.CertificateManager.DeleteTrustConfig` `google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificate` `google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateIssuanceConfig` `google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMap` `google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMapEntry` `google.cloud.certificatemanager.v1.CertificateManager.UpdateDnsAuthorization` `google.cloud.certificatemanager.v1.CertificateManager.UpdateTrustConfig` `google.longrunning.Operations.CancelOperation` `google.longrunning.Operations.DeleteOperation`

API 介面稽核記錄

如要瞭解每種方法的權限評估方式和權限，請參閱 Certificate Manager 的 Identity and Access Management 說明文件。

`google.cloud.certificatemanager.v1.CertificateManager`

下列稽核記錄與屬於 google.cloud.certificatemanager.v1.CertificateManager 的方法相關聯。

`CreateCertificate`

方法：google.cloud.certificatemanager.v1.CertificateManager.CreateCertificate
稽核記錄類型：管理員活動
權限：
- certificatemanager.certs.create - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateCertificate"

`CreateCertificateIssuanceConfig`

方法：google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateIssuanceConfig
稽核記錄類型：管理員活動
權限：
- certificatemanager.certissuanceconfigs.create - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateIssuanceConfig"

`CreateCertificateMap`

方法：google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMap
稽核記錄類型：管理員活動
權限：
- certificatemanager.certmaps.create - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMap"

`CreateCertificateMapEntry`

方法：google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMapEntry
稽核記錄類型：管理員活動
權限：
- certificatemanager.certmapentries.create - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateCertificateMapEntry"

`CreateDnsAuthorization`

方法：google.cloud.certificatemanager.v1.CertificateManager.CreateDnsAuthorization
稽核記錄類型：管理員活動
權限：
- certificatemanager.dnsauthorizations.create - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateDnsAuthorization"

`CreateTrustConfig`

方法：google.cloud.certificatemanager.v1.CertificateManager.CreateTrustConfig
稽核記錄類型：管理員活動
權限：
- certificatemanager.trustconfigs.create - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.CreateTrustConfig"

`DeleteCertificate`

方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificate
稽核記錄類型：管理員活動
權限：
- certificatemanager.certs.delete - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificate"

`DeleteCertificateIssuanceConfig`

方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateIssuanceConfig
稽核記錄類型：管理員活動
權限：
- certificatemanager.certissuanceconfigs.delete - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateIssuanceConfig"

`DeleteCertificateMap`

方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMap
稽核記錄類型：管理員活動
權限：
- certificatemanager.certmaps.delete - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMap"

`DeleteCertificateMapEntry`

方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMapEntry
稽核記錄類型：管理員活動
權限：
- certificatemanager.certmapentries.delete - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteCertificateMapEntry"

`DeleteDnsAuthorization`

方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteDnsAuthorization
稽核記錄類型：管理員活動
權限：
- certificatemanager.dnsauthorizations.delete - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteDnsAuthorization"

`DeleteTrustConfig`

方法：google.cloud.certificatemanager.v1.CertificateManager.DeleteTrustConfig
稽核記錄類型：管理員活動
權限：
- certificatemanager.trustconfigs.delete - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.DeleteTrustConfig"

`GetCertificate`

方法：google.cloud.certificatemanager.v1.CertificateManager.GetCertificate
稽核記錄類型：資料存取
權限：
- certificatemanager.certs.get - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetCertificate"

`GetCertificateIssuanceConfig`

方法：google.cloud.certificatemanager.v1.CertificateManager.GetCertificateIssuanceConfig
稽核記錄類型：資料存取
權限：
- certificatemanager.certissuanceconfigs.get - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetCertificateIssuanceConfig"

`GetCertificateMap`

方法：google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMap
稽核記錄類型：資料存取
權限：
- certificatemanager.certmaps.get - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMap"

`GetCertificateMapEntry`

方法：google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMapEntry
稽核記錄類型：資料存取
權限：
- certificatemanager.certmapentries.get - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetCertificateMapEntry"

`GetDnsAuthorization`

方法：google.cloud.certificatemanager.v1.CertificateManager.GetDnsAuthorization
稽核記錄類型：資料存取
權限：
- certificatemanager.dnsauthorizations.get - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetDnsAuthorization"

`GetTrustConfig`

方法：google.cloud.certificatemanager.v1.CertificateManager.GetTrustConfig
稽核記錄類型：資料存取
權限：
- certificatemanager.trustconfigs.get - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.GetTrustConfig"

`ListCertificateIssuanceConfigs`

方法：google.cloud.certificatemanager.v1.CertificateManager.ListCertificateIssuanceConfigs
稽核記錄類型：資料存取
權限：
- certificatemanager.certissuanceconfigs.list - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListCertificateIssuanceConfigs"

`ListCertificateMapEntries`

方法：google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMapEntries
稽核記錄類型：資料存取
權限：
- certificatemanager.certmapentries.list - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMapEntries"

`ListCertificateMaps`

方法：google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMaps
稽核記錄類型：資料存取
權限：
- certificatemanager.certmaps.list - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListCertificateMaps"

`ListCertificates`

方法：google.cloud.certificatemanager.v1.CertificateManager.ListCertificates
稽核記錄類型：資料存取
權限：
- certificatemanager.certs.list - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListCertificates"

`ListDnsAuthorizations`

方法：google.cloud.certificatemanager.v1.CertificateManager.ListDnsAuthorizations
稽核記錄類型：資料存取
權限：
- certificatemanager.dnsauthorizations.list - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListDnsAuthorizations"

`ListTrustConfigs`

方法：google.cloud.certificatemanager.v1.CertificateManager.ListTrustConfigs
稽核記錄類型：資料存取
權限：
- certificatemanager.trustconfigs.list - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.ListTrustConfigs"

`UpdateCertificate`

方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificate
稽核記錄類型：管理員活動
權限：
- certificatemanager.certs.update - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificate"

`UpdateCertificateIssuanceConfig`

方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateIssuanceConfig
稽核記錄類型：管理員活動
權限：
- certificatemanager.certissuanceconfigs.update - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateIssuanceConfig"

`UpdateCertificateMap`

方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMap
稽核記錄類型：管理員活動
權限：
- certificatemanager.certmaps.update - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMap"

`UpdateCertificateMapEntry`

方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMapEntry
稽核記錄類型：管理員活動
權限：
- certificatemanager.certmapentries.update - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateCertificateMapEntry"

`UpdateDnsAuthorization`

方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateDnsAuthorization
稽核記錄類型：管理員活動
權限：
- certificatemanager.dnsauthorizations.update - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateDnsAuthorization"

`UpdateTrustConfig`

方法：google.cloud.certificatemanager.v1.CertificateManager.UpdateTrustConfig
稽核記錄類型：管理員活動
權限：
- certificatemanager.trustconfigs.update - ADMIN_WRITE
方法是長時間執行或串流作業： 長時間執行的作業
適用於此方法的篩選器：protoPayload.methodName="google.cloud.certificatemanager.v1.CertificateManager.UpdateTrustConfig"

`google.longrunning.Operations`

下列稽核記錄與屬於 google.longrunning.Operations 的方法相關聯。

`CancelOperation`

方法：google.longrunning.Operations.CancelOperation
稽核記錄類型：管理員活動
權限：
- certificatemanager.operations.cancel - ADMIN_WRITE
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.longrunning.Operations.CancelOperation"

`DeleteOperation`

方法：google.longrunning.Operations.DeleteOperation
稽核記錄類型：管理員活動
權限：
- certificatemanager.operations.delete - ADMIN_WRITE
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.longrunning.Operations.DeleteOperation"

`GetOperation`

方法：google.longrunning.Operations.GetOperation
稽核記錄類型：資料存取
權限：
- certificatemanager.operations.get - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.longrunning.Operations.GetOperation"

`ListOperations`

方法：google.longrunning.Operations.ListOperations
稽核記錄類型：資料存取
權限：
- certificatemanager.operations.list - ADMIN_READ
方法是長期執行或串流作業：否。
適用於此方法的篩選器：protoPayload.methodName="google.longrunning.Operations.ListOperations"

不會產生稽核記錄的方法

方法可能不會產生稽核記錄，原因如下：

這是一種高用量方法，會產生大量記錄並產生儲存費用。
審查價值偏低。
其他稽核或平台記錄已提供方法涵蓋率。

下列方法不會產生稽核記錄：

google.cloud.location.Locations.GetLocation
google.cloud.location.Locations.ListLocations
google.longrunning.Operations.WaitOperation

可用的稽核記錄

公開憑證授權機構可使用下列類型的稽核記錄：

管理員活動稽核記錄

包括寫入中繼資料或設定資訊的「管理員寫入」作業。

您無法停用管理員活動稽核記錄。
資料存取稽核記錄

包括讀取中繼資料或設定資訊的「管理員讀取」作業。

如要接收資料存取稽核記錄，您必須明確啟用這類記錄。

如需稽核記錄類型的完整說明，請參閱「稽核記錄類型」。

稽核記錄格式

稽核記錄項目包含下列物件：

記錄項目本身，屬於 LogEntry 類型的物件。實用的欄位包括：
- logName 包含資源 ID 和稽核記錄類型。
- resource 包含稽核作業的目標。
- timeStamp 包含稽核作業的時間。
- protoPayload 包含稽核的資訊。
稽核記錄資料，這是儲存在記錄項目 protoPayload 欄位中的 AuditLog 物件。
選用的服務專屬稽核資訊，這是服務專屬物件。對於較早的整合，這個物件會保留在 AuditLog 物件的 serviceData 欄位中；較新的整合會使用 metadata 欄位。

如要瞭解這些物件的其他欄位，以及如何解讀這些資料，請參閱「瞭解稽核記錄」一文。

記錄檔名稱

Cloud 稽核記錄記錄名稱包含資源 ID，可指出擁有稽核記錄的Google Cloud 專案或其他 Google Cloud 實體，以及記錄中是否包含管理員活動、資料存取、政策拒絕或系統事件稽核記錄資料。

以下是稽核記錄名稱，包括資源 ID 的變數：

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Factivity
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

啟用稽核記錄

系統一律會啟用管理員活動稽核記錄，且該記錄無法停用。

資料存取稽核記錄預設為停用，且除非明確啟用，否則系統不會寫入這類記錄。唯一的例外是 BigQuery 的資料存取稽核記錄，該記錄無法停用。

如要瞭解如何啟用部分或所有資料存取稽核記錄，請參閱「啟用資料存取稽核記錄」一文。

查看稽核記錄

您可以查詢所有稽核記錄，也可以依稽核記錄名稱查詢記錄。稽核記錄名稱包含您要查看稽核記錄資訊的 Google Cloud 專案、資料夾、帳單帳戶或機構的資源 ID。查詢可以指定已編入索引的 LogEntry 欄位，如果您使用支援 SQL 查詢的 記錄檔分析頁面，就可以以圖表形式查看查詢結果。

如要進一步瞭解如何查詢記錄，請參閱下列頁面：

您可以使用Google Cloud 控制台、Google Cloud CLI 或 Logging API，在 Cloud Logging 中查看稽核記錄。

控制台

在 Google Cloud 控制台中，您可以使用「記錄檔探索工具」擷取 Google Cloud 專案、資料夾或機構的稽核記錄項目：

前往 Google Cloud 控制台的「Logs Explorer」頁面：
前往「Logs Explorer」(記錄檔探索工具)

如果您是使用搜尋列尋找這個頁面，請選取子標題為「Logging」的結果。
選取現有的 Google Cloud 專案、資料夾或機構。
如要顯示所有稽核記錄，請在查詢編輯器欄位中輸入下列任一查詢，然後按一下「Run query」：
```
logName:"cloudaudit.googleapis.com"
```
```
protoPayload."@type"="type.googleapis.com/google.cloud.audit.AuditLog"
```
如要顯示特定資源和稽核記錄類型的稽核記錄，請在「Query builder」窗格中執行下列操作：
- 在「Resource type」中，選取您要查看稽核記錄的 Google Cloud 資源。
- 在「記錄名稱」中，選取要查看的稽核記錄類型：
  - 如要查看管理員活動稽核記錄，請選取「活動」。
  - 如要查看資料存取稽核記錄，請選取「data_access」data_access。
  - 如要查看系統事件稽核記錄，請選取 system_event。
  - 如要查看「政策遭拒」稽核記錄，請選取「政策」。
- 點選「執行查詢」。
如果您沒有看到這些選項，表示 Google Cloud 專案、資料夾或組織中沒有該類型的稽核記錄。

如果您在嘗試在「Logs Explorer」中查看記錄檔時遇到問題，請參閱疑難排解資訊。

如要進一步瞭解如何使用記錄檔探索工具查詢，請參閱「在記錄檔探索工具中建構查詢」。

gcloud

Google Cloud CLI 提供 Logging API 的指令列介面。並在每個記錄名稱中提供有效的資源 ID。舉例來說，如果查詢包含 PROJECT_ID，則您提供的專案 ID 必須參照目前所選的Google Cloud 專案。

如要讀取 Google Cloud 專案層級稽核記錄項目，請執行下列指令：

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" \
    --project=PROJECT_ID

如要讀取資料夾層級稽核記錄項目，請執行下列指令：

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" \
    --folder=FOLDER_ID

如要讀取機構層級稽核記錄項目，請執行下列指令：

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" \
    --organization=ORGANIZATION_ID

如要讀取 Cloud Billing 帳戶層級稽核記錄項目，請執行下列指令：

gcloud logging read "logName : billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com" \
    --billing-account=BILLING_ACCOUNT_ID

在指令中加入 --freshness 標記，即可讀取超過 1 天的記錄檔。

如要進一步瞭解如何使用 gcloud CLI，請參閱 gcloud logging read。

API

建構查詢時，請在每個記錄名稱中提供有效的資源 ID。舉例來說，如果查詢包含 PROJECT_ID，則您提供的專案 ID 必須參照目前所選的Google Cloud 專案。

舉例來說，如要使用 Logging API 查看專案層級的稽核記錄項目，請按照下列步驟操作：

前往 entries.list 方法說明文件中的「Try this API」(試用這個 API) 區段。
將下列內容放入「Try this API」(試用這個 API) 表單的「Request body」(要求主體) 部分。按一下這份已預先填入資料的表單就能自動填入要求主體，但您必須在每個記錄名稱中提供有效的 PROJECT_ID。
```
{
  "resourceNames": [
    "projects/PROJECT_ID"
  ],
  "pageSize": 5,
  "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
}
```
按一下 [Execute] (執行)。

Certificate Manager 稽核記錄 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

服務名稱

依權限類型劃分的方法

API 介面稽核記錄

google.cloud.certificatemanager.v1.CertificateManager

CreateCertificate

CreateCertificateIssuanceConfig

CreateCertificateMap

CreateCertificateMapEntry

CreateDnsAuthorization

CreateTrustConfig

DeleteCertificate

DeleteCertificateIssuanceConfig

DeleteCertificateMap

DeleteCertificateMapEntry

DeleteDnsAuthorization

DeleteTrustConfig

GetCertificate

GetCertificateIssuanceConfig

GetCertificateMap

GetCertificateMapEntry

GetDnsAuthorization

GetTrustConfig

ListCertificateIssuanceConfigs

ListCertificateMapEntries

ListCertificateMaps

ListCertificates

ListDnsAuthorizations

ListTrustConfigs

UpdateCertificate

UpdateCertificateIssuanceConfig

UpdateCertificateMap

UpdateCertificateMapEntry

UpdateDnsAuthorization

UpdateTrustConfig

google.longrunning.Operations

CancelOperation

DeleteOperation

GetOperation

ListOperations