Monitorare i database con Cloud Monitoring

Questo documento descrive l'audit logging per Cloud Firestore. Google Cloud servizi generano audit log che registrano le attività amministrative e di accesso all'interno delle tue Google Cloud risorse.

Per ulteriori informazioni su Cloud Audit Logs, consulta quanto segue:

• Tipi di audit log
• Struttura della voce di audit log
• Archiviazione e routing degli audit log
• Cloud Logging riepilogo dei prezzi
• Abilita gli audit log di accesso ai dati

Note

Quando configuri l'audit logging, utilizza il nome servizio datastore.googleapis.com per configurare sia datastore.googleapis.com sia firestore.googleapis.com. Once configured, logs for the Cloud Firestore API include the service namefirestore.googleapis.com`.

Per visualizzare il tempo impiegato per elaborare una richiesta DATA_READ o DATA_WRITE, consulta il campo processing_duration all'interno dell'oggetto metadata di un AuditLog. Il campo processing_duration descrive il tempo impiegato dal database per elaborare una richiesta. Questo valore è inferiore alla latenza dell'utente finale. In particolare, non include l'overhead di rete.

Nome servizio

Cloud Firestore audit log utilizzano il nome servizio firestore.googleapis.com. Filtra per questo servizio:

protoPayload.serviceName="firestore.googleapis.com"

Metodi per tipo di autorizzazione

Ogni autorizzazione IAM ha una proprietà type, il cui valore è un enum che può essere uno dei quattro valori: ADMIN_READ, ADMIN_WRITE, DATA_READ, o DATA_WRITE. Quando chiami un metodo, Cloud Firestore genera un audit log la cui categoria dipende dalla type proprietà dell'autorizzazione richiesta per eseguire il metodo.

I metodi che richiedono un'autorizzazione IAM con il valore della proprietà type corrispondente a DATA_READ, DATA_WRITE o ADMIN_READ generano audit log degli accessi ai dati.

I metodi che richiedono un'autorizzazione IAM con il valore della proprietà type corrispondente a ADMIN_WRITE generano audit log delle Attività di amministrazione.

Identificare i chiamanti delle richieste

Le voci di audit log includono informazioni sull'identità che ha eseguito la operazione registrata. Per identificare un chiamante di una richiesta, consulta i seguenti campi all'interno di un AuditLog oggetto:

• L'identità del chiamante è contenuta nel AuthenticationInfo campo. Può includere il principalEmail dell'utente. Queste informazioni a volte vengono oscurate.

• Il campo callerIp all'interno dell'oggetto requestMetadata di una voce AuditLog include l'indirizzo IP del chiamante.