Audit-Logging für Firebase Cloud Messaging

Auf dieser Seite werden die von Firebase als Teil von Cloud Audit Logs erstellten Audit-Logs beschrieben.

Überblick

Firebase-Dienste schreiben Audit-Protokolle, um Ihnen bei der Beantwortung der Fragen zu helfen: „Wer hat was, wo und wann getan?“. Hierbei handelt es sich um Cloud-Audit-Protokolle, die als Teil des Google Cloud Platform-Projekts bereitgestellt werden, das mit Ihrem Firebase-Projekt verbunden ist .

Ihre Firebase-Projekte enthalten jeweils nur die Audit-Logs für Ressourcen, die sich direkt im Projekt befinden.

Eine allgemeine Übersicht über Cloud-Audit-Logs finden Sie unter Übersicht über Cloud-Audit-Logs . Weitere Informationen zum Audit-Log-Format finden Sie unter Audit-Logs verstehen .

Verfügbare Audit-Protokolle

Die folgenden Arten von Audit-Protokollen sind für die Firebase Notifications Console verfügbar:

  • Überwachungsprotokolle für den Datenzugriff

    Beinhaltet „Administrator-Lese“-Vorgänge, die Metadaten oder Konfigurationsinformationen lesen. Umfasst auch „Datenlese-“ und „Datenschreibvorgänge“, die vom Benutzer bereitgestellte Daten lesen oder schreiben.

    Um Datenzugriffs-Überwachungsprotokolle zu erhalten, müssen Sie diese explizit aktivieren.

Ausführlichere Beschreibungen der Audit-Log-Typen finden Sie unter Arten von Audit-Logs .

Geprüfte Operationen

Im Folgenden wird zusammengefasst, welche API-Vorgänge den einzelnen Überwachungsprotokolltypen in der Firebase Notifications Console entsprechen:

Kategorie der Überwachungsprotokolle Aktionen der Firebase Notifications Console Typname (wird verwendet, um auf der Benutzeroberfläche nach Protokollen zu suchen)
Datenzugriffsprotokolle (DATA_READ) Holen Sie sich eine Kampagne GetCampaign
Datenzugriffsprotokolle (DATA_READ) Listen Sie Kampagnen auf ListCampaign
Datenzugriffsprotokolle (DATA_READ) Erhalten Sie Informationen aus einer ABT-Experimentbenachrichtigung LegacyGetRollout
Datenzugriffsprotokolle (DATA_READ) Erhalten Sie Targeting-Möglichkeiten GetAudiences
Datenzugriffsprotokolle (DATA_READ) Rufen Sie fcm-Statistiken ab (Anzahl gesendeter/geöffneter/zugestellter/konvertierter Artikel) GetFcmStats
Datenzugriffsprotokolle (DATA_READ) Rufen Sie eine Liste der Analysebezeichnungen für einen Datumsbereich und ein Projekt ab. GetAnalyticsLabelList
Datenzugriffsprotokolle (DATA_WRITE) Rollout aus ABT erstellen LegacyCreateRollout

Audit-Log-Format

Audit-Log-Einträge umfassen die folgenden Objekte:

  • Der Protokolleintrag selbst, der ein Objekt vom Typ LogEntry ist. Zu den nützlichen Feldern gehören:

    • Der logName enthält die Ressourcen-ID und den Audit-Log-Typ.
    • Die resource enthält das Ziel des überwachten Vorgangs.
    • Der timestamp enthält den Zeitpunkt des geprüften Vorgangs.
    • Die protoPayload enthält die geprüften Informationen.
  • Die Audit-Protokollierungsdaten, bei denen es sich um ein AuditLog Objekt handelt, das im Feld protoPayload des Protokolleintrags gespeichert ist.

  • Optionale dienstspezifische Prüfinformationen, bei denen es sich um ein dienstspezifisches Objekt handelt. Bei älteren Integrationen wird dieses Objekt im Feld serviceData des AuditLog Objekts gespeichert. Neuere Integrationen verwenden das metadata .

Informationen zu anderen Feldern in diesen Objekten und deren Interpretation finden Sie unter „Überwachungsprotokolle verstehen“ .

Protokollname

Cloud-Audit-Logs-Ressourcennamen geben das Firebase-Projekt oder eine andere GCP-Entität an, die die Audit-Logs besitzt, und geben an, ob das Protokoll Audit-Logging-Daten zu Administratoraktivitäten, Datenzugriff, verweigerten Richtlinien oder Systemereignissen enthält. Im Folgenden werden beispielsweise Protokollnamen für Überwachungsprotokolle für Administratoraktivitäten auf Projektebene und für die Überwachungsprotokolle zum Datenzugriff einer Organisation angezeigt. Die Variablen bezeichnen Firebase-Projekt- und Organisationskennungen.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Dienstname

Audit-Logs der Firebase Notifications Console verwenden den Dienstnamen gcmcontextualcampaign-pa.googleapis.com .

Eine vollständige Liste aller Stackdriver Logging API-Dienstnamen und ihres entsprechenden überwachten Ressourcentyps finden Sie unter Dienste zu Ressourcen zuordnen .

Ressourcentypen

Audit-Logs der Firebase Notifications Console verwenden für alle Audit-Logs den Ressourcentyp audited_resource .

Eine Liste aller von Stackdriver Logging überwachten Ressourcentypen und beschreibende Informationen finden Sie unter Überwachte Ressourcentypen .

Aktivieren Sie die Audit-Protokollierung

Überwachungsprotokolle zum Datenzugriff sind standardmäßig deaktiviert und werden nur geschrieben, wenn sie explizit aktiviert sind (Ausnahme sind Überwachungsprotokolle zum Datenzugriff für BigQuery, die nicht deaktiviert werden können).

Anweisungen zum Aktivieren einiger oder aller Ihrer Datenzugriffs-Überwachungsprotokolle finden Sie unter Konfigurieren von Datenzugriffsprotokollen .

Berechtigungen und Rollen

Cloud IAM- Berechtigungen und -Rollen bestimmen Ihre Fähigkeit, auf Audit-Log-Daten in GCP-Ressourcen zuzugreifen.

Berücksichtigen Sie Folgendes, wenn Sie entscheiden, welche protokollierungsspezifischen Berechtigungen und Rollen für Ihren Anwendungsfall gelten:

  • Mit der Rolle „Protokollbetrachter“ ( roles/logging.viewer ) erhalten Sie schreibgeschützten Zugriff auf die Überwachungsprotokolle „Administratoraktivität“, „Richtlinie verweigert“ und „Systemereignis“. Wenn Sie nur über diese Rolle verfügen, können Sie keine Datenzugriffs-Audit-Protokolle anzeigen, die sich im _Default Bucket befinden.

  • Die Rolle „Private Logs Viewer“ (roles/logging.privateLogViewer ) umfasst die in roles/logging.viewer enthaltenen Berechtigungen sowie die Möglichkeit, Datenzugriffs-Überwachungsprotokolle im _Default Bucket zu lesen.

    Beachten Sie, dass, wenn diese privaten Protokolle in benutzerdefinierten Buckets gespeichert werden, jeder Benutzer, der über Berechtigungen zum Lesen von Protokollen in diesen Buckets verfügt, die privaten Protokolle lesen kann. Weitere Informationen zu Protokoll-Buckets finden Sie unter Routing- und Speicherübersicht .

Weitere Informationen zu den Cloud IAM-Berechtigungen und -Rollen, die für Audit-Log-Daten gelten, finden Sie unter Zugriffskontrolle .

Protokolle anzeigen

Um Audit-Logs zu finden und anzuzeigen, müssen Sie die Kennung des Firebase-Projekts, Ordners oder der Organisation kennen, für die Sie Audit-Logging-Informationen anzeigen möchten. Sie können außerdem andere indizierte LogEntry Felder angeben, z. B. resource.type ; Weitere Informationen finden Sie unter Protokolleinträge schnell finden .

Im Folgenden sind die Namen der Überwachungsprotokolle aufgeführt. Sie enthalten Variablen für die Bezeichner des Firebase-Projekts, -Ordners oder der Firebase-Organisation:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Sie können Audit-Protokolle in Stackdriver Logging mit der GCP Console, dem gcloud -Befehlszeilentool oder der Logging-API anzeigen.

Konsole

Sie können den Logs Explorer in der GCP Console verwenden, um Ihre Audit-Log-Einträge für Ihr Firebase-Projekt, Ihren Firebase-Ordner oder Ihre Firebase-Organisation abzurufen:

  1. Gehen Sie in der GCP-Konsole zur Seite Protokollierung > Protokoll-Explorer .

    Gehen Sie zur Seite „Logs Explorer“.

  2. Wählen Sie auf der Seite „Logs Explorer“ ein vorhandenes Firebase-Projekt, einen Ordner oder eine Organisation aus.

  3. Gehen Sie im Bereich „Abfrage-Generator“ wie folgt vor:

    • Wählen Sie unter Ressourcentyp die GCP-Ressource aus, deren Audit-Logs Sie sehen möchten.

    • Wählen Sie unter Protokollname den Überwachungsprotokolltyp aus, den Sie sehen möchten:

      • Wählen Sie für Audit-Protokolle zur Admin-Aktivität die Option Aktivität aus.
      • Wählen Sie für Datenzugriffs-Überwachungsprotokolle data_access aus.
      • Wählen Sie für Systemereignis-Überwachungsprotokolle system_event aus.
      • Wählen Sie für Überwachungsprotokolle „Richtlinie verweigert“ die Option „Richtlinie“ aus.

    Wenn diese Optionen nicht angezeigt werden, sind im Firebase-Projekt, Ordner oder in der Organisation keine Überwachungsprotokolle dieses Typs verfügbar.

    Weitere Einzelheiten zum Abfragen mit dem Protokoll-Explorer finden Sie unter Erstellen von Protokollabfragen .

gcloud

Das gcloud Befehlszeilentool bietet eine Befehlszeilenschnittstelle zur Stackdriver Logging API. Geben Sie in jedem der Protokollnamen eine gültige PROJECT_ID , FOLDER_ID oder ORGANIZATION_ID an.

Führen Sie den folgenden Befehl aus, um Ihre Firebase-Prüfprotokolleinträge auf Projektebene zu lesen:

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

Führen Sie den folgenden Befehl aus, um Ihre Überwachungsprotokolleinträge auf Ordnerebene zu lesen:

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

Führen Sie den folgenden Befehl aus, um Ihre Audit-Log-Einträge auf Organisationsebene zu lesen:

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Weitere Informationen zur Verwendung des gcloud Tools finden Sie unter Protokolleinträge lesen .

API

Ersetzen Sie beim Erstellen Ihrer Abfragen die Variablen durch gültige Werte und ersetzen Sie sie durch den entsprechenden Namen oder die entsprechenden Kennungen des Überwachungsprotokolls auf Projekt-, Ordner- oder Organisationsebene, wie in den Überwachungsprotokollnamen aufgeführt. Wenn Ihre Abfrage beispielsweise eine PROJECT_ID enthält, muss sich die von Ihnen angegebene Projektkennung auf das aktuell ausgewählte Firebase-Projekt beziehen.

Gehen Sie wie folgt vor, um mit der Protokollierungs-API Ihre Audit-Protokolleinträge anzuzeigen:

  1. Gehen Sie zum Abschnitt „Diese API ausprobieren“ in der Dokumentation für die Methode entries.list .

  2. Fügen Sie Folgendes in den Anforderungstextteil des Formulars „Diese API testen“ ein. Wenn Sie auf dieses vorab ausgefüllte Formular klicken, wird der Anforderungstext automatisch ausgefüllt. Sie müssen jedoch in jedem Protokollnamen eine gültige PROJECT_ID angeben.

    {
      "resourceNames": [
        "projects/PROJECT_ID"
      ],
      "pageSize": 5,
      "filter": "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com"
    }
    
  3. Klicken Sie auf Ausführen .

Weitere Einzelheiten zum Abfragen finden Sie unter Protokollierungsabfragesprache .

Ein Beispiel für einen Audit-Log-Eintrag und wie Sie die wichtigsten Informationen darin finden, finden Sie unter Beispiel für einen Audit-Log-Eintrag .

Prüfprotokolle weiterleiten

Sie können Überwachungsprotokolle auf die gleiche Weise an unterstützte Ziele weiterleiten wie andere Arten von Protokollen. Hier sind einige Gründe, warum Sie Ihre Überwachungsprotokolle möglicherweise weiterleiten möchten:

  • Um Audit-Logs über einen längeren Zeitraum aufzubewahren oder leistungsfähigere Suchfunktionen zu nutzen, können Sie Kopien Ihrer Audit-Logs an Google Cloud Storage, BigQuery oder Google Cloud Pub/Sub weiterleiten. Mit Cloud Pub/Sub können Sie an andere Anwendungen, andere Repositorys und an Dritte weiterleiten.

  • Um Ihre Audit-Protokolle in der gesamten Organisation zu verwalten, können Sie aggregierte Senken erstellen, die Protokolle von beliebigen oder allen Firebase-Projekten in der Organisation weiterleiten können.

  • Wenn Ihre aktivierten Datenzugriffs-Überwachungsprotokolle Ihre Firebase-Projekte über Ihre Protokollkontingente hinausschieben, können Sie Senken erstellen, die die Datenzugriffs-Überwachungsprotokolle von der Protokollierung ausschließen.

Anweisungen zum Weiterleiten von Protokollen finden Sie unter Konfigurieren von Senken .

Preisgestaltung

Überwachungsprotokolle für Administratoraktivitäten und Systemereignis-Überwachungsprotokolle sind kostenlos.

Überwachungsprotokolle für den Datenzugriff und Überwachungsprotokolle zum Verweigern von Richtlinien sind kostenpflichtig.

Weitere Informationen zu den Preisen für Stackdriver Logging finden Sie in den Preisen für die Operations Suite von Google Cloud: Stackdriver Logging .