Zdarzenia z dziennika SAML

Strona kontroli i analizy zagrożeń: wyświetlanie logowania w aplikacjach SAML

Strona dziennika kontrolnego została zastąpiona nową stroną kontroli i analizy zagrożeń. Więcej informacji o tej zmianie znajdziesz w artykule o nowościach w Google Workspace, w którym omawiamy ulepszone funkcje kontroli i analizy zagrożeń.

Na stronie kontroli i analizy zagrożeń możesz przeprowadzać wyszukiwania związane ze zdarzeniami z dziennika SAML. Za pomocą tego dziennika możesz wyświetlić rejestr czynności, aby śledzić udane i nieudane logowania użytkowników w aplikacjach SAML. Wpisy pojawiają się zwykle w ciągu godziny od wykonania czynności przez użytkownika.

Pełną listę usług i działań, które możesz sprawdzić (takich jak Dysk Google czy aktywność użytkowników) znajdziesz w artykule Informacje o narzędziu do kontroli i analizy zagrożeń.

Forward log event data to Google Cloud

Supported editions for this feature: Enterprise Standard i Enterprise Plus; Education Standard i Education Plus, Voice Premier. Porównanie wersji

You can opt in to share the log event data with Google Cloud. If you turn on sharing, data is forwarded to Cloud Logging, where you can query and view your logs, and control how you route and store your logs.

Otwieranie strony kontroli i analizy zagrożeń

Uzyskiwanie dostępu do danych zdarzenia z dziennika SAML

Zaloguj się w usłudze konsoli administracyjnej Google.
Użyj swojego konta administratora (jego adres nie kończy się na @gmail.com).
Po lewej stronie kliknij Raportowanie Kontrola i analiza zagrożeń Zdarzenia z dziennika SAML.

Filtrowanie danych

Otwórz zdarzenia z dziennika w sposób opisany powyżej w sekcji Uzyskiwanie dostępu do danych zdarzenia z dziennika SAML.
Kliknij Dodaj filtr, a następnie wybierz atrybut.
W wyskakującym okienku wybierz operator wybierz wartość kliknij Zastosuj.
(Opcjonalnie) Aby utworzyć kilka filtrów wyszukiwania:
1. Kliknij Dodaj filtr i powtórz krok 3.
2. (Opcjonalnie) Aby dodać operator wyszukiwania, nad opcją Dodaj filtr wybierz ORAZ bądź LUB.
Kliknij Szukaj.

Uwaga: na karcie Filtr możesz uwzględnić proste pary parametrów i wartości, aby przefiltrować wyniki wyszukiwania. Możesz też użyć karty narzędzia do definiowania warunków, gdzie filtry są mają postać warunków z operatorem ORAZ i LUB.

Opisy atrybutów

W przypadku tego źródła danych podczas wyszukiwania danych zdarzenia z dziennika możesz użyć tych atrybutów:

Atrybut	Opis
Użytkownik, który wykonał czynność	Adres e-mail użytkownika, który wykonał aktywność.
Nazwa grupy	Nazwa grupy użytkownika, który wykonał czynność. Więcej informacji znajdziesz w artykule Filtrowanie wyników za pomocą grup dyskusyjnych Google. Aby dodać grupę do listy dozwolonych grup filtrowania: Kliknij Nazwa grupy. Kliknij Grupy filtrowania. Pojawi się strona Grupy filtrowania. Kliknij Dodawanie grup. Wyszukaj grupę, wpisując kilka pierwszych znaków jej nazwy lub adresu e-mail. Gdy zobaczysz odpowiednią grupę, wybierz ją. (Opcjonalnie) Aby dodać kolejną grupę, wyszukaj ją i wybierz. Gdy wybierzesz odpowiednie grupy, kliknij Dodaj. (Opcjonalnie) Aby usunąć grupę, kliknij Usuń grupę . Kliknij Zapisz.
Jednostka organizacyjna użytkownika, który wykonał czynność	Jednostka organizacyjna użytkownika, który wykonał czynność
Nazwa aplikacji	Aplikacja SAML, która zainicjowała zdarzenie.
Data	Data i godzina wystąpienia zdarzenia (według domyślnej strefy czasowej ustawionej w przeglądarce).
Zdarzenie	Rejestrowane są 2 rodzaje zdarzeń: udane i nieudane próby logowania
Rodzaj błędu	W przypadku nieudanych prób logowania wyświetlany jest rodzaj błędu. Szczegółowe informacje znajdziesz w sekcji Rodzaje błędów i rozwiązania poniżej
Zainicjowane przez	Dostawca, który zainicjował zdarzenie. Może być to dostawca tożsamości lub dostawca usług.
Adres IP	Adres IP użyty przez użytkownika do zalogowania się w aplikacji SAML. Może on odzwierciedlać fizyczną lokalizację użytkownika, ale może też wskazywać na serwer proxy lub wirtualną sieć prywatną (VPN).
Stan drugiego poziomu odpowiedzi	Informacje o udanym lub nieudanym żądaniu SAML. Szczegółowe informacje o kodach stanu znajdziesz w sekcji 3.2.2.2 materiału dotyczącego SAML Core 2.0 (w języku angielskim).
Stan odpowiedzi	Informacje o udanym lub nieudanym żądaniu SAML. Szczegółowe informacje o kodach stanu znajdziesz w sekcji 3.2.2.2 materiału dotyczącego SAML Core 2.0 (w języku angielskim).

Filtrowanie danych według rodzaju błędu

Otwórz zdarzenia z dziennika w sposób opisany powyżej w sekcji Uzyskiwanie dostępu do danych zdarzenia z dziennika SAML.
Kliknij Dodaj filtr Rodzaj błędu.
Wybierz opcję z listy:
Kliknij Zastosuj.

Rodzaje błędów i rozwiązania

W zdarzeniach z dziennika rejestrowane są te rodzaje błędów:

Rodzaj błędu	Rozwiązanie
Aplikacja nie została skonfigurowana	Sprawdź, czy ustawienia dostawcy usług (w tym identyfikator jednostki) są poprawnie skonfigurowane w konsoli administracyjnej.
Aplikacja nie jest włączona dla użytkownika	W sekcji Dostęp użytkownika na stronie ustawień aplikacji w konsoli administracyjnej sprawdź, czy aplikacja jest włączona dla organizacji, do której należy konto użytkownika.
Nieprawidłowe żądanie	Żądanie zostało nieprawidłowo sformułowane lub adres URL usługi ACS w żądaniu nie jest zgodny z adresem URL skonfigurowanym w konsoli administracyjnej. Sprawdź, czy adres URL usługi ACS skonfigurowany dla dostawcy usług jest poprawny.
Nieprawidłowe mapowanie identyfikatora nazwy	Parametr NAMEID w aplikacji jest niezgodny z parametrem skonfigurowanym w ustawieniach aplikacji w konsoli administracyjnej. Sprawdź, czy schemat nadal istnieje, i ponownie skonfiguruj mapowanie parametru NAMEID dla aplikacji.
Nieprawidłowy identyfikator dostawcy usług	Sprawdź, czy konfiguracja po stronie dostawcy usług jest zgodna z polem identyfikatora aplikacji skonfigurowanym w konsoli administracyjnej. Upewnij się, że identyfikator dostawcy usług przekazywany w adresie URL żądania jest taki sam jak identyfikator aplikacji.
Mapowanie identyfikatora nazwy niedostępne	Nie można znaleźć zmapowanego atrybutu dla mapowania parametru NAMEID. Jako administrator sprawdź, czy schemat nadal istnieje, i ponownie skonfiguruj mapowanie parametru NAMEID dla aplikacji.
Pasywne uwierzytelnianie nie powiodło się	Nie udało się zalogować użytkownika w usłudze dostawcy tożsamości. Zaloguj się z powrotem do dostawcy tożsamości w przeglądarce.
Nieznana przyczyna	Przyczyna nieudanego logowanie jest nieznana.
Użytkownik nie ma uprawnień	Sprawdź, czy aplikacja jest włączona dla organizacji lub grupy, do której należy konto użytkownika.

Zarządzanie danymi zdarzenia z dziennika

Zarządzanie danymi w kolumnie wyników wyszukiwania

Możesz określić, które kolumny danych mają pojawiać się w wynikach wyszukiwania.

W prawym górnym rogu tabeli wyników wyszukiwania kliknij Zarządzaj kolumnami .
(Opcjonalnie) Aby usunąć bieżące kolumny, kliknij Usuń .
(Opcjonalnie) Aby dodać kolumny, obok Dodaj nową kolumnę, kliknij strzałkę w dół i wybierz kolumnę danych.
Powtórz w razie potrzeby.
(Opcjonalnie) Aby zmienić kolejność kolumn, przeciągnij nazwy kolumn danych.
Kliknij Zapisz.

Eksportowanie danych wyników wyszukiwania

U góry tabeli wyników wyszukiwania kliknij Eksportuj wszystko.
Wpisz nazwę kliknij Eksportuj.
Wyeksportowane dane wyświetlają się pod tabelą wyników wyszukiwania w sekcji wyników eksportowania.
Aby wyświetlić dane, kliknij nazwę eksportu.
Eksport otworzy się w Arkuszach Google.

tworzenie reguł raportowania.

Otwórz artykuł Tworzenie i wyświetlanie reguł raportowania oraz konfigurowanie alertów.