Puoi monitorare i tentativi di connessione alle istanze di macchine virtuali (VM) in cui sono abilitati OS Login e OS Login l'autenticazione a due fattori (2FA) visualizzando gli audit log di OS Login. Questi audit log sono sempre abilitati e non possono essere disabilitati dalle configurazioni di accesso ai dati.
Con l'SDK Admin di Google Workspace puoi anche monitorare eventi e attività relativi all'accesso al sistema operativo, ad esempio l'aggiunta, l'eliminazione o l'aggiornamento di una chiave SSH oppure l'eliminazione delle informazioni POSIX.
Prima di iniziare
-
Se non l'hai ancora fatto, configura l'autenticazione.
L'autenticazione è il processo mediante il quale viene verificata l'identità per l'accesso ai servizi e alle API Google Cloud.
Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti in Compute Engine nel seguente modo.
Select the tab for how you plan to use the samples on this page:
Console
When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
-
Install the Google Cloud CLI, then initialize it by running the following command:
gcloud init
- Set a default region and zone.
-
Visualizza gli audit log di OS Login
Per visualizzare un elenco dei tentativi di connessione di OS Login, esegui una query su Cloud Audit Logs.
Console
Nella console Google Cloud, vai alla pagina Esplora log.
Nel campo Query, inserisci la seguente query:
protoPayload.serviceName="oslogin.googleapis.com"
Se l'evento che stai cercando si è verificato più di un'ora fa, imposta un intervallo di tempo personalizzato facendo clic sul simbolo dell'orologio e inserendo un intervallo personalizzato.
Fai clic su Esegui query. I risultati vengono visualizzati nella sezione Risultati delle query.
Fai clic sulla
freccia di espansione accanto a ogni risultato per visualizzare informazioni dettagliate.Per informazioni sui tipi di audit log di OS Login e sul relativo significato, vai alla sezione Esaminare i log di controllo di OS Login di questo documento.
gcloud
Visualizza Cloud Audit Logs utilizzando il comando
gcloud logging read
:gcloud logging read --freshness=TIME 'protoPayload.serviceName="oslogin.googleapis.com"'
Sostituisci
TIME
con il periodo di tempo per il quale vuoi eseguire la query. Ad esempio,1h
query registra voci nell'ultima ora. Per informazioni sui formati di data e ora, consulta gcloud topic datetimes.Vengono visualizzati i risultati.
Per informazioni sui tipi di audit log di OS Login e sul relativo significato, vai alla sezione Esaminare i log di controllo di OS Login di questo documento.
Esamina gli audit log di OS Login
Esamina i campi methodName
e principalEmail
degli audit log per conoscere i tipi di tentativi di connessione alle VM in cui è abilitato OS Login e gli utenti che hanno avviato i tentativi di connessione.
Espandi la sezione
protoPayload
per visualizzare il campomethodName
relativo al tentativo di connessione. Per conoscere il significato di ogni campomethodName
, consulta la seguente tabella:Metodo Tipo di connessione Descrizione google.cloud.oslogin.v1.OsLoginService.CheckPolicy
Tutte le connessioni OS Login Indica un tentativo di connessione a una VM. Per le connessioni non 2FA, una risposta riuscita indica che l'utente si è connesso alla VM. Per le connessioni 2FA, una connessione riuscita è indicata sia da una chiamata a CheckPolicy
riuscita sia da una chiamataContinueSession
riuscita.google.cloud.oslogin.OsLoginService.v1.StartSession
Connessioni 2FA di OS Login Indica una nuova sessione di autenticazione 2FA. In una chiamata StartSession
, un client dichiara le proprie capacità al server e ottiene informazioni sulle sfide disponibili.google.cloud.oslogin.OsLoginService.v1.ContinueSession
Connessioni 2FA di OS Login Indica la continuazione di una sessione di autenticazione. Il client completa la verifica proposta dal server nella precedente chiamata o nelle precedenti richieste
StartSession
e un tipo di verifica diverso. Quindi, il metodoContinueSession
accetta la risposta alla richiesta o al metodo e autentica o rifiuta il tentativo di autenticazione.Espandi la sezione
authenticationInfo
per visualizzare il campoprincipalEmail
. Il campoprincipalEmail
mostra l'indirizzo email dell'utente che ha tentato di connettersi alla VM.
Proprietà degli audit log di OS Login
Le seguenti sezioni descrivono le proprietà degli audit log. Alcune proprietà
sono comuni a tutti gli audit log, mentre altre sono specifiche per i
metodi CheckPolicy
, StartSession
e ContinueSession
.
Proprietà comuni degli audit log di OS Login
Le proprietà elencate nella tabella seguente sono comuni a tutti gli audit log di OS Login.
Proprietà | Valore |
---|---|
serviceName |
oslogin.googleapis.com |
resourceName |
Una stringa contenente il numero del progetto che indica a quale richiesta di accesso appartiene l'audit log. Ad esempio,
projects/myproject12345 . |
severity |
Il livello di gravità del messaggio di log. Ad esempio, INFO
o WARNING . Per scoprire di più sui livelli di gravità, consulta
LogSeverity. |
authenticationInfo.principalEmail |
L'indirizzo email dell'utente utilizzato per l'autenticazione dal metodo. |
request.numericProjectId |
Il numero del progetto Google Cloud. |
CheckPolicy
proprietà degli audit log
Le proprietà elencate nella tabella seguente si applicano agli audit log di CheckPolicy
.
Proprietà | Valore |
---|---|
methodName |
google.cloud.oslogin.v1.OsLoginService.CheckPolicy |
request.@type |
type.googleapis.com/google.cloud.oslogin.v1.CheckPolicyRequest |
request.policy |
L'autorizzazione in fase di verifica. Può essere LOGIN , che verifica
se l'utente è autorizzato ad accedere alla VM, oppure
ADMIN_LOGIN , che verifica se l'utente è autorizzato ad
accedere alla VM con l'accesso amministrativo. |
response.success |
Risultato del controllo LOGIN o ADMIN_LOGIN
request.policy . true o
false , a seconda che l'utente sia autorizzato o meno ad applicare il
criterio specificato. |
StartSession
proprietà degli audit log
Le proprietà elencate nella tabella seguente si applicano agli audit log di StartSession
per le VM in cui è abilitata l'autenticazione a due fattori (2FA) di OS Login.
Proprietà | Valore |
---|---|
methodName |
google.cloud.oslogin.OsLoginService.v1.StartSession |
request.@type |
type.googleapis.com/google.cloud.oslogin.OsLoginService.v1.StartSessionRequest |
request.supportedChallengeTypes |
L'elenco di tipi di verifica o metodi di autenticazione a due fattori tra cui puoi scegliere. |
response.authenticationStatus |
Stato della sessione. Uno tra Authenticated ,
Challenge required o Challenge pending . |
response.sessionId |
Una stringa ID che identifica in modo univoco la sessione. Questo ID sessione
viene trasmesso alla chiamata ContinueSession nella sequenza. |
response.challenges |
L'insieme di verifiche che puoi tentare di superare durante questa fase di autenticazione. Al massimo, una di queste sfide è iniziata e ha lo stato
READY . Le altre vengono fornite come opzioni che l'utente può specificare come alternativa alla verifica principale proposta. |
ContinueSession
proprietà degli audit log
Le proprietà elencate nella tabella seguente si applicano agli audit log di ContinueSession
per le VM in cui è abilitata l'autenticazione a due fattori (2FA) di OS Login.
Proprietà | Valore |
---|---|
methodName |
google.cloud.oslogin.OsLoginService.v1.ContinueSession |
request.sessionId |
Una stringa ID che identifica in modo univoco la sessione precedente. Questo ID sessione
viene trasmesso dalla chiamata StartSession . |
request.@type |
type.googleapis.com/google.cloud.oslogin.OsLoginService.v1.ContinueSessionRequest |
request.challengeId |
Una stringa ID che identifica la sfida da iniziare o eseguire. Questo ID
deve appartenere a un tipo di verifica restituito dalla
chiamata response.challenges nella
risposta StartSession . |
request.action |
L'azione da intraprendere per completare la sfida. |
response.authenticationStatus |
Stato della sessione. Ad esempio, Authenticated ,
Challenge required o Challenge pending . |
response.challenges.status |
SUCCESS indica che un utente si è connesso
alla VM. |
response.challenges |
L'insieme di verifiche che puoi tentare di superare questa fase di autenticazione. Al massimo, una di queste sfide è iniziata e ha lo stato
READY . Le altre vengono fornite come opzioni che l'utente può specificare come alternativa alla verifica principale proposta. |
Che cosa succede dopo?
- Scopri di più sul linguaggio delle query di Logging per personalizzare le query degli audit log di OS Login.
- Scopri come funzionano le connessioni SSH alle VM Linux su Compute Engine.