Logowanie kontrolne Sprawdzania aplikacji Firebase

Na tej stronie opisaliśmy logi kontrolne utworzone przez Firebase w ramach Logi kontrolne Cloud.

Omówienie

Usługi Firebase zapisują dzienniki kontrolne, aby pomóc Ci odpowiedzieć na pytania „Kto zrobił co, gdzie i kiedy?”. Są to Logi kontrolne Cloud udostępniane w ramach Projekt Google Cloud został połączony z Twoim projekt Firebase.

Każdy projekt Firebase zawiera tylko logi kontrolne zasobów, które znajdują się bezpośrednio w projekcie.

Ogólne omówienie logów kontrolnych Cloud znajdziesz w artykule Omówienie logów kontrolnych Cloud. Aby lepiej zrozumieć treść audytu format dziennika, zobacz Omówienie dzienników kontrolnych

Dostępne dzienniki kontrolne

W przypadku Sprawdzania aplikacji Firebase dostępne są te typy logów kontrolnych:

• Logi kontrolne aktywności administratora

  Obejmuje „zapis administratora” operacje zapisu metadanych lub konfiguracji i informacjami o nich.

  Nie możesz wyłączyć logów kontrolnych aktywności administratora.

• Logi kontrolne dostępu do danych

  Obejmuje to „odczyt przez administratora” operacje odczytu metadanych lub konfiguracji i informacjami o nich. Obejmuje też „odczyt danych” i „zapis danych” Operacje, które odczyt i zapis danych przekazywanych przez użytkowników.

  Aby otrzymywać logi kontrolne dostępu do danych, musisz je jawnie włączyć.

Bardziej szczegółowe opisy typów logów kontrolnych znajdziesz w artykule Typy dzienników kontrolnych

Operacje podlegające kontroli

Poniżej znajdziesz podsumowanie operacji interfejsu API, które odpowiadają poszczególnym logom kontrolnym. w Sprawdzaniu aplikacji Firebase:

Format dziennika kontrolnego

Wpisy logu kontrolnego zawierają te obiekty:

• Wpis logu, który jest obiektem typu LogEntry. Przydatne pola to między innymi:

  • logName zawiera identyfikator zasobu i typ logu kontrolnego.
  • resource zawiera obiekt docelowy objętej kontrolą.
  • timestamp zawiera czas operacji objętej kontrolą.
  • protoPayload zawiera informacje podlegające kontroli.

• dane logowania kontrolnego, które są obiektem AuditLog przechowywanym w pole protoPayload we wpisie logu.

• Opcjonalne informacje o kontroli dla konkretnej usługi, które są związane z konkretną usługą obiektu. W przypadku starszych integracji ten obiekt jest przechowywany w: serviceData pola obiektu AuditLog; nowsze integracje używają pola metadata.

Informacje o innych polach tych obiektów i o tym, jak je interpretować, znajdziesz w Omówienie dzienników kontrolnych

Nazwa logu

Nazwy zasobów logów kontrolnych Cloud wskazują na projekt Firebase lub inny Google Cloud encja, do której należą dzienniki kontrolne, i informacje o tym, czy dziennik zawiera Dane dotyczące aktywności administratora, dostępu do danych, odmowy dostępu do zasad lub danych logowania zdarzeń systemowych. Na przykład poniżej znajdziesz nazwy logów aktywności administratora na poziomie projektu i dzienniki kontrolne dostępu do danych organizacji. Zmienne oznaczają Identyfikatory projektów i organizacji Firebase.

projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity

organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access

Nazwa usługi

Logi kontrolne Sprawdzania aplikacji Firebase używają nazwy usługi firebaseappcheck.googleapis.com

Pełną listę wszystkich nazw usług Cloud Logging API i odpowiadających im nazw monitorowany typ zasobów, zobacz Mapowanie usług na zasoby.

Typy zasobów

Użycie logów kontrolnych Sprawdzania aplikacji Firebase typ zasobu audited_resource na potrzeby wszystkich logów kontrolnych.

Lista wszystkich typów zasobów monitorowanych przez Cloud Logging i opisowych Więcej informacji zawiera Obserwowane typy zasobów.

Włącz logowanie kontrolne

Logi kontrolne aktywności administratora są zawsze włączone. nie możesz ich wyłączyć.

Logi kontrolne dostępu do danych są domyślnie wyłączone i nie są zapisywane, dopóki nie zostaną wyraźnie włączone (wyjątek to logi kontrolne dostępu do danych dla BigQuery, której nie można wyłączyć).

Instrukcje dotyczące włączania niektórych lub wszystkich logów kontrolnych dostępu do danych znajdziesz w tych artykułach: Skonfiguruj logi dostępu do danych

Uprawnienia i role

Uprawnienia i role Cloud IAM określają możliwość dostępu do logów kontrolnych. w zasobach Google Cloud.

Podczas wyboru Uprawnienia i role związane z logowaniem mają zastosowanie do dla swojego przypadku użycia, weź pod uwagę te kwestie:

• Rola Przeglądający logi (roles/logging.viewer) daje dostęp tylko do odczytu do Logi aktywności administratora, odrzuconych zasad i zdarzeń systemowych. Jeśli masz tylko w tej roli, nie możesz wyświetlać logów kontrolnych dostępu do danych, które znajdują się w _Default zasobnika.

• rola Wyświetlający logi prywatne(roles/logging.privateLogViewer) obejmuje zawarte w usłudze roles/logging.viewer oraz możliwość odczytu Logi kontrolne dostępu do danych w zasobniku _Default.

  Pamiętaj, że jeśli te logi prywatne są przechowywane w zasobnikach definiowanych przez użytkownika, użytkownik mający uprawnienia do odczytu logów w tych zasobnikach może odczytywać logi prywatne dzienników. Więcej informacji o zasobnikach logów znajdziesz w artykule Omówienie routingu i miejsca na dane

Więcej informacji o odpowiednich uprawnieniach i rolach Cloud IAM aby dowiedzieć się więcej o danych dzienników kontrolnych, zapoznaj się z artykułem Kontrola dostępu.

Wyświetl logi

Aby znaleźć i wyświetlić logi kontrolne, musisz znać identyfikator Projekt, folder lub organizacja Firebase, które chcesz wyświetlić dane logowania kontrolnego. Możesz dokładniej określić inne zindeksowane LogEntry, np. resource.type; , aby poznać szczegóły, zapoznaj się z Szybkie znajdowanie wpisów w dzienniku

Oto nazwy dzienników kontrolnych: zawierają zmienne dla argumentu identyfikatory projektu, folderu lub organizacji Firebase:

   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Factivity
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Factivity
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   folders/FOLDER_ID/logs/cloudaudit.googleapis.com%2Fpolicy

   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Factivity
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fdata_access
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fsystem_event
   organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com%2Fpolicy

Logi kontrolne w Cloud Logging możesz wyświetlać za pomocą Konsola Google Cloud, narzędzie wiersza poleceń gcloud lub interfejs Logging API.

gcloud logging read "logName : projects/PROJECT_ID/logs/cloudaudit.googleapis.com" --project=PROJECT_ID

gcloud logging read "logName : folders/FOLDER_ID/logs/cloudaudit.googleapis.com" --folder=FOLDER_ID

gcloud logging read "logName : organizations/ORGANIZATION_ID/logs/cloudaudit.googleapis.com" --organization=ORGANIZATION_ID

Przykładowy wpis w dzienniku kontrolnym wraz z instrukcjami znajdowania najważniejszych Więcej informacji znajdziesz Przykładowy wpis w dzienniku kontrolnym

Logi kontrolne trasy

Możesz przekazywać dzienniki kontrolne do obsługiwanego miejsca docelowe w taki sam sposób, w jaki możesz kierować inne rodzaje logów. Oto Oto kilka powodów, dla których warto kierować dzienniki kontrolne:

• Aby przechowywać logi kontrolne przez dłuższy czas lub korzystać z bardziej zaawansowanych możesz kierować kopie dzienników kontrolnych do Google Cloud Storage, BigQuery lub Google Cloud Pub/Sub. Zastosowanie Cloud Pub/Sub, możesz kierować do innych aplikacji, do repozytoriów innych firm i do innych firm.

• Aby zarządzać dziennikami kontrolnymi w całej organizacji, możesz utworzyć zagregowane ujścia, które mogą logi tras z dowolnego projektu Firebase lub ze wszystkich projektów Firebase w organizacji.

• Jeśli włączone logi kontrolne dostępu do danych powodują przekazywanie projektów Firebase nad przydziałami logów, możesz tworzyć ujścia, wykluczyć logi kontrolne dostępu do danych z usługi Logging.

Instrukcje dotyczące logów routingu znajdziesz w artykule Skonfiguruj ujścia

Ceny

dzienniki kontrolne aktywności administratora oraz Dzienniki kontrolne zdarzeń systemowych są bezpłatne.

dzienniki kontrolne dostępu do danych oraz Logi kontrolne odrzuconych zasad są płatne.

Więcej informacji o opłatach za Cloud Logging znajdziesz na stronie Cennik pakietu operacyjnego Google Cloud: Cloud Logging.