google-cloud-platform - Google Cloud Cloud/Key 活动日志记录

Question

我最近才开始使用 Google Cloud，我正试图了解它的一些内部工作原理，主要是审计日志部分。

我想要做的是从我的密钥用于任何事情以及有人实际登录到谷歌控制台云（它也可能是 Key Vault 或 Key Ring）时获取日志活动。

我一直在使用 power shell 使用 gcloud read logging 提取这些日志，这就是我开始怀疑我是否有正确的地方的地方。我会解释：

我创建了新密钥，我在活动面板中看到了这个动作，我已经可以通过 gcloud read logging resource.type=cloudkms_cryptokey 提取它（命令行上可能有错字，因为我是从顶部编写的我的头，对不起！）。

尽管我有这些信息，但我很好奇这是否是正确的做法。我在我的日志中看到了 CreateCryptoKey 和 SetIamPolicy 方法，好吧，但是我会看到与这些密钥相关的所有操作吗？通过阅读 GCloud 文档，我感觉好像我只得到了一些操作？

正如我所说，我正在努力解决 GCloud 文档，但信息量如此庞大，我并没有真正得到我正在寻找的正确答案，这就是我考虑求助于这个社区的原因.

所以，总而言之，我是否以现在的方式获取与我的密钥相关的所有信息？那些有权访问 Google Cloud Console 页面的人呢，有没有办法找到谁访问了它以及访问了哪个部分（例如 Crypto Keys 页面、Crypto Vault 页面）？遗憾的是，这也是我从文档中无法理解的。也许有人可以向我展示正确的页面，我可以在其中引用我正在寻找的内容？因为在这方面我感觉 Cloud Audit Logging 页面并不完全清楚（我认为我可能在这方面有过错，过去几周一直很严酷！）

感谢任何需要一些时间来回答我的问题的人！

标签： google-cloud-platformgoogle-cloud-logginggoogle-cloud-kms

Answer 1

默认情况下会记录创建密钥或设置 IAM 策略等管理活动。

默认情况下，不会记录数据访问活动，例如列出 Cloud KMS 资源（密钥环、密钥等）或执行加密操作（加密、解密等）。您可以通过https://cloud.google.com/kms/docs/logging中的步骤启用数据访问日志记录。我不确定这是您所指的主题，还是https://cloud.google.com/logging/docs/audit/。