在google云中启动脚本虚拟机

Question

我可以在一个GCE实例中看到启动脚本，如

userdel -r userid

由于这个原因，用户无法通过浏览器进行SSH。

我的问题是，哪些日志如何找到是谁将这个启动脚本添加到vm中，以及何时添加？

我们能用些原木吗？

Answer 1

是的，您可以在活动日志中检查此日志。

您可以通过替换项目id来使用url下面的内容。

https://console.cloud.google.com/home/activity?project=

​

Answer 2

如果您想知道是谁向VM添加了启动脚本，可以检查Admin活动审计日志和系统事件审计日志。管理活动审计日志包含API调用的日志条目或修改资源配置或元数据的其他操作。而且，系统事件审计日志包含修改资源配置的Google操作的日志条目。

Google服务编写审计日志，在Google资源中记录管理活动和访问。审计日志可以帮助您回答“谁做了什么、在哪里做了什么、什么时候做了什么？”在您的Google资源中，具有与现场环境相同的透明度。云审计日志为每个云项目、文件夹和组织提供了以下审计日志：

• 管理活动审计日志
• 数据访问审计日志
• 系统事件审计日志
• 策略拒绝审计日志

数据访问审计日志也可能非常有用，但默认情况下是禁用的，数据访问审计日志包含读取资源配置或元数据的API调用，以及创建、修改或读取用户提供的资源数据的用户驱动的API调用。如果您想启用它，请遵循此链接。

查看审计日志的

1. 在云控制台中，转到Logging>日志资源管理器页面。
2. 选择现有的云项目、文件夹或组织。
3. 在“查询生成器”窗格中，执行以下操作：
4. 在“资源”类型中，选择要查看其审计日志的Google资源。

在日志名称中，选择您希望看到的审计日志类型：

• 对于管理活动审核日志，请选择活动。
• 对于数据访问审核日志，选择data_access。
• 对于系统事件审核日志，选择system_event。
• 对于策略拒绝审核日志，选择策略。

如果您没有看到这些选项，那么云项目、文件夹或组织中就没有这种类型的审计日志了。

如果您想了解更多关于GCP中的审计日志的信息，请遵循此链接。