OS Login-Audit-Logs überwachen

Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

---

Sie können Verbindungsversuche zu VM-Instanzen überwachen, für die OS Login aktiviert ist. Rufen Sie dazu Audit-Logs der OS Logins auf. Diese Audit-Logs sind immer aktiviert und können nicht über Datenzugriffskonfigurationen deaktiviert werden.

Mit dem Google Workspace Admin SDK können Sie außerdem OS Login-bezogene Ereignisse und Aktivitäten verfolgen, z. B. das Hinzufügen, Löschen oder Aktualisieren von SSH-Schlüsseln und das Löschen von POSIX-Informationen.

Hinweise

• Richten Sie die Authentifizierung ein, falls Sie dies noch nicht getan haben. Bei der Authentifizierung wird Ihre Identität für den Zugriff auf Google Cloud Dienste und APIs überprüft. Zur Ausführung von Code oder Beispielen aus einer lokalen Entwicklungsumgebung können Sie sich bei Compute Engine authentifizieren. Wählen Sie dazu eine der folgenden Optionen aus:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

OS Login-Audit-Logs aufrufen

Fragen Sie Cloud-Audit-Logs ab, um eine Liste der OS Login-Audit-Logs aufzurufen.

Erforderliche Berechtigungen für diese Aufgabe

Zum Ausführen dieser Aufgabe benötigen Sie die folgenden Berechtigungen:

• Rolle Logging/Logbetrachter oder Projekt/Betrachter

OS Login-Audit-Logs prüfen

Prüfen Sie das Feld methodName der Audit-Logs, um mehr über die Arten von Verbindungsversuchen zu VMs mit aktiviertem OS Login und die Nutzer zu erfahren, die diese Verbindungsversuche initiiert haben.

Maximieren Sie den Abschnitt protoPayload, um das Feld methodName für den Verbindungsversuch aufzurufen. Informationen zur Bedeutung der einzelnen Felder methodName finden Sie in der folgenden Tabelle:

Methode	Verbindungstyp	Beschreibung
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ListLoginProfiles	Alle OS Login-Verbindungen	Gibt an, dass die Nutzer mit OS Login-Profilen im selben Projekt wie die VM aufgelistet werden sollen, oder dass das Profil eines einzelnen Nutzers aufgerufen werden soll. Dieser Aufruf erfolgt, wenn ein Nutzer versucht, eine Verbindung zu einer VM herzustellen. Der OS Login-Agent ruft diese Methode auch regelmäßig auf, um den Anmelde-Cache zu aktualisieren.
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.CheckPolicy	Alle OS Login-Verbindungen	Gibt einen Verbindungsversuch zu einer VM an: Bei Verbindungen mit Bestätigung in zwei Schritten wird eine erfolgreiche Verbindung sowohl durch einen erfolgreichen CheckPolicy-Aufruf als auch durch einen erfolgreichen ContinueSession-Aufruf angezeigt. Bei Verbindungen ohne Bestätigung in zwei Schritten gibt eine erfolgreiche Antwort an, dass der Nutzer eine Verbindung zur VM hergestellt hat. Maximieren Sie den Abschnitt authenticationInfo, um das Feld principalEmail anzuzeigen. Das Feld principalEmail zeigt die E-Mail-Adresse des Nutzers an, der versucht hat, eine Verbindung zur VM herzustellen.
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.StartSession	OS Login-2FA-Verbindungen	Gibt eine neue 2FA-Authentifizierungssitzung an. Bei einem StartSession-Aufruf deklariert ein Client seine Funktionen gegenüber dem Server und erhält Informationen zu den verfügbaren Identitätsbestätigungen.
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ContinueSession	OS Login-2FA-Verbindungen	Gibt eine Fortsetzung einer Authentifizierungssitzung an. Der Client schließt die vom Server vorgeschlagene Identitätsbestätigung bei dem vorherigen StartSession-Aufruf oder den vorherigen Anfragen ab und führt einen anderen Typ der Identitätsbestätigung durch. Anschließend akzeptiert die Methode ContinueSession die Antwort auf die Identitätsbestätigung oder Methode und authentifiziert oder lehnt den Authentifizierungsversuch entweder ab.

Attribute des OS Login-Audit-Logs

In folgenden Abschnitten werden die Attribute für Audit-Logs beschrieben. Einige Attribute gelten für alle Audit-Logs, andere für die Methoden CheckPolicy, StartSession und ContinueSession.

Allgemeine Attribute von OS Login-Audit-Logs

Die in der folgenden Tabelle aufgeführten Attribute gelten für alle OS Login-Audit-Logs.

Attribut	Wert
serviceName	oslogin.googleapis.com
resourceName	Ein String mit der Projektnummer, die angibt, zu welcher Anmeldeanfrage das Audit-Log gehört. Beispiel: projects/myproject12345.
severity	Der Schweregrad der Lognachricht. Beispiel: INFO oder WARNING. Weitere Informationen zu Schweregraden finden Sie unter LogSeverity.
authenticationInfo.principalEmail	Die E-Mail-Adresse des Nutzers, der von der Methode authentifiziert wird.
request.numericProjectId	Die Projektnummer des Google Cloud-Projekts.

ListLoginProfiles Audit-Logattribute

Die in der folgenden Tabelle aufgeführten Attribute gelten für ListLoginProfiles-Audit-Logs.

Attribut	Wert
methodName	google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ListLoginProfiles
request.@type	type.googleapis.com/google.cloud.oslogin.dataplane.ListLoginProfilesRequest

CheckPolicy Audit-Logattribute

Die in der folgenden Tabelle aufgeführten Attribute gelten für CheckPolicy-Audit-Logs.

Attribut	Wert
methodName	google.cloud.oslogin.dataplane.OsLoginDataPlaneService.CheckPolicy
request.@type	type.googleapis.com/google.cloud.oslogin.dataplane.CheckPolicyRequest
request.policy	Die geprüfte Berechtigung. Entweder LOGIN, das prüft, ob der Nutzer berechtigt ist, sich bei der VM anzumelden, oder ADMIN_LOGIN, das prüft, ob der Nutzer Administratorzugriff auf die VM hat.
response.success	Das Ergebnis der Prüfung von LOGIN oder ADMIN_LOGIN request.policy. Entweder true oder false, je nachdem, ob der Nutzer für die angegebene Richtlinie autorisiert ist.

StartSession Audit-Logattribute

Die in der folgenden Tabelle aufgeführten Attribute gelten für StartSession-Audit-Logs für VMs, für die OS Login-2FA aktiviert ist.

Attribut	Wert
methodName	google.cloud.oslogin.dataplane.OsLoginDataPlaneService.StartSession
request.@type	type.googleapis.com/google.cloud.oslogin.dataplane.StartSessionRequest
request.supportedChallengeTypes	Die Liste der Identitätsbestätigungsarten oder 2FA-Methoden, zwischen denen Sie wählen können.
response.authenticationStatus	Der Status der Sitzung. Entweder Authenticated, Challenge required, oder Challenge pending.
response.sessionId	Ein ID-String, mit dem die Sitzung eindeutig identifiziert wird. Diese Sitzungs-ID wird an den Aufruf ContinueSession in der Sequenz übergeben.
response.challenges	Die Identitätsbestätigungen, die Sie versuchen können, um diese Authentifizierungsrunde erfolgreich durchzuführen. Höchstens eine dieser Identitätsbestätigungen wird gestartet und hat den Status READY. Die anderen werden als Optionen angeboten. Der Nutzer kann diese als Alternative zur vorgeschlagenen primären Identitätsbestätigung verwenden.

ContinueSession Audit-Logattribute

Die in der folgenden Tabelle aufgeführten Attribute gelten für ContinueSession-Audit-Logs für VMs, für die OS Login-2FA aktiviert ist.

Attribut	Wert
methodName	google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ContinueSession
request.sessionId	Ein ID-String, mit dem die vorherige Sitzung eindeutig identifiziert wird. Diese Sitzungs-ID wird vom Aufruf StartSession übergeben.
request.@type	type.googleapis.com/google.cloud.oslogin.dataplane.ContinueSessionRequest
request.challengeId	Ein ID-String, der angibt, welche Art der Identitätsbestätigung gestartet oder durchgeführt werden soll. Diese ID muss zu einer Art der Identitätsbestätigung gehören, die vom Aufruf response.challenges in der Antwort StartSession zurückgegeben wurde.
request.action	Die erforderliche Aktion für die Herausforderung.
response.authenticationStatus	Der Status der Sitzung. Beispiel: Authenticated, Challenge required oder Challenge pending.
response.challenges.status	SUCCESS gibt an, dass ein Nutzer erfolgreich mit der VM verbunden wurde.
response.challenges	Die Identitätsbestätigungen, die Sie versuchen können, um diese Authentifizierungsrunde erfolgreich durchzuführen. Höchstens eine dieser Identitätsbestätigungen wird gestartet und hat den Status READY. Die anderen werden als Optionen angeboten. Der Nutzer kann diese als Alternative zur vorgeschlagenen primären Identitätsbestätigung verwenden.

Nächste Schritte

• Logging-Abfragesprache, um Ihre Audit-Log-Abfragen für OS Login anzupassen
• Mehr darüber erfahren, wie SSH-Verbindungen zu Linux-VMs in Compute Engine funktionieren