การบันทึกการตรวจสอบสำหรับ Firebase App Check

หน้านี้อธิบายบันทึกการตรวจสอบที่ Firebase สร้างขึ้นโดยเป็นส่วนหนึ่งของ บันทึกการตรวจสอบ Cloud

ภาพรวม

บริการ Firebase จะเขียนบันทึกการตรวจสอบเพื่อช่วยคุณตอบคำถามที่ว่า "ใคร อะไร ที่ไหน และเมื่อไร" สิ่งเหล่านี้คือ บันทึก Cloud Audit มีให้โดยเป็นส่วนหนึ่งของ มี Google Cloud โปรเจ็กต์เชื่อมต่อกับ โปรเจ็กต์ Firebase

โปรเจ็กต์ Firebase แต่ละโปรเจ็กต์มีเฉพาะบันทึกการตรวจสอบสำหรับทรัพยากรที่ อยู่ภายในโปรเจ็กต์โดยตรง

โปรดดูภาพรวมทั่วไปของบันทึก Cloud Audit ได้ที่ ภาพรวมบันทึกการตรวจสอบ Cloud เพื่อให้เข้าใจการตรวจสอบได้ดียิ่งขึ้น รูปแบบบันทึก โปรดดู ทำความเข้าใจบันทึกการตรวจสอบ

บันทึกการตรวจสอบที่ใช้ได้

บันทึกการตรวจสอบประเภทต่อไปนี้ใช้ได้กับ Firebase App Check ด้วย

• บันทึกการตรวจสอบกิจกรรมของผู้ดูแลระบบ

  รวม "การเขียนของผู้ดูแลระบบ" การดำเนินการที่เขียนข้อมูลเมตาหรือการกำหนดค่า

  แต่จะปิดใช้บันทึกการตรวจสอบกิจกรรมของผู้ดูแลระบบไม่ได้

• บันทึกการตรวจสอบการเข้าถึงข้อมูล

  รวมข้อความ "ที่ผู้ดูแลระบบอ่าน" การดำเนินการที่อ่านข้อมูลเมตาหรือการกำหนดค่า รวมถึง "ข้อมูลที่อ่าน" และ "การเขียนข้อมูล" การดำเนินงานที่ อ่านหรือเขียนข้อมูลที่ได้จากผู้ใช้

  หากต้องการรับบันทึกการตรวจสอบการเข้าถึงข้อมูล คุณต้องเปิดใช้อย่างชัดเจน

โปรดดูคำอธิบายโดยละเอียดเกี่ยวกับประเภทบันทึกการตรวจสอบที่ ประเภทของบันทึกการตรวจสอบ

การดำเนินงานที่ตรวจสอบแล้ว

ข้อมูลต่อไปนี้สรุปการดำเนินการของ API ที่สอดคล้องกับบันทึกการตรวจสอบแต่ละรายการ พิมพ์ใน Firebase App Check ดังนี้

รูปแบบบันทึกการตรวจสอบ

รายการบันทึกการตรวจสอบจะมีออบเจ็กต์ต่อไปนี้

• รายการบันทึกนั้นเอง ซึ่งเป็นออบเจ็กต์ประเภท LogEntry ช่องที่มีประโยชน์มีดังนี้

  • logName จะมีรหัสทรัพยากรและประเภทบันทึกการตรวจสอบ
  • resource มีเป้าหมายของการดำเนินการที่ตรวจสอบแล้ว
  • timestamp ประกอบด้วยเวลาของการดำเนินการที่มีการตรวจสอบ
  • protoPayload มีข้อมูลที่ตรวจสอบแล้ว

• ข้อมูลการบันทึกการตรวจสอบ ซึ่งเป็นออบเจ็กต์ AuditLog ที่เก็บรักษาไว้ใน ช่อง protoPayload ของรายการบันทึก

• ข้อมูลการตรวจสอบเฉพาะบริการ (ไม่บังคับ) ซึ่งเป็นข้อมูลเฉพาะบริการ ออบเจ็กต์ สำหรับการผสานรวมที่เก่ากว่า ออบเจ็กต์นี้จะอยู่ใน serviceData ฟิลด์ของออบเจ็กต์ AuditLog การผสานรวมที่ใหม่กว่าจะใช้ช่อง metadata

สําหรับช่องอื่นๆ ในออบเจ็กต์เหล่านี้และวิธีตีความช่อง โปรดดู ทำความเข้าใจบันทึกการตรวจสอบ

ชื่อบันทึก

ชื่อทรัพยากรของบันทึกการตรวจสอบระบบคลาวด์บ่งบอกถึงโปรเจ็กต์ Firebase หรือโปรเจ็กต์อื่นๆ เอนทิตี Google Cloud ที่เป็นเจ้าของบันทึกการตรวจสอบ และระบุว่าบันทึกมี ข้อมูลการบันทึกการตรวจสอบเกี่ยวกับกิจกรรมของผู้ดูแลระบบ การเข้าถึงข้อมูล นโยบายถูกปฏิเสธ หรือเหตุการณ์ของระบบ ตัวอย่างต่อไปนี้แสดงชื่อบันทึกสำหรับกิจกรรมของผู้ดูแลระบบระดับโปรเจ็กต์ บันทึกการตรวจสอบและบันทึกการตรวจสอบการเข้าถึงข้อมูลขององค์กร ตัวแปรต่างๆ หมายถึง ตัวระบุโปรเจ็กต์ Firebase และตัวระบุองค์กร

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity

organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

ชื่อบริการ

บันทึกการตรวจสอบของ Firebase App Check จะใช้ชื่อบริการ firebaseappcheck.googleapis.com

สำหรับรายการชื่อบริการ Cloud Logging API ทั้งหมดและชื่อบริการที่เกี่ยวข้อง ประเภททรัพยากรที่มีการตรวจสอบ โปรดดู แมปบริการกับทรัพยากร

ประเภททรัพยากร

ใช้บันทึกการตรวจสอบของ Firebase App Check ประเภททรัพยากร audited_resource สำหรับบันทึกการตรวจสอบทั้งหมด

สำหรับรายการประเภททรัพยากรทั้งหมดที่ตรวจสอบใน Cloud Logging และคำอธิบาย ดูข้อมูลได้ที่ ประเภททรัพยากรที่มีการตรวจสอบ

เปิดใช้การบันทึกการตรวจสอบ

บันทึกการตรวจสอบกิจกรรมของผู้ดูแลระบบจะเปิดใช้เสมอ คุณจึงไม่สามารถปิดใช้ได้

บันทึกการตรวจสอบการเข้าถึงข้อมูลจะถูกปิดใช้งานโดยค่าเริ่มต้นและไม่ได้ เป็นลายลักษณ์อักษร เว้นแต่จะเปิดใช้อย่างชัดแจ้ง (ข้อยกเว้นคือบันทึกการตรวจสอบการเข้าถึงข้อมูลสำหรับ BigQuery ที่ปิดใช้ไม่ได้)

สำหรับคำแนะนำในการเปิดใช้งานบันทึกการตรวจสอบการเข้าถึงข้อมูลบางส่วนหรือทั้งหมด โปรดดู กำหนดค่าบันทึกการเข้าถึงข้อมูล

สิทธิ์และบทบาท

สิทธิ์และบทบาทของ Cloud IAM จะเป็นตัวกำหนดความสามารถในการเข้าถึงบันทึกการตรวจสอบ ข้อมูลในแหล่งข้อมูล Google Cloud รายการ

เมื่อตัดสินใจว่า สิทธิ์และบทบาทเฉพาะสำหรับการบันทึกจะมีผลกับ กรณีการใช้งานของคุณ ให้พิจารณาสิ่งต่อไปนี้

• บทบาทผู้ดูบันทึก (roles/logging.viewer) ให้สิทธิ์การเข้าถึงระดับอ่านอย่างเดียวสำหรับ บันทึกกิจกรรมของผู้ดูแลระบบ นโยบายถูกปฏิเสธ และบันทึกการตรวจสอบเหตุการณ์ของระบบ หากคุณมี บทบาทนี้ คุณจะดูบันทึกการตรวจสอบการเข้าถึงข้อมูลที่อยู่ใน _Default ไม่ได้

• บทบาทผู้ดูบันทึกส่วนตัว(roles/logging.privateLogViewer) ประกอบด้วย สิทธิ์ที่อยู่ใน roles/logging.viewer รวมทั้งความสามารถในการอ่าน บันทึกการตรวจสอบการเข้าถึงข้อมูลในที่เก็บข้อมูล _Default

  โปรดทราบว่าหากจัดเก็บบันทึกส่วนตัวเหล่านี้ไว้ในที่เก็บข้อมูลที่ผู้ใช้กำหนด ผู้ใช้ที่มีสิทธิ์อ่านบันทึกในที่เก็บข้อมูลเหล่านั้นสามารถอ่าน บันทึก ดูข้อมูลเพิ่มเติมเกี่ยวกับที่เก็บข้อมูลบันทึกได้ที่ ภาพรวมการกำหนดเส้นทางและพื้นที่เก็บข้อมูล

ดูข้อมูลเพิ่มเติมเกี่ยวกับสิทธิ์และบทบาท Cloud IAM ที่มีผล สำหรับข้อมูลบันทึกการตรวจสอบ โปรดดูที่การควบคุมการเข้าถึง

ดูบันทึก

หากต้องการค้นหาและดูบันทึกการตรวจสอบ คุณจำเป็นต้องทราบตัวระบุของ โปรเจ็กต์ โฟลเดอร์ หรือองค์กร Firebase ที่ต้องการดู ข้อมูลการบันทึกการตรวจสอบ คุณสามารถระบุ URL อื่นๆ ที่จัดทำดัชนีเพิ่มเติม LogEntry ช่อง เช่น resource.type ดูรายละเอียดได้ที่ ค้นหารายการบันทึกได้อย่างรวดเร็ว

ต่อไปนี้คือชื่อบันทึกการตรวจสอบ แต่ก็จะมีตัวแปรสำหรับ ตัวระบุของโปรเจ็กต์ โฟลเดอร์ หรือองค์กร Firebase ดังนี้

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

คุณดูบันทึกการตรวจสอบใน Cloud Logging ได้โดยใช้ คอนโซล Google Cloud, เครื่องมือบรรทัดคำสั่ง gcloud หรือ Logging API

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

เช่น ตัวอย่างของรายการบันทึกการตรวจสอบและวิธีค้นหาสิ่งที่สำคัญที่สุด ที่อยู่ในนั้น โปรดดู ตัวอย่างรายการบันทึกการตรวจสอบ

บันทึกการตรวจสอบเส้นทาง

คุณจะกำหนดเส้นทางบันทึกการตรวจสอบให้ระบบรองรับได้ ได้ในลักษณะเดียวกับที่คุณกำหนดเส้นทางบันทึกประเภทอื่นๆ ได้ นี่คือ เหตุผลที่คุณอาจต้องกำหนดเส้นทางบันทึกการตรวจสอบมีดังนี้

• เพื่อเก็บบันทึกการตรวจสอบไว้เป็นเวลานาน หรือเพื่อให้ใช้งานได้อย่างมีประสิทธิภาพมากขึ้น คุณจะกำหนดเส้นทางสำเนาของบันทึกการตรวจสอบไปยัง Google Cloud Storage, BigQuery หรือ Google Cloud Pub/Sub การใช้ Cloud Pub/Sub คุณสามารถกำหนดเส้นทางไปยังแอปพลิเคชันอื่น ให้แก่บุคคลที่สาม

• หากต้องการจัดการบันทึกการตรวจสอบสำหรับทั้งองค์กร คุณสามารถสร้าง ซิงก์แบบรวมที่สามารถ กำหนดเส้นทางบันทึกจากโปรเจ็กต์ Firebase ใดโปรเจ็กต์หนึ่งหรือทั้งหมดในองค์กร

• หากบันทึกการตรวจสอบการเข้าถึงข้อมูลที่เปิดใช้พุชข้อมูล โปรเจ็กต์ Firebase ในส่วนที่จัดสรรการบันทึกของคุณ คุณสามารถสร้างซิงก์ที่ ยกเว้นบันทึกการตรวจสอบการเข้าถึงข้อมูลจากการบันทึก

สำหรับคำแนะนำในการกำหนดเส้นทางบันทึก โปรดดูที่ กำหนดค่าซิงก์

ราคา

บันทึกการตรวจสอบกิจกรรมของผู้ดูแลระบบและ บันทึกการตรวจสอบเหตุการณ์ของระบบไม่มีค่าใช้จ่าย

บันทึกการตรวจสอบการเข้าถึงข้อมูลและ บันทึกการตรวจสอบที่ถูกปฏิเสธนโยบายสามารถเรียกเก็บเงินได้

ดูข้อมูลเพิ่มเติมเกี่ยวกับราคาของ Cloud Logging ได้ที่ ราคาชุดโปรแกรมสำหรับการดำเนินการของ Google Cloud: Cloud Logging