Firebase 即時資料庫稽核記錄

本文件說明 Firebase 即時資料庫的稽核記錄。Google Cloud 服務會產生稽核記錄,記錄 Google Cloud 資源中的管理和存取活動。如要進一步瞭解 Cloud 稽核記錄,請參閱以下內容:

附註

如要進一步瞭解 protoPayload.metadataDATA_READDATA_WRITE 作業的欄位,請參閱參考文件

服務名稱

Firebase 即時資料庫稽核記錄使用的服務名稱為 firebasedatabase.googleapis.com。 這項服務的篩選器:

    protoPayload.serviceName="firebasedatabase.googleapis.com"
  

按權限類型區分的方法

每個 IAM 權限都具有 type 屬性,其值是列舉值 可以是下列任一值:ADMIN_READADMIN_WRITEDATA_READDATA_WRITE。當您呼叫方法時,Firebase 即時資料庫會產生稽核記錄,其類別取決於執行方法所需權限的 type 屬性。需要具備 DATA_READDATA_WRITEADMIN_READtype 屬性值的 IAM 權限的程式會產生資料存取稽核記錄。需要 IAM 權限及 type 屬性值的方法 已產生 (共 ADMIN_WRITE 個) 管理員活動稽核記錄。

權限類型 方法
ADMIN_READ google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance
google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances
ADMIN_WRITE google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance
google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance
google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance
google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance
google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance
DATA_READ google.firebase.database.v1.RealtimeDatabase.Connect
google.firebase.database.v1.RealtimeDatabase.Disconnect
google.firebase.database.v1.RealtimeDatabase.Listen
google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel
google.firebase.database.v1.RealtimeDatabase.Read
google.firebase.database.v1.RealtimeDatabase.Unlisten
DATA_WRITE google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut
google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate
google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect
google.firebase.database.v1.RealtimeDatabase.Update
google.firebase.database.v1.RealtimeDatabase.Write

API 介面稽核記錄

如要瞭解每種方法的權限評估方式和權限,請參閱 Firebase Realtime Database 的 Cloud Identity and Access Management 說明文件。

google.firebase.database.v1.RealtimeDatabase

下列稽核記錄與屬於 google.firebase.database.v1.RealtimeDatabase 的方法相關。

Connect

  • 方法google.firebase.database.v1.RealtimeDatabase.Connect
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.connect - DATA_READ
  • 方法是長時間執行或串流作業: 第
  • 適用於此方法的篩選器 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Connect"

Disconnect

  • 方法google.firebase.database.v1.RealtimeDatabase.Disconnect
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.connect - DATA_READ
  • 方法是長期執行或串流作業:否。
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Disconnect"

Listen

  • 方法google.firebase.database.v1.RealtimeDatabase.Listen
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.get - DATA_READ
  • 方法是長時間執行或串流作業: 第
  • 適用於此方法的篩選器 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Listen"

OnDisconnectCancel

  • 方法google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.cancel - DATA_READ
  • 方法是長時間執行或串流作業: 第
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel"

OnDisconnectPut

  • 方法google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.update - DATA_WRITE
  • 方法是長時間執行或串流作業: 第
  • 適用於此方法的篩選器 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut"

OnDisconnectUpdate

  • 方法google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.update - DATA_WRITE
  • 方法是長時間執行或串流作業: 第
  • 適用於此方法的篩選器 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate"

Read

  • 方法google.firebase.database.v1.RealtimeDatabase.Read
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.get - DATA_READ
  • 方法是長時間執行或串流作業: 第
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Read"

RunOnDisconnect

  • 方法google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.update - DATA_WRITE
  • 方法是長期執行或串流作業:否。
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect"

Unlisten

  • 方法google.firebase.database.v1.RealtimeDatabase.Unlisten
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.cancel - DATA_READ
  • 方法是長時間執行或串流作業: 第
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Unlisten"

Update

  • 方法google.firebase.database.v1.RealtimeDatabase.Update
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.get - DATA_WRITE
    • firebasedatabase.data.update - DATA_WRITE
  • 方法是長時間執行或串流作業: 第
  • 適用於此方法的篩選器 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Update"

Write

  • 方法google.firebase.database.v1.RealtimeDatabase.Write
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.data.update - DATA_WRITE
  • 方法是長時間執行或串流作業: 第
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Write"

google.firebase.database.v1beta.RealtimeDatabaseService

下列稽核記錄與屬於 google.firebase.database.v1beta.RealtimeDatabaseService 的方法相關。

CreateDatabaseInstance

  • 方法google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance
  • 稽核記錄類型管理員活動
  • 權限
    • firebasedatabase.instances.create - ADMIN_WRITE
  • 方法是長時間執行或串流作業: 第
  • 適用於此方法的篩選器 protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance"

DeleteDatabaseInstance

  • 方法google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance
  • 稽核記錄類型管理員活動
  • 權限
    • firebasedatabase.instances.delete - ADMIN_WRITE
  • 方法是長期執行或串流作業:否。
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance"

DisableDatabaseInstance

  • 方法google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance
  • 稽核記錄類型管理員活動
  • 權限
    • firebasedatabase.instances.disable - ADMIN_WRITE
  • 方法是長時間執行或串流作業: 第
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance"

GetDatabaseInstance

  • 方法google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.instances.get - ADMIN_READ
  • 方法是長期執行或串流作業:否。
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance"

ListDatabaseInstances

  • 方法google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances
  • 稽核記錄類型資料存取
  • 權限
    • firebasedatabase.instances.list - ADMIN_READ
  • 方法是長時間執行或串流作業: 第
  • 篩選這個方法 protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances"

ReenableDatabaseInstance

  • 方法google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance
  • 稽核記錄類型管理員活動
  • 權限
    • firebasedatabase.instances.reenable - ADMIN_WRITE
  • 方法是長時間執行或串流作業: 第
  • 適用於此方法的篩選器 protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance"

UndeleteDatabaseInstance

  • 方法google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance
  • 稽核記錄類型管理員活動
  • 權限
    • firebasedatabase.instances.undelete - ADMIN_WRITE
  • 方法是長期執行或串流作業:否。
  • 適用於此方法的篩選器 protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance"

稽核驗證資訊

稽核記錄項目包含資訊 執行記錄作業的身分。如何識別要求 呼叫端,請參閱 AuditLog 物件中的下列欄位:

  • 建立即時連線。Realtime Database Connect 作業不會記錄驗證資料,因為 Realtime Database 會在連線建立後進行驗證。因此,Connect 沒有驗證資訊。AuthenticationInfo 物件包含 audit-pending-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com 的預留位置 principalEmail

  • Google 驗證使用標準 Google 驗證的 Realtime Database 作業 (例如來自 Firebase Admin SDK 的流量,或使用標準 OAuth 權杖驗證的 REST 要求),會包含包含實際憑證電子郵件地址的 AuthenticationInfo 物件。

  • Firebase Authentication. 使用 Firebase AuthenticationRealtime Database 作業已 包含 principalEmail 值的 AuthenticationInfo 物件 audit-third-party-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com。 如果您透過 Cookie 導入自己的驗證解決方案 自訂 JWT。

    • 如果 JSON Web Token (JWT) 用於第三方驗證,thirdPartyPrincipal 欄位就會包含符記的標頭和酬載。舉例來說,使用 Firebase Authentication 驗證的要求稽核記錄,會包含該要求的 Firebase Authentication 權杖。
  • 沒有驗證機制。不使用任何驗證機制的 Realtime Database 作業會包含 AuthenticationInfo 物件,其中包含 principalEmailaudit-no-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com。具有開放式安全性規則的 Realtime Database 例項可能會核准這類要求。我們建議所有使用者妥善保護資料庫。

  • 舊版密鑰權杖。使用舊版權杖Realtime Database 項作業 具有包含預留位置的 AuthenticationInfo 物件 principalEmail / audit-secret-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com。 對於由密碼簽署的 JWT,thirdPartyPrincipal 會包含 JWT 標頭和酬載。

稽核「Firebase Security Rules」評估作業

您可以使用 Cloud 稽核記錄,找出可能受到 Rules 變更影響的要求。

AuthorizationInfo 物件中,authorization.permission 可以是下列任一值:

  • firebasedatabase.data.get:在 resource 中指定的路徑中授予讀取權限。
  • firebasedatabase.data.update:在 resource 中指定的路徑中授予寫入存取權。
  • firebasedatabase.data.connectConnectDisconnect 的預留位置。連線至 Realtime Database 執行個體時不需要授權。
  • firebasedatabase.data.cancel:用於 UnlistenOnDisconnectCancel。 撤銷或取消先前授權的作業不需要額外的 或授權。

將 Cloud 稽核記錄與 Realtime Database 分析器結果做關聯

您可以使用 Realtime Database 剖析器搭配 Realtime Database 稽核記錄,對 Realtime Database 執行深入的效能分析。每項工具各有其優勢。

Cloud 稽核記錄 Realtime Database分析器
  • 稽核資料庫存取權
  • 持續擷取所有要求
  • 允許回溯查詢
  • 包含詳細的驗證權杖資訊
  • 會產生使用費
  • 用於成效分析
  • 提供實用的工具,協助您找出熱點並進行效能最佳化
  • 可測量聽眾廣播訊息的成效, 由於潛在的資料量,稽核記錄不會提供這項功能
  • 輕量且即時,適合進行即時負載測試。稽核 記錄項目可能需要幾分鐘才會顯示。

稽核記錄內容會對應至剖析器指標,如下所示。

稽核記錄作業名稱
RealtimeDatabaseAuditMetadata 中的特殊值
分析器作業名稱
連線 RequestType」現為「REALTIME 並行連線
中斷連線 RequestType」現為「REALTIME 並行中斷連結
讀取 RequestType」現為「REALTIME 即時讀取
讀取 RequestType」現為「REST rest-read
寫入 RequestType」現為「REALTIME realtime-write
寫入 RequestType」現為「REST 靜態寫入
更新 RequestTypeREALTIME
檢查 PreconditionType
即時更新
即時交易
更新 RequestTypeREST
請查看 PreconditionType
靜止更新
剩餘交易
ListenerListen RequestType」現為「REALTIME 傾聽
ListenerUnlisten RequestType」現為「REALTIME 聽者不聽
OnDisconnectPut RequestType」現為「REALTIME on-disconnect-put
OnDisconnectUpdate RequestType」現為「REALTIME on-disconnect-update
中斷連線時取消 RequestType」現為「REALTIME on-disconnect-cancel
RunOnDisconnect RequestType」現為「REALTIME 透過中斷連結執行