Monitora gli audit log di OS Login

---

Puoi monitorare i tentativi di connessione alle istanze di macchine virtuali (VM) che hanno OS Login abilitato visualizzando gli audit log di OS Login. Questi audit log sono sempre abilitati e non possono essere disabilitati utilizzando le configurazioni di accesso ai dati.

Puoi anche monitorare eventi e attività relativi a OS Login, come l'aggiunta, l'eliminazione o l'aggiornamento di una chiave SSH o l'eliminazione di informazioni POSIX con l'SDK Admin di Google Workspace.

Prima di iniziare

• Se non l'hai ancora fatto, configura l'autenticazione. L'autenticazione è il processo mediante il quale la tua identità viene verificata per l'accesso a servizi e API di Google Cloud Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti su Compute Engine selezionando una delle seguenti opzioni:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

Visualizza gli audit log di OS Login

Per visualizzare un elenco di audit log di OS Login, esegui una query su Cloud Audit Logs.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni:

• Il ruolo Logging/Visualizzatore log o il ruolo Project/Visualizzatore.

Esamina gli audit log di OS Login

Esamina il campo methodName degli audit log per conoscere i tipi di tentativi di connessione alle VM in cui è abilitato OS Login e gli utenti che li hanno avviati.

Espandi la sezione protoPayload per visualizzare il campo methodName per il tentativo di connessione. Per scoprire il significato di ciascun campo methodName, consulta la tabella riportata di seguito:

Metodo	Tipo di connessione	Descrizione
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ListLoginProfiles	Tutte le connessioni di OS Login	Indica una richiesta di elencare gli utenti con profili OS Login nello stesso progetto della VM o una richiesta di ricerca del profilo di un singolo utente. Questa chiamata si verifica quando un utente tenta di connettersi a una VM. Anche l'agente di OS Login richiama regolarmente questo metodo per aggiornare la cache di accesso.
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.CheckPolicy	Tutte le connessioni di OS Login	Indica un tentativo di connessione a una VM: Per le connessioni con l'autenticazione a due fattori (2FA), una connessione riuscita è indicata sia da una chiamata CheckPolicy riuscita sia da una chiamata ContinueSession riuscita. Per le connessioni non 2FA, una risposta positiva indica che l'utente si è connesso alla VM. Espandi la sezione authenticationInfo per visualizzare il campo principalEmail. Il campo principalEmail mostra l'indirizzo email dell'utente che ha provato a connettersi alla VM.
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.StartSession	Connessioni con l'autenticazione a due fattori di OS Login	Indica una nuova sessione di autenticazione 2FA. In una chiamata StartSession, un client dichiara le proprie funzionalità al server e ottiene informazioni sulle verifiche disponibili.
google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ContinueSession	Connessioni con l'autenticazione a due fattori di OS Login	Indica la continuazione di una sessione di autenticazione. Il client completa la verifica proposta dal server sulla chiamata o sulle richieste StartSession precedenti e completa un altro tipo di verifica. Quindi, il metodo ContinueSession accetta la risposta alla verifica o al metodo e autentica o rifiuta il tentativo di autenticazione.

Proprietà degli audit log di OS Login

Le sezioni seguenti descrivono le proprietà per gli audit log. Alcune proprietà sono comuni a tutti gli audit log, mentre altre sono specifiche per i metodi CheckPolicy, StartSession e ContinueSession.

Proprietà comuni degli audit log di OS Login

Le proprietà elencate nella tabella seguente sono comuni a tutti gli audit log di OS Login.

Proprietà	Valore
serviceName	oslogin.googleapis.com
resourceName	Una stringa contenente il numero del progetto che indica a quale richiesta di accesso appartiene l'audit log. Ad esempio, projects/myproject12345.
severity	Il livello di gravità del messaggio di log. Ad esempio, INFO o WARNING. Per scoprire di più sui livelli di gravità, consulta LogSeverity.
authenticationInfo.principalEmail	L'indirizzo email dell'utente autenticato dal metodo.
request.numericProjectId	Il numero di progetto del progetto Google Cloud .

Proprietà degli audit log ListLoginProfiles

Le proprietà elencate nella tabella seguente si applicano agli audit log ListLoginProfiles.

Proprietà	Valore
methodName	google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ListLoginProfiles
request.@type	type.googleapis.com/google.cloud.oslogin.dataplane.ListLoginProfilesRequest

Proprietà degli audit log CheckPolicy

Le proprietà elencate nella tabella seguente si applicano agli audit log CheckPolicy.

Proprietà	Valore
methodName	google.cloud.oslogin.dataplane.OsLoginDataPlaneService.CheckPolicy
request.@type	type.googleapis.com/google.cloud.oslogin.dataplane.CheckPolicyRequest
request.policy	L'autorizzazione in fase di controllo. LOGIN, che verifica se l'utente è autorizzato ad accedere alla VM, o ADMIN_LOGIN, che verifica se l'utente è autorizzato ad avere accesso amministrativo alla VM.
response.success	Il risultato del controllo LOGIN o ADMIN_LOGIN request.policy. true o false, a seconda che l'utente sia autorizzato per la policy specificata.

Proprietà degli audit log StartSession

Le proprietà elencate nella tabella seguente si applicano agli audit log StartSession per le VM in cui è abilitata l'autenticazione a due fattori (2FA) per OS Login.

Proprietà	Valore
methodName	google.cloud.oslogin.dataplane.OsLoginDataPlaneService.StartSession
request.@type	type.googleapis.com/google.cloud.oslogin.dataplane.StartSessionRequest
request.supportedChallengeTypes	L'elenco dei tipi di verifica o dei metodi di autenticazione a due fattori (2FA) tra cui puoi scegliere.
response.authenticationStatus	Stato della sessione. Uno dei valori Authenticated, Challenge required o Challenge pending.
response.sessionId	Una stringa ID che identifica in modo univoco la sessione. Questo ID sessione viene passato alla chiamata ContinueSession nella sequenza.
response.challenges	L'insieme di verifiche che puoi tentare di passare durante questo round di autenticazione. Al massimo, una di queste verifiche è stata avviata e ha lo stato READY. Le altre sono fornite come opzioni che l'utente può specificare come alternativa alla verifica principale proposta.

Proprietà degli audit log ContinueSession

Le proprietà elencate nella tabella seguente si applicano agli audit log ContinueSession per le VM in cui è abilitata l'autenticazione a due fattori (2FA) per OS Login.

Proprietà	Valore
methodName	google.cloud.oslogin.dataplane.OsLoginDataPlaneService.ContinueSession
request.sessionId	Una stringa ID che identifica in modo univoco la sessione precedente. Questo ID sessione viene passato dalla chiamata StartSession.
request.@type	type.googleapis.com/google.cloud.oslogin.dataplane.ContinueSessionRequest
request.challengeId	Una stringa ID che identifica la verifica da avviare o eseguire. Questo ID deve appartenere a un tipo di verifica restituito dalla chiamata response.challenges nella risposta StartSession.
request.action	L'azione da intraprendere per completare la verifica.
response.authenticationStatus	Stato della sessione. Ad esempio, Authenticated, Challenge required o Challenge pending.
response.challenges.status	SUCCESS indica che un utente si è collegato correttamente alla VM.
response.challenges	L'insieme di verifiche che puoi tentare di passare in questo round di autenticazione. Al massimo, una di queste verifiche è stata avviata e ha lo stato READY. Le altre sono fornite come opzioni che l'utente può specificare come alternativa alla verifica principale proposta.

Passaggi successivi

• Scopri di più sul linguaggio delle query di Logging per personalizzare le query degli audit log di OS Login.
• Scopri come funzionano le connessioni SSH alle VM Linux su Compute Engine