GCP IAM --了解资源用户正在访问的内容

Question

我目前的情况是，用户已经被赋予了权限过高的默认角色。我想减少角色，只允许访问用户在过去3个月中实际访问的那些资源。在这个时候，我只需要知道他们访问了什么资源，而不一定知道他们在使用资源时做了什么。

这是如何做到的呢？(最好通过gcloud cli)

在AWS中，我能够使用Cloud ->事件历史来完成这个任务。

Answer 1

您可以获得用户使用数据访问审计日志访问的资源日志。数据访问审计日志--除了BigQuery数据访问审计日志--默认被禁用，因为审计日志可能很大，所以必须显式地启用它们。

政策分析器可以让您了解哪些主体(例如，用户、服务帐户、组和域)可以根据您的IAM允许政策访问哪些Google资源。若要使用策略分析器，请创建分析查询，指定分析范围，然后运行查询。

您可以使用可在组织政策中使用的域限制约束来限制基于域的资源共享。此约束允许您限制允许在身份和访问管理策略中使用的标识集。

请注意，域限制约束不具有追溯性。一旦设置了域限制，此限制将适用于从此以后所做的IAM策略更改，而不适用于以前的任何更改。

Answer 2

您可以查看云日志记录下的审计日志：

https://cloud.google.com/logging/docs/audit

虽然并不是GCP支持的所有服务都是审计日志。支持的服务列表：https://cloud.google.com/logging/docs/audit/services