Ведение журнала аудита для Firebase App Check

На этой странице описаны журналы аудита, созданные Firebase как часть журналов аудита Cloud .

Обзор

Службы Firebase ведут журналы аудита, чтобы помочь вам ответить на вопросы: «Кто что сделал, где и когда?». Это журналы облачного аудита, предоставляемые как часть проекта Google Cloud, связанного с вашим проектом Firebase .

Каждый ваш проект Firebase содержит только журналы аудита для ресурсов, которые находятся непосредственно в проекте.

Общий обзор журналов облачного аудита см. в разделе Обзор журналов облачного аудита . Для более глубокого понимания формата журнала аудита см. раздел Общие сведения о журналах аудита .

Доступные журналы аудита

Для Firebase App Check доступны следующие типы журналов аудита:

  • Журналы аудита действий администратора

    Включает операции административной записи, которые записывают метаданные или информацию о конфигурации.

    Вы не можете отключить журналы аудита действий администратора.

  • Журналы аудита доступа к данным

    Включает операции «административного чтения», которые считывают метаданные или информацию о конфигурации. Также включает операции «чтение данных» и «запись данных», которые считывают или записывают предоставленные пользователем данные.

    Чтобы получать журналы аудита доступа к данным, вы должны явно включить их.

Более полные описания типов журналов аудита см. в разделе Типы журналов аудита .

Проверенные операции

Ниже приведены сводные данные о том, какие операции API соответствуют каждому типу журнала аудита в Firebase App Check:

Категория журналов аудита Операции проверки приложений Firebase
Проектные операции
Действия администратора Служба обновления
Пакетные услуги обновления
Доступ к данным (ADMIN_READ) GetService
СписокСервисов
Операции приложения
Действия администратора UpdateAppAttestConfig
UpdateDeviceCheckConfig
ОбновлениеPlayIntegrityConfig
ОбновитьRecaptchaEnterpriseConfig
ОбновитьRecaptchaV3Config
ОбновлениеSafetyNetConfig
CreateDebugToken
Обновитьдебугтокен
Удалитьдебугтокен
Доступ к данным (ADMIN_READ) GetAppAttestConfig
BatchGetAppAttestConfigs
GetDeviceCheckConfig
BatchGetDeviceCheckConfigs
GetPlayIntegrityConfig
BatchGetPlayIntegrityConfigs
GetRecaptchaEnterpriseConfig
BatchGetRecaptchaEnterpriseConfigs
ПолучитьRecaptchaV3Config
Пакетное получение RecaptchaV3Configs
GetSafetyNetConfig
BatchGetSafetyNetConfigs
GetDebugToken
ListDebugTokens

Формат журнала аудита

Записи журнала аудита включают следующие объекты:

  • Сама запись журнала, которая является объектом типа LogEntry . Полезные поля включают следующее:

    • Имя logName содержит идентификатор ресурса и тип журнала аудита.
    • resource содержит цель проверяемой операции.
    • timeStamp содержит время проверенной операции.
    • protoPayload содержит проверенную информацию.
  • Данные журнала аудита, которые представляют собой объект AuditLog , хранящийся в поле protoPayload записи журнала.

  • Необязательная информация аудита для конкретной службы, которая является объектом для конкретной службы. Для более старых интеграций этот объект хранится в поле serviceData объекта AuditLog ; более новые интеграции используют поле metadata .

Другие поля в этих объектах и ​​способы их интерпретации см. в статье Общие сведения о журналах аудита .

Имя журнала

Имена ресурсов журналов аудита облака указывают на проект Firebase или другой объект Google Cloud, которому принадлежат журналы аудита, а также на то, содержит ли журнал данные аудита действий администратора, доступа к данным, отказа в политике или системных событий. Например, ниже показаны имена журналов аудита действий администратора на уровне проекта и журналов аудита доступа к данным организации. Переменные обозначают идентификаторы проекта и организации Firebase.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Наименование услуги

В журналах аудита Firebase App Check используется имя службы firebaseappcheck.googleapis.com .

Полный список всех имен служб Cloud Logging API и соответствующих типов отслеживаемых ресурсов см. в разделе Сопоставление служб с ресурсами .

Типы ресурсов

Журналы аудита Firebase App Check используют тип ресурса audited_resource для всех журналов аудита.

Список всех отслеживаемых типов ресурсов Cloud Logging и описательную информацию см. в разделе Отслеживаемые типы ресурсов .

Включить ведение журнала аудита

Журналы аудита действий администратора всегда включены; вы не можете отключить их.

Журналы аудита доступа к данным отключены по умолчанию и не записываются, если они явно не включены (исключением являются журналы аудита доступа к данным для BigQuery, которые нельзя отключить).

Инструкции по включению некоторых или всех журналов аудита доступа к данным см. в разделе Настройка журналов доступа к данным .

Разрешения и роли

Разрешения и роли Cloud IAM определяют вашу возможность доступа к данным журналов аудита в ресурсах Google Cloud.

Принимая решение о том, какие разрешения и роли для ведения журналов применимы к вашему варианту использования, учитывайте следующее:

  • Роль просмотра журналов ( roles/logging.viewer ) предоставляет вам доступ только для чтения к журналам аудита активности администратора, отказа в политике и системных событий. Если у вас есть только эта роль, вы не можете просматривать журналы аудита доступа к данным, находящиеся в _Default .

  • Роль просмотра частных журналов (roles/logging.privateLogViewer ) включает в себя разрешения, содержащиеся в roles/logging.viewer , а также возможность читать журналы аудита доступа к данным в _Default .

    Обратите внимание, что если эти частные журналы хранятся в определенных пользователем корзинах, то любой пользователь, у которого есть разрешения на чтение журналов в этих корзинах, может читать частные журналы. Дополнительные сведения о сегментах журналов см. в разделе Обзор маршрутизации и хранилища .

Дополнительные сведения о разрешениях и ролях Cloud IAM, применимых к данным журналов аудита, см. в разделе Управление доступом .

Просмотр журналов

Чтобы найти и просмотреть журналы аудита, вам необходимо знать идентификатор проекта Firebase, папки или организации, для которой вы хотите просмотреть информацию журнала аудита. Вы можете дополнительно указать другие индексированные поля LogEntry , такие как resource.type ; подробнее см. в разделе Быстрый поиск записей в журнале .

Ниже приведены имена журналов аудита. они включают переменные для идентификаторов проекта, папки или организации Firebase:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Вы можете просматривать журналы аудита в Cloud Logging с помощью консоли GCP, инструмента командной строки gcloud или Logging API.

Консоль

Вы можете использовать обозреватель журналов в консоли GCP, чтобы получить записи журнала аудита для вашего проекта, папки или организации Firebase:

  1. В консоли GCP перейдите на страницу Ведение журнала > Обозреватель журналов .

    Перейти на страницу обозревателя журналов

  2. На странице Logs Explorer выберите существующий проект Firebase, папку или организацию.

  3. На панели построителя запросов выполните следующие действия.

    • В поле Тип ресурса выберите ресурс Google Cloud, журналы аудита которого вы хотите просмотреть.

    • В поле Имя журнала выберите тип журнала аудита, который вы хотите просмотреть:

      • Для журналов аудита активности администратора выберите активность .
      • Для журналов аудита доступа к данным выберите data_access .
      • Для журналов аудита системных событий выберите system_event .
      • Для журналов аудита отклоненных политик выберите policy .

    Если вы не видите эти параметры, значит, в проекте, папке или организации Firebase нет журналов аудита такого типа.

    Дополнительные сведения о запросах с помощью обозревателя журналов см. в разделе Создание запросов журнала .

gcloud

Инструмент командной строки gcloud предоставляет интерфейс командной строки для API ведения журналов в облаке. Укажите действительный PROJECT_ID , FOLDER_ID или ORGANIZATION_ID в каждом из имен журналов.

Чтобы прочитать записи журнала аудита на уровне проекта Firebase, выполните следующую команду:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

Чтобы прочитать записи журнала аудита на уровне папки, выполните следующую команду:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

Чтобы прочитать записи журнала аудита на уровне организации, выполните следующую команду:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Дополнительные сведения об использовании инструмента gcloud см. в разделе Чтение записей журнала .

API

При построении запросов замените переменные допустимыми значениями, замените соответствующие имена или идентификаторы журналов аудита на уровне проекта, папки или организации, как указано в именах журналов аудита. Например, если ваш запрос включает PROJECT_ID , то указанный вами идентификатор проекта должен относиться к текущему выбранному проекту Firebase.

Чтобы использовать Logging API для просмотра записей журнала аудита, выполните следующие действия:

  1. Перейдите к разделу Попробуйте этот API в документации по методу entries.list .

  2. Поместите следующее в часть тела запроса формы « Попробуйте этот API ». Щелчок по этой предварительно заполненной форме автоматически заполняет тело запроса, но вам необходимо указать действительный PROJECT_ID в каждом из имен журналов.

    {
      "resourceNames": [
        "projects/PROJECT_ID"
      ],
      "pageSize": 5,
      "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
    }
    
  3. Нажмите «Выполнить» .

Дополнительные сведения о запросах см. в разделе Язык запросов ведения журналов.

Пример записи журнала аудита и способы поиска в нем самой важной информации см. в разделе Образец записи журнала аудита .

Журналы аудита маршрутизации

Вы можете направлять журналы аудита в поддерживаемые места назначения так же, как вы можете направлять другие типы журналов. Вот несколько причин, по которым вы можете захотеть перенаправить журналы аудита:

  • Чтобы хранить журналы аудита в течение более длительного периода времени или использовать более мощные возможности поиска, вы можете направить копии журналов аудита в Google Cloud Storage, BigQuery или Google Cloud Pub/Sub. Используя Cloud Pub/Sub, вы можете направлять данные к другим приложениям, другим репозиториям и третьим сторонам.

  • Чтобы управлять журналами аудита во всей организации, вы можете создать агрегированные приемники , которые могут направлять журналы из любого или всех проектов Firebase в организации.

  • Если ваши включенные журналы аудита доступа к данным выталкивают ваши проекты Firebase за ваши выделенные журналы, вы можете создать приемники, которые исключают журналы аудита доступа к данным из ведения журналов.

Инструкции по журналам маршрутизации см. в разделе Настройка приемников .

Цены

Журналы аудита действий администратора и журналы аудита системных событий предоставляются бесплатно.

Журналы аудита доступа к данным и журналы аудита отказа в политике являются платными.

Дополнительные сведения о ценах на ведение журнала в облаке см. в разделе Цены на набор операций Google Cloud: ведение журнала в облаке .