从 Sentinel 连接器引入的 Google Cloud Platform (GCP) 审核日志可用于捕获三种类型的审核日志：管理活动日志、数据访问日志和访问透明度日志。 Google Cloud 审核日志会记录跟踪，从业者可以使用该跟踪来监视访问并检测 Google Cloud Platform (GCP) 资源中的潜在威胁。
表格属性
| 属性 |
值 |
| 资源类型 |
- |
| 类别 |
安全性 |
| 解决方案 |
SecurityInsights |
| 基本日志 |
否 |
| 引入时转换 |
是 |
| 示例查询 |
是 |
列
| 列 |
类型 |
描述 |
| AuthenticationInfo |
动态 |
身份验证信息。 |
| 授权信息 |
动态 |
授权信息。 如果涉及多个资源或权限，则每个 {resource, permission} 元组都有一个 AuthorizationInfo 元素。 |
| _BilledSize（账单大小） |
实数 |
记录大小（字节） |
| GCPResourceName |
字符串 |
作为操作目标的资源或集合。 名称是无方案 URI，不包括 API 服务名称。 |
| GCP资源类型 (GCPResourceType) |
字符串 |
与此资源关联的类型的标识符，例如“pubsub_subscription”。 |
| InsertId |
字符串 |
可选。 为日志条目提供唯一标识符后，日志记录可以在单个查询结果中删除具有相同时间戳和 insertId 的重复条目。 |
| _IsBillable |
字符串 |
指定引入数据是否可计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| LogName |
字符串 |
包括标识日志子类型（例如，管理活动、系统访问、数据访问）的后缀以及请求在层次结构中的位置的信息。 |
| 元数据 |
动态 |
与当前审核事件关联的请求、响应和其他信息的其他服务特定数据。 |
| MethodName |
字符串 |
服务方法或操作的名称。 对于 API 调用，这应该是 API 方法的名称。 |
| NumResponseItems |
字符串 |
从列表或查询 API 方法返回的项数（如果适用）。 |
| 负责人邮箱 |
字符串 |
发出请求的经过身份验证的用户（或代表第三方主体的服务帐户）的电子邮件地址。 对于第三方标识调用方，将填充 principalSubject 字段，而不是此字段。 出于隐私原因，主体电子邮件地址有时会经过修订。 |
| ProjectId |
字符串 |
与此资源关联的 Google Cloud Platform (GCP) 项目的标识符，例如“my-project”。 |
| 请求 |
动态 |
操作请求。 这可能不包括所有请求参数，例如那些过大、涉及隐私或在日志记录的其他地方重复的元素。 它绝不应包含用户生成的数据，例如文件内容。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| RequestMetadata |
动态 |
有关操作的元数据。 |
| ResourceLocation |
动态 |
资源位置信息。 |
| 资源原始状态 |
动态 |
突变前的资源原始状态。 仅针对已成功修改目标资源的操作显示。 通常，此字段应包含所有已更改的字段，但请求、响应、元数据或 serviceData 字段中已包含的字段除外。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| 响应 |
动态 |
操作响应。 这可能不包括所有响应元素，例如那些过大、涉及隐私或在日志记录的其他地方重复的元素。 它绝不应包含用户生成的数据，例如文件内容。 如果此处表示的 JSON 对象具有 proto 等效项，则 @type 属性中将指示 proto 名称。 |
| ServiceData |
动态 |
包含任意类型的字段的对象。 其他字段“@type”包含识别类型的 URI。 示例：{ "id": 1234, "@type": "types.example.com/standard/id" }。 |
| 服务名称 |
字符串 |
执行操作的 API 服务的名称。 例如，“compute.googleapis.com”。 |
| 严重性 |
字符串 |
可选。 日志项目的严重性。 例如，以下筛选器表达式将匹配严重性为 INFO、NOTICE 和 WARNING 的日志条目。 |
| SourceSystem |
字符串 |
收集事件的代理的类型。 例如，对于 Windows 代理（直接连接或 Operations Manager），值为 OpsManager；对于所有 Linux 代理，值为 Linux；对于 Azure 诊断，值为 Azure |
| 状态 |
动态 |
总体操作的状态。 |
| 状态消息 |
字符串 |
整个操作的消息状态。 |
| 订阅 |
字符串 |
表示来自单个特定主题的消息流的命名资源，这些消息将传递给订阅应用程序。 |
| 租户ID |
字符串 |
Log Analytics 工作区 ID |
| TimeGenerated |
日期/时间 |
记录接收日志项目的时间。 |
| 时间戳 |
日期/时间 |
发生日志条目描述的事件的时间。 |
| 类型 |
字符串 |
表的名称 |