Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Datensicherheit mit Observability Analytics

In diesem Dokument werden Google Cloud Funktionen beschrieben, mit denen Sie Daten-Exfiltration durch Phishing, Insider-Angriffe oder externe Entitäten verhindern können, wenn Sie Observability Analytics verwenden. Außerdem werden die beiden Abfrage-Engines beschrieben, die für Observability Analytics verfügbar sind, und wie sich die Wahl der Abfrage-Engine auf die Daten auswirkt, die Sie abfragen können.

Organisationsbeschränkungen

Mit Organisationsbeschränkungen können Sie Prinzipale so einschränken, dass sie nur Zugriff auf Ressourcen in autorisierten Google Cloud Organisationen haben. Wenn Sie Organisationsbeschränkungen konfigurieren, konfigurieren Sie im Grunde einen Egress-Proxy. Sie können beispielsweise Organisationsbeschränkungen verwenden, um zu verhindern, dass Daten, die von der Organisation gespeichert werden, mit externen Daten kombiniert werden, wenn Sie Observability Analytics verwenden.

Weitere Informationen finden Sie unter Organisationsbeschränkungen konfigurieren.

VPC Service Controls

VPC Service Controls schützt vor versehentlichen oder gezielten Maßnahmen externer Entitäten oder interner Entitäten, wodurch das Risiko unerwünschter Daten-Exfiltration aus Google Cloud Diensten wie Cloud Storage und BigQuery verringert wird. Mit VPC Service Controls können Sie Perimeter zum Schutz von Ressourcen und Daten von Diensten erstellen, die Sie explizit angeben.

Ein VPC Service Controls-Perimeter ist eine Sicherheitsgrenze um Google Cloud Ressourcen. Er ermöglicht die kostenlose Kommunikation innerhalb des Perimeters, blockiert aber standardmäßig die Kommunikation mit Google Cloud Diensten außerhalb des Perimeters. Ein Perimeter blockiert nicht den Zugriff auf APIs oder Dienste von Drittanbietern im Internet.

Verwechseln Sie einen VPC Service Controls-Perimeter nicht mit einem VPC-Netzwerk (Virtual Private Cloud). Ein VPC Service Controls-Perimeter ist eine Sicherheitsgrenze.

Weitere Informationen finden Sie unter Dienstperimeter einrichten.

Informationen zu Logging und VPC Service Controls finden Sie unter Unterstützte Produkte: Logging.

Abfrage-Engine für Observability Analytics auswählen

Mit Observability Analytics können Sie SQL-Abfragen entweder in der Standard-Logging-Engine oder in der BigQuery-Engine ausführen.

Beide Abfrage-Engines bieten das gleiche Maß an Datensicherheit, verwenden aber unterschiedliche Berechtigungsebenen. Die Standard-Engine prüft Logging-Berechtigungen, während die BigQuery-Engine BigQuery-Berechtigungen prüft.

Um die Abfrage-Engine festzulegen, verwenden Sie auf der Seite Observability Analytics das Menü Einstellungen:

Zu Loganalysen

Abfragen in der Standard-Abfrage-Engine ausführen

Die Standard-Abfrage-Engine wird von Google Cloud Observability verwaltet. Wenn Sie diese Engine verwenden, können Sie Folgendes abfragen:

In der folgenden Tabelle wird zusammengefasst, wie Cloud Logging IAM-Rollen (Identity and Access Management) verwendet, um den Zugriff auf die gespeicherten Daten zu steuern:

Von Observability Analytics abgefragte Quelle	Erforderliche IAM-Rollen zum Lesen von Quelldaten
`_AllLogs`-Ansicht im Log-Bucket `_Required`	Loganzeige (`roles/logging.viewer`) für das Projekt, in dem der `_Required` Log-Bucket gespeichert ist.
`_AllLogs`-Ansicht im Log-Bucket `_Default`	Betrachter für private Logs (`roles/logging.privateLogViewer`) für das Projekt, in dem der Log-Bucket `_Default` gespeichert ist.
`_Default`-Ansicht im Log-Bucket `_Default`	Loganzeige (`roles/logging.viewer`) für das Projekt, in dem der `_Default` Log-Bucket gespeichert ist.
Benutzerdefinierte Logansichten (in einem beliebigen Log-Bucket)	Für Lesezugriff auf alle Logansichten in einem Projekt: Zugriffsberechtigter für Logbetrachtung (`roles/logging.viewAccessor`) für das Projekt. Für Lesezugriff auf nur eine bestimmte Logansicht in einem Projekt eine der folgenden Optionen: Zugriffsberechtigter für Logbetrachtung (`roles/logging.viewAccessor`) für das Projekt. Fügen Sie jedoch eine IAM-Bedingung für die Rolle hinzu, die die Zuweisung auf eine bestimmte Logansicht beschränkt. Eine Bindung für Ihre ID ist in der IAM-Richtlinie für die Logansicht enthalten.
Analytics-Datenansichten	Alle der folgenden: Observability Analytics-Nutzer (`roles/observability.analyticsUser`) für das Projekt. Eine IAM-Rolle, die Lesezugriff auf die Logansicht gewährt, die von der Analyseansicht abgefragt wird.

Informationen zu Logging-Rollen finden Sie unter Zugriffssteuerung mit IAM.

Abfragen in der BigQuery-Engine ausführen

Die BigQuery-Engine kann Abfragen ausführen, die Verknüpfungen einer Logansicht mit anderen BigQuery-Tabellen enthalten. Um diese Engine zu verwenden, müssen Sie jedoch einen Link zu einem verknüpften BigQuery-Dataset im entsprechenden Log-Bucket erstellen. Ein verknüpftes BigQuery-Dataset ist ein schreibgeschütztes BigQuery-Dataset, das als Verweis auf ein freigegebenes Dataset dient.

Wenn Sie verknüpfte BigQuery-Datasets für Ihre Log-Buckets erstellen, erweitern Sie die Sicherheitsgrenze dieser Daten um BigQuery-Dienste. Das heißt, BigQuery-Dienste können jetzt Ihre Logdaten abfragen, indem sie eine Abfrage an ein verknüpftes BigQuery-Dataset senden.

Wenn Sie die Abfrage-Engine auf BigQuery festlegen, gilt Folgendes:

Sie können Logansichten abfragen, wenn für den zugehörigen Log-Bucket ein verknüpftes BigQuery-Dataset vorhanden ist. Der Observability Analytics-Dienst verbessert jedoch Abfragen, die an die BigQuery-Engine gesendet werden. Aus diesem Grund können sich die BigQuery-Metadaten von den erwarteten Daten unterscheiden.
Bevor eine Abfrage ausgeführt wird, werden Ihre BigQuery-IAM-Berechtigungen geprüft.
Für Abfragen, die Sie in der BigQuery-Engine ausführen, gelten die BigQuery-Preise.

In der folgenden Tabelle wird zusammengefasst, wie die BigQuery-Engine IAM verwendet, um den Zugriff auf die Quelldaten zu steuern:

Von Observability Analytics abgefragte Quelle	Erforderliche IAM-Rollen zum Lesen von Quelldaten
`_AllLogs`-Ansicht im `_Required` Log-Bucket	Alle der folgenden: BigQuery-Datenbetrachter (`roles/bigquery.dataViewer`) für das Projekt oder für das verknüpfte BigQuery-Dataset für den `_Required` Log-Bucket. Eine IAM-Rolle, die die `logging.links.list` Berechtigung enthält.
`_AllLogs`-Ansicht im `_Default` Log-Bucket	Alle der folgenden: BigQuery-Datenbetrachter (`roles/bigquery.dataViewer`) für das Projekt oder für das verknüpfte BigQuery-Dataset für den Log-Bucket `_Default`. Eine IAM-Rolle, die die `logging.links.list` Berechtigung enthält.
`_Default`-Ansicht im Log-Bucket `_Default`	Alle der folgenden: BigQuery-Datenbetrachter (`roles/bigquery.dataViewer`) für das Projekt oder für das verknüpfte BigQuery-Dataset für den Log-Bucket `_Default`. Eine IAM-Rolle, die die `logging.links.list` Berechtigung enthält.
Benutzerdefinierte Logansichten (in einem beliebigen Log-Bucket)	Alle der folgenden: BigQuery-Datenbetrachter (`roles/bigquery.dataViewer`) für das Projekt oder für das verknüpfte BigQuery-Dataset für den Log-Bucket. Eine IAM-Rolle, die die `logging.links.list` Berechtigung enthält.
Analytics-Datenansichten	Nicht unterstützt.
Logansicht, die mit einer BigQuery-Tabelle verknüpft ist	Alle der folgenden: BigQuery-Datenbetrachter (`roles/bigquery.dataViewer`) für das Projekt oder für die verknüpften BigQuery-Datasets für den Log-Bucket und die andere BigQuery-Tabelle. Eine IAM-Rolle, die die `logging.links.list` Berechtigung enthält.

Informationen zum Verwalten des Zugriffs auf verknüpfte BigQuery-Datasets, siehe BigQuery-Zugriffssteuerung.

Datensicherheit mit Observability Analytics Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.