Monitorare gli audit log di OS Login

Puoi monitorare i tentativi di connessione alle istanze di macchine virtuali (VM) in cui sono abilitati OS Login e OS Login l'autenticazione a due fattori (2FA) visualizzando gli audit log di OS Login. Questi audit log sono sempre abilitati e non possono essere disabilitati dalle configurazioni di accesso ai dati.

Con l'SDK Admin di Google Workspace puoi anche monitorare eventi e attività relativi all'accesso al sistema operativo, ad esempio l'aggiunta, l'eliminazione o l'aggiornamento di una chiave SSH oppure l'eliminazione delle informazioni POSIX.

Prima di iniziare

• Se non l'hai ancora fatto, configura l'autenticazione. L'autenticazione è il processo mediante il quale viene verificata l'identità per l'accesso ai servizi e alle API Google Cloud. Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti in Compute Engine nel seguente modo.
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Installa Google Cloud CLI, quindi initialize eseguendo questo comando:

     gcloud init

  2. Set a default region and zone.

Visualizza gli audit log di OS Login

Per visualizzare un elenco dei tentativi di connessione di OS Login, esegui una query su Cloud Audit Logs.

Autorizzazioni richieste per questa attività

Per eseguire questa attività, devi disporre delle seguenti autorizzazioni:

• Ruolo Logging/Visualizzatore log o Progetto/Visualizzatore.

Esamina gli audit log di OS Login

Esamina i campi methodName e principalEmail degli audit log per conoscere i tipi di tentativi di connessione alle VM in cui è abilitato OS Login e gli utenti che hanno avviato i tentativi di connessione.

• Espandi la sezione protoPayload per visualizzare il campo methodName relativo al tentativo di connessione. Per conoscere il significato di ogni campo methodName, consulta la seguente tabella:

  Metodo	Tipo di connessione	Descrizione
  google.cloud.oslogin.v1.OsLoginService.CheckPolicy	Tutte le connessioni OS Login	Indica un tentativo di connessione a una VM. Per le connessioni non 2FA, una risposta riuscita indica che l'utente si è connesso alla VM. Per le connessioni 2FA, una connessione riuscita è indicata sia da una chiamata a CheckPolicy riuscita sia da una chiamata ContinueSession riuscita.
  google.cloud.oslogin.OsLoginService.v1.StartSession	Connessioni 2FA di OS Login	Indica una nuova sessione di autenticazione 2FA. In una chiamata StartSession, un client dichiara le proprie capacità al server e ottiene informazioni sulle sfide disponibili.
  google.cloud.oslogin.OsLoginService.v1.ContinueSession	Connessioni 2FA di OS Login	Indica la continuazione di una sessione di autenticazione. Il client completa la verifica proposta dal server nella precedente chiamata o nelle precedenti richieste StartSession e un tipo di verifica diverso. Quindi, il metodo ContinueSession accetta la risposta alla richiesta o al metodo e autentica o rifiuta il tentativo di autenticazione.

• Espandi la sezione authenticationInfo per visualizzare il campo principalEmail. Il campo principalEmail mostra l'indirizzo email dell'utente che ha tentato di connettersi alla VM.

Proprietà degli audit log di OS Login

Le seguenti sezioni descrivono le proprietà degli audit log. Alcune proprietà sono comuni a tutti gli audit log, mentre altre sono specifiche per i metodi CheckPolicy, StartSession e ContinueSession.

Proprietà comuni degli audit log di OS Login

Le proprietà elencate nella tabella seguente sono comuni a tutti gli audit log di OS Login.

Proprietà	Valore
serviceName	oslogin.googleapis.com
resourceName	Una stringa contenente il numero del progetto che indica a quale richiesta di accesso appartiene l'audit log. Ad esempio, projects/myproject12345.
severity	Il livello di gravità del messaggio di log. Ad esempio, INFO o WARNING. Per scoprire di più sui livelli di gravità, consulta LogSeverity.
authenticationInfo.principalEmail	L'indirizzo email dell'utente utilizzato per l'autenticazione dal metodo.
request.numericProjectId	Il numero del progetto Google Cloud.

CheckPolicy proprietà degli audit log

Le proprietà elencate nella tabella seguente si applicano agli audit log di CheckPolicy.

Proprietà	Valore
methodName	google.cloud.oslogin.v1.OsLoginService.CheckPolicy
request.@type	type.googleapis.com/google.cloud.oslogin.v1.CheckPolicyRequest
request.policy	L'autorizzazione in fase di verifica. Può essere LOGIN, che verifica se l'utente è autorizzato ad accedere alla VM, oppure ADMIN_LOGIN, che verifica se l'utente è autorizzato ad accedere alla VM con l'accesso amministrativo.
response.success	Risultato del controllo LOGIN o ADMIN_LOGIN request.policy. true o false, a seconda che l'utente sia autorizzato o meno ad applicare il criterio specificato.

StartSession proprietà degli audit log

Le proprietà elencate nella tabella seguente si applicano agli audit log di StartSession per le VM in cui è abilitata l'autenticazione a due fattori (2FA) di OS Login.

Proprietà	Valore
methodName	google.cloud.oslogin.OsLoginService.v1.StartSession
request.@type	type.googleapis.com/google.cloud.oslogin.OsLoginService.v1.StartSessionRequest
request.supportedChallengeTypes	L'elenco di tipi di verifica o metodi di autenticazione a due fattori tra cui puoi scegliere.
response.authenticationStatus	Stato della sessione. Uno tra Authenticated, Challenge required o Challenge pending.
response.sessionId	Una stringa ID che identifica in modo univoco la sessione. Questo ID sessione viene trasmesso alla chiamata ContinueSession nella sequenza.
response.challenges	L'insieme di verifiche che puoi tentare di superare durante questa fase di autenticazione. Al massimo, una di queste sfide è iniziata e ha lo stato READY. Le altre vengono fornite come opzioni che l'utente può specificare come alternativa alla verifica principale proposta.

ContinueSession proprietà degli audit log

Le proprietà elencate nella tabella seguente si applicano agli audit log di ContinueSession per le VM in cui è abilitata l'autenticazione a due fattori (2FA) di OS Login.

Proprietà	Valore
methodName	google.cloud.oslogin.OsLoginService.v1.ContinueSession
request.sessionId	Una stringa ID che identifica in modo univoco la sessione precedente. Questo ID sessione viene trasmesso dalla chiamata StartSession.
request.@type	type.googleapis.com/google.cloud.oslogin.OsLoginService.v1.ContinueSessionRequest
request.challengeId	Una stringa ID che identifica la sfida da iniziare o eseguire. Questo ID deve appartenere a un tipo di verifica restituito dalla chiamata response.challenges nella risposta StartSession.
request.action	L'azione da intraprendere per completare la sfida.
response.authenticationStatus	Stato della sessione. Ad esempio, Authenticated, Challenge required o Challenge pending.
response.challenges.status	SUCCESS indica che un utente si è connesso alla VM.
response.challenges	L'insieme di verifiche che puoi tentare di superare questa fase di autenticazione. Al massimo, una di queste sfide è iniziata e ha lo stato READY. Le altre vengono fornite come opzioni che l'utente può specificare come alternativa alla verifica principale proposta.

Che cosa succede dopo?

• Scopri di più sul linguaggio delle query di Logging per personalizzare le query degli audit log di OS Login.
• Scopri come funzionano le connessioni SSH alle VM Linux su Compute Engine.