Google Workspace ログを収集する

このドキュメントでは、Google Security Operations フィードを設定して Google Workspace のログを収集する方法と、ログフィールドが Google Security Operations Unified Data Model（UDM）フィールドにマッピングする方法について説明します。また、Google Workspace でサポートされているログタイプとイベントタイプについても説明します。

一般的なデプロイは、Google Workspace と Google Security Operations にログを送信するように構成された Google Security Operations フィードで構成されます。お客様のデプロイはそれぞれ異なり、より複雑になる場合もあります。

デプロイには次のコンポーネントが含まれます。

• Google Workspace。ログを収集する Google Workspace プラットフォーム。

• Google Security Operations　フィードGoogle Workspace からログを取得し、Google Security Operations にログを書き込む Google Security Operations フィード。

• Google Security OperationsGoogle Security Operations は Google Workspace のログを保持して分析します。

取り込みラベルによって、未加工のログデータを構造化 UDM 形式に正規化するパーサーが識別されます。このドキュメントの情報は、次の取り込みラベルを持つ Google Workspace パーサーに適用されます。

• WORKSPACE_ACTIVITY
• WORKSPACE_ALERTS
• WORKSPACE_CHROMEOS
• WORKSPACE_GROUPS
• WORKSPACE_MOBILE
• WORKSPACE_PRIVILEGES
• WORKSPACE_USERS

始める前に

次の前提条件を満たしていることを確認します。

• Google Workspace Business Standard または Business Plus エディション。Google Workspace パーサーはこれらのエディションをサポートしています。詳しくは、Google Workspace を設定するをご覧ください。

• Google Workspace 管理者アカウント。詳しくは、Google Workspace 管理者アカウントを設定するをご覧ください。

• Google Cloud プロジェクトで次の API を有効にします。

  • Google Workspace Admin SDK
  • Alert Center API

• Google Workspace API を認証するには、 Google Cloudプロジェクトにサービス アカウントを作成し、サービス アカウントの一意の ID とメールアドレスをメモします。サービス アカウント作成の詳細については、サービス アカウントの作成と管理をご覧ください。

• サービス アカウントの権限を借用するユーザーを作成して、ユーザーに権限を付与します。

  1. Google 管理コンソールにログインします。
  2. [ディレクトリ] > [ユーザー] を選択し、[新しいユーザーを追加する] をクリックします。
  3. ユーザーの詳細情報を入力します。
  4. [新しいユーザーの追加] をクリックします。
  5. 新しく作成したユーザーのリンク、[管理者のロールと権限] の順にクリックします。
  6. expand_less [折りたたむ] をクリックします。
  7. [カスタムの役割を作成] をクリックします。
  8. [新しいロールを作成] をクリックして、このロールの名前を指定します。
  9. ロールに次の権限を付与します。
     • [権限] > [レポート]
     • 権限 > サービス > アラート センター > フルアクセス > 閲覧権限
     • [権限] > [サービス] > [モバイル デバイス管理] > [デバイスと設定の管理]
     • [権限] > [サービス] > [Chrome 管理] > [設定]
     • [Admin API] > [権限] > [ユーザー] > [読み取り]
     • [Admin API] > [権限] > [グループ] > [読み取り]
  10. [続行]、[ロールを作成] の順にクリックします。
  11. [ユーザーへの割り当て] をクリックします。
  12. ロールを割り当てるユーザーを選択します。
  13. [ロールを割り当て] をクリックします。

• 作成されたユーザーには、特権管理者のロールが付与されます。詳しくは、特権管理者のロールを割り当てる方法をご覧ください。

• アクセス認証情報を作成します。アクセス認証情報の作成の詳細については、サービス アカウントキーを作成するをご覧ください。

• 次のスコープでデータにアクセスできるように、サービス アカウントのドメイン全体の委任を設定します。

  • https://www.googleapis.com/auth/admin.reports.audit.readonly
  • https://www.googleapis.com/auth/apps.alerts
  • https://www.googleapis.com/auth/admin.directory.device.chromeos.readonly
  • https://www.googleapis.com/auth/admin.directory.group.readonly
  • https://www.googleapis.com/auth/admin.directory.device.mobile.readonly
  • https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly
  • https://www.googleapis.com/auth/admin.directory.user.readonly

• Google Workspace の顧客 ID を確認するには、Google 管理コンソールで、[アカウント]> [アカウント設定] > [プロファイル] を選択します。

• デプロイ アーキテクチャ内のすべてのシステムが、UTC タイムゾーンに構成されている。

• Google Security Operations パーサーがサポートするログタイプを確認します。サポートされている Google Workspace ログについては、サポートされている Google Workspace ログタイプをご覧ください。

フィードを設定する

Google SecOps プラットフォームでフィードを設定するには、次の 2 つのエントリ ポイントがあります。

• [SIEM 設定] > [フィード] > [新しいフィードを追加]
• Content Hub > Content Packs > Get Started

Workspace アクティビティ フィードを設定する方法

このログタイプを構成する手順は次のとおりです。

1. [Google Workspace] パックをクリックします。
2. [Workspace アクティビティ] ログタイプを見つけます。

3. 次のフィールドに値を指定します。

   • ソースタイプ: サードパーティ API
   • OAuth JWT エンドポイント: OAuth JSON ウェブトークンが含まれます。サービス アカウントの JSON キーから token_uri 値を指定します。
   • JWT claims issuer: クライアント ID。サービス アカウントの JSON キーから client_email 値を指定します。例: InsertServiceAccount@project.iam.gserviceaccount.com
   • JWT クレームのサブジェクト: Google Workspace 管理コンソールで作成したユーザーのメールアドレス。
   • JWT クレームのオーディエンス: サービス アカウントの JSON キーの token_uri 値。
   • RSA 秘密鍵: PEM 形式の鍵。PEM 鍵は、サービス アカウント キー ファイルで使用できます。秘密鍵を入力するときは、テキスト ボックスに BEGIN PRIVATE KEY ヘッダーと END PRIVATE KEY フッターを含めます。
   • 顧客 ID: アラート ログタイプを除くすべてのログタイプで、顧客 ID フィールドの先頭に「C」文字が必要です。お客様 ID フィールドに先頭の「C」文字が含まれていない場合は、値の先頭に「C」を付加します。
   • アプリケーション: ワークスペース アクティビティのフィードを作成する場合にのみ必要です。

   詳細オプション

   • フィード名: フィードを識別する事前入力された値。
   • アセットの名前空間: フィードに関連付けられた名前空間。
   • Ingestion Labels: このフィードのすべてのイベントに適用されるラベル。

4. [フィードを作成] をクリックします。

このプロダクト ファミリー内の異なるログタイプに対して複数のフィードを構成する方法については、プロダクト別にフィードを構成するをご覧ください。

Google Security Operations　フィードの詳細については、Google Security Operations　フィードのドキュメントをご覧ください。各フィードタイプの要件については、タイプ別のフィード構成をご覧ください。

サポートされる Google Workspace ログタイプ

以降のセクションでは、Google Workspace パーサーがサポートするログタイプを示します。

WORKSPACE_ACTIVITY

次の表に、WORKSPACE_ACTIVITY ログタイプでサポートされているアプリケーション名とイベントタイプを示します。

アプリケーション名	イベントの種類
access_transparency	GSUITE_RESOURCE
chrome	CHROME_OS_ADD_REMOVE_USER_TYPE
	DEVICE_BOOT_STATE_CHANGE_TYPE
	CHROME_OS_LOGIN_LOGOUT_TYPE
	CHROME_OS_REPORTING_DATA_LOST_TYPE
	SAFE_BROWSING_PASSWORD_ALERT
	DLP_EVENTS_TYPE
	CONTENT_TRANSFER_TYPE
	CONTENT_UNSCANNED_TYPE
	EXTENSION_REQUEST_TYPE
	LOGIN_EVENT_TYPE
	MALWARE_TRANSFER_TYPE
	PASSWORD_BREACH_TYPE
	SENSITIVE_DATA_TRANSFER_TYPE
	UNSAFE_SITE_VISIT_TYPE
context_aware_access	CONTEXT_AWARE_ACCESS_USER_EVENT
gplus	comment_change
	plusone_change
	poll_vote_change
	post_change
data_studio	ACCESS
	ACL_CHANGE
mobile	device_applications
	device_updates
	suspicious_activity
groups_enterprise	moderator_action
calendar	calendar_change
	notification
	subscription_change
	event_change
	interop
chat	user_action
gcp	CLOUD_OSLOGIN
drive	access
	acl_change
	pooled_quota_metadata
groups	acl_change
	moderator_action
keep	user_action
meet	call
token	auth
rules	action_complete_type
	rule_match_type
	rule_trigger_type
saml	login
user_accounts	2sv_change
	password_change
	recovery_info_change
	titanium_change
	email_forwarding_change
login	2sv_change
	password_change
	recovery_info_change
	account_warning
	titanium_change
	email_forwarding_change
jamboard	administrative_action
	setting_change
	status_change
admin	USER_SETTINGS

Google Security Operations がサポートする Google Workspace アプリケーションの詳細については、Google Workspace アプリケーションをご覧ください。

WORKSPACE_ALERTS

サポートされているアラートタイプは次のとおりです。

• Customer takeout initiated
• Malware reclassification
• Misconfigured whitelist
• Phishing reclassification
• Suspicious message reported
• User reported phishing
• User reported spam spike
• Leaked password
• Suspicious login
• Suspicious login (less secure app)
• Suspicious programmatic login
• User suspended
• User suspended (spam)
• User suspended (spam through relay)
• User suspended (suspicious activity)
• Google Operations
• Configuration problem
• Government attack warning
• Device compromised
• Suspicious activity
• AppMaker Default Cloud SQL setup
• Activity Rule
• Data Loss Prevention
• Apps outage
• Primary admin changed
• SSO profile added
• SSO profile updated
• SSO profile deleted
• Super admin password reset

WORKSPACE_CHROMEOS

サポートされている ChromeOS ログスキーマについては、ChromeOS デバイスをご覧ください。

WORKSPACE_GROUPS

サポートされているグループのログスキーマについては、グループをご覧ください。

WORKSPACE_MOBILE

サポートされているモバイルログスキーマについては、モバイルをご覧ください。

WORKSPACE_PRIVILEGES

サポートされている権限のログスキーマについては、権限をご覧ください。

WORKSPACE_USERS

サポートされているユーザー ログスキーマについては、ユーザーをご覧ください。

サポートされている Google Workspace ログ形式

Google Workspace パーサーは JSON 形式のログをサポートしています。

サポートされている Google Workspace のサンプルログ

• サポートされている WORKSPACE_ACTIVITY サンプルログ

  • JSON

  {
    "kind": "admin#reports#activity",
    "id": {
      "time": "2021-10-03T12:42:42.020Z",
      "uniqueQualifier": "1654049432447411495",
      "applicationName": "data_studio",
      "customerId": "dummycustomerid"
    },
    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/Zk_h3ikUIFND0y87A64RQpJm58s\\"",
    "actor": {
      "callerType": "USER",
      "email": "dummy.user@xyz.com",
      "profileId": "106217923299022556308"
    },
    "ipAddress": "198.51.100.0",
    "events": [
      {
        "type": "ACCESS",
        "name": "CREATE",
        "parameters": [
          {
            "name": "ASSET_ID",
            "value": "52605549-b378-4a08-8a34-a23c8412a952"
          },
          {
            "name": "ASSET_NAME",
            "value": "Flashpoint - Sheet1"
          },
          {
            "name": "ASSET_TYPE",
            "value": "DATA_SOURCE"
          },
          {
            "name": "OWNER_EMAIL",
            "value": "dummy.user@xyz.com"
          },
          {
            "name": "VISIBILITY",
            "value": "PRIVATE"
          },
          {
            "name": "CONNECTOR_TYPE",
            "value": "Google Sheets"
          },
          {
            "name": "EMBEDDED_IN_REPORT_ID",
            "value": "d4dec8a5-9d81-4c58-8a6d-5e53ee4d10b3"
          }
        ]
      }
    ]
  }
  

• サポートされている WORKSPACE_ALERTS のサンプルログ

  • JSON

  {
    "customerId": "dummycustomerid",
    "alertId": "8d647731-d2f8-4328-b48f-f753f42462bb",
    "createTime": "2021-10-03T07:45:09.500919Z",
    "startTime": "2021-10-03T05:47:59.592561Z",
    "endTime": "2022-10-03T07:29:26.205542Z",
    "type": "Phishing reclassification",
    "source": "Gmail phishing",
    "data": {
      "@type": "type.googleapis.com/google.apps.alertcenter.type.MailPhishing",
      "domainId": {
        "customerPrimaryDomain": "dummy.com"
      },
      "maliciousEntity": {
        "fromHeader": "dummy_noreply@xyz.com"
      },
      "messages": [
        {
          "messageId": "dummy_message_id",
          "md5HashMessageBody": "ecfb410a04167c7dc5e046f755446a88",
          "md5HashSubject": "1fbdd83c4f8d76482a1670b05c6ec5d9",
          "attachmentsSha256Hash": [
            "dba5166ad9db9ba648c1032ebbd34dcd0d085b50023b839ef5c68ca1db93a563",
            "c412fbec3dfff3b080b2ac918acc4d78b4c43bfa14a1aa5b8a8c684a2a0a7591"
          ],
          "recipient": "abc@xyz.com",
          "date": "2022-10-03T05:47:59.592561Z"
        }
      ],
      "systemActionType": "REMOVED_FROM_INBOX"
    },
    "metadata": {
      "customerId": "dummycustomerid",
      "alertId": "8d647731-d2f8-4328-b48f-f753f42462bb",
      "status": "NOT_STARTED",
      "updateTime": "2022-10-03T07:45:09.500919Z",
      "severity": "MEDIUM",
      "etag": "5o4FwC15S_k="
    },
    "updateTime": "2022-10-03T07:45:09.500919Z",
    "etag": "5o4FwC15S_k="
  }
  

• サポートされている WORKSPACE_CHROMEOS のサンプルログ

  • JSON

  {
    "kind": "admin#directory#chromeosdevice",
    "etag": "\\"occ7bTD-Q2yefKPIae3LMOtCT9xQVZYBzlAbHU5b86Q/1sxLKg0cwMsajkfUCDMjixGR8f4\\"",
    "deviceId": "deviceId",
    "serialNumber": "8B17G066JL",
    "status": "DEPROVISIONED",
    "lastSync": "2020-02-18T00:26:57.326Z",
    "annotatedUser": "",
    "model": "Google Pixelbook",
    "osVersion": "79.0.3945.123",
    "platformVersion": "12607.82.0 (Official Build) stable-channel eve",
    "firmwareVersion": "Google_Eve.9584.195.0",
    "macAddress": "b4692118c676",
    "bootMode": "Verified",
    "lastEnrollmentTime": "2020-02-17T05:28:08.264Z",
    "orgUnitPath": "/Kiosks",
    "recentUsers": [
      {
        "type": "USER_TYPE_MANAGED",
        "email": "user@dummy.com"
      }
    ],
    "ethernetMacAddress": "ethernetMacAddress",
    "activeTimeRanges": [
      {
        "date": "2020-02-03",
        "activeTime": 18760877
      },
      {
        "date": "2020-02-04",
        "activeTime": 21540238
      },
      {
        "date": "2020-02-05",
        "activeTime": 19920286
      },
      {
        "date": "2020-02-06",
        "activeTime": 16530212
      },
      {
        "date": "2020-02-07",
        "activeTime": 18012134
      },
      {
        "date": "2020-02-10",
        "activeTime": 9930058
      },
      {
        "date": "2020-02-11",
        "activeTime": 270002
      },
      {
        "date": "2020-02-12",
        "activeTime": 270003
      },
      {
        "date": "2020-02-14",
        "activeTime": 540005
      },
      {
        "date": "2020-02-17",
        "activeTime": 330006
      },
      {
        "date": "2020-02-18",
        "activeTime": 120002
      }
    ],
    "tpmVersionInfo": {
      "family": "322e3000",
      "specLevel": "74",
      "manufacturer": "43524f53",
      "tpmModel": "1",
      "firmwareVersion": "aa1dd980d1631ea",
      "vendorSpecific": "784347206654504D"
    },
    "systemRamTotal": "16695300096",
    "diskVolumeReports": [
      {
        "volumeInfo": [
          {
            "volumeId": "/home/chronos/u-1c8d83ca2fe7d986667dc2669affb8260fd4e605/MyFiles",
            "storageTotal": "494383112192",
            "storageFree": "466741694464"
          },
          {
            "volumeId": "/media/archive",
            "storageTotal": "8347648000",
            "storageFree": "8347648000"
          },
          {
            "volumeId": "/usr/share/oem",
            "storageTotal": "12042240",
            "storageFree": "11681792"
          },
          {
            "volumeId": "/media/removable",
            "storageTotal": "8347648000",
            "storageFree": "8347648000"
          }
        ]
      }
    ],
    "lastKnownNetwork": [
      {
        "ipAddress": "198.51.100.0",
        "wanIpAddress": "198.51.100.1"
      }
    ],
    "autoUpdateExpiration": "1719730800000"
  }
  

• サポートされている WORKSPACE_GROUPS のサンプルログ

  • JSON

  {
    "kind": "admin#directory#group",
    "id": "01mrcu093wh92ak",
    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/h8Qlm2adIy9p4D4KAM9kAGcpAWw\\"",
    "email": "test.user@domain.com",
    "name": "RH",
    "directMembersCount": "1",
    "description": "",
    "adminCreated": true,
    "nonEditableAliases": [
      "test@nimble.io.test-google-a.com"
    ]
  }
  

• サポートされている WORKSPACE_MOBILE のサンプルログ

  • JSON

  {
    "kind": "admin#reports#activity",
    "id": {
      "time": "2021-10-03T12:42:42.020Z",
      "uniqueQualifier": "1654049432447411495",
      "applicationName": "data_studio",
      "customerId": "C02umwv6u"
    },
    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/Zk_h3ikUIFND0y87A64RQpJm58s\\"",
    "actor": {
      "callerType": "USER",
      "email": "dummy.user@xyz.com",
      "profileId": "106217923299022556308"
    },
    "ipAddress": "198.51.100.0",
    "events": [
      {
        "type": "ACCESS",
        "name": "CREATE",
        "parameters": [
          {
            "name": "ASSET_ID",
            "value": "52605549-b378-4a08-8a34-a23c8412a952"
          },
          {
            "name": "ASSET_NAME",
            "value": "Flashpoint - Sheet1"
          },
          {
            "name": "ASSET_TYPE",
            "value": "DATA_SOURCE"
          },
          {
            "name": "OWNER_EMAIL",
            "value": "dummy.user@xyz.com"
          },
          {
            "name": "VISIBILITY",
            "value": "PRIVATE"
          },
          {
            "name": "CONNECTOR_TYPE",
            "value": "Google Sheets"
          },
          {
            "name": "EMBEDDED_IN_REPORT_ID",
            "value": "d4dec8a5-9d81-4c58-8a6d-5e53ee4d10b3"
          }
        ]
      }
    ]
  }
  
  

• サポートされている WORKSPACE_PRIVILEGES のサンプルログ

  • JSON

  {
    "userId": "115789998599383404219",
    "roleAssignments": [
      {
        "roleAssignmentId": "13801188331880513",
        "roleId": "13801188331880500",
        "assignedTo": "115789998599383404219",
        "scopeType": "CUSTOMER",
        "roleDetails": {
          "roleId": "13801188331880500",
          "roleName": "testadmin",
          "roleDescription": "",
          "rolePrivileges": [
            {
              "privilegeName": "USERS_DELETE_PRIVILEGE_GROUP",
              "serviceId": "serviceId",
              "details": null
            },
            {
              "privilegeName": "USERS_SUSPEND",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_UPDATE",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_ALL",
              "serviceId": "00haapch16h1ysv",
              "details": {
                "kind": "admin#directory#privilege",
                "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/wBCzWwKeC3waKUCE3yZ20yDyw-4\\"",
                "serviceId": "00haapch16h1ysv",
                "serviceName": "admin_apis",
                "privilegeName": "USERS_ALL",
                "isOuScopable": true,
                "childPrivileges": [
                  {
                    "kind": "admin#directory#privilege",
                    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/_EwUpbUxOWRchDOLthCHXSIXfU8\\"",
                    "serviceId": "00haapch16h1ysv",
                    "serviceName": "admin_apis",
                    "privilegeName": "USERS_CREATE_PRIVILEGE_GROUP",
                    "isOuScopable": true
                  },
                  {
                    "kind": "admin#directory#privilege",
                    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/Gfb1BNFCQYMpoXP5kDFYaAxlRLA\\"",
                    "serviceId": "00haapch16h1ysv",
                    "serviceName": "admin_apis",
                    "privilegeName": "USERS_RETRIEVE_PRIVILEGE_GROUP",
                    "isOuScopable": true
                  },
                  {
                    "kind": "admin#directory#privilege",
                    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/OWKYOG2T8wp2XN5aN_rph-bSK6U\\"",
                    "serviceId": "00haapch16h1ysv",
                    "serviceName": "admin_apis",
                    "privilegeName": "USERS_UPDATE",
                    "isOuScopable": true,
                    "childPrivileges": [
                      {
                        "kind": "admin#directory#privilege",
                        "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/2ftvr43QDvhauQrbWTRZqCQTcCQ\\"",
                        "serviceId": "00haapch16h1ysv",
                        "serviceName": "admin_apis",
                        "privilegeName": "USERS_ALIAS",
                        "isOuScopable": true
                      },
                      {
                        "kind": "admin#directory#privilege",
                        "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/zPWWFJF3OJ4WitnItfmCG0D7lyA\\"",
                        "serviceId": "00haapch16h1ysv",
                        "serviceName": "admin_apis",
                        "privilegeName": "USERS_MOVE",
                        "isOuScopable": true
                      },
                      {
                        "kind": "admin#directory#privilege",
                        "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/GZlngzILW5ViYA8VleovaIvbkbE\\"",
                        "serviceId": "00haapch16h1ysv",
                        "serviceName": "admin_apis",
                        "privilegeName": "USERS_RESET_PASSWORD",
                        "isOuScopable": true
                      },
                      {
                        "kind": "admin#directory#privilege",
                        "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/LMEMNnXTsYvl3S-g6HYBXgU25-Q\\"",
                        "serviceId": "00haapch16h1ysv",
                        "serviceName": "admin_apis",
                        "privilegeName": "USERS_FORCE_PASSWORD_CHANGE",
                        "isOuScopable": true
                      },
                      {
                        "kind": "admin#directory#privilege",
                        "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/rL_F59Vg8sWQOcsHHWJ8Wwm0yhc\\"",
                        "serviceId": "00haapch16h1ysv",
                        "serviceName": "admin_apis",
                        "privilegeName": "USERS_ADD_NICKNAME",
                        "isOuScopable": true
                      },
                      {
                        "kind": "admin#directory#privilege",
                        "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/C1v3E2d3y7R8I52p_YoJbxD1328\\"",
                        "serviceId": "00haapch16h1ysv",
                        "serviceName": "admin_apis",
                        "privilegeName": "USERS_SUSPEND",
                        "isOuScopable": true
                      }
                    ]
                  },
                  {
                    "kind": "admin#directory#privilege",
                    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/MUKzUOa37XWIpUoKXfKRt55cYHQ\\"",
                    "serviceId": "00haapch16h1ysv",
                    "serviceName": "admin_apis",
                    "privilegeName": "USERS_UPDATE_CUSTOM_ATTRIBUTES_USER_PRIVILEGE_GROUP",
                    "isOuScopable": true
                  },
                  {
                    "kind": "admin#directory#privilege",
                    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/VrPNeHSLlnDFNuekbj7FihGGXds\\"",
                    "serviceId": "00haapch16h1ysv",
                    "serviceName": "admin_apis",
                    "privilegeName": "USERS_DELETE_PRIVILEGE_GROUP",
                    "isOuScopable": true
                  }
                ]
              }
            },
            {
              "privilegeName": "USERS_ALIAS",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_MOVE",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_FORCE_PASSWORD_CHANGE",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_CREATE_PRIVILEGE_GROUP",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_RESET_PASSWORD",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_RETRIEVE_PRIVILEGE_GROUP",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_UPDATE_CUSTOM_ATTRIBUTES_USER_PRIVILEGE_GROUP",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "USERS_ADD_NICKNAME",
              "serviceId": "00haapch16h1ysv",
              "details": null
            },
            {
              "privilegeName": "ORGANIZATION_UNITS_RETRIEVE",
              "serviceId": "00haapch16h1ysv",
              "details": null
            }
          ],
          "isSystemRole": false
        }
      }
    ]
  }
  
  

• サポートされている WORKSPACE_USERS のサンプルログ

  • JSON

  {
    "kind": "admin#directory#user",
    "id": "102585217528814888330",
    "etag": "\\"JCPRxFaiNR1s5TJ6ecIH8OpGdY4efiOYXbIB65itOzY/Fvq8oDDWIwwaXS2j2yA3Stqn6mg\\"",
    "primaryEmail": "dummy@domain.io",
    "name": {
      "givenName": "dummyName",
      "familyName": "dummyFamilyName",
      "fullName": "dummy Shah"
    },
    "isAdmin": true,
    "isDelegatedAdmin": false,
    "lastLoginTime": "2022-08-13T02:04:12.000Z",
    "creationTime": "2017-05-19T01:44:55.000Z",
    "agreedToTerms": true,
    "suspended": false,
    "archived": false,
    "changePasswordAtNextLogin": false,
    "ipWhitelisted": false,
    "emails": [
      {
        "address": "dummy@domain.oi",
        "primary": true
      },
      {
        "address": "dummy@domain.oi.tast-goggle-a.com"
      }
    ],
    "languages": [
      {
        "languageCode": "en",
        "preference": "preferred"
      }
    ],
    "nonEditableAliases": [
      "dummy@domain.oi.tast-goggle-a.com"
    ],
    "customerId": "C03puekhd",
    "orgUnitPath": "/",
    "isMailboxSetup": true,
    "isEnrolledIn2Sv": false,
    "isEnforcedIn2Sv": false,
    "includeInGlobalAddressList": true,
    "recoveryEmail": "test@xyz.com",
    "recoveryPhone": "+919879995533"
  }
  

フィールド マッピング リファレンス

以降のセクションでは、Google Security Operations パーサーが Google Workspace のログフィールドを Google Security Operations Unified Data Model（UDM）フィールドにマッピングする方法について説明します。 このパーサーのフィールド マッピングは、フィードベースの取り込みとネイティブの取り込みで同じままです。

フィールド マッピング リファレンス: WORKSPACE_ACTIVITY ログタイプから UDM イベントタイプ

次の表に、WORKSPACE_ACTIVITY ログタイプと対応する UDM のイベントの種類を示します。

フィールド マッピング リファレンス: WORKSPACE_ACTIVITY-Common フィールド

次の表に、WORKSPACE_ACTIVITY ログタイプの一般的なフィールドと、対応する UDM フィールドを示します。

フィールド マッピング リファレンス: WORKSPACE_ACTIVITY

次の表に、WORKSPACE_ACTIVITY ログタイプのログ フィールドと、対応する UDM フィールドを示します。

フィールド マッピング リファレンス: WORKSPACE_ALERTS ログタイプから UDM イベントタイプ

次の表に、WORKSPACE_ALERTS ログタイプと対応する UDM のイベントの種類を示します。

フィールド マッピング リファレンス: WORKSPACE_ALERTS

次の表に、WORKSPACE_ALERTS ログタイプのログ フィールドと、対応する UDM フィールドを示します。

フィールド マッピング リファレンス: WORKSPACE_GROUPS

次の表に、WORKSPACE_GROUPS ログタイプのログ フィールドと、対応する UDM フィールドを示します。

フィールド マッピング リファレンス: WORKSPACE_USERS

次の表に、WORKSPACE_USERS ログタイプのログ フィールドと、対応する UDM フィールドを示します。

フィールド マッピング リファレンス: WORKSPACE_MOBILE_DEVICES

次の表に、WORKSPACE_MOBILE_DEVICES ログタイプのログ フィールドと、対応する UDM フィールドを示します。

フィールド マッピング リファレンス: WORKSPACE_CHROMEOS

次の表に、WORKSPACE_CHROMEOS ログタイプのログ フィールドと、対応する UDM フィールドを示します。

フィールド マッピング リファレンス: WORKSPACE_PRIVILEGES

次の表に、WORKSPACE_PRIVILEGES ログタイプのログ フィールドと、対応する UDM フィールドを示します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。