Journalisation d'audit de la base de données en temps réel Firebase

Cette page décrit les journaux d'audit créés par Firebase dans le cadre des Cloud Audit Logs .

Aperçu

Les services Firebase rédigent des journaux d'audit pour vous aider à répondre aux questions : "Qui a fait quoi, où et quand ?". Il s'agit de journaux d'audit Cloud, fournis dans le cadre du projet Google Cloud connecté à votre projet Firebase .

Vos projets Firebase contiennent chacun uniquement les journaux d'audit des ressources qui se trouvent directement dans le projet.

Pour une présentation générale des journaux d'audit Cloud, consultez Présentation des journaux d'audit Cloud . Pour une compréhension plus approfondie du format du journal d'audit, consultez Comprendre les journaux d'audit .

Journaux d'audit disponibles

Les types de journaux d'audit suivants sont disponibles pour Firebase Realtime Database :

• Journaux d'audit des activités d'administration

  Inclut les opérations « admin write » qui écrivent des métadonnées ou des informations de configuration.

  Vous ne pouvez pas désactiver les journaux d'audit des activités d'administration.

• Journaux d'audit d'accès aux données

  Inclut les opérations de « lecture administrateur » qui lisent les métadonnées ou les informations de configuration. Inclut également les opérations de « lecture de données » et « d'écriture de données » qui lisent ou écrivent des données fournies par l'utilisateur.

  Pour recevoir les journaux d'audit d'accès aux données, vous devez les activer explicitement.

Pour des descriptions plus complètes des types de journaux d'audit, voir Types de journaux d'audit .

Opérations auditées

Ce qui suit résume les opérations d'API correspondant à chaque type de journal d'audit dans Firebase Realtime Database :

Auditer les informations d'authentification

Les entrées du journal d'audit incluent des informations sur l'identité qui a effectué l'opération consignée. Pour identifier un appelant de demande, consultez les champs suivants dans l'objet AuditLog :

• Établir des connexions en temps réel. Les opérations Realtime Database Connect n’enregistrent pas les données d’authentification puisque Realtime Database s’authentifie après l’établissement d’une connexion. Par conséquent, Connect ne dispose d’aucune information d’authentification. L'objet AuthenticationInfo contient un espace réservé principalEmail de audit-pending-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com .

• Authentification Google. Les opérations de base de données en temps réel qui utilisent l'authentification Google standard, telles que le trafic provenant du SDK d'administration Firebase ou les requêtes REST authentifiées avec un jeton OAuth standard , ont un objet AuthenticationInfo qui contient l'e-mail d'informations d'identification réel.

• Authentification Firebase. Les opérations de base de données en temps réel qui utilisent l'authentification Firebase ont un objet AuthenticationInfo qui contient une valeur principalEmail de audit-third-party-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com . Il en va de même si vous implémentez votre propre solution d'authentification en créant des JWT personnalisés.

  • Si un jeton Web JSON (JWT) a été utilisé pour l'authentification tierce, le champ thirdPartyPrincipal inclut l'en-tête et la charge utile du jeton. Par exemple, les journaux d'audit des demandes authentifiées avec Firebase Authentication incluent le jeton d'authentification Firebase de cette demande.

• Pas d'authentification. Les opérations de base de données en temps réel qui n'utilisent aucune authentification ont un objet AuthenticationInfo qui contient une valeur principalEmail de audit-no-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com . Une instance de base de données en temps réel avec des règles de sécurité ouvertes peut accorder de telles demandes. . Nous recommandons à tous les utilisateurs de sécuriser correctement leurs bases de données.

• Jetons secrets hérités. Les opérations de base de données en temps réel utilisant des jetons hérités ont un objet AuthenticationInfo qui contient un espace réservé principalEmail de audit-secret-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com . Pour les JWT signés par des secrets, thirdPartyPrincipal contient les en-têtes et la charge utile JWT.

Auditer les évaluations des règles de sécurité Firebase

Les journaux d'audit Cloud peuvent être utilisés pour identifier les demandes qui seront potentiellement affectées par les modifications des règles.

Dans l'objet AuthorizationInfo , authorization.permission peut être l'un des éléments suivants :

• firebasedatabase.data.get : accès en lecture accordé au chemin spécifié dans resource .
• firebasedatabase.data.update : accès en écriture accordé au chemin spécifié dans resource .
• firebasedatabase.data.connect : espace réservé pour Connect et Disconnect . Aucune autorisation requise pour se connecter à une instance de base de données en temps réel.
• firebasedatabase.data.cancel : utilisé pour Unlisten et OnDisconnectCancel . La révocation ou l'annulation d'une opération préalablement autorisée ne nécessite aucune autorisation supplémentaire.

Corréler les journaux d'audit Cloud avec les résultats du profileur de base de données en temps réel

Vous pouvez effectuer une analyse approfondie des performances sur Realtime Database à l'aide du profileur Realtime Database en combinaison avec la journalisation d'audit Realtime Database. Chaque outil a ses atouts.

Le contenu du journal d'audit correspond aux métriques du profileur, comme indiqué ci-dessous.

Format du journal d'audit

Les entrées du journal d'audit incluent les objets suivants :

• L'entrée de journal elle-même, qui est un objet de type LogEntry . Les champs utiles sont les suivants :

  • Le logName contient l’ID de ressource et le type de journal d’audit.
  • La resource contient la cible de l'opération auditée.
  • L' timestamp contient l'heure de l'opération auditée.
  • Le protoPayload contient les informations auditées.

• Les données de journalisation d'audit, qui sont un objet AuditLog conservé dans le champ protoPayload de l'entrée de journal.

• Informations d'audit facultatives spécifiques au service, qui sont un objet spécifique au service. Pour les intégrations plus anciennes, cet objet est conservé dans le champ serviceData de l'objet AuditLog ; les intégrations plus récentes utilisent le champ metadata .

Pour connaître les autres champs de ces objets et savoir comment les interpréter, consultez Comprendre les journaux d'audit .

Nom du journal

Les noms de ressources Cloud Audit Logs indiquent le projet Firebase ou une autre entité Google Cloud qui possède les journaux d'audit, et si le journal contient des données de journalisation d'audit sur l'activité d'administration, l'accès aux données, la politique refusée ou les événements système. Par exemple, ce qui suit présente les noms des journaux d'audit des activités d'administration au niveau du projet et des journaux d'audit d'accès aux données d'une organisation. Les variables désignent les identifiants du projet Firebase et de l'organisation.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity

organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Nom du service

Les journaux d'audit de Firebase Realtime Database utilisent le nom de service firebasedatabase.googleapis.com .

Pour obtenir la liste complète de tous les noms de services de l'API Cloud Logging et de leur type de ressource surveillée correspondant, consultez Mapper les services aux ressources .

Types de ressources

Les journaux d'audit de Firebase Realtime Database utilisent le type de ressource audited_resource pour tous les journaux d'audit.

Pour obtenir la liste de tous les types de ressources surveillées par Cloud Logging et des informations descriptives, consultez Types de ressources surveillées .

Activer la journalisation d'audit

Les journaux d’audit des activités d’administration sont toujours activés ; vous ne pouvez pas les désactiver.

Les journaux d'audit d'accès aux données sont désactivés par défaut et ne sont écrits que s'ils sont explicitement activés (à l'exception des journaux d'audit d'accès aux données pour BigQuery, qui ne peuvent pas être désactivés).

Pour obtenir des instructions sur l'activation de tout ou partie de vos journaux d'audit d'accès aux données, consultez Configurer les journaux d'accès aux données .

Autorisations et rôles

Les autorisations et les rôles Cloud IAM déterminent votre capacité à accéder aux données des journaux d'audit dans les ressources Google Cloud.

Lorsque vous décidez quels rôles et autorisations spécifiques à Logging s'appliquent à votre cas d'utilisation, tenez compte des éléments suivants :

• Le rôle d'observateur de journaux ( roles/logging.viewer ) vous donne un accès en lecture seule aux journaux d'audit des activités d'administration, des politiques refusées et des événements système. Si vous disposez uniquement de ce rôle, vous ne pouvez pas afficher les journaux d'audit d'accès aux données qui se trouvent dans le compartiment _Default .

• Le rôle de visionneuse de journaux privés (roles/logging.privateLogViewer ) inclut les autorisations contenues dans roles/logging.viewer , ainsi que la possibilité de lire les journaux d'audit d'accès aux données dans le compartiment _Default .

  Notez que si ces journaux privés sont stockés dans des compartiments définis par l'utilisateur, tout utilisateur disposant des autorisations nécessaires pour lire les journaux dans ces compartiments peut lire les journaux privés. Pour plus d'informations sur les compartiments de journaux, consultez Présentation du routage et du stockage .

Pour plus d'informations sur les autorisations et les rôles Cloud IAM qui s'appliquent aux données des journaux d'audit, consultez Contrôle d'accès .

Regardes les connexions

Pour rechercher et afficher les journaux d'audit, vous devez connaître l'identifiant du projet, du dossier ou de l'organisation Firebase pour lequel vous souhaitez afficher les informations des journaux d'audit. Vous pouvez en outre spécifier d'autres champs LogEntry indexés, comme resource.type ; pour plus de détails, consultez Rechercher rapidement les entrées du journal .

Voici les noms des journaux d'audit : ils incluent des variables pour les identifiants du projet, du dossier ou de l'organisation Firebase :

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Vous pouvez afficher les journaux d'audit dans Cloud Logging à l'aide de la console GCP, de l'outil de ligne de commande gcloud ou de l'API Logging.

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Pour obtenir un exemple d'entrée de journal d'audit et savoir comment y trouver les informations les plus importantes, voir Exemple d'entrée de journal d'audit .

Journaux d'audit d'acheminement

Vous pouvez acheminer les journaux d'audit vers des destinations prises en charge de la même manière que vous pouvez acheminer d'autres types de journaux. Voici quelques raisons pour lesquelles vous souhaiterez peut-être acheminer vos journaux d’audit :

• Pour conserver les journaux d'audit pendant une période plus longue ou pour utiliser des fonctionnalités de recherche plus puissantes, vous pouvez acheminer des copies de vos journaux d'audit vers Google Cloud Storage, BigQuery ou Google Cloud Pub/Sub. À l'aide de Cloud Pub/Sub, vous pouvez acheminer vers d'autres applications, d'autres référentiels et vers des tiers.

• Pour gérer vos journaux d'audit dans l'ensemble d'une organisation, vous pouvez créer des récepteurs agrégés qui peuvent acheminer les journaux de tout ou partie des projets Firebase de l'organisation.

• Si vos journaux d'audit d'accès aux données activés poussent vos projets Firebase sur vos allocations de journaux, vous pouvez créer des récepteurs qui excluent les journaux d'audit d'accès aux données de la journalisation.

Pour obtenir des instructions sur les journaux de routage, consultez Configurer les récepteurs .

Tarifs

Les journaux d’audit des activités d’administration et les journaux d’audit des événements système sont gratuits.

Les journaux d’audit d’accès aux données et les journaux d’audit de politique refusée sont payants.

Pour plus d'informations sur les tarifs de Cloud Logging, consultez la tarification de la suite d'opérations de Google Cloud : Cloud Logging .