Monitorare i database con Cloud Monitoring

Questo documento descrive l'audit logging per Cloud Firestore con compatibilità MongoDB. I servizi Google Cloud generano audit log che registrano le attività amministrative e di accesso all'interno delle tue risorse Google Cloud.

Per ulteriori informazioni su Cloud Audit Logs, consulta quanto segue:

• Tipi di audit log
• Struttura della voce di audit log
• Archiviazione e routing degli audit log
• Riepilogo dei prezzi di Cloud Logging
• Abilita gli audit log di accesso ai dati

Note

Quando configuri la registrazione degli audit, utilizza il nome servizio datastore.googleapis.com per configurare sia datastore.googleapis.com sia firestore.googleapis.com. Once configured, logs for the Cloud Firestore with MongoDB compatibility API include the service namefirestore.googleapis.com`.

Per visualizzare il tempo impiegato per elaborare una richiesta DATA_READ o DATA_WRITE, consulta il campo processing_duration all'interno dell'oggetto metadata di un AuditLog. Il campo processing_duration descrive il tempo impiegato dal database per elaborare una richiesta. Questo valore è inferiore alla latenza dell'utente finale. In particolare, non include l'overhead di rete.

Nome servizio

Gli audit log di Cloud Firestore utilizzano il nome servizio firestore.googleapis.com. Filtra per questo servizio:

protoPayload.serviceName="firestore.googleapis.com"

Metodi per tipo di autorizzazione

Ogni autorizzazione IAM ha una proprietà type, il cui valore è un enum che può essere uno dei quattro valori: ADMIN_READ, ADMIN_WRITE, DATA_READ o DATA_WRITE. Quando chiami un metodo, Cloud Firestore genera un audit log la cui categoria dipende dalla proprietà type dell'autorizzazione richiesta per eseguire il metodo.

I metodi che richiedono un'autorizzazione IAM con il valore della proprietà type corrispondente a DATA_READ, DATA_WRITE o ADMIN_READ generano audit log degli Accessi ai dati.

I metodi che richiedono un'autorizzazione IAM con il valore della proprietà type ADMIN_WRITE generano audit log delle Attività di amministrazione.

Identificare i chiamanti delle richieste

Le voci dell'audit log includono informazioni sull'identità che ha eseguito l'operazione registrata. Per identificare il chiamante di una richiesta, consulta i seguenti campi all'interno di un oggetto AuditLog:

• L'identità del chiamante è memorizzata nel campo AuthenticationInfo. Queste informazioni possono includere il principalEmail dell'utente. Queste informazioni vengono talvolta oscurate.

• Il campo callerIp all'interno dell'oggetto requestMetadata di una voce AuditLog include l'indirizzo IP del chiamante.