Audit-Protokollierung für Firebase-Sicherheitsregeln

Auf dieser Seite werden die von Firebase als Teil von Cloud Audit Logs erstellten Audit-Logs beschrieben.

Überblick

Firebase-Dienste schreiben Audit-Protokolle, um Ihnen bei der Beantwortung der Fragen zu helfen: „Wer hat was, wo und wann getan?“. Hierbei handelt es sich um Cloud-Audit-Protokolle, die als Teil des Google Cloud Platform-Projekts bereitgestellt werden, das mit Ihrem Firebase-Projekt verbunden ist .

Ihre Firebase-Projekte enthalten jeweils nur die Audit-Logs für Ressourcen, die sich direkt im Projekt befinden.

Eine allgemeine Übersicht über Cloud-Audit-Logs finden Sie unter Übersicht über Cloud-Audit-Logs . Weitere Informationen zum Audit-Log-Format finden Sie unter Audit-Logs verstehen .

Verfügbare Audit-Protokolle

Die folgenden Arten von Audit-Protokollen sind für Firebase-Sicherheitsregeln verfügbar:

  • Überwachungsprotokolle für Administratoraktivitäten

    Beinhaltet „Administrator-Schreibvorgänge“, die Metadaten oder Konfigurationsinformationen schreiben.

    Sie können die Überwachungsprotokolle für Administratoraktivitäten nicht deaktivieren.

  • Überwachungsprotokolle für den Datenzugriff

    Beinhaltet „Administrator-Lese“-Vorgänge, die Metadaten oder Konfigurationsinformationen lesen. Umfasst auch „Datenlese-“ und „Datenschreibvorgänge“, die vom Benutzer bereitgestellte Daten lesen oder schreiben.

    Um Datenzugriffs-Überwachungsprotokolle zu erhalten, müssen Sie diese explizit aktivieren.

Ausführlichere Beschreibungen der Audit-Log-Typen finden Sie unter Arten von Audit-Logs .

Geprüfte Operationen

Im Folgenden wird zusammengefasst, welche API-Vorgänge den einzelnen Audit-Log-Typen in Firebase Security Rules entsprechen:

Kategorie der Überwachungsprotokolle Vorgänge der Firebase-Sicherheitsregeln
Projektbetrieb
Admin-Aktivität
Datenzugriff (ADMIN_READ) TestRuleset
Regelsatzoperationen
Admin-Aktivität Regelsatz erstellen
Regelsatz löschen
Datenzugriff (ADMIN_READ) GetRuleset
ListRulesets
TestRuleset
Freigabevorgänge
Admin-Aktivität CreateRelease
UpdateRelease
LöschenRelease
Datenzugriff (ADMIN_READ) GetRelease
ListReleases

Audit-Log-Format

Audit-Log-Einträge umfassen die folgenden Objekte:

  • Der Protokolleintrag selbst, der ein Objekt vom Typ LogEntry ist. Zu den nützlichen Feldern gehören:

    • Der logName enthält die Ressourcen-ID und den Audit-Log-Typ.
    • Die resource enthält das Ziel des überwachten Vorgangs.
    • Der timestamp enthält den Zeitpunkt des geprüften Vorgangs.
    • Die protoPayload enthält die geprüften Informationen.

  • Die Audit-Protokollierungsdaten, bei denen es sich um ein AuditLog Objekt handelt, das im Feld protoPayload des Protokolleintrags gespeichert ist.

  • Optionale dienstspezifische Prüfinformationen, bei denen es sich um ein dienstspezifisches Objekt handelt. Bei älteren Integrationen wird dieses Objekt im Feld serviceData des AuditLog Objekts gespeichert. Neuere Integrationen verwenden das metadata .

Informationen zu anderen Feldern in diesen Objekten und deren Interpretation finden Sie unter „Überwachungsprotokolle verstehen“ .

Protokollname

Cloud-Audit-Logs-Ressourcennamen geben das Firebase-Projekt oder eine andere GCP-Entität an, die die Audit-Logs besitzt, und geben an, ob das Protokoll Audit-Logging-Daten zu Administratoraktivitäten, Datenzugriff, verweigerten Richtlinien oder Systemereignissen enthält. Im Folgenden werden beispielsweise Protokollnamen für Überwachungsprotokolle für Administratoraktivitäten auf Projektebene und für die Überwachungsprotokolle zum Datenzugriff einer Organisation angezeigt. Die Variablen bezeichnen Firebase-Projekt- und Organisationskennungen.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity

organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Dienstname

Audit-Protokolle für Firebase-Sicherheitsregeln verwenden den Dienstnamen firebaserules.googleapis.com .

Eine vollständige Liste aller Cloud Logging API-Dienstnamen und ihres entsprechenden überwachten Ressourcentyps finden Sie unter Dienste zu Ressourcen zuordnen .

Ressourcentypen

Audit-Logs von Firebase Security Rules verwenden für alle Audit-Logs den Ressourcentyp audited_resource .

Eine Liste aller von Cloud Logging überwachten Ressourcentypen und beschreibende Informationen finden Sie unter Überwachte Ressourcentypen .

Aktivieren Sie die Audit-Protokollierung

Überwachungsprotokolle für Administratoraktivitäten sind immer aktiviert. Sie können sie nicht deaktivieren.

Überwachungsprotokolle zum Datenzugriff sind standardmäßig deaktiviert und werden nur geschrieben, wenn sie explizit aktiviert sind (Ausnahme sind Überwachungsprotokolle zum Datenzugriff für BigQuery, die nicht deaktiviert werden können).

Anweisungen zum Aktivieren einiger oder aller Ihrer Datenzugriffs-Überwachungsprotokolle finden Sie unter Konfigurieren von Datenzugriffsprotokollen .

Berechtigungen und Rollen

Cloud IAM- Berechtigungen und -Rollen bestimmen Ihre Fähigkeit, auf Audit-Log-Daten in GCP-Ressourcen zuzugreifen.

Berücksichtigen Sie Folgendes, wenn Sie entscheiden, welche protokollierungsspezifischen Berechtigungen und Rollen für Ihren Anwendungsfall gelten:

  • Mit der Rolle „Protokollbetrachter“ ( roles/logging.viewer ) erhalten Sie schreibgeschützten Zugriff auf die Überwachungsprotokolle „Administratoraktivität“, „Richtlinie verweigert“ und „Systemereignis“. Wenn Sie nur über diese Rolle verfügen, können Sie keine Datenzugriffs-Audit-Protokolle anzeigen, die sich im _Default Bucket befinden.

  • Die Rolle „Private Logs Viewer“ (roles/logging.privateLogViewer ) umfasst die in roles/logging.viewer enthaltenen Berechtigungen sowie die Möglichkeit, Datenzugriffs-Überwachungsprotokolle im _Default Bucket zu lesen.

    Beachten Sie, dass, wenn diese privaten Protokolle in benutzerdefinierten Buckets gespeichert werden, jeder Benutzer, der über Berechtigungen zum Lesen von Protokollen in diesen Buckets verfügt, die privaten Protokolle lesen kann. Weitere Informationen zu Protokoll-Buckets finden Sie unter Routing- und Speicherübersicht .

Weitere Informationen zu den Cloud IAM-Berechtigungen und -Rollen, die für Audit-Log-Daten gelten, finden Sie unter Zugriffskontrolle .

Protokolle anzeigen

Um Audit-Logs zu finden und anzuzeigen, müssen Sie die Kennung des Firebase-Projekts, Ordners oder der Organisation kennen, für die Sie Audit-Logging-Informationen anzeigen möchten. Sie können außerdem andere indizierte LogEntry Felder angeben, z. B. resource.type ; Weitere Informationen finden Sie unter Protokolleinträge schnell finden .

Im Folgenden sind die Namen der Überwachungsprotokolle aufgeführt. Sie enthalten Variablen für die Bezeichner des Firebase-Projekts, -Ordners oder der Firebase-Organisation:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Sie können Audit-Logs in Cloud Logging mit der GCP Console, dem gcloud Befehlszeilentool oder der Logging API anzeigen.

Konsole

Sie können den Logs Explorer in der GCP Console verwenden, um Ihre Audit-Log-Einträge für Ihr Firebase-Projekt, Ihren Firebase-Ordner oder Ihre Firebase-Organisation abzurufen:

  1. Gehen Sie in der GCP-Konsole zur Seite Protokollierung > Protokoll-Explorer .

    Gehen Sie zur Seite „Logs Explorer“.

  2. Wählen Sie auf der Seite „Logs Explorer“ ein vorhandenes Firebase-Projekt, einen Ordner oder eine Organisation aus.

  3. Gehen Sie im Bereich „Abfrage-Generator“ wie folgt vor:

    • Wählen Sie unter Ressourcentyp die GCP-Ressource aus, deren Audit-Logs Sie sehen möchten.

    • Wählen Sie unter Protokollname den Überwachungsprotokolltyp aus, den Sie sehen möchten:

      • Wählen Sie für Audit-Protokolle zur Admin-Aktivität die Option Aktivität aus.
      • Wählen Sie für Datenzugriffs-Überwachungsprotokolle data_access aus.
      • Wählen Sie für Systemereignis-Überwachungsprotokolle system_event aus.
      • Wählen Sie für Überwachungsprotokolle „Richtlinie verweigert“ die Option „Richtlinie“ aus.

    Wenn diese Optionen nicht angezeigt werden, sind im Firebase-Projekt, Ordner oder in der Organisation keine Überwachungsprotokolle dieses Typs verfügbar.

    Weitere Einzelheiten zum Abfragen mit dem Protokoll-Explorer finden Sie unter Erstellen von Protokollabfragen .

gcloud

Das gcloud Befehlszeilentool bietet eine Befehlszeilenschnittstelle zur Cloud Logging API. Geben Sie in jedem der Protokollnamen eine gültige PROJECT_ID , FOLDER_ID oder ORGANIZATION_ID an.

Führen Sie den folgenden Befehl aus, um Ihre Firebase-Prüfprotokolleinträge auf Projektebene zu lesen:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

Führen Sie den folgenden Befehl aus, um Ihre Überwachungsprotokolleinträge auf Ordnerebene zu lesen:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

Führen Sie den folgenden Befehl aus, um Ihre Audit-Log-Einträge auf Organisationsebene zu lesen:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Weitere Informationen zur Verwendung des gcloud Tools finden Sie unter Protokolleinträge lesen .

API

Ersetzen Sie beim Erstellen Ihrer Abfragen die Variablen durch gültige Werte und ersetzen Sie sie durch den entsprechenden Namen oder die entsprechenden Kennungen des Überwachungsprotokolls auf Projekt-, Ordner- oder Organisationsebene, wie in den Überwachungsprotokollnamen aufgeführt. Wenn Ihre Abfrage beispielsweise eine PROJECT_ID enthält, muss sich die von Ihnen angegebene Projektkennung auf das aktuell ausgewählte Firebase-Projekt beziehen.

Gehen Sie wie folgt vor, um mit der Protokollierungs-API Ihre Audit-Protokolleinträge anzuzeigen:

  1. Gehen Sie zum Abschnitt „Diese API ausprobieren“ in der Dokumentation für die Methode entries.list .

  2. Fügen Sie Folgendes in den Anforderungstextteil des Formulars „Diese API testen“ ein. Wenn Sie auf dieses vorab ausgefüllte Formular klicken, wird der Anforderungstext automatisch ausgefüllt. Sie müssen jedoch in jedem Protokollnamen eine gültige PROJECT_ID angeben.

    {
  "resourceNames": [
    "projects/PROJECT_ID"
  ],
  "pageSize": 5,
  "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
}

  3. Klicken Sie auf Ausführen .

Weitere Einzelheiten zum Abfragen finden Sie unter Protokollierungsabfragesprache .

Ein Beispiel für einen Audit-Log-Eintrag und wie Sie die wichtigsten Informationen darin finden, finden Sie unter Beispiel für einen Audit-Log-Eintrag .

Prüfprotokolle weiterleiten

Sie können Überwachungsprotokolle auf die gleiche Weise an unterstützte Ziele weiterleiten wie andere Arten von Protokollen. Hier sind einige Gründe, warum Sie Ihre Überwachungsprotokolle möglicherweise weiterleiten möchten:

  • Um Audit-Logs über einen längeren Zeitraum aufzubewahren oder leistungsfähigere Suchfunktionen zu nutzen, können Sie Kopien Ihrer Audit-Logs an Google Cloud Storage, BigQuery oder Google Cloud Pub/Sub weiterleiten. Mit Cloud Pub/Sub können Sie an andere Anwendungen, andere Repositorys und an Dritte weiterleiten.

  • Um Ihre Audit-Protokolle in der gesamten Organisation zu verwalten, können Sie aggregierte Senken erstellen, die Protokolle von beliebigen oder allen Firebase-Projekten in der Organisation weiterleiten können.

  • Wenn Ihre aktivierten Datenzugriffs-Überwachungsprotokolle Ihre Firebase-Projekte über Ihre Protokollkontingente hinausschieben, können Sie Senken erstellen, die die Datenzugriffs-Überwachungsprotokolle von der Protokollierung ausschließen.

Anweisungen zum Weiterleiten von Protokollen finden Sie unter Konfigurieren von Senken .

Preisgestaltung

Überwachungsprotokolle für Administratoraktivitäten und Systemereignis-Überwachungsprotokolle sind kostenlos.

Überwachungsprotokolle für den Datenzugriff und Überwachungsprotokolle zum Verweigern von Richtlinien sind kostenpflichtig.

Weitere Informationen zu den Preisen für Cloud Logging finden Sie in den Preisen für die Operations Suite von Google Cloud: Cloud Logging .