Monitorar bancos de dados com o Cloud Monitoring

Neste documento, descrevemos a geração de registros de auditoria do Cloud Firestore com compatibilidade com o MongoDB. Os serviços do Google Cloud geram registros de auditoria que registram atividades administrativas e de acesso nos recursos do Google Cloud.

Para mais informações sobre os Registros de auditoria do Cloud, consulte:

• Tipos de registros de auditoria
• Estrutura da entrada de registro de auditoria
• Como armazenar e rotear registros de auditoria
• Resumo de preços do Cloud Logging
• Ativar registros de auditoria de acesso a dados

Observações

Ao configurar a geração de registros de auditoria, use o nome do serviço datastore.googleapis.com para configurar datastore.googleapis.com e firestore.googleapis.com. Once configured, logs for the Cloud Firestore with MongoDB compatibility API include the service namefirestore.googleapis.com.

Para ver o tempo necessário para processar uma solicitação DATA_READ ou DATA_WRITE, consulte o campo processing_duration no objeto metadata de um AuditLog. O campo processing_duration descreve o tempo que o banco de dados levou para processar uma solicitação. Esse valor é menor que a latência do usuário final. Especificamente, ele não inclui o overhead de rede.

Nome do serviço

Os registros de auditoria do Cloud Firestore usam o nome de serviço firestore.googleapis.com. Filtrar por este serviço:

protoPayload.serviceName="firestore.googleapis.com"

Métodos por tipo de permissão

Cada permissão do IAM tem uma propriedade type, que tem o valor de um tipo enumerado que pode ser um destes quatro valores: ADMIN_READ, ADMIN_WRITE, DATA_READ ou DATA_WRITE. Quando você chama um método, o Cloud Firestore gera um registro de auditoria com categoria dependente da propriedade type da permissão necessária para executar o método.

Métodos que exigem uma permissão do IAM com o valor da propriedade type de DATA_READ, DATA_WRITE ou ADMIN_READ geram registros de auditoria de acesso aos dados.

Métodos que exigem uma permissão do IAM com o valor da propriedade type de ADMIN_WRITE geram registros de auditoria de atividade do administrador.

Identificar autores da chamada da solicitação

As entradas de registro de auditoria contém informações sobre a identidade que realizou a operação registrada. Para identificar um autor da chamada da solicitação, consulte os campos a seguir em um objeto AuditLog:

• A identidade do autor da chamada é mantida no campo AuthenticationInfo. Isso pode incluir o principalEmail do usuário. Essas informações às vezes são encobertas.

• O campo callerIp no objeto requestMetadata de uma entrada AuditLog contém o endereço IP do autor da chamada.