📽️

GCPの監査ログを有効にしてますか？実はデフォルトで無効になってますよ！

2021/02/18に公開

2件

背景

GCSのオブジェクトにアクセスログとか、KMSのアクセスログとか、特にセキュリティに関するサービスのログはなるべく詳しくほしいですよね。
GCPには監査ログという機能があるのですが、ログを出力しすぎて料金かかっちゃうかもしれないからと、Googleが気を使って、監査ログのうちいくつかは、デフォルトで無効にしてくれてるんです！
遠慮せずに有効にしてくれればいいのにと思いますが、とりあえず機能を用意してくれるだけでも大変ありがたいので、ぜひ監査ログを有効にしましょう。

結論

GCPコンソールの Audio Logs のページにアクセスし、DEFAULT AUDIT LOGGINGから、全部にチェックをつけて有効にすればOK
- https://console.cloud.google.com/iam-admin/audit
使い方によっては料金が結構かかるかもしれないので、必ずBudgetsの設定をした上で自己責任で行ってください
- （監査ログ関係なくGCP使うならBudgetは必ず設定した方がいいですが）
とりあえずみんな全ての監査ログを有効にしておくべき（と僕は思います）

解説

監査ログってなに？

英語では Audit Logs
公式ドキュメント
- https://cloud.google.com/logging/docs/audit?hl=ja
ざっくりいうと、監査ログはGCPに関係する操作やアクセスなどのログです
Logs Explorer（Cloud Logging）からみることができます
- https://console.cloud.google.com/logs/query
デフォルトで有効なログや、絶対無効にできないログ、また、デフォルトで無効なログがあります

監査ログの種類

監査ログには4種類あります

管理アクティビティ監査ログ
- リソースの構成またはメタデータを変更するAPI呼び出しやその他の管理アクションに関するログ
  - たとえば、VMインスタンスを作成したときや、IAM権限を変更したときなど
- 無効にすることはできない
- 料金は無料
データアクセス監査ログ
- リソースの構成やメタデータを読み取るAPI呼び出しログなど
  - たとえば、GCSバケット内にアクセスしたときなど
- 一般公開リソースや、Google Cloud へのログインなしでアクセスできるリソースに対するデータアクセスオペレーションは、記録されません
- このログを表示するには、roles/logging.privateLogViewerまたはroles/ownerのロールが必要
- デフォルトで無効
  - データアクセス監査ログは、非常に大きくなる可能性があるため
- ログ使用料金はかかる
  - https://cloud.google.com/stackdriver/pricing?hl=ja
システムイベント監査ログ
- リソースの構成を変更するGoogleCloud管理アクションのGoogleシステムによって生成されたログ
- 直接的なユーザーのアクションのログではない
- このログを表示するには、roles/logging.viewerまたはroles/viewerのロールが必要
- 無効にすることはできない
- 料金は無料
ポリシー拒否監査ログ
- セキュリティポリシー違反のためGoogleCloudサービスがユーザーまたはサービスアカウントへのアクセスを拒否したときのログ
- このログを表示するには、roles/logging.viewerまたはroles/viewerのロールが必要
- デフォルトで有効
- ログ使用料金はかかる
- CloudLoggingへの取り込み対象から除外するこもできる
  - https://cloud.google.com/logging/docs/exclusions