La page d'audit et d'enquête vous permet d'effectuer des recherches concernant les événements de journaux des utilisateurs. Vous pouvez y consulter les actions critiques effectuées par les utilisateurs sur leur propre compte. Ces actions peuvent être des modifications apportées aux mots de passe, aux informations de récupération de compte (numéros de téléphone, adresses e-mail) et à l'inscription à la validation en deux étapes. Les connexions provenant d'un client de messagerie ou d'une application autre qu'un navigateur ne sont pas consignées dans ce rapport, sauf s'il s'agit d'une connexion programmatique depuis une session considérée comme suspecte.
Remarque :
- Lors d'un récent lancement, l'ancien journal d'audit des connexions et l'ancien journal d'audit des comptes utilisateur ont été combinés dans la source de données Événements de journaux des utilisateurs. Pour en savoir plus, consultez Nouveautés : Amélioration de l'expérience d'audit et d'enquête.
- Si le journal des utilisateurs n'a enregistré aucune donnée au cours des six derniers mois, il est possible que les événements de journaux des utilisateurs ne s'affichent pas dans le menu de navigation de gauche.
Pour obtenir la liste complète des services et des activités que vous pouvez examiner, tels que Google Drive ou l'activité des utilisateurs, consultez À propos de l'outil d'audit et d'investigation.
Transférer les données des événements de journaux vers Google Cloud
Vous pouvez accepter de partager les données des événements de journaux avec Google Cloud. Si vous activez le partage, les données sont transférées vers Cloud Logging, où vous pouvez interroger et consulter vos journaux, et contrôler comment ils sont acheminés et stockés.
Ouvrir la page d'audit et d'enquête
Accéder aux données des événements de journaux des utilisateurs
-
Connectez-vous à la Console d'administration Google.
Connectez-vous avec votre compte administrateur (ne se terminant pas par "@gmail.com").
- Sur la gauche, cliquez sur Création de rapports
Audit et enquête
Filtrer les données
- Ouvrez les événements de journaux comme indiqué ci-dessus dans Accéder aux données des événements de journaux des utilisateurs.
- Cliquez sur Ajouter un filtre, puis sélectionnez un attribut.
- Dans la fenêtre pop-up, sélectionnez un opérateur
-
(Facultatif) Pour créer plusieurs filtres pour votre recherche :
- Cliquez sur Ajouter un filtre, puis répétez l'étape 3.
- (Facultatif) Pour ajouter un opérateur de recherche, sélectionnez AND ou OR au-dessus de Ajouter un filtre.
- Cliquez sur Rechercher.
Remarque: L'onglet Filtre vous permet d'inclure des paires paramètres/valeurs simples pour filtrer les résultats de la recherche. Vous pouvez également utiliser l'onglet Générateur de conditions, dans lequel les filtres sont représentés par des conditions associées à des opérateurs AND/OR.
Descriptions des attributs
Pour cette source de données, vous pouvez utiliser les attributs suivants lorsque vous recherchez des données d'événements de journaux :
| Attribut | Description |
|---|---|
| Nom de groupe de l'acteur |
Nom de groupe de l'utilisateur Pour en savoir plus, consultez Filtrer les résultats par groupe Google. Pour ajouter un groupe à la liste d'autorisation des groupes de filtrage :
|
| Unité organisationnelle de l'acteur | Unité organisationnelle de l'utilisateur |
| Utilisateur concerné | Adresse e-mail de l'utilisateur concerné |
| Type de question d'authentification* | Type de question d'authentification utilisée pour valider l'utilisateur, par exemple mot de passe ou clé de sécurité. |
| Date | La date et l'heure auxquelles l'événement s'est produit (selon le fuseau horaire par défaut de votre navigateur) |
| Domaine* | Le domaine où l'action s'est produite |
| Adresse de transfert des e-mails | Adresse e-mail vers laquelle transférer les messages Gmail |
|
Événement |
Action d'événement consignée, telle que Inscription à la validation en deux étapes ou Connexion suspecte Remarque: Pour l'événement Déconnexion, même si l'utilisateur s'est connecté avec des types de connexion autres que le mot de passe Google (comme Exchange, une réauthentification, SAML ou un type de connexion inconnu), le type de connexion pour les événements Déconnexion s'affiche en tant que Mot de passe Google. |
| Adresse IP | Adresse IP utilisée par l'utilisateur pour se connecter. Elle correspond généralement à la position géographique réelle de l'utilisateur, mais il peut aussi bien s'agir de l'adresse d'un serveur proxy ou de celle d'un réseau privé virtuel (VPN). |
| Deuxième facteur* | True si l'utilisateur s'est connecté avec l'authentification à deux facteurs False si l'utilisateur ne s'est pas connecté avec l'authentification à deux facteurs |
| Est suspect* | True si la tentative de connexion était suspecte, sinon false. Applicable uniquement à l'événement "login_success" |
| Heure de connexion | Date et heure de connexion de l'utilisateur |
| Type de connexion |
Méthode d'authentification utilisée par l'utilisateur :
|
| Utilisateur | Adresse e-mail de l'utilisateur ayant réalisé l'action. |
Gérer les données des événements de journaux
Gérer les données des colonnes de résultats de recherche
Vous pouvez contrôler l'affichage des colonnes de données dans les résultats de recherche.
- En haut à droite du tableau des résultats de recherche, cliquez sur Gérer les colonnes
.
- (Facultatif) Pour supprimer les colonnes actuelles, cliquez sur Supprimer
.
- (Facultatif) Pour ajouter des colonnes, à côté de Ajouter une colonne, cliquez sur la flèche vers le bas
, puis sélectionnez la colonne de données.
Répétez l'opération autant de fois que nécessaire. - (Facultatif) Pour modifier l'ordre des colonnes, faites glisser leur nom.
- Cliquez sur Enregistrer.
Exporter les données des résultats de recherche
- En haut du tableau des résultats de recherche, cliquez sur Tout exporter.
- Saisissez un nom
L'exportation s'affiche sous le tableau des résultats de recherche sous Exporter les résultats de l'action. - Pour afficher les données, cliquez sur le nom de votre exportation.
L'exportation s'ouvre dans Google Sheets.
Créer des règles de reporting
Accédez à Créer et gérer des règles de reporting.
Quand et pendant combien de temps les données sont-elles disponibles ?
Accédez à Conservation des données et temps de latence.
