Log audit untuk Google Workspace

Dokumen ini memberikan ringkasan konseptual tentang log audit yang disediakan Google Workspace sebagai bagian dari Cloud Audit Logs.

Untuk mengetahui informasi tentang cara mengelola log audit Google Workspace, lihat Melihat dan mengelola log audit untuk Google Workspace.

Ringkasan

LayananGoogle Cloud menulis log audit untuk membantu Anda menjawab pertanyaan, "Siapa yang melakukan apa, di mana, dan kapan?". Anda dapat membagikan log audit Google Workspace Anda dengan Google Cloud untuk menyimpan, menganalisis, memantau, dan memberikan pemberitahuan tentang data Google Workspace Anda.

Log audit untuk Google Workspace tersedia untuk pelanggan Cloud Identity, Cloud Identity Premium, dan semua pelanggan Google Workspace.

Jika Anda telah mengaktifkan berbagi data Google Workspace dengan Google Cloud, maka log audit akan selalu diaktifkan untuk Google Workspace.

Menonaktifkan berbagi data Google Workspace akan menghentikan pengiriman peristiwa log audit Google Workspace baru ke Google Cloud. Log yang ada akan tetap ada selama periode retensi default, kecuali jika Anda telah mengonfigurasi retensi khusus untuk menyimpan log Anda selama periode yang lebih lama.

Jika Anda tidak mengaktifkan berbagi data Google Workspace dengan Google Cloud, maka Anda tidak dapat melihat log audit untuk Google Workspace di Google Cloud.

Jenis log audit

Log audit Aktivitas Admin berisi entri log untuk panggilan API atau tindakan lain yang mengubah konfigurasi atau metadata resource. Misalnya, log ini mencatat saat pengguna membuat instance VM atau mengubah izin Identity and Access Management (IAM).

Log audit Akses Data berisi panggilan API yang membaca konfigurasi atau metadata resource, serta panggilan API yang dilakukan pengguna untuk membuat, mengubah, atau membaca data resource yang diberikan pengguna. Log audit Akses Data tidak merekam operasi akses data di resource yang dibagikan secara publik (tersedia untuk Semua Pengguna atau Semua Pengguna Terautentikasi) atau yang dapat diakses tanpa login ke akun Google Workspace, Cloud Identity, atau Drive Enterprise. Google Cloud

Layanan Google Workspace yang meneruskan log audit ke Google Cloud

Google Workspace menyediakan log audit berikut di Google Cloud level organisasi:

• Transparansi Akses: Log Transparansi Akses memberikan catatan tindakan saat personel Google mengakses konten pelanggan di resource Google Workspace Anda. Berbeda dengan Transparansi Akses, Cloud Audit Logs mencatat tindakan yang telah dilakukan oleh anggota organisasi Anda pada resource Anda. Google Cloud Google Cloud

  Untuk mengetahui informasi selengkapnya tentang struktur log Transparansi Akses dan jenis akses yang dicatat, lihat Deskripsi kolom log.

• Audit Admin Google Workspace: Log Audit Admin memberikan catatan tindakan yang dilakukan di konsol Google Admin Anda. Misalnya, Anda dapat melihat kapan administrator menambahkan pengguna atau mengaktifkan layanan Google Workspace.

  Audit Admin hanya menulis log audit Aktivitas Admin.

• Audit Grup Enterprise Google Workspace: Log Audit Grup Enterprise memberikan catatan tindakan yang dilakukan pada grup dan keanggotaan grup. Misalnya, Anda dapat melihat waktu administrator menambahkan pengguna atau ketika pemilik grup menghapus grupnya.

  Audit Enterprise Groups hanya menulis log audit Aktivitas Admin.

• Audit Login Google Workspace: Log Audit Login melacak login pengguna ke domain Anda. Log ini hanya mencatat peristiwa login. Mereka tidak mencatat sistem mana yang digunakan untuk melakukan tindakan login.

  Audit Login hanya menulis log audit Akses Data.

• Audit Token OAuth Google Workspace: Log Audit Token OAuth melacak pengguna yang menggunakan aplikasi seluler atau web pihak ketiga di domain Anda. Misalnya, saat pengguna membuka aplikasi Google Workspace Marketplace, log mencatat nama aplikasi dan orang yang menggunakannya. Log ini juga mencatat setiap kali aplikasi pihak ketiga diizinkan untuk mengakses data Akun Google, seperti file Google Kontak, Kalender, dan Drive (khusus Google Workspace).

  Audit Token OAuth menulis log audit Aktivitas Admin dan Akses Data.

• Audit SAML Google Workspace: Log Audit SAML melacak proses login pengguna yang berhasil dan gagal ke aplikasi SAML. Entri biasanya muncul dalam waktu satu jam setelah pengguna melakukan tindakan.

  Audit SAML hanya menulis log audit Akses Data.

Informasi khusus layanan

Detail untuk log audit setiap layanan Google Workspace adalah sebagai berikut:

Izin log audit

Izin dan peran IAM menentukan kemampuan Anda untuk mengakses data log audit di Logging API, Logs Explorer, dan Google Cloud CLI.

Untuk mengetahui informasi mendetail tentang izin dan peran IAM tingkat organisasi yang mungkin Anda perlukan, lihat Kontrol akses dengan IAM.

Format log audit

Entri log audit Google Workspace mencakup objek berikut:

• Entri log itu sendiri, yang merupakan objek dengan jenis LogEntry. Saat memeriksa data log audit, Anda mungkin menemukan hal berikut berguna:

  • logName berisi ID organisasi dan jenis log audit.
  • resource berisi target operasi yang diaudit.
  • timeStamp berisi waktu operasi yang diaudit.
  • protoPayload berisi log audit Google Workspace di kolom metadata.

Kolom protoPayload.metadata berisi informasi Google Workspace yang diaudit. Berikut adalah contoh log Audit Login:

{
  "protoPayload": {
    "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
    "authenticationInfo": {
      "principalEmail": "test-user@example.net"
    },
    "requestMetadata": {
      "callerIp": "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff",
      "requestAttributes": {},
      "destinationAttributes": {}
    },
    "serviceName": "login.googleapis.com",
    "methodName": "google.login.LoginService.loginFailure",
    "resourceName": "organizations/123",
    "metadata": {
      "event": [
        {
          "eventName": "login_failure",
          "eventType": "login",
          "parameter": [
            {
              "value": "google_password",
              "type": "TYPE_STRING",
              "name": "login_type",
            },
            {
              "name": "login_challenge_method",
              "type": "TYPE_STRING",
              "label": "LABEL_REPEATED",
              "multiStrValue": [
                "password",
                "idv_preregistered_phone",
                "idv_preregistered_phone"
              ]
            },
          ]
        }
      ],
      "activityId": {
        "uniqQualifier": "358068855354",
        "timeUsec": "1632500217183212"
      },
      "@type": "type.googleapis.com/ccc_hosted_reporting.ActivityProto"
    }
  },
  "insertId": "-nahbepd4l1x",
  "resource": {
    "type": "audited_resource",
    "labels": {
      "method": "google.login.LoginService.loginFailure",
      "service": "login.googleapis.com"
    }
  },
  "timestamp": "2021-09-24T16:16:57.183212Z",
  "severity": "NOTICE",
  "logName": "organizations/123/logs/cloudaudit.googleapis.com%2Fdata_access",
  "receiveTimestamp": "2021-09-24T17:51:25.034361197Z"
}

Untuk mengetahui informasi tentang kolom logging audit khusus layanan, dan cara menafsirkannya, pilih dari layanan yang tercantum di Log audit yang tersedia.

Melihat log

Untuk mengetahui informasi tentang cara melihat log audit Google Workspace, lihat Melihat dan mengelola log audit untuk Google Workspace.

Merutekan log audit

Anda dapat merutekan log audit Google Workspace dari Cloud Logging ke tujuan yang didukung, termasuk bucket Logging lainnya.

Berikut adalah beberapa penerapan untuk merutekan log audit:

• Untuk menggunakan kemampuan penelusuran yang lebih andal, Anda dapat merutekan salinan log audit Anda ke Cloud Storage, BigQuery, atau Pub/Sub. Dengan Pub/Sub, Anda dapat merutekan log audit ke aplikasi lain, repositori lain, dan ke pihak ketiga.

• Untuk mengelola log audit di seluruh organisasi, Anda dapat membuat sink gabungan yang menggabungkan dan merutekan log dari semua project, akun penagihan, dan folder yang ada di organisasi Anda. Google Cloud Misalnya, Anda dapat menggabungkan dan merutekan entri log audit dari folder organisasi ke bucket Cloud Storage.

Untuk mendapatkan petunjuk tentang cara merutekan log, lihat Merutekan log ke tujuan yang didukung.

Regionalisasi

Anda tidak dapat memilih region tempat log Google Workspace Anda disimpan. Log Google Workspace tidak tercakup dalam Kebijakan Region Data Google Workspace.

Periode retensi data

Periode retensi berikut berlaku untuk data log audit Anda:

• Kebijakan retensi data di Google Workspace.

• Kebijakan retensi data di Google Cloud Cloud Logging.

Untuk setiap organisasi, Cloud Logging secara otomatis menyimpan log di dua bucket: bucket _Default dan bucket _Required. Bucket _Required menyimpan log audit Aktivitas Admin, log audit Peristiwa Sistem, dan log Transparansi Akses. Bucket _Default menyimpan semua entri log lainnya yang tidak disimpan di bucket _Required. Untuk mengetahui informasi selengkapnya tentang bucket Logging, lihat Ringkasan perutean dan penyimpanan.

Anda dapat mengonfigurasi Cloud Logging untuk menyimpan log di bucket log _Default selama jangka waktu mulai dari 1 hari hingga 3.650 hari.

Untuk memperbarui periode retensi bucket log _Default, lihat Retensi kustom.

Anda tidak dapat mengubah periode retensi di bucket _Required.

Kuota dan batas

Kuota yang sama berlaku untuk log audit Google Workspace dan Cloud Audit Logs.

Untuk mengetahui detail tentang batas penggunaan ini, termasuk ukuran maksimum log audit, lihat Kuota dan batas.

Harga

Untuk mengetahui informasi harga, lihat Harga Google Cloud Observability.

Langkah berikutnya

• Pelajari cara mengonfigurasi dan mengelola log audit Google Workspace.
• Tinjau praktik terbaik untuk Cloud Audit Logs.
• Pelajari cara melihat dan memahami log Transparansi Akses untuk Google Workspace.