> ## Documentation Index > Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt > Use this file to discover all available pages before exploring further. # Google Cloud Audit Logs > Supervisar cambios de claves API, Service Usage y Vertex AI en todos los proyectos de su organización de Google Cloud La integración de Google Cloud Audit Logs lee los registros de auditoría Admin Activity de todos los proyectos de su organización de Google Cloud. Recopila los cambios que hacen que un proyecto sea usable para Gemini y Vertex AI: creación o restricción de claves API, habilitación de API y cambios de configuración de Vertex AI. La API de Google Workspace Reports no incluye esta actividad. > [!NOTE] > > Los registros de auditoría Admin Activity siempre están activados y son gratuitos. No necesita habilitar > los registros Data Access ni crear un log sink. ## Requisitos previos * Una organización de Google Cloud * Permiso para conceder roles a nivel de **organización** * Un proyecto dedicado a la cuenta de servicio de Wirespeed, donde pueda crear cuentas de servicio y claves y habilitar API (por ejemplo como **Owner** del proyecto, o con **Service Account Admin**, **Service Account Key Admin** y **Service Usage Admin**) ## Roles necesarios Conceda ambos roles en la **organización**, no en un proyecto, para que se apliquen a todos los proyectos, incluidos los nuevos: | Rol | Por qué lo necesita Wirespeed | | - | - | | **Browser** (`roles/browser`) | Enumera los proyectos de la organización | | **Logs Viewer** (`roles/logging.viewer`) | Lee los registros de auditoría Admin Activity de cada proyecto | > [!WARNING] > > Los registros de auditoría Admin Activity se almacenan en el bucket `_Required` del proyecto > que los generó. Wirespeed lee cada proyecto directamente, de modo que los roles deben > concederse a nivel de organización para que queden cubiertos todos los proyectos. ## Instrucciones de configuración ### Paso 1: Crear una cuenta de servicio 1. Abra la [Google Cloud Console](https://console.cloud.google.com/). 2. Seleccione un proyecto dedicado a Wirespeed, o cree uno. Use un proyecto sin otras cuentas de servicio: si debe permitir la creación de claves en el paso 3, esa excepción se aplica a todas las cuentas de servicio del proyecto. 3. Vaya a **IAM & Admin** > **Service Accounts**. 4. Haga clic en **Create Service Account**. 5. Introduzca un nombre, por ejemplo `wirespeed-audit-logs`, y haga clic en **Create and Continue**. 6. Omita los roles opcionales del proyecto y haga clic en **Done**. ### Paso 2: Habilitar las API Las solicitudes de Wirespeed cuentan contra la cuota del proyecto de la cuenta de servicio, de modo que estas API deben estar habilitadas allí: 1. En el mismo proyecto, vaya a **APIs & Services** > **Library**. 2. Habilite la **Cloud Resource Manager API**. 3. Habilite la **Cloud Logging API**. ### Paso 3: Crear una clave JSON 1. Vuelva a **IAM & Admin** > **Service Accounts** y abra la cuenta de servicio que creó. 2. Vaya a la pestaña **Keys**. 3. Haga clic en **Add Key** > **Create new key**. 4. Seleccione **JSON** y haga clic en **Create**. El archivo de la clave se descarga automáticamente. 5. Abra el archivo y copie todo su contenido, desde la `{` de apertura hasta la `}` de cierre. > [!WARNING] > > Mantenga este archivo seguro. Concede acceso de lectura a los registros de auditoría de su organización. Elimínelo una vez guardado en Wirespeed. > [!WARNING] > > Si Google indica **Service account key creation is disabled**, su > organización aplica la política `iam.disableServiceAccountKeyCreation`. > Las organizaciones creadas desde mayo de 2024 la aplican de forma predeterminada. Un > **Organization Policy Administrator** (`roles/orgpolicy.policyAdmin`) puede > permitir claves solo para este proyecto: en **IAM & Admin** > **Organization > Policies**, abra **Disable service account key creation**, elija > **Override parent's policy** y añada una regla con **Enforcement** establecido en > **Off**. Se trata de una excepción de seguridad a la política de su organización contra > credenciales de larga duración, así que aplíquela solo al proyecto dedicado de Wirespeed. ### Paso 4: Conceder los roles de la organización 1. Seleccione su **organización** en el selector de proyectos. 2. Vaya a **IAM & Admin** > **IAM** y haga clic en **Grant Access**. 3. En **New principals**, introduzca el correo electrónico de la cuenta de servicio (`client_email` en la clave JSON). 4. Añada los roles **Browser** (`roles/browser`) y **Logs Viewer** (`roles/logging.viewer`). 5. Haga clic en **Save**. ### Paso 5: Buscar el ID de su organización 1. Con su organización seleccionada, vaya a **IAM & Admin** > **Settings**. 2. Copie el **Organization ID**. ### Paso 6: Configurar Wirespeed 1. En Wirespeed, vaya a Integraciones > [**Añadir integración**](https://app.wirespeed.co/settings/integrations?tab=browse). 2. Seleccione **Google Cloud Audit Logs**. 3. Introduzca el **Organization ID** del paso 5 y pegue la **Service account key** del paso 3. 4. Haga clic en **Guardar**. Wirespeed comprueba ambos roles cuando se conecta la integración. Las concesiones de roles pueden tardar unos minutos en aplicarse, de modo que una advertencia justo después de la configuración puede desaparecer en la siguiente comprobación. ## ¿Qué eventos se recopilan? Wirespeed recopila entradas de registro de auditoría Admin Activity (`cloudaudit.googleapis.com/activity`) de todos los proyectos activos de la organización para tres servicios: | Servicio | Ejemplos | | - | - | | API Keys (`apikeys.googleapis.com`) | claves API creadas, actualizadas, eliminadas o restauradas | | Service Usage (`serviceusage.googleapis.com`) | API habilitadas o deshabilitadas en un proyecto | | Vertex AI (`aiplatform.googleapis.com`) | Endpoints, modelos, conjuntos de datos, trabajos y otros recursos de Vertex AI creados, modificados o eliminados | Cada entrada conserva el registro de auditoría completo, con el correo del autor de la llamada, la dirección IP del autor de la llamada, el proyecto y el método de API disponibles para la búsqueda. La primera sincronización lee la hora anterior. Cada sondeo lee a continuación la ventana desde el anterior, unos cinco minutos por detrás del tiempo real para que no se omitan las entradas que Cloud Logging aún no ha terminado de almacenar. Wirespeed actualiza la lista de proyectos cada hora. Cuando una actualización encuentra un proyecto nuevo, Wirespeed lee los registros de ese proyecto de las dos horas anteriores, de modo que los cambios realizados justo después de crear un proyecto también se recopilan. > [!NOTE] > > Cloud Logging permite 60 solicitudes de lectura de registros por minuto, y el límite no se puede > aumentar. Wirespeed lee hasta 100 proyectos por solicitud, de modo que una organización > con 1000 proyectos necesita al menos 10 solicitudes por sondeo, más una por cada > página adicional de resultados cuando hay mucha actividad. ## Detecciones gestionadas Wirespeed evalúa los registros recopilados con esta detección gestionada. Es experimental mientras Wirespeed mide con qué frecuencia se dispara: | Detección | Actividad | | - | - | | AI API enabled | La Gemini API o la Vertex AI API se habilita en un proyecto | Los eventos de claves API se recopilan para búsqueda pero no generan una detección. Cloud Audit Logs registra la clave en las solicitudes y respuestas de API Keys como un objeto vacío, de modo que el registro no muestra a qué API puede llamar una clave. Los cambios de configuración de Vertex AI se recopilan para búsqueda pero no generan una detección. Los equipos que usan Vertex AI realizan estos cambios como parte del trabajo normal, y ningún cambio concreto separa de forma fiable el uso indebido del uso legítimo. ## Resolución de problemas ### Advertencia: Wirespeed no puede enumerar proyectos A las credenciales les falta **Browser** (`roles/browser`) en la organización, o la Cloud Resource Manager API está deshabilitada en el proyecto de las credenciales. Conceda el rol a nivel de organización y, a continuación, espere a la siguiente comprobación de permisos. ### Advertencia: Wirespeed no puede leer Cloud Logging A las credenciales les falta **Logs Viewer** (`roles/logging.viewer`) en la organización, o la Cloud Logging API está deshabilitada en el proyecto de las credenciales. Conceda el rol a nivel de organización y, a continuación, espere a la siguiente comprobación de permisos. ### Cuota superada Un error `429` significa que se agotó la cuota de lectura de registros de 60 solicitudes por minuto, a menudo por otras herramientas que leen registros con las mismas credenciales del proyecto. Wirespeed reintenta la misma ventana en el siguiente sondeo, de modo que no se omiten registros. This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.