Événements de journaux Drive

Afficher l'activité des fichiers Google Drive des utilisateurs

En fonction de votre édition Google Workspace, vous pouvez avoir accès à l'outil d'investigation de sécurité, qui offre des fonctionnalités plus avancées. Par exemple, les super-administrateurs peuvent identifier, trier et prendre les mesures adéquates concernant les problèmes de confidentialité et de sécurité. En savoir plus

En tant qu'administrateur de votre organisation, vous pouvez effectuer des recherches sur les événements de journaux Drive et intervenir en fonction des résultats. Par exemple, vous pouvez afficher un récapitulatif des actions effectuées pour consulter l'activité des utilisateurs de votre organisation dans Drive. Les événements de journaux Drive incluent les contenus que vos utilisateurs ont créés dans Google Docs, Sheets, Slides et d'autres applications Google Workspace, ainsi que ceux qu'ils ont importés dans Drive, comme les fichiers PDF et Microsoft Word.

L'API Activity vous permet d'accéder de façon programmatique aux données de base des rapports. Si votre édition Google Workspace le permet, vous pouvez utiliser une nouvelle API Reports pour accéder aux données avancées des rapports Google Workspace.

Important:

Toutes les activités dans Drive ne sont pas consignées. Pour obtenir la liste de tous les éléments consignés dans le journal, consultez Événements enregistrés ou non sur cette page.
Pour savoir à quel moment les données deviennent disponibles et connaître leur durée de conservation, consultez Conservation des données et temps de latence.
La plupart des événements d'audit Drive ne sont consignés que pour les fichiers qui appartiennent aux utilisateurs disposant d'éditions compatibles. À titre d'exception, les événements URL consultée sont consignés lorsque l'utilisateur qui lance un script Apps Script accédant à une URL fait partie de votre organisation et possède une édition compatible.

Rechercher des événements de journaux

Votre capacité à effectuer une recherche dépend de votre édition de Google Workspace, de vos droits d'administrateur et de la source des données. Vous pouvez effectuer une recherche sur tous les utilisateurs, quelle que soit leur édition de Google Workspace.

Outil d'audit et d'investigation

Outil d'investigation de sécurité

Éditions compatibles avec cette fonctionnalité : Frontline Standard, Enterprise Standard, Enterprise Plus, Education Standard, Education Plus, Enterprise Essentials Plus, Cloud Identity Premium. Comparer votre édition

Pour lancer une recherche dans l'outil d'investigation de sécurité, choisissez d'abord une source de données. Sélectionnez ensuite une ou plusieurs conditions pour votre recherche. Pour chaque condition, sélectionnez un attribut, un opérateur et une valeur.

Connectez-vous à la Console d'administration Google avec un compte administrateur.
Si vous n'utilisez pas de compte administrateur, vous ne pouvez pas accéder à la console d'administration.
Accédez à Menu Sécurité > Centre de sécurité > Outil d'investigation.
Vous devez disposer du droit d'administrateur Centre de sécurité.
Cliquez sur Source de données, puis sélectionnez Événements de journaux Drive.
Cliquez sur Ajouter une condition.
Conseil : Vous pouvez inclure une ou plusieurs conditions dans votre recherche ou la personnaliser avec des requêtes imbriquées. Pour en savoir plus, consultez Personnaliser votre recherche avec des requêtes imbriquées.
Cliquez sur Attributsélectionnez une option.
Pour obtenir la liste complète des attributs, consultez Descriptions des attributs ci-dessous.
Sélectionnez un opérateur.
Saisissez une valeur ou sélectionnez-en une dans la liste déroulante.
(Facultatif) Pour ajouter d'autres critères de recherche, répétez les étapes 4 à 7.
Cliquez sur Rechercher.
Les résultats de la recherche dans l'outil d'investigation sont affichés dans un tableau en bas de la page.
(Facultatif) Pour enregistrer votre enquête, cliquez sur Enregistrer saisissez un titre et une descriptioncliquez sur Enregistrer.

Remarque :

Dans l'onglet Générateur de conditions, les filtres sont représentés par des conditions avec des opérateurs AND/OR. L'onglet Filtre vous permet d'inclure des paires de paramètres et de valeurs simples afin de filtrer les résultats de la recherche.
Si vous avez donné un nouveau nom à un utilisateur, vous n'obtiendez aucun résultat si vous lancez des requêtes avec son ancien nom. Par exemple, si vous changez AncienNom@exemple.com en NouveauNom@exemple.com, vous n'obtiendrez aucun résultat pour des événements liés à AncienNom@exemple.com.

Descriptions des attributs

Pour cette source de données, vous pouvez utiliser les attributs suivants lorsque vous recherchez des données d'événements de journaux :

Remarques :

Tous les attributs de la liste suivante ne sont pas indiqués pour tous les événements.
La liste suivante n'est pas exhaustive et est susceptible d'être modifiée. Pour en savoir plus sur les événements de journaux Drive, consultez Événements liés aux activités d'audit Drive sur le site Web du SDK Admin Google Workspace.

Attribut	Description
Acteur	Adresse e-mail de l'utilisateur ayant réalisé l'activité. Les utilisateurs externes au domaine sont présentés comme anonymes, sauf quand ils affichent ou modifient un document explicitement partagé avec eux, à titre individuel ou dans le cadre d'un groupe spécifique.
Nom de groupe de l'acteur	Nom de groupe de l'utilisateur Pour en savoir plus, consultez Filtrer les résultats par groupe Google. Pour ajouter un groupe à la liste d'autorisation des groupes de filtrage : Sélectionnez Nom du groupe de l'acteur. Cliquez sur Groupes de filtrage. La page "Groupes de filtrage" s'affiche. Cliquez sur Ajouter des groupes. Recherchez un groupe en saisissant les premiers caractères de son nom ou de son adresse e-mail. Lorsque vous avez trouvé le groupe, sélectionnez-le. (Facultatif) Pour ajouter un autre groupe, recherchez-le et sélectionnez le groupe. Une fois les groupes sélectionnés, cliquez sur Ajouter. (Facultatif) Pour supprimer un groupe, cliquez sur Supprimer le groupe . Cliquez sur Enregistrer.
Unité organisationnelle de l'acteur	Unité organisationnelle de l'utilisateur
Méthode API	Pour les actions Télécharger et Accès au contenu d'un élément qui se produisent via une application tierce, il s'agit de la méthode API utilisée par l'action. Par exemple, drive.files.export.
Identifiant d'application	ID client OAuth de l'application tierce ayant effectué l'action
Nom de l'application	Application ayant effectué l'action
Audience	Domaine cible si le journal d'audit concerne un changement de visibilité
Facturable	(Édition Essentials uniquement) Indique si l'action de l'utilisateur est une activité facturable
Date	Date et heure auxquelles l'événement s'est produit (affichées dans le fuseau horaire par défaut de votre navigateur) Remarque : La plupart des événements sont consignés dès qu'ils sont terminés. La journalisation peut parfois prendre un certain temps lorsque des fichiers volumineux sont importés.
Identifiant du document	Identifiant unique de l'élément Drive associé à l'activité, tel qu'il figure dans le lien du fichier. Remarque : Pour les événements URL Accessed (URL consultée), l'ID de document et d'autres champs liés aux fichiers, tels que le type et le propriétaire du document, ne sont consignés que pour certaines actions. Pour en savoir plus, consultez la section URL consultée sur cette page.
Type de document	Format de fichier associé à l'activité, tel que Google Docs, Sheets, Slides, JPEG, PDF, PNG, MP4, Microsoft Word, Excel, PowerPoint, TXT, HTML, fichier audio MPEG, vidéo QuickTime, dossier ou Drive partagés
Domaine*	Le domaine où l'action s'est produite
Chiffré*	Si le fichier est chiffré côté client
Nom de l'événement	Événements tels que Afficher, Renommer, Créer, Modifier, Imprimer, Supprimer, Importer et Télécharger. La plupart des actions sont consignées immédiatement. Les événements Imprimer dans la visionneuse Drive peuvent toutefois apparaître avec un décalage de 12 heures ou plus. Les fichiers supprimés automatiquement par Google Drive ou supprimés de la corbeille sont consignés. Les autres événements, tels que l'importation d'un fichier, sont consignés une fois qu'ils sont terminés.
Usurpation d'identité	L'application a utilisé la délégation au niveau du domaine pour effectuer une requête au nom d'un utilisateur. True indique que l'événement a été effectué au nom d'un utilisateur. Vous pouvez consulter Acteur pour trouver l'adresse e-mail de l'utilisateur, et ID de l'application et Nom de l'application pour identifier l'application. En savoir plus sur la délégation au niveau du domaine
Adresse IP*	Adresse à partir de laquelle l'utilisateur a réalisé l'activité. Elle ne correspond pas toujours à la position géographique réelle de l'utilisateur. Il peut s'agir, par exemple, de l'adresse IP d'un serveur proxy ou de celle d'un réseau privé virtuel (VPN). Aucune adresse IP n'est consignée pour les événements : lancés par des utilisateurs externes au domaine ; venant de services qui ne consignent jamais l'adresse IP dans leurs requêtes ; concernant le changement de nom ou la suppression d'un Drive partagé.
Nouvelle valeur de visibilité des publications	Nouvelle visibilité du document
Nouvelle valeur*	Nouvelle valeur du paramètre modifié
Nouvelle valeur des ID*	Nouvelle valeur du champ du libellé
Ancienne valeur de visibilité des publications	Ancienne visibilité du document si l'activité est une modification de la visibilité
Ancienne valeur*	Ancienne valeur du paramètre modifié
Ancienne valeur des ID*	Ancienne valeur du champ du libellé
Propriétaire	Utilisateur propriétaire du fichier.
Visibilité antérieure	L'option de visibilité précédente du document si celle-ci a été modifiée.
Destinataires*	Adresses e-mail des destinataires
ID du Drive partagé	ID Drive du Drive partagé contenant le fichier. Si le fichier ne se trouve pas dans un Drive partagé, ce champ n'est pas renseigné.
Cible	Utilisateur dont l'accès est modifié
Titre	Titre du document
Visibilité	Visibilité de l'élément Drive associé à l'activité
Modification de la visibilité	Visibilité de l'élément Drive avant l'activité
Visiteur	Oui signifie que l'activité a été effectuée par un utilisateur sans compte Google. Non signifie que l'activité a été effectuée par un utilisateur Google. Découvrez comment partager des documents avec des visiteurs.

* Vous ne pouvez pas créer de règles de reporting avec ces filtres. En savoir plus sur les différences entre les règles de reporting et les règles d'activité

Remarque : Si vous avez donné un nouveau nom à un utilisateur, vous n'obtiendez aucun résultat si vous lancez des requêtes avec son ancien nom. Par exemple, si vous changez AncienNom@exemple.com en NouveauNom@exemple.com, vous n'obtiendrez aucun résultat pour des événements liés à AncienNom@exemple.com.

Afficher les fichiers partagés en dehors d'un domaine

Pour afficher les fichiers partagés avec des utilisateurs externes à un domaine :

Page "Audit et enquête"'

Outil d'investigation de sécurité

Événements enregistrés ou non

Supprimer

Les fichiers supprimés automatiquement par Google Drive ou supprimés de la corbeille sont consignés.

Copier

Lorsqu'un fichier est copié, des événements Créer et Copier sont enregistrés pour le nouveau fichier, et un événement Texte source est enregistré pour le fichier d'origine.

Lorsqu'un utilisateur en dehors de votre organisation copie un fichier dans un emplacement externe, votre organisation n'enregistre pas d'événements Créer et Copier, car le nouveau fichier est externe. Toutefois, vos journaux comportent l'événement Texte source pour le fichier d'origine avec le champ Type de copie défini sur Externe. Pour savoir quand des données sont copiées en dehors de votre organisation, vous pouvez examiner les événements Texte source associés au type de copie Externe.

Imprimer

Les événements Imprimer ne sont pas enregistrés lorsqu'un utilisateur imprime un fichier ouvert dans un format de fichier Google (Docs, Sheets, Slides, Drawings, et Forms).

Lorsque vous imprimez des fichiers avec l'application Drive à partir d'un iPhone, d'un iPad ou d'un appareil Apple, les événements Imprimer peuvent être consignés en tant qu'événements Télécharger.

Télécharger

La plupart des téléchargements sont consignés, y compris lorsque les fichiers sont copiés entre Drive et un appareil local à l'aide de Google Drive pour ordinateur.

Certaines actions Afficher sont enregistrées en tant que téléchargements:

La prévisualisation d'un fichier dans l'application Drive sur un appareil mobile est consignée en tant qu'événement de téléchargement .
L'aperçu d'un fichier (PDF, par exemple) qui ne peut pas être ouvert directement dans Google Docs ni dans aucune autre application Google est consigné en tant qu'événement Téléchargement .

Les téléchargements provenant des sources suivantes ne sont pas consignés :

Téléchargements Google Takeout (recherchez plutôt Événements de journaux Takeout)
Téléchargements dans la mémoire cache des navigateurs pour un accès hors connexion
Photos synchronisées avec Google Photos, ou téléchargées ou affichées via cette application
Éléments Drive joints à des e-mails et téléchargés via le client de messagerie du destinataire

Synchronisation du contenu d'un élément

Les événements de synchronisation du contenu d'un élément sont consignés dans les cas suivants et disponibles pour les activités après le 1er juillet 2024 :

Un fichier est synchronisé depuis Drive vers un appareil local à l'aide de Google Drive pour ordinateur. Ces événements sont également consignés en tant qu'événements de téléchargement.
Un fichier est synchronisé avec un appareil pour un accès hors connexion. Cela vaut pour les synchronisations en cours avec la version en ligne. Les événements de synchronisation du contenu d'un élément avec l'application mobile Drive (Android et iOS) sont également consignés en tant qu'événements de téléchargement .

Accès au contenu d'un élément

Les fichiers sont accessibles au nom des utilisateurs via une application utilisant une API Google Workspace, comme l'API Google Drive ou l'API Google Sheets. Ces actions ne sont pas consignées en tant qu'événements de téléchargement ou d'affichage, mais uniquement en tant qu'accès au contenu d'un élément. Les événements Accès au contenu d'un élément de Gemini ne sont consignés que lorsque le contenu d'un fichier est consulté en dehors du fichier ouvert d'un utilisateur dans Drive pour le Web.

Les événements d'accès au contenu d'un élément ne sont pas consignés lorsqu'un utilisateur consulte ou ouvre un fichier dans Drive pour le Web, dans Drive sur mobile ou dans l'application Drive pour ordinateur.

Afficher

Un événement Afficher est désormais consigné lorsque vous consultez des fichiers à l'aide de /htmlview, /embed, /revisions et d'autres URL spéciales.

URL consultée

Les événements URL consultée sont consignés lorsqu'un script Apps Script accède à une URL , y compris lorsque le script est exécuté depuis le tableau de bord Apps Script , exécuté en tant quemodule complémentaire ou exécuté en tant que fonction personnalisée dans Sheets. Les événements URL consultée ne sont pas consignés lorsqu'un utilisateur clique sur un lien dans un fichier.

Les attributs indiqués dépendent de la manière dont le script a été exécuté et du propriétaire du script :

Lorsqu'un script est exécuté en tant que fonction personnalisée, l'ID du document et les autres attributs liés au document reflètent la feuille dans laquelle la fonction a été appelée.
Lorsqu'un script n'est pas exécuté en tant que fonction personnalisée, les attributs liés aux documents ne sont pas indiqués.
L'ID de script est indiqué si le script Apps Script appartient à votre organisation.

URL d'importation Sheets

L'appel d'une fonction d'importation Sheets, qui accède à une URL, est consigné en tant qu'événement URL d'importation Sheets. Un événement est consigné lorsque le contenu de la feuille est modifié par une actualisation automatique ou lorsqu'un utilisateur ouvre la feuille.

Événements impliquant des domaines externes

Certains événements concernent des utilisateurs, des dossiers partagés ou des Drive partagés externes à votre organisation, par exemple lorsqu'un utilisateur de votre organisation partage un fichier avec un utilisateur externe. Les deux organisations consignent un événement lorsque la propriété de l'élément passe d'une organisation à une autre.

Exemples d'événements enregistrés par les deux :

Un élément Drive appartenant à un utilisateur de votre organisation est déplacé vers un Drive partagé externe.
Un élément Drive appartenant à un utilisateur externe à votre organisation est déplacé vers un Drive partagé appartenant à votre organisation.
Un utilisateur copie un fichier dans votre organisation ou en dehors. L'organisation qui reçoit le fichier enregistre le nom du fichier copié, et non celui du fichier d'origine.

Exemples d'événements enregistrés par votre organisation, mais pas par le doamine externe:

Un élément Drive appartenant à un utilisateur de votre organisation est partagé avec un utilisateur externe.
Un élément Drive appartenant à un utilisateur de votre organisation est partagé avec un groupe qui autorise les utilisateurs externes, même si aucun utilisateur externe n'en fait partie.
Un utilisateur externe affiche, modifie, télécharge, imprime ou supprime un élément Drive appartenant à votre organisation.
Un utilisateur externe importe un fichier dans un Drive partagé appartenant à votre organisation.

Les événements enregistrés par le domaine externe, mais pas par votre organisation, sont l'inverse de la section précédente.

Utilisateurs anonymes et externes

Pour les utilisateurs anonymes (c'est-à-dire ceux qui ne sont pas connectés à un compte Google), les modifications sont enregistrées, mais pas les consultations ni les téléchargements.

Les actions effectuées par des utilisateurs externes au domaine sont affichées comme anonymes, sauf si l'élément est explicitement partagé avec eux (à titre individuel ou dans un groupe spécifique).

Les administrateurs peuvent limiter l'accès anonyme et externe en définissant des règles de partage pour l'organisation ou des règles de confiance.

Drive pour ordinateur

Lorsque des fichiers sont copiés entre Drive et un appareil local à l'aide de Google Drive pour ordinateur, les événements Télécharger et Contenu de l'élément synchronisé sont consignés.