Cloud Key Management Service 稽核記錄

Cloud Key Management Service 即將更新資料存取稽核記錄項目的 protoPayload 欄位格式。在遷移期間,資料存取稽核記錄項目中的 protoPayload 將維持向後相容性。不過,新的或未來的程式碼應用程式應使用建議的替代欄位,如下所示:

建議的取代欄位 已淘汰的欄位 說明
protoPayload.status.details protoPayload.metadata EXTERNAL 的錯誤詳細資料 (即Cloud EKM) 金鑰作業。
protoPayload.metadata.entries.caller_provided_context protoPayload.request.caller_provided_context 與這項 Cloud KMS 作業相關聯的呼叫端內容。


本文說明 Cloud Key Management Service 的稽核記錄。 Google Cloud 服務會產生稽核記錄,記錄資源中的管理和存取活動。 Google Cloud 如要進一步瞭解 Cloud 稽核記錄,請參閱下列文章:

服務名稱

Cloud Key Management Service 稽核記錄會使用服務名稱 cloudkms.googleapis.com。篩選這項服務:

    protoPayload.serviceName="cloudkms.googleapis.com"
  

依權限類型劃分的方法

每個 IAM 權限都有 type 屬性,其值為列舉,可以是下列四個值之一:ADMIN_READADMIN_WRITEDATA_READDATA_WRITE。呼叫方法時,Cloud Key Management Service 會產生稽核記錄,記錄的類別取決於執行方法所需權限的 type 屬性。 如果方法需要 IAM 權限,且 type 屬性值為 DATA_READDATA_WRITEADMIN_READ,就會產生「資料存取」稽核記錄。需要 IAM 權限且 type 屬性值為 ADMIN_WRITE 的方法,會產生管理員活動稽核記錄。

下列清單中標示 (LRO) 的 API 方法,都是長時間執行的作業 (LRO)。這些方法通常會產生兩筆稽核記錄項目:一筆是在作業開始時產生,另一筆則是在作業結束時產生。詳情請參閱長時間執行的作業的稽核記錄
權限類型 方法
ADMIN_READ google.cloud.kms.v1.Autokey.GetKeyHandle
google.cloud.kms.v1.Autokey.ListKeyHandles
google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
GetEkmConfig
GetEkmConnection
ListEkmConnections
VerifyConnectivity
GetCryptoKey
GetCryptoKeyVersion
GetImportJob
GetKeyRing
ListCryptoKeyVersions
ListCryptoKeys
ListImportJobs
ListKeyRings
GetIamPolicy
GetOperation
ADMIN_WRITE google.cloud.kms.v1.Autokey.CreateKeyHandle (LRO)
google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
CreateEkmConnection
UpdateEkmConfig
UpdateEkmConnection
CreateCryptoKey
CreateCryptoKeyVersion
CreateImportJob
CreateKeyRing
DestroyCryptoKeyVersion
ImportCryptoKeyVersion
RestoreCryptoKeyVersion
UpdateCryptoKey
UpdateCryptoKeyPrimaryVersion
UpdateCryptoKeyVersion
SetIamPolicy
DATA_READ AsymmetricDecrypt
AsymmetricSign
Decrypt
Encrypt
GetPublicKey
MacSign
MacVerify
RawDecrypt
RawEncrypt

API 介面稽核記錄

如要瞭解系統如何評估每種方法的權限,請參閱 Cloud Key Management Service 的 Identity and Access Management 說明文件。

google.cloud.kms.v1.Autokey

下列稽核記錄與屬於 google.cloud.kms.v1.Autokey 的方法相關聯。

CreateKeyHandle

  • 方法google.cloud.kms.v1.Autokey.CreateKeyHandle
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.keyHandles.create - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業長時間執行的作業
  • 篩選這個方法 protoPayload.methodName="google.cloud.kms.v1.Autokey.CreateKeyHandle"

GetKeyHandle

  • 方法google.cloud.kms.v1.Autokey.GetKeyHandle
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.keyHandles.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="google.cloud.kms.v1.Autokey.GetKeyHandle"

ListKeyHandles

  • 方法google.cloud.kms.v1.Autokey.ListKeyHandles
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.keyHandles.list - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="google.cloud.kms.v1.Autokey.ListKeyHandles"

google.cloud.kms.v1.AutokeyAdmin

下列稽核記錄與屬於 google.cloud.kms.v1.AutokeyAdmin 的方法相關聯。

GetAutokeyConfig

  • 方法google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.autokeyConfigs.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.GetAutokeyConfig"

ShowEffectiveAutokeyConfig

  • 方法google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.projects.showEffectiveAutokeyConfig - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.ShowEffectiveAutokeyConfig"

UpdateAutokeyConfig

  • 方法google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.autokeyConfigs.update - ADMIN_WRITE
    • cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="google.cloud.kms.v1.AutokeyAdmin.UpdateAutokeyConfig"

google.cloud.kms.v1.EkmService

下列稽核記錄與屬於 google.cloud.kms.v1.EkmService 的方法相關聯。

CreateEkmConnection

  • 方法CreateEkmConnection
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.ekmConnections.create - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="CreateEkmConnection"

GetEkmConfig

  • 方法GetEkmConfig
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.ekmConfigs.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetEkmConfig"

GetEkmConnection

  • 方法GetEkmConnection
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.ekmConnections.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetEkmConnection"

ListEkmConnections

  • 方法ListEkmConnections
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.ekmConnections.list - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="ListEkmConnections"

UpdateEkmConfig

  • 方法UpdateEkmConfig
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.ekmConfigs.update - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="UpdateEkmConfig"

UpdateEkmConnection

  • 方法UpdateEkmConnection
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.ekmConnections.update - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="UpdateEkmConnection"

VerifyConnectivity

  • 方法VerifyConnectivity
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.ekmConnections.verifyConnectivity - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="VerifyConnectivity"

google.cloud.kms.v1.KeyManagementService

下列稽核記錄與屬於 google.cloud.kms.v1.KeyManagementService 的方法相關聯。

AsymmetricDecrypt

  • 方法AsymmetricDecrypt
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="AsymmetricDecrypt"

AsymmetricSign

  • 方法AsymmetricSign
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.useToSign - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="AsymmetricSign"

CreateCryptoKey

  • 方法CreateCryptoKey
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeys.create - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="CreateCryptoKey"

CreateCryptoKeyVersion

  • 方法CreateCryptoKeyVersion
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="CreateCryptoKeyVersion"

CreateImportJob

  • 方法CreateImportJob
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.importJobs.create - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="CreateImportJob"

CreateKeyRing

  • 方法CreateKeyRing
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.keyRings.create - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="CreateKeyRing"

Decrypt

  • 方法Decrypt
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="Decrypt"

DestroyCryptoKeyVersion

  • 方法DestroyCryptoKeyVersion
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeyVersions.destroy - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="DestroyCryptoKeyVersion"

Encrypt

  • 方法Encrypt
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="Encrypt"

GetCryptoKey

  • 方法GetCryptoKey
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeys.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetCryptoKey"

GetCryptoKeyVersion

  • 方法GetCryptoKeyVersion
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetCryptoKeyVersion"

GetImportJob

  • 方法GetImportJob
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.importJobs.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetImportJob"

GetKeyRing

  • 方法GetKeyRing
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.keyRings.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetKeyRing"

GetPublicKey

  • 方法GetPublicKey
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.viewPublicKey - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetPublicKey"

ImportCryptoKeyVersion

  • 方法ImportCryptoKeyVersion
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeyVersions.create - ADMIN_WRITE
    • cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
    • cloudkms.importJobs.useToImport - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="ImportCryptoKeyVersion"

ListCryptoKeyVersions

  • 方法ListCryptoKeyVersions
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.list - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="ListCryptoKeyVersions"

ListCryptoKeys

  • 方法ListCryptoKeys
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeys.list - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="ListCryptoKeys"

ListImportJobs

  • 方法ListImportJobs
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.importJobs.list - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="ListImportJobs"

ListKeyRings

  • 方法ListKeyRings
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.keyRings.list - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="ListKeyRings"

MacSign

  • 方法MacSign
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.useToSign - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="MacSign"

MacVerify

  • 方法MacVerify
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.useToVerify - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="MacVerify"

RawDecrypt

  • 方法RawDecrypt
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.useToDecrypt - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="RawDecrypt"

RawEncrypt

  • 方法RawEncrypt
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeyVersions.useToEncrypt - DATA_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="RawEncrypt"

RestoreCryptoKeyVersion

  • 方法RestoreCryptoKeyVersion
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeyVersions.restore - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="RestoreCryptoKeyVersion"

UpdateCryptoKey

  • 方法UpdateCryptoKey
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeys.update - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="UpdateCryptoKey"

UpdateCryptoKeyPrimaryVersion

  • 方法UpdateCryptoKeyPrimaryVersion
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeys.update - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="UpdateCryptoKeyPrimaryVersion"

UpdateCryptoKeyVersion

  • 方法UpdateCryptoKeyVersion
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeyVersions.update - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="UpdateCryptoKeyVersion"

google.iam.v1.IAMPolicy

下列稽核記錄與屬於 google.iam.v1.IAMPolicy 的方法相關聯。

GetIamPolicy

  • 方法GetIamPolicy
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.cryptoKeys.getIamPolicy - ADMIN_READ
    • cloudkms.keyRings.getIamPolicy - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetIamPolicy"

SetIamPolicy

  • 方法SetIamPolicy
  • 稽核記錄類型管理員活動
  • 權限
    • cloudkms.cryptoKeys.setIamPolicy - ADMIN_WRITE
    • cloudkms.keyRings.setIamPolicy - ADMIN_WRITE
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="SetIamPolicy"

google.longrunning.Operations

下列稽核記錄與屬於 google.longrunning.Operations 的方法相關聯。

GetOperation

  • 方法GetOperation
  • 稽核記錄類型資料存取
  • 權限
    • cloudkms.operations.get - ADMIN_READ
  • 方法是長時間執行的作業或串流作業: 否。
  • 篩選這個方法 protoPayload.methodName="GetOperation"

不會產生稽核記錄的方法

方法可能不會產生稽核記錄,原因如下:

  • 這項方法會產生大量記錄,因此記錄產生和儲存成本相當高。
  • 稽核價值偏低。
  • 其他稽核或平台記錄已提供方法涵蓋範圍。

下列方法不會產生稽核記錄:

  • google.cloud.kms.v1.KeyManagementService.GenerateRandomBytes
  • google.cloud.location.Locations.GetLocation
  • google.cloud.location.Locations.ListLocations