本頁面由 Cloud Translation API 翻譯而成。

身分與存取權管理 (IAM)

STS 權杖的金鑰交換

記錄檔結構定義：Istio

記錄項目中包含稽核資訊的欄位
稽核中繼資料	稽核欄位名稱	值
使用者或服務身分	`identity`	\"user\":{\"identity\":\"system:serviceaccount:iam-test:service-account\"}
目標 (呼叫 API 的欄位和值)	`resource`	\"resource\":\"service-accounts.zone1.google.gdch.test\"
動作 (包含所執行作業的欄位)	不適用
事件時間戳記	`time`	"time": "2022-11-23T18:25:54Z"
動作來源	不適用
結果	不適用
其他欄位	不適用

稽核記錄 Kubernetes 資源的 CRUD 作業，包括建立服務帳戶和管理存取權控管。

記錄檔結構定義：KRM API

記錄項目中包含稽核資訊的欄位
稽核中繼資料	稽核欄位名稱	值
使用者或服務身分	`user/username`	"user": { "groups": [ "system:authenticated" ], "username": "fop-platform-admin@example.com" }
目標 (呼叫 API 的欄位和值)	`objectRef`	"objectRef": { "resource": "projectserviceaccounts", "apiGroup": "resourcemanager.gdc.goog", "name": "service-accountt", "apiVersion": "v1alpha1", "namespace": "iam-test" }
動作 (包含所執行作業的欄位)	`verb`	"verb": "create"
事件時間戳記	`requestReceivedTimestamp`	"requestReceivedTimestamp": "2022-11-23T18:24:26.514173Z"
動作來源	`sourceIPs`	"sourceIPs": [ "10.200.0.2" ]
結果	`responseStatus`	"responseStatus": { "code": 201, "metadata": {} }
其他欄位	`annotations/authorization.k8s.io/reason`	"annotations": { "authorization.k8s.io/reason": "RBAC: allowed by RoleBinding \"platform-admin-project-iam-admin/iam-test\" of Role \"project-iam-admin\" to User \"fop-platform-admin@example.com\"", "authorization.k8s.io/decision": "allow" }

使用者登出時的稽核記錄

記錄檔結構定義：自訂 AIS 格式。

記錄項目中包含稽核資訊的欄位
稽核中繼資料	稽核欄位名稱	值
使用者或服務身分	`payload.user`	"payload": { "expirationTime": "2023-08-29T12:42:36.848454939+00:00", "groups": [], "id": "7a5bea7a-0821-45d8-b4a0-69f24d30ab3f", "issuer": "Google OIDC", "user": "test-user" }
目標 (呼叫 API 的欄位和值)	不適用
動作 (包含所執行作業的欄位)	`operation`	"operation": "revoke"
事件時間戳記	`metadata.timestamp`	"timestamp": "2023-08-29T00:42:40.000544813+00:00"
動作來源	不適用
結果	不適用
其他欄位	`expirationTime`	"expirationTime": "2023-08-29T12:42:36.848454939+00:00"

使用者登入時的稽核記錄

記錄檔結構定義：自訂 AIS 格式。

記錄項目中包含稽核資訊的欄位
稽核中繼資料	稽核欄位名稱	值
使用者或服務身分	`payload.user`	"payload": { "expirationTime": "2023-08-29T05:22:13.350779831+00:00", "groups": [], "id": "dcb7c5d9-c171-4f5b-84b6-5c92bfffb0e0", "issuer": "Azure AD SAML", "user": "test-ais-e2e-saml@byoidcloudaccountgoogle.onmicrosoft.com" }
目標 (呼叫 API 的欄位和值)	不適用
動作 (包含所執行作業的欄位)	`operation`	"operation": "create"
事件時間戳記	`metadata.timestamp`	"timestamp": "2023-08-28T17:22:13.351713088+00:00"
動作來源	不適用
結果	不適用
其他欄位	`expirationTime`	"expirationTime": "2023-08-29T05:22:13.350779831+00:00"

當 PA 撤銷使用者的工作階段時，系統會產生稽核記錄

記錄檔結構定義：自訂 AIS 格式。

記錄項目中包含稽核資訊的欄位
稽核中繼資料	稽核欄位名稱	值
使用者或服務身分	`payload.admin / payload.user`	"payload": { "admin": "test-user-1@gdch.com", "numSessionsAffected": 1, "peerWorkloadIdentity": "system:serviceaccount:anthos-identity-service:default", "peerWorkloadIdentityIssuer": "https://kubernetes.default.svc.cluster.local", "user": "test-user-2@gdch.com" }
目標 (呼叫 API 的欄位和值)	`resource`	"resource": "session"
動作 (包含所執行作業的欄位)	`operation`	"operation": "revoke"
事件時間戳記	`metadata.timestamp`	"timestamp": "2023-08-28T17:22:24.043644569+00:00"
動作來源	不適用
結果	不適用
其他欄位	`numSessionsAffected`	"numSessionsAffected": 1

記錄 IAM 範例

{
  "pri": "46",
  "_gdch_flbProcessedTimestamp": 1669227957.340494,
  "_gdch_fluentbit_pod": "anthos-audit-logs-forwarder-vk6vx",
  "time": "2022-11-23T18:25:54Z",
  "message": "{\"time\":\"2022-11-23T18:25:54.257503516Z\",\"auditID\":\"d1c33645-bed0-47dc-8180-06b752673109\",\"user\":{\"identity\":\"system:serviceaccount:iam-test:service-accountt\"},\"resource\":\"service-accounts.zone1.google.gdch.test\",\"description\":\"{\\\"keyID\\\":\\\"f9540561-84d5-4113-983f-fd8868501596\\\",\\\"expirationTime\\\":\\\"2022-11-24T06:25:53Z\\\"}\"}",
  "ident": "/service-identity-server",
  "pid": "1",
  "msgid": "audit-log",
  "extradata": "-",
  "_gdch_cluster": "root-admin",
  "host": "serviceidentity-sa-server-55544bd9f5-nwg8m",
  "_gdch_service_name": "service-identity-audit-logs"
}