如需获取有关生成模型和模型端点使用情况的审核日志，请为 Gemini Enterprise Agent Platform 启用数据访问审核日志。数据访问审核日志包括读取元数据或配置信息的 ADMIN_READ 操作，以及读取或写入用户提供的数据的 DATA_READ 和 DATA_WRITE 操作。
为 Agent Platform 启用数据访问审核日志后，请授予 Private Logs Viewer 角色 (roles/logging.privateLogViewer)，以便在 Google Cloud 控制台的 Cloud Logging 中查看 data_access 日志流 (projects/PROJECT_ID/logs/cloudaudit.googleapis.com%2Fdata_access)。
如需了解如何启用和查看数据访问审核日志，请参阅 Agent Platform 审核日志记录信息。
审核的生成模型操作
为 aiplatform.googleapis.com 启用 DATA_READ 审核日志后，Agent Platform 会针对发布方模型 (publishers.models.*) 和已部署的端点 (endpoints.*) 上的以下生成模型和预测操作记录数据访问审核日志条目：
内容和对话生成：
generateContent、streamGenerateContent和chatCompletions嵌入：
embedContent和batchEmbedContents词元计数：
countTokens和computeTokens在线预测和解释：
predict、rawPredict、streamRawPredict、directPredict、directRawPredict、streamDirectPredict、streamDirectRawPredict、serverStreamingPredict、predictLongRunning、fetchPredictOperation和explain
如需查看所有类别中已审核方法的完整列表，请参阅 Agent Platform 审核日志记录信息。
身份验证和调用方归因
应用使用的身份验证方法决定了 DATA_READ 审核日志如何记录调用方的身份 (protoPayload.authenticationInfo.principalEmail) 和 IP 地址 (protoPayload.requestMetadata.callerIp)：
应用默认凭证 (ADC) 和 Identity and Access Management (IAM) 主账号：使用 ADC、用户凭证或特定于工作负载的服务账号进行身份验证的请求会在
DATA_READ审核日志中同时记录调用方的 IP 地址 (callerIp) 和单个调用方的经过身份验证的主账号 (principalEmail)。当您在生产环境中需要按用户或按工作负载进行审核归因时，请使用 ADC。标准 Google Cloud API 密钥：标准 Google Cloud API 密钥通过单个绑定服务账号对 API 调用进行身份验证。
DATA_READ审核日志会记录调用方的 IP 地址 (callerIp)，但会将使用 API 密钥发出的每个请求归因于该单个绑定服务账号 (principalEmail)，而不是归因于单个用户或工作负载。快速模式 API 密钥：在快速模式下发送的请求会定位到无项目端点，并且不会在 Logging 中生成客户可访问的
DATA_READ审核日志。
比较审核日志和推理日志
Agent Platform 为模型推理提供了多种日志记录机制。下表将数据访问 (DATA_READ) 审核日志与其他推理日志记录选项进行了比较：
| 日志记录功能 | 目的地 | 记录的字段 | 提示和回答载荷 | 调用方 IP 和 IAM 主账号 |
|---|---|---|---|---|
数据访问 (DATA_READ) 审核日志 |
日志记录 (cloudaudit.googleapis.com%2Fdata_access) |
API 方法名称、目标模型或端点资源，以及请求元数据 | 未记录 | 记录 callerIp 和 principalEmail（或标准 API 密钥的绑定服务账号） |
| 推理请求元数据日志 | 日志记录 (aiplatform.googleapis.com%2Finference_request) |
词元数量 (usageMetadata)、请求延迟时间 (requestDuration)、使用选项 (trafficType) 和自定义标头 (httpHeaders) |
未记录 | 记录服务账号（principal，如果可用）；不记录 callerIp |
| 请求-响应日志记录 | BigQuery 表 | 抽样的推理请求、回答、词元数量和延迟时间元数据 | 记录 full_request 和 full_response 载荷 |
不记录callerIp或principalEmail |
| 在线推理访问和容器日志 | 日志记录（prediction_access 和 prediction_container） |
自定义训练模型和 AutoML 模型的端点访问状态、延迟时间以及容器 stdout 和 stderr 流 |
仅限容器输出 | 无法录制callerIp |