Skip to content

Buscar en el registro de auditoría

Averigua quién hizo qué en tu tenant, sobre qué clave u objeto, cuándo y con qué resultado: las operaciones criptográficas con tus claves, los cambios administrativos en tu tenant y los eventos de acceso, como los inicios de sesión. También se registran, con su resultado, las operaciones que fallaron o se rechazaron.

Quién puede hacerlo

Un administrador del tenant o un auditor del tenant, y un superadministrador o un auditor de la plataforma que trabaje en tu tenant. La consola muestra Auditoría a una persona que tiene el permiso para leer al menos una traza de auditoría, o el permiso para rastrear una solicitud. Las operaciones criptográficas, los cambios administrativos y los eventos de acceso son permisos distintos; cada pestaña de la pantalla es una traza que puedes leer. El rol integrado de gestor de claves no lleva ningún permiso de auditoría.

Antes de empezar

  • Nada en esta pantalla cambia ni elimina un evento; solo los lee.
  • Ten claro lo que buscas: un identificador de clave, un usuario, un evento o un objeto de tu tenant.

Pasos

  1. Abre Auditoría desde la navegación de tu tenant.
  2. Elige una pestaña: Todos muestra juntas todas las trazas que puedes leer; Cripto, Administración y Acceso muestran una cada una.
  3. Acota la lista:
    • Escribe en el cuadro de búsqueda para buscar por ID de clave, usuario o evento.
    • Selecciona Rango de fechas y elige Hoy, Últimos 7 días o Últimos 30 días, o elige días en el calendario. Los días son días UTC. Un rango puede abarcar como máximo 365 días.
    • Elige un resultado. En Cripto también puedes elegir una operación; en Administración, una acción y un tipo de entidad.
  4. Para acotar a un objeto, establece Sujeto en Aplicación, Actor criptográfico, Contexto de intercambio, Concesión de capacidad o ID de entidad, y escribe su identificador en ID del sujeto. Un ID de entidad también necesita un tipo de entidad. Quitar el sujeto lo elimina.
  5. Selecciona un evento para abrir sus detalles.
  6. Selecciona Cargar anteriores para obtener la página siguiente.

Qué ves cuando funcionó

La lista muestra los eventos que coinciden, del más reciente al más antiguo, 10 por página. Sin un rango de fechas establecido, el servicio de auditoría responde sobre los últimos 30 días. Las cifras de arriba resumen las trazas en el rango de fechas que estableciste. Los detalles de un evento muestran cuándo ocurrió, el actor y el usuario que lo originaron, su resultado y, según la traza, la clave, el algoritmo y la versión de material, lo que cambió un cambio administrativo, o el principal y la dirección de un evento de acceso. Un descifrado de un token que no incluía el compromiso del emisor añade Confirmación de clave: "Sin confirmar: el token no incluía el compromiso del emisor, por lo que solo se abre con una clave indicada en la solicitud." El identificador de correlación de los detalles lo comparten todos los eventos que produjo una misma solicitud.

Cada filtro se guarda en la dirección de la página, así que al volver a cargar la página o compartir su dirección se muestra la misma lista a otro lector que tenga los mismos permisos de auditoría.

Si falla

Qué ves Causa Qué hacer
"No tienes permiso para leer esta traza." No tienes el permiso para esa traza Pide un rol que lo agregue, como el rol de auditor del tenant
"No se pudieron leer estos eventos, así que esta lista no dice nada sobre lo ocurrido." La lectura falló Selecciona Reintentar
"{subject} debe ser un UUID, como 3f2b8c1e-5d4a-4e7b-9c1d-2a6f8e0b7c3d." Un identificador de aplicación, actor, contexto de intercambio o concesión que no es un UUID Corrige el identificador; no se lee nada hasta que sea válido
"Elige un tipo de entidad para filtrar por ID de entidad." Un ID de entidad sin tipo de entidad Elige el tipo de entidad
"El servicio de auditoría de este entorno no puede filtrar por sujeto ({subject}). No se muestran filas, porque una página sin filtrar se leería como el historial de este sujeto." El servicio de auditoría de este entorno no admite el filtro por sujeto Busca por identificador, o consulta a tu administrador
"No se pudieron leer estos eventos, así que esta lista no dice nada sobre lo ocurrido." después de elegir un rango de más de 365 días El servicio de auditoría rechaza un rango de más de 365 días Elige un rango de 365 días o menos; consulta Invalid Input (en inglés)

Sin la consola

La consola lee cada pestaña mediante el flujo combinado. No tiene ningún control para las listas por traza (getCryptoEvents, getOperationsByType, getAdminEvents, getAdminTimeline, getTenantAuthEvents), las series temporales, las estadísticas de la traza de acceso, un evento de acceso concreto, el historial de un cliente ni las lecturas por tenant de la traza de acceso a la auditoría. Usa la API para ellas.

Superficie Cómo
API, el flujo combinado GET /api/v3/audit/tenants/{tenantId}/events (operación getUnifiedEvents), con search, outcome, source, operationType, entityType, action, startTime, endTime, un filtro por sujeto (applicationId, actorId, exchangeContextId, capabilityGrantId, o entityId con entityType) y cursor. size es 20 de forma predeterminada y 200 como máximo; un tamaño fuera de 1 a 200 se rechaza con 400 y el tipo de problema invalid-input. La ventana abarca como máximo 365 días y, sin startTime ni endTime, es de los últimos 30 días; la respuesta indica la ventana que aplicó
API, los valores que acepta cada filtro GET /api/v3/audit/vocabulary (getAuditFilterVocabulary)
API, lecturas por traza GET /api/v3/audit/tenants/{tenantId}/crypto/events (getCryptoEvents), .../crypto/timeline (getCryptoTimeline), .../crypto/events/{eventId} (getTenantCryptoEvent), .../crypto/operations/{operationType} (getOperationsByType), .../admin/events (getAdminEvents), .../admin/timeline (getAdminTimeline), .../auth (getTenantAuthEvents). Su size es 20 de forma predeterminada; un tamaño mayor que 100 se sirve como 100
API, cifras GET /api/v3/audit/tenants/{tenantId}/crypto/stats (getCryptoStats), .../crypto/stats/daily (getDailyCryptoStats), .../crypto/stats/time-series (getTenantCryptoTimeSeries), .../admin/stats (getAdminStats), .../admin/stats/time-series (getTenantAdminTimeSeries)
API, el historial de un objeto Consulta Ver el historial completo de una clave, un usuario, un actor o una concesión
API, estadísticas de la traza de acceso (sin control en la consola) GET /api/v3/audit/tenants/{tenantId}/auth/stats (getTenantAuthStats)
API, un evento de acceso (sin control en la consola) GET /api/v3/audit/tenants/{tenantId}/auth/{eventId} (getTenantAuthEvent)
API, el historial de un cliente (sin control en la consola) GET /api/v3/audit/tenants/{tenantId}/crypto/clients/{clientId}/history (getClientHistory)
API, quién leyó tu traza de auditoría (sin control en la consola) GET /api/v3/audit/meta/tenants/{tenantId}/access-logs (getTenantAccessLogs) y GET /api/v3/audit/meta/tenants/{tenantId}/stats (getTenantMetaStats)
API, exportación Consulta Exportar eventos de auditoría (exportTenantEvents)

No hay ningún comando de la CLI ni método del Admin SDK para el registro de auditoría.

Relacionado