Zum Hauptinhalt springen
Die Integration Google Cloud Audit Logs liest die Admin-Activity-Audit-Protokolle aller Projekte Ihrer Google-Cloud-Organisation. Sie erfasst die Änderungen, die ein Projekt für Gemini und Vertex AI nutzbar machen: erstellte oder eingeschränkte API-Schlüssel, aktivierte APIs und Änderungen an der Konfiguration von Vertex AI. Die Reports API von Google Workspace enthält diese Aktivität nicht.
Admin-Activity-Audit-Protokolle sind immer aktiviert und kostenlos. Sie müssen weder Data-Access-Protokolle aktivieren noch eine Log-Senke erstellen.

​
Voraussetzungen

  • Eine Google-Cloud-Organisation
  • Die Berechtigung, Rollen auf Organisationsebene zu vergeben
  • Ein eigenes Projekt für das Wirespeed-Dienstkonto, in dem Sie Dienstkonten und Schlüssel erstellen und APIs aktivieren können (zum Beispiel als Owner des Projekts oder mit Service Account Admin, Service Account Key Admin und Service Usage Admin)

​
Erforderliche Rollen

Vergeben Sie beide Rollen für die Organisation, nicht für ein Projekt, damit sie für alle Projekte gelten, auch für neue:
Admin-Activity-Audit-Protokolle werden im Bucket _Required des Projekts gespeichert, in dem sie entstanden sind. Wirespeed liest jedes Projekt direkt. Die Rollen müssen daher auf Organisationsebene vergeben werden, damit alle Projekte abgedeckt sind.

​
Einrichtungsanleitung

​
Schritt 1: Dienstkonto erstellen

  1. Öffnen Sie die Google Cloud Console.
  2. Wählen Sie ein eigenes Projekt für Wirespeed oder erstellen Sie eines. Verwenden Sie ein Projekt ohne weitere Dienstkonten: Falls Sie in Schritt 3 das Erstellen von Schlüsseln zulassen müssen, gilt diese Ausnahme für alle Dienstkonten im Projekt.
  3. Gehen Sie zu IAM & Admin > Service Accounts.
  4. Klicken Sie auf Create Service Account.
  5. Geben Sie einen Namen ein, zum Beispiel wirespeed-audit-logs, und klicken Sie auf Create and Continue.
  6. Überspringen Sie die optionalen Projektrollen und klicken Sie auf Done.

​
Schritt 2: APIs aktivieren

Die Anfragen von Wirespeed werden auf das Kontingent des Projekts des Dienstkontos angerechnet, daher müssen diese APIs dort aktiviert sein:
  1. Gehen Sie im selben Projekt zu APIs & Services > Library.
  2. Aktivieren Sie die Cloud Resource Manager API.
  3. Aktivieren Sie die Cloud Logging API.

​
Schritt 3: JSON-Schlüssel erstellen

  1. Kehren Sie zu IAM & Admin > Service Accounts zurück und öffnen Sie das erstellte Dienstkonto.
  2. Wechseln Sie zum Tab Keys.
  3. Klicken Sie auf Add Key > Create new key.
  4. Wählen Sie JSON und klicken Sie auf Create. Die Schlüsseldatei wird automatisch heruntergeladen.
  5. Öffnen Sie die Datei und kopieren Sie ihren gesamten Inhalt, von der öffnenden { bis zur schließenden }.
Bewahren Sie diese Datei sicher auf. Sie gewährt Lesezugriff auf die Audit-Protokolle Ihrer Organisation. Löschen Sie sie, sobald sie in Wirespeed gespeichert ist.
Meldet Google Service account key creation is disabled, erzwingt Ihre Organisation die Richtlinie iam.disableServiceAccountKeyCreation. Organisationen, die seit Mai 2024 erstellt wurden, erzwingen sie standardmäßig. Ein Organization Policy Administrator (roles/orgpolicy.policyAdmin) kann Schlüssel nur für dieses Projekt zulassen: Öffnen Sie unter IAM & Admin > Organization Policies die Richtlinie Disable service account key creation, wählen Sie Override parent’s policy und fügen Sie eine Regel hinzu, bei der Enforcement auf Off steht. Dies ist eine Sicherheitsausnahme von der Richtlinie Ihrer Organisation gegen langlebige Zugangsdaten. Wenden Sie sie daher nur auf das eigene Wirespeed-Projekt an.

​
Schritt 4: Organisationsrollen vergeben

  1. Wählen Sie in der Projektauswahl Ihre Organisation.
  2. Gehen Sie zu IAM & Admin > IAM und klicken Sie auf Grant Access.
  3. Geben Sie unter New principals die E-Mail-Adresse des Dienstkontos ein (client_email im JSON-Schlüssel).
  4. Fügen Sie die Rollen Browser (roles/browser) und Logs Viewer (roles/logging.viewer) hinzu.
  5. Klicken Sie auf Save.

​
Schritt 5: Organisations-ID ermitteln

  1. Gehen Sie bei ausgewählter Organisation zu IAM & Admin > Settings.
  2. Kopieren Sie die Organization ID.

​
Schritt 6: Wirespeed konfigurieren

  1. Gehen Sie in Wirespeed zu Integrationen > Integration hinzufügen.
  2. Wählen Sie Google Cloud Audit Logs.
  3. Geben Sie die Organisations-ID aus Schritt 5 ein und fügen Sie den Dienstkontoschlüssel aus Schritt 3 ein.
  4. Klicken Sie auf Speichern.
Wirespeed prüft beim Verbinden der Integration beide Rollen. Die Vergabe von Rollen kann einige Minuten dauern, daher kann eine Warnung direkt nach der Einrichtung bei der nächsten Prüfung verschwinden.

​
Welche Ereignisse werden erfasst?

Wirespeed erfasst Einträge der Admin-Activity-Audit-Protokolle (cloudaudit.googleapis.com/activity) aus allen aktiven Projekten der Organisation für drei Dienste: Jeder Eintrag behält den vollständigen Audit-Datensatz. E-Mail-Adresse und IP-Adresse des Aufrufers, das Projekt und die API-Methode stehen für die Suche zur Verfügung. Die erste Synchronisierung liest die vorangegangene Stunde. Jede Abfrage liest danach den Zeitraum seit der letzten, etwa fünf Minuten hinter Echtzeit, damit Einträge, die Cloud Logging noch nicht vollständig gespeichert hat, nicht übersprungen werden. Wirespeed aktualisiert die Projektliste stündlich. Findet eine Aktualisierung ein neues Projekt, liest Wirespeed dessen Protokolle der letzten zwei Stunden. So werden auch Änderungen direkt nach dem Erstellen eines Projekts erfasst.
Cloud Logging erlaubt 60 Leseanfragen für Protokolle pro Minute, und dieses Limit lässt sich nicht erhöhen. Wirespeed liest bis zu 100 Projekte pro Anfrage, sodass eine Organisation mit 1.000 Projekten mindestens 10 Anfragen pro Abfrage benötigt, bei hoher Aktivität zuzüglich einer Anfrage für jede weitere Ergebnisseite.

​
Verwaltete Detektionen

Wirespeed wertet die erfassten Protokolle mit dieser verwalteten Detektion aus. Sie ist experimentell, solange Wirespeed misst, wie oft sie auslöst: Ereignisse zu API-Schlüsseln werden für die Suche erfasst, lösen aber keine Detektion aus. Cloud Audit Logs speichert den Schlüssel in Anfragen und Antworten von API Keys als leeres Objekt, daher geht aus dem Protokoll nicht hervor, welche APIs ein Schlüssel aufrufen kann. Änderungen an der Konfiguration von Vertex AI werden für die Suche erfasst, lösen aber keine Detektion aus. Teams, die Vertex AI nutzen, nehmen diese Änderungen im normalen Arbeitsalltag vor, und keine einzelne Änderung unterscheidet zuverlässig Missbrauch von regulärer Nutzung.

​
Fehlerbehebung

​
Warnung: Wirespeed kann keine Projekte auflisten

Den Zugangsdaten fehlt die Rolle Browser (roles/browser) für die Organisation, oder die Cloud Resource Manager API ist im Projekt der Zugangsdaten deaktiviert. Vergeben Sie die Rolle auf Organisationsebene und warten Sie die nächste Berechtigungsprüfung ab.

​
Warnung: Wirespeed kann Cloud Logging nicht lesen

Den Zugangsdaten fehlt die Rolle Logs Viewer (roles/logging.viewer) für die Organisation, oder die Cloud Logging API ist im Projekt der Zugangsdaten deaktiviert. Vergeben Sie die Rolle auf Organisationsebene und warten Sie die nächste Berechtigungsprüfung ab.

​
Kontingent überschritten

Ein 429-Fehler bedeutet, dass das Kontingent von 60 Leseanfragen für Protokolle pro Minute aufgebraucht ist, häufig durch andere Tools, die mit den Zugangsdaten desselben Projekts Protokolle lesen. Wirespeed liest bei der nächsten Abfrage denselben Zeitraum erneut, sodass keine Protokolle übersprungen werden.