本文件說明 Firebase 即時資料庫的稽核記錄。Google Cloud 服務會產生稽核記錄,記錄 Google Cloud 資源中的管理和存取活動。如要進一步瞭解 Cloud 稽核記錄,請參閱以下內容:
附註
如要進一步瞭解 protoPayload.metadata
中 DATA_READ
和 DATA_WRITE
作業的欄位,請參閱參考文件。
服務名稱
Firebase 即時資料庫稽核記錄使用的服務名稱為 firebasedatabase.googleapis.com
。
這項服務的篩選器:
protoPayload.serviceName="firebasedatabase.googleapis.com"
按權限類型區分的方法
每個 IAM 權限都具有 type
屬性,其值是列舉值
可以是下列任一值:ADMIN_READ
、ADMIN_WRITE
、
DATA_READ
或 DATA_WRITE
。當您呼叫方法時,Firebase 即時資料庫會產生稽核記錄,其類別取決於執行方法所需權限的 type
屬性。需要具備 DATA_READ
、DATA_WRITE
或 ADMIN_READ
的 type
屬性值的 IAM 權限的程式會產生資料存取稽核記錄。需要 IAM 權限及 type
屬性值的方法
已產生 (共 ADMIN_WRITE
個)
管理員活動稽核記錄。
權限類型 | 方法 |
---|---|
ADMIN_READ |
google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances |
ADMIN_WRITE |
google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance |
DATA_READ |
google.firebase.database.v1.RealtimeDatabase.Connect google.firebase.database.v1.RealtimeDatabase.Disconnect google.firebase.database.v1.RealtimeDatabase.Listen google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel google.firebase.database.v1.RealtimeDatabase.Read google.firebase.database.v1.RealtimeDatabase.Unlisten |
DATA_WRITE |
google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect google.firebase.database.v1.RealtimeDatabase.Update google.firebase.database.v1.RealtimeDatabase.Write |
API 介面稽核記錄
如要瞭解每種方法的權限評估方式和權限,請參閱 Firebase Realtime Database 的 Cloud Identity and Access Management 說明文件。
google.firebase.database.v1.RealtimeDatabase
下列稽核記錄與屬於 google.firebase.database.v1.RealtimeDatabase
的方法相關。
Connect
- 方法:
google.firebase.database.v1.RealtimeDatabase.Connect
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.connect - DATA_READ
- 方法是長時間執行或串流作業:
第
號 - 適用於此方法的篩選器:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Connect"
Disconnect
- 方法:
google.firebase.database.v1.RealtimeDatabase.Disconnect
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.connect - DATA_READ
- 方法是長期執行或串流作業:否。
- 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Disconnect"
Listen
- 方法:
google.firebase.database.v1.RealtimeDatabase.Listen
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.get - DATA_READ
- 方法是長時間執行或串流作業:
第
號 - 適用於此方法的篩選器:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Listen"
OnDisconnectCancel
- 方法:
google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.cancel - DATA_READ
- 方法是長時間執行或串流作業:
第
號 - 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectCancel"
OnDisconnectPut
- 方法:
google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.update - DATA_WRITE
- 方法是長時間執行或串流作業:
第
號 - 適用於此方法的篩選器:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectPut"
OnDisconnectUpdate
- 方法:
google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.update - DATA_WRITE
- 方法是長時間執行或串流作業:
第
號 - 適用於此方法的篩選器:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.OnDisconnectUpdate"
Read
- 方法:
google.firebase.database.v1.RealtimeDatabase.Read
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.get - DATA_READ
- 方法是長時間執行或串流作業:
第
號 - 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Read"
RunOnDisconnect
- 方法:
google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.update - DATA_WRITE
- 方法是長期執行或串流作業:否。
- 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.RunOnDisconnect"
Unlisten
- 方法:
google.firebase.database.v1.RealtimeDatabase.Unlisten
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.cancel - DATA_READ
- 方法是長時間執行或串流作業:
第
號 - 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Unlisten"
Update
- 方法:
google.firebase.database.v1.RealtimeDatabase.Update
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.get - DATA_WRITE
firebasedatabase.data.update - DATA_WRITE
- 方法是長時間執行或串流作業:
第
號 - 適用於此方法的篩選器:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Update"
Write
- 方法:
google.firebase.database.v1.RealtimeDatabase.Write
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.data.update - DATA_WRITE
- 方法是長時間執行或串流作業:
第
號 - 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1.RealtimeDatabase.Write"
google.firebase.database.v1beta.RealtimeDatabaseService
下列稽核記錄與屬於 google.firebase.database.v1beta.RealtimeDatabaseService
的方法相關。
CreateDatabaseInstance
- 方法:
google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance
- 稽核記錄類型:管理員活動
- 權限:
firebasedatabase.instances.create - ADMIN_WRITE
- 方法是長時間執行或串流作業:
第
號 - 適用於此方法的篩選器:
protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.CreateDatabaseInstance"
DeleteDatabaseInstance
- 方法:
google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance
- 稽核記錄類型:管理員活動
- 權限:
firebasedatabase.instances.delete - ADMIN_WRITE
- 方法是長期執行或串流作業:否。
- 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.DeleteDatabaseInstance"
DisableDatabaseInstance
- 方法:
google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance
- 稽核記錄類型:管理員活動
- 權限:
firebasedatabase.instances.disable - ADMIN_WRITE
- 方法是長時間執行或串流作業:
第
號 - 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.DisableDatabaseInstance"
GetDatabaseInstance
- 方法:
google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.instances.get - ADMIN_READ
- 方法是長期執行或串流作業:否。
- 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.GetDatabaseInstance"
ListDatabaseInstances
- 方法:
google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances
- 稽核記錄類型:資料存取
- 權限:
firebasedatabase.instances.list - ADMIN_READ
- 方法是長時間執行或串流作業:
第
號 - 篩選這個方法:
protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.ListDatabaseInstances"
ReenableDatabaseInstance
- 方法:
google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance
- 稽核記錄類型:管理員活動
- 權限:
firebasedatabase.instances.reenable - ADMIN_WRITE
- 方法是長時間執行或串流作業:
第
號 - 適用於此方法的篩選器:
protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.ReenableDatabaseInstance"
UndeleteDatabaseInstance
- 方法:
google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance
- 稽核記錄類型:管理員活動
- 權限:
firebasedatabase.instances.undelete - ADMIN_WRITE
- 方法是長期執行或串流作業:否。
- 適用於此方法的篩選器:
protoPayload.methodName="google.firebase.database.v1beta.RealtimeDatabaseService.UndeleteDatabaseInstance"
稽核驗證資訊
稽核記錄項目包含資訊 執行記錄作業的身分。如何識別要求 呼叫端,請參閱 AuditLog 物件中的下列欄位:
建立即時連線。Realtime Database
Connect
作業不會記錄驗證資料,因為 Realtime Database 會在連線建立後進行驗證。因此,Connect
沒有驗證資訊。AuthenticationInfo
物件包含audit-pending-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com
的預留位置principalEmail
。Google 驗證使用標準 Google 驗證的 Realtime Database 作業 (例如來自 Firebase Admin SDK 的流量,或使用標準 OAuth 權杖驗證的 REST 要求),會包含包含實際憑證電子郵件地址的
AuthenticationInfo
物件。Firebase Authentication. 使用 Firebase Authentication 的 Realtime Database 作業已 包含
principalEmail
值的AuthenticationInfo
物件audit-third-party-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com
。 如果您透過 Cookie 導入自己的驗證解決方案 自訂 JWT。- 如果 JSON Web Token (JWT) 用於第三方驗證,
thirdPartyPrincipal
欄位就會包含符記的標頭和酬載。舉例來說,使用 Firebase Authentication 驗證的要求稽核記錄,會包含該要求的 Firebase Authentication 權杖。
- 如果 JSON Web Token (JWT) 用於第三方驗證,
沒有驗證機制。不使用任何驗證機制的 Realtime Database 作業會包含
AuthenticationInfo
物件,其中包含principalEmail
值audit-no-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com
。具有開放式安全性規則的 Realtime Database 例項可能會核准這類要求。我們建議所有使用者妥善保護資料庫。舊版密鑰權杖。使用舊版權杖的 Realtime Database 項作業 具有包含預留位置的
AuthenticationInfo
物件principalEmail
/audit-secret-auth@firebasedatabase-{REGION_CODE}-prod.iam.gserviceaccount.com
。 對於由密碼簽署的 JWT,thirdPartyPrincipal
會包含 JWT 標頭和酬載。
稽核「Firebase Security Rules」評估作業
您可以使用 Cloud 稽核記錄,找出可能受到 Rules 變更影響的要求。
在 AuthorizationInfo 物件中,authorization.permission
可以是下列任一值:
firebasedatabase.data.get
:在resource
中指定的路徑中授予讀取權限。firebasedatabase.data.update
:在resource
中指定的路徑中授予寫入存取權。firebasedatabase.data.connect
:Connect
和Disconnect
的預留位置。連線至 Realtime Database 執行個體時不需要授權。firebasedatabase.data.cancel
:用於Unlisten
和OnDisconnectCancel
。 撤銷或取消先前授權的作業不需要額外的 或授權。
將 Cloud 稽核記錄與 Realtime Database 分析器結果做關聯
您可以使用 Realtime Database 剖析器搭配 Realtime Database 稽核記錄,對 Realtime Database 執行深入的效能分析。每項工具各有其優勢。
Cloud 稽核記錄 | Realtime Database分析器 |
---|---|
|
|
稽核記錄內容會對應至剖析器指標,如下所示。
稽核記錄作業名稱 | RealtimeDatabaseAuditMetadata 中的特殊值 |
分析器作業名稱 |
---|---|---|
連線 | 「RequestType 」現為「REALTIME 」 |
並行連線 |
中斷連線 | 「RequestType 」現為「REALTIME 」 |
並行中斷連結 |
讀取 | 「RequestType 」現為「REALTIME 」 |
即時讀取 |
讀取 | 「RequestType 」現為「REST 」 |
rest-read |
寫入 | 「RequestType 」現為「REALTIME 」 |
realtime-write |
寫入 | 「RequestType 」現為「REST 」 |
靜態寫入 |
更新 | RequestType 為 REALTIME 。
檢查 PreconditionType 。 |
即時更新 即時交易 |
更新 | RequestType 為 REST 。請查看 PreconditionType 。 |
靜止更新 剩餘交易 |
ListenerListen | 「RequestType 」現為「REALTIME 」 |
傾聽 |
ListenerUnlisten | 「RequestType 」現為「REALTIME 」 |
聽者不聽 |
OnDisconnectPut | 「RequestType 」現為「REALTIME 」 |
on-disconnect-put |
OnDisconnectUpdate | 「RequestType 」現為「REALTIME 」 |
on-disconnect-update |
中斷連線時取消 | 「RequestType 」現為「REALTIME 」 |
on-disconnect-cancel |
RunOnDisconnect | 「RequestType 」現為「REALTIME 」 |
透過中斷連結執行 |