La page d'audit et d'enquête vous permet d'effectuer des recherches concernant les événements de journaux SAML. Vous pouvez y consulter un récapitulatif des actions permettant de suivre les connexions réussies et non réussies des utilisateurs aux applications SAML. Les entrées y apparaissent généralement dans l'heure suivant l'action réalisée par l'utilisateur.
Pour obtenir la liste complète des services et des activités que vous pouvez examiner, tels que Google Drive ou l'activité des utilisateurs, consultez À propos de l'outil d'audit et d'investigation.
Forward log event data to Google Cloud
Supported editions for this feature: Enterprise Standard et Enterprise Plus; Education Standard et Education Plus, Voice Premier. Comparer votre édition
You can opt in to share the log event data with Google Cloud. If you turn on sharing, data is forwarded to Cloud Logging, where you can query and view your logs, and control how you route and store your logs.
Ouvrir la page "Audit et enquête"
Accéder aux données d'événement des journaux SAML
-
Connectez-vous à la Console d'administration Google.
Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").
- À gauche, cliquez sur Création de rapports
Audit et enquêtes
Filtrer les données
- Ouvrez les événements de journaux comme indiqué ci-dessus dans Accéder aux données d'événement des journaux SAML.
- Cliquez sur Ajouter un filtre, puis sélectionnez un attribut.
- Dans la fenêtre pop-up, sélectionnez un opérateur
-
(Facultatif) Pour créer plusieurs filtres pour votre recherche :
- Cliquez sur Ajouter un filtre, puis répétez l'étape 3.
- (Facultatif) Pour ajouter un opérateur de recherche, sélectionnez AND ou OR au-dessus de Ajouter un filtre.
- Cliquez sur Rechercher.
Remarque: L'onglet Filtre vous permet d'inclure des paires paramètres/valeurs simples pour filtrer les résultats de la recherche. Vous pouvez également utiliser l'onglet Générateur de conditions, dans lequel les filtres sont représentés par des conditions associées à des opérateurs AND/OR.
Descriptions des attributs
Pour cette source de données, vous pouvez utiliser les attributs suivants lorsque vous recherchez des données d'événements de journaux :
| Attribut | Description |
|---|---|
| Acteur | Adresse e-mail de l'utilisateur ayant réalisé l'action. |
| Nom de groupe de l'acteur |
Nom de groupe de l'utilisateur Pour en savoir plus, consultez Filtrer les résultats par groupe Google. Pour ajouter un groupe à la liste d'autorisation des groupes de filtrage :
|
| Unité organisationnelle de l'acteur | Unité organisationnelle de l'utilisateur |
| Nom de l'application | Application SAML à l'origine de l'événement |
| Date | Date et heure auxquelles l'événement s'est produit (affichées dans le fuseau horaire par défaut de votre navigateur) |
| Événement | Deux types d'événements sont enregistrés : les tentatives de connexion réussies et celles qui ont échoué. |
| Type d'échec | En cas d'échec de connexion, un type d'échec s'affiche. Pour en savoir plus, consultez Types d'échecs et solutions ci-dessous. |
| Lancé par | Fournisseur ayant lancé l'événement. Il peut s'agir du fournisseur d'identité ou du fournisseur de services. |
| Adresse IP | Adresse IP dont se sert l'utilisateur pour se connecter à l'application SAML. Elle ne correspond pas toujours à la position géographique de l'utilisateur. Il peut s'agir, par exemple, de l'adresse du serveur proxy ou de celle d'un réseau privé virtuel (VPN). |
| État du deuxième niveau de la réponse | Informations d'état sur la réussite ou l'échec de la requête SAML. Pour en savoir plus sur les codes d'état, consultez la section 3.2.2.2 du document SAML Core 2.0 (en anglais). |
| État de la réponse | Informations d'état sur la réussite ou l'échec de la requête SAML. Pour en savoir plus sur les codes d'état, consultez la section 3.2.2.2 du document SAML Core 2.0 (en anglais). |
Filtrer les données par type d'échec
- Ouvrez les événements de journaux comme indiqué ci-dessus dans Accéder aux données d'événement des journaux SAML.
- Cliquez sur Ajouter un filtre
- Dans la liste déroulante, sélectionnez l'une des options suivantes.
- Cliquez sur Appliquer.
Types d'échec et solutions
Les types d'échec suivants sont enregistrés dans les événements de journaux :
Gérer les données d'événement des journaux
Gérer les données des colonnes de résultats de recherche
Vous pouvez contrôler l'affichage des colonnes de données dans les résultats de recherche.
- En haut à droite du tableau des résultats de recherche, cliquez sur Gérer les colonnes
.
- (Facultatif) Pour supprimer les colonnes actuelles, cliquez sur Supprimer
.
- (Facultatif) Pour ajouter des colonnes, à côté de Ajouter une colonne, cliquez sur la flèche vers le bas
, puis sélectionnez la colonne de données.
Répétez l'opération autant de fois que nécessaire. - (Facultatif) Pour modifier l'ordre des colonnes, faites glisser leur nom.
- Cliquez sur Enregistrer.
Exporter les données des résultats de recherche
- En haut du tableau des résultats de recherche, cliquez sur Tout exporter.
- Saisissez un nom
L'exportation s'affiche sous le tableau des résultats de recherche sous Exporter les résultats de l'action. - Pour afficher les données, cliquez sur le nom de votre exportation.
L'exportation s'ouvre dans Google Sheets.
Créer des règles de reporting
Accédez à Créer et gérer des règles de reporting.
Quand et pendant combien de temps les données sont-elles disponibles ?
Accédez à Conservation des données et temps de latence.
