Questa pagina è stata tradotta dall'API Cloud Translation.

Panoramica di Cloud Audit Logs

Questo documento fornisce una panoramica concettuale di Cloud Audit Logs.

I serviziGoogle Cloud scrivono audit log che registrano le attività amministrative e gli accessi all'interno delle tue risorse Google Cloud . Gli audit log ti aiutano a rispondere alla domanda "Chi ha fatto cosa, dove e quando?" all'interno delle tue risorse Google Cloud con lo stesso livello di trasparenza degli ambienti on-premise. L'attivazione dei log di controllo aiuta le tue entità di sicurezza, controllo e conformità a monitorare i dati e i sistemi diGoogle Cloud per individuare possibili vulnerabilità o uso improprio dei dati esterni.

Google Cloud servizi che producono audit log

Per un elenco dei servizi che forniscono audit log, vedi Google Cloud Servizi con audit log. Google Cloud Tutti i serviziGoogle Cloud forniranno audit log.

Per una panoramica degli audit log di Google Workspace, vedi Audit log per Google Workspace.

Ruoli obbligatori

Per visualizzare gli audit log, devi disporre dei ruoli e delle autorizzazioni Identity and Access Management (IAM) appropriati:

Per ottenere le autorizzazioni necessarie per accedere in sola lettura ai log di controllo Attività di amministrazione, Policy negata ed Evento di sistema, chiedi all'amministratore di concederti il ruolo IAM Visualizzatore log (roles/logging.viewer) nel progetto.

Se disponi solo del ruolo Visualizzatore log (roles/logging.viewer), non puoi visualizzare gli audit log di accesso ai dati che si trovano nel bucket _Default.

Per ottenere le autorizzazioni necessarie per accedere a tutti i log nei bucket _Required e _Default, inclusi i log di accesso ai dati, chiedi all'amministratore di concederti il ruolo IAM Visualizzatore log privati (roles/logging.privateLogViewer) nel tuo progetto.

Il ruolo Visualizzatore log privati (roles/logging.privateLogViewer) include le autorizzazioni contenute nel ruolo Visualizzatore log (roles/logging.viewer) e quelle necessarie per leggere gli audit log di accesso ai dati nel bucket _Default.

Per saperne di più sui ruoli e sulle autorizzazioni IAM che si applicano ai dati degli audit log, consulta Controllo dell'accesso con IAM.

Tipi di audit log

Cloud Audit Logs fornisce i seguenti audit log per ogni progetto, cartella e organizzazione:Google Cloud

Audit log delle attività di amministrazione
Audit log degli accessi ai dati
Audit log degli eventi di sistema
Audit log negati da criteri

Audit log delle attività di amministrazione

Gli audit log per le attività di amministrazione sono voci di log scritte da chiamate API effettuate dagli utenti o altre azioni che modificano la configurazione o i metadati delle risorse. Ad esempio, questi log registrano quando gli utenti creano istanze VM o modificano le autorizzazioni Identity and Access Management.

Gli audit log per le attività di amministrazione vengono sempre scritti; non puoi configurarli, escluderli o disabilitarli. Anche se disabiliti l'API Cloud Logging, gli audit log delle attività amministrative vengono comunque generati.

Per un elenco dei servizi che scrivono i log di controllo dell'attività di amministrazione e informazioni dettagliate sulle attività che generano questi log, vedi Google Cloud Servizi con log di controllo.

Audit log degli accessi ai dati

Gli audit log di accesso ai dati sono voci di log scritte da chiamate API che leggono la configurazione o i metadati delle risorse. Sono anche scritti da chiamate API guidate dall'utente che creano, modificano o leggono i dati delle risorse forniti dall'utente.

Le risorse disponibili pubblicamente che hanno i criteri di Identity and Access Management allAuthenticatedUsers o allUsers non generano audit log. Le risorse a cui è possibile accedere senza eseguire l'accesso a un Google Cloud, account Google Workspace, Cloud Identity o Drive Enterprise non generano log di controllo. Ciò contribuisce a proteggere le identità e le informazioni degli utenti finali.

Gli audit log di accesso ai dati, tranne quelli di BigQuery, sono disabilitati per impostazione predefinita perché possono essere abbastanza grandi. Se vuoi che gli audit log per l'accesso ai dati vengano scritti per servizi diversi da BigQuery, devi abilitarli esplicitamente. Google Cloud L'attivazione dei log potrebbe comportare l'addebito al tuo progetto Google Cloud dell'utilizzo aggiuntivo dei log. Per istruzioni su come attivare e configurare gli audit log di accesso ai dati, consulta la pagina Attivare gli audit log di accesso ai dati.

Per un elenco dei servizi che scrivono i log di controllo di accesso ai dati e informazioni dettagliate sulle attività che generano questi log, consulta Google Cloud Servizi con log di controllo.

Gli audit log per l'accesso ai dati vengono archiviati nel bucket di log _Default, a meno che non siano stati indirizzati altrove. Per maggiori informazioni, consulta la sezione Archiviazione e routing dei log di controllo di questa pagina.

Audit log degli eventi di sistema

Gli audit log degli eventi di sistema sono voci di log scritte dai sistemi che modificano la configurazione delle risorse. Google Cloud Gli audit log degli eventi di sistema non sono determinati da un'azione diretta dell'utente. Ad esempio, un log di controllo degli eventi di sistema viene scritto quando le VM vengono aggiunte o rimosse automaticamente dai gruppi di istanze gestite (MIG) a causa della scalabilità automatica.

Gli audit log degli eventi di sistema vengono sempre scritti; non puoi configurarli, escluderli o disabilitarli.

Per un elenco dei servizi che scrivono i log di controllo degli eventi di sistema e informazioni dettagliate sulle attività che generano questi log, vedi Google Cloud Servizi con log di controllo.

Audit log negati da criteri

I log di controllo Policy Denied sono voci di log scritte quando un servizio nega l'accesso a un utente o a un service account a causa di una violazione delle norme di sicurezza. Google Cloud

Gli audit log sugli accessi negati in base ai criteri vengono generati per impostazione predefinita e al tuo progettoGoogle Cloud viene addebitato l'archiviazione dei log. Non puoi disattivare gli audit log Policy Denied, ma puoi utilizzare filtri di esclusione per impedire che gli audit log Policy Denied vengano archiviati in Cloud Logging.

Per un elenco dei servizi che scrivono log di controllo Policy Denied e informazioni dettagliate sulle attività che generano questi log, vedi Google Cloud servizi con log di controllo.

Struttura della voce di audit log

Ogni voce di log di controllo in Cloud Logging è un oggetto di tipo LogEntry. Ciò che distingue una voce di audit log dalle altre voci di log è il campo protoPayload, che contiene un oggetto AuditLog che archivia i dati di audit logging.

Per capire come leggere e interpretare le voci del log di controllo e per un esempio di voce di log di controllo, vedi Comprendere i log di controllo.

Nome log

I nomi dei log di Cloud Audit Logs includono quanto segue:

Identificatori di risorse che indicano il Google Cloud progetto o un'altra Google Cloud entità proprietaria degli audit log.
La stringa cloudaudit.googleapis.com.
Una stringa che indica se il log contiene dati di audit logging relativi ad attività di amministrazione, accesso ai dati, accesso negato in base ai criteri o eventi di sistema.

Di seguito sono riportati i nomi dei log di controllo, incluse le variabili per gli identificatori delle risorse:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Factivity
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Identità del chiamante nei log di controllo

Gli audit log registrano l'identità che ha eseguito le operazioni registrate sulla risorsa Google Cloud . L'identità del chiamante è contenuta nel campo AuthenticationInfo degli oggetti AuditLog.

L'audit logging non oscura l'indirizzo email principale del chiamante per nessun accesso riuscito o per qualsiasi operazione di scrittura.

Per le operazioni di sola lettura che non vanno a buon fine con un errore "Autorizzazione negata", l'audit logging potrebbe oscurare l'indirizzo email dell'entità chiamante, a meno che non si tratti di uaccount di serviziont.

Oltre alle condizioni elencate sopra, quanto segue si applica a determinati Google Cloud servizi:

API legacy di App Engine: le identità non vengono raccolte.

BigQuery: le identità del chiamante e gli indirizzi IP, nonché alcuni nomi di risorse, vengono oscurati dai log di controllo, a meno che non vengano soddisfatte determinate condizioni.
Cloud Storage: quando i log di utilizzo di Cloud Storage sono abilitati, Cloud Storage scrive i dati di utilizzo nel bucket Cloud Storage, che genera audit log di accesso ai dati per il bucket. L'identità del chiamante dell'audit log di accesso ai dati generato è stata oscurata.

Firestore: se per l'autenticazione di terze parti è stato utilizzato un token JWT (JSON Web Token), il campo thirdPartyPrincipal include l'intestazione e il payload del token. Ad esempio, gli audit log per le richieste autenticate con Firebase Authentication includono il token di autenticazione della richiesta.

Controlli di servizio VPC: per i log di controllo Policy Denied, viene eseguita la seguente oscuramento:
- Alcune parti degli indirizzi email del chiamante potrebbero essere oscurate e sostituite da tre punti ....
- Alcuni indirizzi email del chiamante appartenenti al dominio google.com sono oscurati e sostituiti da google-internal.

Criterio dell'organizzazione: Alcune parti degli indirizzi email del chiamante potrebbero essere oscurate e sostituite da tre punti ....

Indirizzo IP del chiamante nei log di controllo

L'indirizzo IP del chiamante è memorizzato nel campo RequestMetadata.callerIp dell'oggetto AuditLog:

Per un chiamante da internet, l'indirizzo è un indirizzo IPv4 o IPv6 pubblico.
Per le chiamate effettuate dall'interno della rete di produzione interna da un servizioGoogle Cloud a un altro, callerIp viene oscurato e sostituito con "private".
Per un chiamante da una VM Compute Engine con un indirizzo IP esterno, callerIp è l'indirizzo esterno della VM.
Per un chiamante da una VM Compute Engine senza indirizzo IP esterno, se la VM si trova nella stessa organizzazione o nello stesso progetto della risorsa a cui è stato eseguito l'accesso, callerIp è l'indirizzo IPv4 interno della VM. In caso contrario, l'callerIp viene oscurato con "gce-internal-ip". Per maggiori informazioni, consulta la panoramica della rete VPC.

Visualizzazione degli audit log

Puoi eseguire query su tutti i log di controllo o su log specifici in base al nome. Il nome dell'audit log include l'identificatore della risorsa del progetto, della cartella, dell'account di fatturazione o dell' Google Cloud organizzazione per cui vuoi visualizzare le informazioni di audit logging. Le query possono specificare campi LogEntry indicizzati. Per ulteriori informazioni su come eseguire query sui log, consulta Creare query in Esplora log

Esplora log consente di visualizzare e filtrare le singole voci di log. Se vuoi utilizzare SQL per analizzare gruppi di voci di log, utilizza la pagina Analisi dei log. Per ulteriori informazioni, vedi:

La maggior parte degli audit log può essere visualizzata in Cloud Logging utilizzando la consoleGoogle Cloud , Google Cloud CLI o l'API Logging. Tuttavia, per gli audit log relativi alla fatturazione, puoi utilizzare solo Google Cloud CLI o l'API Logging.

Console

Nella console Google Cloud , puoi utilizzare Esplora log per recuperare le voci di audit log per il tuo progetto, la tua cartella o la tua organizzazione Google Cloud :

Nella Google Cloud console, vai alla pagina Esplora log:
Vai a Esplora log

Se utilizzi la barra di ricerca per trovare questa pagina, seleziona il risultato con il sottotitolo Logging.
Seleziona un progetto, una cartella o un'organizzazione Google Cloud esistente.
Per visualizzare tutti i log di controllo, inserisci una delle seguenti query nel campo dell'editor di query, quindi fai clic su Esegui query:
```
logName:"cloudaudit.googleapis.com"
```
```
protoPayload."@type"="type.googleapis.com/google.cloud.audit.AuditLog"
```
Per visualizzare i log di controllo per un tipo di risorsa e di log di controllo specifici, nel riquadro Generatore di query:
- In Tipo di risorsa, seleziona la risorsa di cui vuoi visualizzare gli audit log. Google Cloud
- In Nome log, seleziona il tipo di audit log che vuoi visualizzare:
  - Per gli audit log delle attività di amministrazione, seleziona activity.
  - Per gli audit log di accesso ai dati, seleziona data_access.
  - Per gli audit log degli eventi di sistema, seleziona system_event.
  - Per gli audit log negati da criteri, seleziona policy.
- Fai clic su Esegui query.
Se non vedi queste opzioni, significa che non sono disponibili audit log di questo tipo nel progetto, nella cartella o nell'organizzazione. Google Cloud

Se riscontri problemi quando provi a visualizzare i log in Esplora log, consulta le informazioni per la risoluzione dei problemi.

Per ulteriori informazioni sull'esecuzione di query utilizzando Esplora log, vedi Creare query in Esplora log.

gcloud

Google Cloud CLI fornisce un'interfaccia a riga di comando per l'API Logging. Fornisci un identificatore di risorsa valido in ciascuno dei nomi dei log. Ad esempio, se la query include PROJECT_ID, l'identificatore del progetto che fornisci deve fare riferimento al progettoGoogle Cloud attualmente selezionato.

Per leggere le voci del log di controllo a livello di progetto Google Cloud , esegui il seguente comando:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" \
    --project=PROJECT_ID

Per leggere le voci del log di controllo a livello di cartella, esegui il comando seguente:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" \
    --folder=FOLDER_ID

Per leggere le voci di audit log a livello di organizzazione, esegui questo comando:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" \
    --organization=ORGANIZATION_ID

Per leggere le voci del log di controllo a livello di account di fatturazione Cloud, esegui questo comando:

gcloud logging read "logName : billingAccounts/BILLING_ACCOUNT_ID/logs/cloudaudit.googleapis.com" \
    --billing-account=BILLING_ACCOUNT_ID

Aggiungi il flag --freshness al comando per leggere i log più vecchi di un giorno.

Per saperne di più sull'utilizzo di gcloud CLI, consulta gcloud logging read.

REST

Quando crei le query, fornisci un identificatore di risorsa valido in ciascuno dei nomi dei log. Ad esempio, se la query include PROJECT_ID, l'identificatore di progetto che fornisci deve fare riferimento al progetto Google Cloud attualmente selezionato.

Ad esempio, per utilizzare l'API Logging per visualizzare le voci di audit log a livello di progetto, procedi nel seguente modo:

Vai alla sezione Prova questa API nella documentazione del metodo entries.list.
Inserisci quanto segue nella sezione Corpo della richiesta del modulo Prova questa API. Se fai clic su questo modulo precompilato, il corpo della richiesta viene compilato automaticamente, ma devi fornire un PROJECT_ID valido in ciascuno dei nomi dei log.
```
{
  "resourceNames": [
    "projects/PROJECT_ID"
  ],
  "pageSize": 5,
  "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
}
```
Fai clic su Esegui.

Archiviazione e routing degli audit log

Cloud Logging utilizza i bucket di log come container che archiviano e organizzano i dati dei log. Per ogni account di fatturazione, progetto, cartella e organizzazioneGoogle Cloud , Logging crea automaticamente due bucket di log, _Required e _Default, e i sink con nome corrispondente.

I bucket di Cloud Logging _Required archiviano gli audit log delle attività di amministrazione e gli audit log degli eventi di sistema. Non puoi impedire l'archiviazione degli audit log relativi all'attività di amministrazione o agli eventi di sistema. Inoltre, non puoi configurare il sink che esegue il routing delle voci di log nei bucket _Required.

Gli audit log delle attività amministrative e gli audit log degli eventi di sistema vengono sempre archiviati nel bucket _Required del progetto in cui sono stati generati.

Se indirizzi gli audit log Attività di amministrazione e gli audit log Eventi di sistema a un progetto diverso, questi log non passano attraverso il sink _Default o _Required del progetto di destinazione. Pertanto, questi log non vengono archiviati nel bucket di log _Default o nel bucket di log _Required del progetto di destinazione. Per archiviare questi log, crea un sink di log nel progetto di destinazione. Per saperne di più, consulta Inviare i log alle destinazioni supportate.

Per impostazione predefinita, i bucket _Default archiviano tutti gli audit log di accesso ai dati abilitati, nonché gli audit log sugli accessi negati in base ai criteri. Per impedire che gli audit log di accesso ai dati vengano archiviati nei bucket _Default, puoi disattivarli. Per impedire l'archiviazione dei log di controllo Policy Denied nei bucket _Default, puoi escluderli modificando i filtri dei relativi sink.

Puoi anche indirizzare le voci del log di controllo ai bucket Cloud Logging definiti dall'utente a livello di progetto Google Cloud o a destinazioni supportate al di fuori di Logging utilizzando i sink. Per istruzioni sul routing dei log, consulta Eseguire il routing dei log verso destinazioni supportate.

Quando configuri i filtri dei sink di log, devi specificare i tipi di log di controllo che vuoi instradare. Per esempi di filtri, consulta Query di logging della sicurezza.

Se vuoi indirizzare le voci del log di controllo per un' Google Cloud organizzazione, una cartella o un account di fatturazione e per i relativi elementi secondari, consulta la panoramica dei sink aggregati.

Conservazione degli audit log

Per informazioni dettagliate sulla durata di conservazione delle voci di log da parte di Logging, consulta le informazioni sulla conservazione in Quote e limiti: periodi di conservazione dei log.

Controllo degli accessi

I ruoli e le autorizzazioni IAM determinano la tua capacità di accedere ai dati degli audit log nell'API Logging, in Esplora log e nell'interfaccia a riga di comando Google Cloud.

Per informazioni dettagliate su ruoli e autorizzazioni IAM che potresti necessitare, consulta Controllo dell'accesso con IAM.

Quote e limiti

Per informazioni dettagliate sui limiti di utilizzo della registrazione, incluse le dimensioni massime dei log di controllo, consulta Quote e limiti.

Prezzi

Cloud Logging non addebita costi per il routing dei log a una destinazione supportata, ma la destinazione potrebbe applicare costi. Ad eccezione del bucket di log _Required, Cloud Logging addebita lo streaming dei log nei bucket di log e l'archiviazione per un periodo più lungo del periodo di conservazione predefinito del bucket di log.

Cloud Logging non addebita costi per la copia dei log, per la creazione di ambiti dei log o visualizzazioni di analisi o per le query emesse tramite le pagine Esplora log o Analisi dei log.

Per ulteriori informazioni, consulta i seguenti documenti:

Riepilogo dei prezzi di Cloud Logging
Costi di destinazione:
I costi di generazione dei log di flusso VPC si applicano quando invii ed escludi i log di flusso Virtual Private Cloud da Cloud Logging.

Passaggi successivi

Scopri come leggere e comprendere i log di controllo.
Scopri come abilitare gli audit log di accesso ai dati.
Consulta le best practice per Cloud Audit Logs.

Scopri di più su Access Transparency, che fornisce i log delle azioni intraprese dal personale di Google Cloud quando accede ai tuoi contenuti Google Cloud .