Passer au contenu principal
L’intégration Google Cloud Audit Logs lit les journaux d’audit Admin Activity de tous les projets de votre organisation Google Cloud. Elle collecte les modifications qui rendent un projet utilisable pour Gemini et Vertex AI : création ou restriction de clés API, activation d’API et modifications de la configuration de Vertex AI. L’API Reports de Google Workspace n’inclut pas cette activité.
Les journaux d’audit Admin Activity sont toujours activés et gratuits. Vous n’avez pas besoin d’activer les journaux Data Access ni de créer un récepteur de journaux.

​
Prérequis

  • Une organisation Google Cloud
  • L’autorisation d’attribuer des rôles au niveau de l’organisation
  • Un projet dédié au compte de service Wirespeed, dans lequel vous pouvez créer des comptes de service et des clés et activer des API (par exemple en tant que Owner du projet, ou avec les rôles Service Account Admin, Service Account Key Admin et Service Usage Admin)

​
Rôles requis

Attribuez les deux rôles sur l’organisation, et non sur un projet, afin qu’ils s’appliquent à tous les projets, y compris aux nouveaux :
Les journaux d’audit Admin Activity sont stockés dans le bucket _Required du projet qui les a générés. Wirespeed lit chaque projet directement : les rôles doivent donc être attribués au niveau de l’organisation pour que tous les projets soient couverts.

​
Instructions de configuration

​
Étape 1 : créer un compte de service

  1. Ouvrez la Google Cloud Console.
  2. Sélectionnez un projet dédié à Wirespeed, ou créez-en un. Utilisez un projet sans autre compte de service : si vous devez autoriser la création de clés à l’étape 3, cette exception s’applique à tous les comptes de service du projet.
  3. Accédez à IAM & Admin > Service Accounts.
  4. Cliquez sur Create Service Account.
  5. Saisissez un nom, par exemple wirespeed-audit-logs, puis cliquez sur Create and Continue.
  6. Ignorez les rôles de projet facultatifs et cliquez sur Done.

​
Étape 2 : activer les API

Les requêtes de Wirespeed sont décomptées du quota du projet du compte de service : ces API doivent donc y être activées.
  1. Dans le même projet, accédez à APIs & Services > Library.
  2. Activez l’API Cloud Resource Manager.
  3. Activez l’API Cloud Logging.

​
Étape 3 : créer une clé JSON

  1. Revenez à IAM & Admin > Service Accounts et ouvrez le compte de service que vous avez créé.
  2. Accédez à l’onglet Keys.
  3. Cliquez sur Add Key > Create new key.
  4. Sélectionnez JSON, puis cliquez sur Create. Le fichier de clé se télécharge automatiquement.
  5. Ouvrez le fichier et copiez l’intégralité de son contenu, de l’accolade ouvrante { à l’accolade fermante }.
Conservez ce fichier en lieu sûr. Il donne accès en lecture aux journaux d’audit de votre organisation. Supprimez-le une fois qu’il est enregistré dans Wirespeed.
Si Google indique Service account key creation is disabled, votre organisation applique la règle iam.disableServiceAccountKeyCreation. Les organisations créées depuis mai 2024 l’appliquent par défaut. Un Organization Policy Administrator (roles/orgpolicy.policyAdmin) peut autoriser les clés pour ce seul projet : dans IAM & Admin > Organization Policies, ouvrez Disable service account key creation, choisissez Override parent’s policy et ajoutez une règle avec Enforcement défini sur Off. Il s’agit d’une exception de sécurité à la règle de votre organisation contre les identifiants de longue durée : appliquez-la uniquement au projet dédié à Wirespeed.

​
Étape 4 : attribuer les rôles de l’organisation

  1. Sélectionnez votre organisation dans le sélecteur de projets.
  2. Accédez à IAM & Admin > IAM, puis cliquez sur Grant Access.
  3. Dans New principals, saisissez l’adresse e-mail du compte de service (client_email dans la clé JSON).
  4. Ajoutez les rôles Browser (roles/browser) et Logs Viewer (roles/logging.viewer).
  5. Cliquez sur Save.

​
Étape 5 : trouver l’ID de votre organisation

  1. Votre organisation étant sélectionnée, accédez à IAM & Admin > Settings.
  2. Copiez l’Organization ID.

​
Étape 6 : configurer Wirespeed

  1. Dans Wirespeed, accédez à Intégrations > Ajouter une intégration.
  2. Sélectionnez Google Cloud Audit Logs.
  3. Saisissez l’ID d’organisation obtenu à l’étape 5 et collez la Clé de compte de service obtenue à l’étape 3.
  4. Cliquez sur Enregistrer.
Wirespeed vérifie les deux rôles lors de la connexion de l’intégration. L’attribution des rôles peut prendre quelques minutes : un avertissement affiché juste après la configuration peut disparaître à la vérification suivante.

​
Quels événements sont collectés ?

Wirespeed collecte les entrées des journaux d’audit Admin Activity (cloudaudit.googleapis.com/activity) de tous les projets actifs de l’organisation pour trois services : Chaque entrée conserve l’enregistrement d’audit complet. L’adresse e-mail et l’adresse IP de l’appelant, le projet et la méthode d’API sont disponibles pour la recherche. La première synchronisation lit l’heure précédente. Chaque interrogation lit ensuite la période écoulée depuis la précédente, avec environ cinq minutes de retard sur le temps réel, afin de ne pas manquer les entrées que Cloud Logging n’a pas fini d’enregistrer. Wirespeed actualise la liste des projets toutes les heures. Lorsqu’une actualisation détecte un nouveau projet, Wirespeed lit les journaux de ce projet sur les deux heures précédentes : les modifications effectuées juste après la création d’un projet sont donc bien collectées.
Cloud Logging autorise 60 requêtes de lecture de journaux par minute, et cette limite ne peut pas être augmentée. Wirespeed lit jusqu’à 100 projets par requête : une organisation de 1 000 projets nécessite donc au moins 10 requêtes par interrogation, plus une par page de résultats supplémentaire en cas de forte activité.

​
Détections gérées

Wirespeed analyse les journaux collectés à l’aide de cette détection gérée. Elle est expérimentale le temps que Wirespeed mesure sa fréquence de déclenchement : Les événements liés aux clés API sont collectés pour la recherche, mais ne déclenchent pas de détection. Cloud Audit Logs enregistre la clé des requêtes et réponses API Keys sous forme d’objet vide : le journal n’indique donc pas quelles API une clé peut appeler. Les modifications de la configuration de Vertex AI sont collectées pour la recherche, mais ne déclenchent pas de détection. Les équipes qui utilisent Vertex AI effectuent ces modifications dans leur travail courant, et aucune modification ne permet à elle seule de distinguer un usage abusif d’un usage normal.

​
Dépannage

​
Avertissement : Wirespeed ne peut pas lister les projets

Il manque aux identifiants le rôle Browser (roles/browser) sur l’organisation, ou l’API Cloud Resource Manager est désactivée dans le projet des identifiants. Attribuez le rôle au niveau de l’organisation, puis attendez la prochaine vérification des autorisations.

​
Avertissement : Wirespeed ne peut pas lire Cloud Logging

Il manque aux identifiants le rôle Logs Viewer (roles/logging.viewer) sur l’organisation, ou l’API Cloud Logging est désactivée dans le projet des identifiants. Attribuez le rôle au niveau de l’organisation, puis attendez la prochaine vérification des autorisations.

​
Quota dépassé

Une erreur 429 signifie que le quota de 60 requêtes de lecture de journaux par minute est épuisé, souvent par d’autres outils qui lisent les journaux avec les identifiants du même projet. Wirespeed relit la même période lors de la prochaine interrogation : aucun journal n’est manqué.