Cloud Key Management Service 稽核記錄

本文說明 Cloud Key Management Service 的稽核記錄。 Google Cloud 服務會產生稽核記錄，記錄 Google Cloud 資源中的管理和存取活動。如要進一步瞭解 Cloud 稽核記錄，請參閱以下資源：

• 稽核記錄類型
• 稽核記錄項目結構
• 儲存及轉送稽核記錄
• Cloud Logging 定價摘要
• 啟用資料存取稽核記錄

服務名稱

Cloud Key Management Service 稽核記錄會使用服務名稱 cloudkms.googleapis.com。這項服務的篩選器：

    protoPayload.serviceName="cloudkms.googleapis.com"
  

依權限類型劃分的方法

每個 IAM 權限都有一個 type 屬性，其值是枚舉，可為四個值之一：ADMIN_READ、ADMIN_WRITE、DATA_READ 或 DATA_WRITE。當您呼叫方法時，Cloud Key Management Service 會產生稽核記錄，其類別取決於執行方法所需權限的 type 屬性。需要 DATA_READ、DATA_WRITE 或 ADMIN_READ 的 type 屬性值的 IAM 權限的程式會產生資料存取稽核記錄。需要 IAM 權限，且 type 屬性值為 ADMIN_WRITE 的方法會產生管理員活動稽核記錄。

API 介面稽核記錄

如要瞭解每種方法的權限評估方式和權限，請參閱 Cloud Key Management Service 的 Identity and Access Management 說明文件。

google.cloud.kms.v1.Autokey

下列稽核記錄與屬於 google.cloud.kms.v1.Autokey 的方法相關聯。

CreateKeyHandle

• 方法：google.cloud.kms.v1.Autokey.CreateKeyHandle
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.keyHandles.create - ADMIN_WRITE
• 方法是長時間執行或串流作業： 長時間執行的作業
  
• 適用於此方法的篩選器： protoPayload.methodName="google.cloud.kms.v1.Autokey.CreateKeyHandle"
  

GetKeyHandle

• 方法：google.cloud.kms.v1.Autokey.GetKeyHandle
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.keyHandles.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="google.cloud.kms.v1.Autokey.GetKeyHandle"
  

ListKeyHandles

• 方法：google.cloud.kms.v1.Autokey.ListKeyHandles
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.keyHandles.list - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="google.cloud.kms.v1.Autokey.ListKeyHandles"
  

google.cloud.kms.v1.AutokeyAdmin

下列稽核記錄與屬於 google.cloud.kms.v1.AutokeyAdmin 的方法相關聯。

GetAutokeyConfig

• 方法：google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.autokeyConfigs.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig"
  

ShowEffectiveAutokeyConfig

• 方法：google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.projects.showEffectiveAutokeyConfig - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig"
  

UpdateAutokeyConfig

• 方法：google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.autokeyConfigs.update - ADMIN_WRITE
  • cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig"
  

google.cloud.kms.v1.EkmService

下列稽核記錄與屬於 google.cloud.kms.v1.EkmService 的方法相關聯。

CreateEkmConnection

• 方法：CreateEkmConnection
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.ekmConnections.create - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="CreateEkmConnection"
  

GetEkmConfig

• 方法：GetEkmConfig
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.ekmConfigs.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetEkmConfig"
  

GetEkmConnection

• 方法：GetEkmConnection
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.ekmConnections.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetEkmConnection"
  

ListEkmConnections

• 方法：ListEkmConnections
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.ekmConnections.list - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="ListEkmConnections"
  

UpdateEkmConfig

• 方法：UpdateEkmConfig
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.ekmConfigs.update - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="UpdateEkmConfig"
  

UpdateEkmConnection

• 方法：UpdateEkmConnection
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.ekmConnections.update - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="UpdateEkmConnection"
  

VerifyConnectivity

• 方法：VerifyConnectivity
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.ekmConnections.verifyConnectivity - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="VerifyConnectivity"
  

google.cloud.kms.v1.KeyManagementService

下列稽核記錄與屬於 google.cloud.kms.v1.KeyManagementService 的方法相關聯。

AsymmetricDecrypt

• 方法：AsymmetricDecrypt
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="AsymmetricDecrypt"
  

AsymmetricSign

• 方法：AsymmetricSign
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.useToSign - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="AsymmetricSign"
  

CreateCryptoKey

• 方法：CreateCryptoKey
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeys.create - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="CreateCryptoKey"
  

CreateCryptoKeyVersion

• 方法：CreateCryptoKeyVersion
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="CreateCryptoKeyVersion"
  

CreateImportJob

• 方法：CreateImportJob
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.importJobs.create - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="CreateImportJob"
  

CreateKeyRing

• 方法：CreateKeyRing
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.keyRings.create - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="CreateKeyRing"
  

Decrypt

• 方法：Decrypt
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="Decrypt"
  

DestroyCryptoKeyVersion

• 方法：DestroyCryptoKeyVersion
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeyVersions.destroy - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="DestroyCryptoKeyVersion"
  

Encrypt

• 方法：Encrypt
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="Encrypt"
  

GetCryptoKey

• 方法：GetCryptoKey
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeys.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetCryptoKey"
  

GetCryptoKeyVersion

• 方法：GetCryptoKeyVersion
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetCryptoKeyVersion"
  

GetImportJob

• 方法：GetImportJob
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.importJobs.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetImportJob"
  

GetKeyRing

• 方法：GetKeyRing
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.keyRings.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetKeyRing"
  

GetPublicKey

• 方法：GetPublicKey
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.viewPublicKey - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetPublicKey"
  

ImportCryptoKeyVersion

• 方法：ImportCryptoKeyVersion
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
  • cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
  • cloudkms.importJobs.useToImport - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="ImportCryptoKeyVersion"
  

ListCryptoKeyVersions

• 方法：ListCryptoKeyVersions
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.list - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="ListCryptoKeyVersions"
  

ListCryptoKeys

• 方法：ListCryptoKeys
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeys.list - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="ListCryptoKeys"
  

ListImportJobs

• 方法：ListImportJobs
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.importJobs.list - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="ListImportJobs"
  

ListKeyRings

• 方法：ListKeyRings
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.keyRings.list - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="ListKeyRings"
  

MacSign

• 方法：MacSign
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.useToSign - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="MacSign"
  

MacVerify

• 方法：MacVerify
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.useToVerify - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="MacVerify"
  

RawDecrypt

• 方法：RawDecrypt
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="RawDecrypt"
  

RawEncrypt

• 方法：RawEncrypt
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="RawEncrypt"
  

RestoreCryptoKeyVersion

• 方法：RestoreCryptoKeyVersion
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeyVersions.restore - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="RestoreCryptoKeyVersion"
  

UpdateCryptoKey

• 方法：UpdateCryptoKey
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeys.update - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="UpdateCryptoKey"
  

UpdateCryptoKeyPrimaryVersion

• 方法：UpdateCryptoKeyPrimaryVersion
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeys.update - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="UpdateCryptoKeyPrimaryVersion"
  

UpdateCryptoKeyVersion

• 方法：UpdateCryptoKeyVersion
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="UpdateCryptoKeyVersion"
  

google.iam.v1.IAMPolicy

下列稽核記錄與屬於 google.iam.v1.IAMPolicy 的方法相關聯。

GetIamPolicy

• 方法：GetIamPolicy
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.cryptoKeys.getIamPolicy - ADMIN_READ
  • cloudkms.keyRings.getIamPolicy - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetIamPolicy"
  

SetIamPolicy

• 方法：SetIamPolicy
  
• 稽核記錄類型：管理員活動
  
• 權限：
  • cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
  • cloudkms.keyRings.setIamPolicy - ADMIN_WRITE
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="SetIamPolicy"
  

google.longrunning.Operations

下列稽核記錄與屬於 google.longrunning.Operations 的方法相關聯。

GetOperation

• 方法：GetOperation
  
• 稽核記錄類型：資料存取
  
• 權限：
  • cloudkms.operations.get - ADMIN_READ
• 方法是長時間執行或串流作業：否。
  
• 適用於此方法的篩選器： protoPayload.methodName="GetOperation"
  

不會產生稽核記錄的方法

方法可能不會產生稽核記錄，原因如下：

• 這是一種高用量方法，會產生大量記錄並產生儲存費用。
• 審查價值偏低。
• 其他稽核或平台記錄已提供方法涵蓋率。

下列方法不會產生稽核記錄：

• google.cloud.kms.v1.KeyManagementService.GenerateRandomBytes
• google.cloud.location.Locations.GetLocation
• google.cloud.location.Locations.ListLocations