Registos de auditoria do Google Workspace

Este documento oferece uma vista geral conceptual dos registos de auditoria que o Google Workspace disponibiliza como parte dos registos de auditoria do Google Cloud.

Para ver informações sobre a gestão dos registos de auditoria do Google Workspace, consulte o artigo Veja e faça a gestão dos registos de auditoria do Google Workspace.

Vista geral

Google Cloud Os serviços escrevem registos de auditoria para ajudar a responder às perguntas "Quem fez o quê, onde e quando?". Pode partilhar os registos de auditoria do Google Workspace com o Google Cloud para armazenar, analisar, monitorizar e enviar alertas sobre os seus dados do Google Workspace.

Os registos de auditoria do Google Workspace estão disponíveis para clientes do Cloud ID, Cloud ID Premium e todos os clientes do Google Workspace.

Se tiver ativado a partilha de dados do Google Workspace com o Google Cloud, os registos de auditoria estão sempre ativados para o Google Workspace.

A desativação da partilha de dados do Google Workspace impede o envio de novos eventos do registo de auditoria do Google Workspace para o Google Cloud. Todos os registos existentes permanecem durante os respetivos períodos de retenção predefinidos, a menos que tenha configurado a retenção personalizada para reter os registos durante um período mais longo.

Se não ativar a partilha de dados do Google Workspace com a marca Google Cloud, não pode ver registos de auditoria do Google Workspace em Google Cloud.

Tipos de registos de auditoria

Os registos de auditoria da atividade do administrador contêm entradas de registo para chamadas API ou outras ações que modificam a configuração ou os metadados dos recursos. Por exemplo, estes registos registam quando os utilizadores criam instâncias de VMs ou alteram as autorizações de gestão de identidade e de acesso (IAM).

Os registos de auditoria de acesso aos dados contêm chamadas API que leem a configuração ou os metadados dos recursos, bem como chamadas API orientadas pelo utilizador que criam, modificam ou leem dados de recursos fornecidos pelos utilizadores. Os registos de auditoria de acesso aos dados não registam as operações de acesso aos dados em recursos que são partilhados publicamente (disponíveis para todos os utilizadores ou todos os utilizadores autenticados) ou aos quais se pode aceder sem iniciar sessão na conta do Google Workspace, Cloud Identity ou Drive Enterprise Google Cloud.

Os serviços do Google Workspace encaminham registos de auditoria para Google Cloud

O Google Workspace fornece os seguintes registos de auditoria ao Google Cloud nível da organização:

• Transparência de acesso: os registos da Transparência de acesso fornecem um registo das ações quando o pessoal da Google acede ao conteúdo do cliente nos seus recursos do Google Workspace. Ao contrário da Transparência de acesso, os registos de auditoria da nuvem registam as ações que os membros da sua Google Cloud organização realizaram nos seus recursos Google Cloud .

  Para mais informações sobre a estrutura dos registos da Transparência de acesso e os tipos de acessos registados, consulte as descrições dos campos de registo.

• Auditoria do administrador do Google Workspace: os registos de auditoria do administrador fornecem um registo das ações realizadas na consola do administrador Google. Por exemplo, pode ver quando um administrador adicionou um utilizador ou ativou um serviço do Google Workspace.

  A auditoria de administrador escreve apenas registos de auditoria de atividade de administrador.

• Auditoria de grupos do Google Workspace Enterprise: os registos de auditoria de grupos Enterprise fornecem um registo das ações realizadas em grupos e associações a grupos. Por exemplo, pode ver quando um administrador adicionou um utilizador ou quando o proprietário de um grupo eliminou o respetivo grupo.

  A auditoria de grupos empresariais escreve apenas registos de auditoria de atividade de administrador.

• Auditoria de início de sessão do Google Workspace: os registos de auditoria de início de sessão monitorizam os inícios de sessão dos utilizadores no seu domínio. Estes registos apenas registam o evento de início de sessão. Não registam que sistema foi usado para realizar a ação de início de sessão.

  A auditoria de início de sessão escreve apenas registos de auditoria de acesso a dados.

• Auditoria de tokens OAuth do Google Workspace: os registos de auditoria de tokens OAuth monitorizam que utilizadores estão a usar que aplicações Web ou para dispositivos móveis de terceiros no seu domínio. Por exemplo, quando um utilizador abre uma app do Google Workspace Marketplace, o registo regista o nome da app e a pessoa que a está a usar. O registo também regista cada vez que uma aplicação de terceiros é autorizada a aceder aos dados da Conta Google, como o Google Contacts, o Calendário e os ficheiros do Drive (apenas no Google Workspace).

  A auditoria de tokens OAuth escreve registos de auditoria de atividade do administrador e de acesso aos dados.

• Auditoria SAML do Google Workspace: os registos de auditoria SAML monitorizam os inícios de sessão bem-sucedidos e com falhas dos utilizadores em aplicações SAML. Normalmente, as entradas aparecem no prazo de uma hora após a ação do utilizador.

  A auditoria de SAML escreve apenas registos de auditoria de acesso aos dados.

Informações específicas do serviço

Seguem-se os detalhes dos registos de auditoria de cada serviço do Google Workspace:

Autorizações de registo de auditoria

As autorizações e as funções da IAM determinam a sua capacidade de aceder aos dados dos registos de auditoria na API Logging, no Explorador de registos e na CLI Google Cloud.

Para obter informações detalhadas sobre as autorizações e as funções de IAM ao nível da organização de que pode precisar, consulte o artigo Controlo de acesso com a IAM.

Formato do registo de auditoria

As entradas do registo de auditoria do Google Workspace incluem os seguintes objetos:

• A própria entrada do registo, que é um objeto do tipo LogEntry. Ao examinar os dados de registo de auditoria, pode considerar o seguinte útil:

  • logName contém o ID da organização e o tipo de registo de auditoria.
  • resource contém o destino da operação auditada.
  • timeStamp contém a hora da operação auditada.
  • protoPayload contém o registo de auditoria do Google Workspace no campo metadata.

O campo protoPayload.metadata contém as informações do Google Workspace auditadas. Segue-se um exemplo de um registo de auditoria do início de sessão:

{
  "protoPayload": {
    "@type": "type.googleapis.com/google.cloud.audit.AuditLog",
    "authenticationInfo": {
      "principalEmail": "test-user@example.net"
    },
    "requestMetadata": {
      "callerIp": "2001:db8:ffff:ffff:ffff:ffff:ffff:ffff",
      "requestAttributes": {},
      "destinationAttributes": {}
    },
    "serviceName": "login.googleapis.com",
    "methodName": "google.login.LoginService.loginFailure",
    "resourceName": "organizations/123",
    "metadata": {
      "event": [
        {
          "eventName": "login_failure",
          "eventType": "login",
          "parameter": [
            {
              "value": "google_password",
              "type": "TYPE_STRING",
              "name": "login_type",
            },
            {
              "name": "login_challenge_method",
              "type": "TYPE_STRING",
              "label": "LABEL_REPEATED",
              "multiStrValue": [
                "password",
                "idv_preregistered_phone",
                "idv_preregistered_phone"
              ]
            },
          ]
        }
      ],
      "activityId": {
        "uniqQualifier": "358068855354",
        "timeUsec": "1632500217183212"
      },
      "@type": "type.googleapis.com/ccc_hosted_reporting.ActivityProto"
    }
  },
  "insertId": "-nahbepd4l1x",
  "resource": {
    "type": "audited_resource",
    "labels": {
      "method": "google.login.LoginService.loginFailure",
      "service": "login.googleapis.com"
    }
  },
  "timestamp": "2021-09-24T16:16:57.183212Z",
  "severity": "NOTICE",
  "logName": "organizations/123/logs/cloudaudit.googleapis.com%2Fdata_access",
  "receiveTimestamp": "2021-09-24T17:51:25.034361197Z"
}

Para obter informações sobre os campos de registo de auditoria específicos do serviço e como os interpretar, selecione os serviços apresentados em Registos de auditoria disponíveis.

Ver registos

Para ver informações sobre como ver os registos de auditoria do Google Workspace, consulte o artigo Veja e faça a gestão dos registos de auditoria do Google Workspace.

Encaminhe registos de auditoria

Pode encaminhar os registos de auditoria do Google Workspace do Cloud Logging para destinos suportados, incluindo outros contentores do Logging.

Seguem-se algumas aplicações para encaminhar registos de auditoria:

• Para usar capacidades de pesquisa mais poderosas, pode encaminhar cópias dos seus registos de auditoria para o Cloud Storage, o BigQuery ou o Pub/Sub. Com o Pub/Sub, pode encaminhar para outras aplicações, outros repositórios e terceiros.

• Para gerir os registos de auditoria numa organização inteira, pode criar destinos agregados que combinam e encaminham registos de todos os Google Cloud projetos, contas de faturação e pastas contidos na sua organização. Por exemplo, pode agregar e encaminhar entradas do registo de auditoria das pastas de uma organização para um contentor do Cloud Storage.

Para ver instruções sobre o encaminhamento de registos, consulte o artigo Encaminhe registos para destinos suportados.

Regionalização

Não pode escolher uma região onde os seus registos do Google Workspace são armazenados. Os registos do Google Workspace não estão abrangidos pela Política de Região de Dados do Google Workspace.

Períodos de retenção

Os seguintes períodos de retenção aplicam-se aos dados dos registos de auditoria:

• Política de retenção de dados no Google Workspace.

• Política de retenção de dados no Google Cloud Cloud Logging.

Para cada organização, o Cloud Logging armazena automaticamente registos em dois contentores: um contentor _Default e um contentor _Required. O contentor _Required contém registos de auditoria da atividade do administrador, registos de auditoria de eventos do sistema e registos da Transparência de acesso. O contentor _Default contém todas as outras entradas do registo que não estão armazenadas no contentor _Required. Para mais informações sobre os contentores de registo, consulte a Vista geral do encaminhamento e armazenamento.

Pode configurar o Cloud Logging para reter os registos no contentor de registos _Default durante um período que varia entre 1 dia e 3650 dias.

Para atualizar o período de retenção do contentor de registos _Default, consulte o artigo Retenção personalizada.

Não pode alterar o período de retenção no contentor _Required.

Quotas e limites

As mesmas quotas aplicam-se aos registos de auditoria do Google Workspace e aos registos de auditoria na nuvem.

Para ver detalhes acerca destes limites de utilização, incluindo os tamanhos máximos dos registos de auditoria, consulte o artigo Quotas e limites.

Preços

Para informações sobre preços, consulte os preços do Google Cloud Observability.

O que se segue?

• Saiba como configurar e gerir os registos de auditoria do Google Workspace.
• Reveja as práticas recomendadas para os registos de auditoria do Cloud.
• Saiba como ver e compreender os registos da Transparência de acesso para o Google Workspace.