> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# Google Cloud Audit Logs

> Surveillez les modifications des clés API, de Service Usage et de Vertex AI dans tous les projets de votre organisation Google Cloud

L’intégration Google Cloud Audit Logs lit les journaux d’audit Admin Activity
de tous les projets de votre organisation Google Cloud. Elle collecte les
modifications qui rendent un projet utilisable pour Gemini et Vertex AI :
création ou restriction de clés API, activation d’API et modifications de la
configuration de Vertex AI. L’API Reports de Google Workspace n’inclut pas
cette activité.

> [!NOTE]
>
> Les journaux d’audit Admin Activity sont toujours activés et gratuits. Vous
> n’avez pas besoin d’activer les journaux Data Access ni de créer un récepteur
> de journaux.

## Prérequis

* Une organisation Google Cloud
* L’autorisation d’attribuer des rôles au niveau de l’**organisation**
* Un projet dédié au compte de service Wirespeed,
  dans lequel vous pouvez créer des comptes de service et des clés et activer
  des API (par exemple en tant que **Owner** du projet, ou avec les rôles
  **Service Account Admin**, **Service Account Key Admin** et **Service Usage
  Admin**)

## Rôles requis

Attribuez les deux rôles sur l’**organisation**, et non sur un projet, afin
qu’ils s’appliquent à tous les projets, y compris aux nouveaux :

| Rôle | Pourquoi Wirespeed en a besoin |
| - | - |
| **Browser** (`roles/browser`) | Lister les projets de l’organisation |
| **Logs Viewer** (`roles/logging.viewer`) | Lire les journaux d’audit Admin Activity de chaque projet |

> [!WARNING]
>
> Les journaux d’audit Admin Activity sont stockés dans le bucket `_Required`
> du projet qui les a générés. Wirespeed lit chaque projet directement : les
> rôles doivent donc être attribués au niveau de l’organisation pour que tous
> les projets soient couverts.

## Instructions de configuration

### Étape 1 : créer un compte de service

1. Ouvrez la [Google Cloud Console](https://console.cloud.google.com/).
2. Sélectionnez un projet dédié à Wirespeed, ou créez-en un. Utilisez un projet sans autre compte de service : si vous devez autoriser la création de clés à l’étape 3, cette exception s’applique à tous les comptes de service du projet.
3. Accédez à **IAM & Admin** > **Service Accounts**.
4. Cliquez sur **Create Service Account**.
5. Saisissez un nom, par exemple `wirespeed-audit-logs`, puis cliquez sur **Create and Continue**.
6. Ignorez les rôles de projet facultatifs et cliquez sur **Done**.

### Étape 2 : activer les API

Les requêtes de Wirespeed sont décomptées du quota du projet du compte de
service : ces API doivent donc y être activées.

1. Dans le même projet, accédez à **APIs & Services** > **Library**.
2. Activez l’**API Cloud Resource Manager**.
3. Activez l’**API Cloud Logging**.

### Étape 3 : créer une clé JSON

1. Revenez à **IAM & Admin** > **Service Accounts** et ouvrez le compte de service que vous avez créé.
2. Accédez à l’onglet **Keys**.
3. Cliquez sur **Add Key** > **Create new key**.
4. Sélectionnez **JSON**, puis cliquez sur **Create**. Le fichier de clé se télécharge automatiquement.
5. Ouvrez le fichier et copiez l’intégralité de son contenu, de l’accolade ouvrante `{` à l’accolade fermante `}`.

> [!WARNING]
>
> Conservez ce fichier en lieu sûr. Il donne accès en lecture aux journaux d’audit de votre organisation. Supprimez-le une fois qu’il est enregistré dans Wirespeed.

> [!WARNING]
>
> Si Google indique **Service account key creation is disabled**, votre
> organisation applique la règle `iam.disableServiceAccountKeyCreation`. Les
> organisations créées depuis mai 2024 l’appliquent par défaut. Un
> **Organization Policy Administrator** (`roles/orgpolicy.policyAdmin`) peut
> autoriser les clés pour ce seul projet : dans **IAM & Admin** >
> **Organization Policies**, ouvrez **Disable service account key creation**,
> choisissez **Override parent's policy** et ajoutez une règle avec
> **Enforcement** défini sur **Off**. Il s’agit d’une exception de sécurité à
> la règle de votre organisation contre les identifiants de longue durée :
> appliquez-la uniquement au projet dédié à Wirespeed.

### Étape 4 : attribuer les rôles de l’organisation

1. Sélectionnez votre **organisation** dans le sélecteur de projets.
2. Accédez à **IAM & Admin** > **IAM**, puis cliquez sur **Grant Access**.
3. Dans **New principals**, saisissez l’adresse e-mail du compte de service (`client_email` dans la clé JSON).
4. Ajoutez les rôles **Browser** (`roles/browser`) et **Logs Viewer** (`roles/logging.viewer`).
5. Cliquez sur **Save**.

### Étape 5 : trouver l’ID de votre organisation

1. Votre organisation étant sélectionnée, accédez à **IAM & Admin** > **Settings**.
2. Copiez l’**Organization ID**.

### Étape 6 : configurer Wirespeed

1. Dans Wirespeed, accédez à Intégrations > [**Ajouter une intégration**](https://app.wirespeed.co/settings/integrations?tab=browse).
2. Sélectionnez **Google Cloud Audit Logs**.
3. Saisissez l’**ID d’organisation** obtenu à l’étape 5 et collez la **Clé de compte de service** obtenue à l’étape 3.
4. Cliquez sur **Enregistrer**.

Wirespeed vérifie les deux rôles lors de la connexion de l’intégration.
L’attribution des rôles peut prendre quelques minutes : un avertissement
affiché juste après la configuration peut disparaître à la vérification
suivante.

## Quels événements sont collectés ?

Wirespeed collecte les entrées des journaux d’audit Admin Activity
(`cloudaudit.googleapis.com/activity`) de tous les projets actifs de
l’organisation pour trois services :

| Service | Exemples |
| - | - |
| API Keys (`apikeys.googleapis.com`) | Clés API créées, modifiées, supprimées ou restaurées |
| Service Usage (`serviceusage.googleapis.com`) | API activées ou désactivées dans un projet |
| Vertex AI (`aiplatform.googleapis.com`) | Points de terminaison, modèles, jeux de données, tâches et autres ressources Vertex AI créés, modifiés ou supprimés |

Chaque entrée conserve l’enregistrement d’audit complet. L’adresse e-mail et
l’adresse IP de l’appelant, le projet et la méthode d’API sont disponibles pour
la recherche.

La première synchronisation lit l’heure précédente. Chaque interrogation lit
ensuite la période écoulée depuis la précédente, avec environ cinq minutes de
retard sur le temps réel, afin de ne pas manquer les entrées que Cloud Logging
n’a pas fini d’enregistrer.

Wirespeed actualise la liste des projets toutes les heures. Lorsqu’une
actualisation détecte un nouveau projet, Wirespeed lit les journaux de ce
projet sur les deux heures précédentes : les modifications effectuées juste
après la création d’un projet sont donc bien collectées.

> [!NOTE]
>
> Cloud Logging autorise 60 requêtes de lecture de journaux par minute, et
> cette limite ne peut pas être augmentée. Wirespeed lit jusqu’à 100 projets par
> requête : une organisation de 1 000 projets nécessite donc au moins
> 10 requêtes par interrogation, plus une par page de résultats
> supplémentaire en cas de forte activité.

## Détections gérées

Wirespeed analyse les journaux collectés à l’aide de cette détection gérée.
Elle est expérimentale le temps que Wirespeed mesure sa fréquence de
déclenchement :

| Détection | Activité |
| - | - |
| API d’IA activée | L’API Gemini ou l’API Vertex AI est activée dans un projet |

Les événements liés aux clés API sont collectés pour la recherche, mais ne
déclenchent pas de détection. Cloud Audit Logs enregistre la clé des requêtes
et réponses API Keys sous forme d’objet vide : le journal n’indique donc pas
quelles API une clé peut appeler.

Les modifications de la configuration de Vertex AI sont collectées pour la
recherche, mais ne déclenchent pas de détection. Les équipes qui utilisent
Vertex AI effectuent ces modifications dans leur travail courant, et aucune
modification ne permet à elle seule de distinguer un usage abusif d’un usage
normal.

## Dépannage

### Avertissement : Wirespeed ne peut pas lister les projets

Il manque aux identifiants le rôle **Browser** (`roles/browser`) sur
l’organisation, ou l’API Cloud Resource Manager est désactivée dans le projet
des identifiants. Attribuez le rôle au niveau de l’organisation, puis attendez
la prochaine vérification des autorisations.

### Avertissement : Wirespeed ne peut pas lire Cloud Logging

Il manque aux identifiants le rôle **Logs Viewer** (`roles/logging.viewer`) sur
l’organisation, ou l’API Cloud Logging est désactivée dans le projet des
identifiants. Attribuez le rôle au niveau de l’organisation, puis attendez la
prochaine vérification des autorisations.

### Quota dépassé

Une erreur `429` signifie que le quota de 60 requêtes de lecture de journaux
par minute est épuisé, souvent par d’autres outils qui lisent les journaux avec
les identifiants du même projet. Wirespeed relit la même période lors de la
prochaine interrogation : aucun journal n’est manqué.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.