收集 Lucid 稽核記錄

支援的國家/地區：

本文說明如何使用 Google Cloud Storage V2，將 Lucid 稽核記錄擷取至 Google Security Operations。

Lucid Software 提供視覺化協作套件，包括 Lucidchart、Lucidspark 和 Lucidscale。稽核記錄 API 僅供 Enterprise Shield 客戶使用，可擷取整個機構的安全性與合規事件，包括帳戶存取權、文件活動、使用者管理、管理員動作和團隊作業。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 已啟用 Cloud Storage API 的 GCP 專案
  • 建立及管理 GCS bucket 的權限
  • 管理 Google Cloud Storage 值區 IAM 政策的權限
  • 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
  • 具備管理員或帳戶擁有者權限的 Lucid Enterprise Shield 帳戶
  • 存取 Lucid 開發人員入口網站，並啟用開發人員工具

在 Lucid 中啟用開發人員工具

建立 API 憑證前，您必須先存取 Lucid 開發人員入口網站。啟用開發人員工具有兩種方法：

方法 1：透過使用者設定啟用

  1. 登入 lucid.app。
  2. 按一下右上角的個人資料圖示。
  3. 選取「帳戶設定」。

  4. 勾選「啟用開發人員工具」核取方塊。

方法 2：透過指派管理員角色啟用

  1. 以帳戶擁有者或團隊管理員的身分登入 lucid.app。
  2. 前往管理面板。
  3. 前往「使用者」部分。
  4. 選取目標使用者。

  5. 編輯使用者的角色，並指派「開發人員」角色。

設定 Lucid API 存取權

如要讓 Google SecOps 擷取稽核記錄，您必須建立 OAuth 2.0 用戶端，並使用 account.audit.logs 範圍產生帳戶層級的存取權杖。

建立 OAuth 2.0 應用程式和用戶端

  1. 前往 Lucid 開發人員入口網站。
  2. 點選「Create Application」(建立應用程式)。
  3. 輸入應用程式名稱 (例如 Chronicle SIEM Integration)。
  4. 按一下新建的應用程式，即可存取其設定。
  5. 前往「OAuth 2.0」分頁。

  6. 輸入 OAuth 2.0 用戶端的名稱 (例如 Chronicle Audit Log Collector)。

  7. 按一下「建立 OAuth 2.0 用戶端」。

記錄用戶端憑證

建立 OAuth 2.0 用戶端後，入口網站會顯示您的憑證：

  • 用戶端 ID：您的專屬用戶端 ID。
  • 用戶端密鑰：您的 API 密鑰。

重要事項：請立即複製並儲存用戶端密鑰。如果用戶端密鑰遭盜用，請點選 OAuth 2.0 設定頁面上的「重設用戶端密鑰」按鈕。重設密鑰後，系統會立即撤銷存取權，直到您在整合服務中更新密鑰為止。

註冊重新導向 URI

  1. 在 OAuth 2.0 設定頁面中，按一下「新增重新導向 URI」。

  2. 輸入整合項目的重新導向 URI。如果使用 Lucid 提供的測試重新導向，請輸入：

    https://lucid.app/oauth2/clients/<CLIENT_ID>/redirect

    將 <CLIENT_ID> 替換為實際的用戶端 ID。

取得帳戶層級存取權杖

稽核記錄 API 需要帳戶權杖 (而非使用者權杖)。帳戶管理員必須授權 OAuth 2.0 用戶端代表帳戶建立權杖。

  1. 請帳戶管理員在瀏覽器中前往下列授權網址：

    https://lucid.app/oauth2/authorizeAccount?client_id=<CLIENT_ID>&redirect_uri=<REDIRECT_URI>&scope=account.audit.logs

    將 <CLIENT_ID> 和 <REDIRECT_URI> 替換為實際值。

  2. 管理員在同意畫面中檢查要求的權限，然後按一下「允許」。

  3. Lucid 會重新導向至重新導向 URI，並附上授權 code 查詢參數。

  4. 向權杖端點發出 POST 要求，將授權碼換成存取權杖：

    curl --request POST \
  --url https://api.lucid.co/oauth2/token \
  --header 'Content-Type: application/json' \
  --data '{
    "grant_type": "authorization_code",
    "client_id": "<CLIENT_ID>",
    "client_secret": "<CLIENT_SECRET>",
    "code": "<AUTHORIZATION_CODE>",
    "redirect_uri": "<REDIRECT_URI>"
  }'

  5. 回覆內容包括 access_token 和 refresh_token。請妥善記錄這兩個值。

驗證 API 存取權

  • 發出測試要求，確認存取權杖是否有效：

    curl --request GET \
  --url 'https://api.lucid.co/auditLogs?pageSize=1' \
  --header 'Authorization: Bearer <ACCESS_TOKEN>' \
  --header 'Lucid-Api-Version: 1' \
  --header 'Accept: application/json'

成功的回應會傳回稽核記錄事件的 JSON 陣列。

必要的 API 權限

  • OAuth 2.0 用戶端需要下列範圍：

    範圍 權杖類型 目的
    account.audit.logs 帳戶 擷取帳戶的稽核記錄事件

建立 Google Cloud Storage bucket

  1. 前往 Google Cloud 控制台。
  2. 選取專案或建立新專案。
  3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
  4. 按一下「建立值區」。

  5. 請提供下列設定詳細資料：

    設定 值
    為 bucket 命名 輸入全域不重複的名稱 (例如 lucid-audit-logs-gcs)
    位置類型 根據需求選擇 (區域、雙區域、多區域)
    位置 選取位置 (例如 us-central1)
    儲存空間級別 標準 (建議用於經常存取的記錄)
    存取控管 統一 (建議)
    保護工具 選用：啟用物件版本管理或資料保留政策

  6. 點選「建立」。

為 Cloud Run 函式建立服務帳戶

  1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 請提供下列設定詳細資料：
    • 服務帳戶名稱：輸入 lucid-audit-collector-sa
    • 服務帳戶說明：輸入 Service account for Cloud Run function to collect Lucid audit logs
  4. 按一下「建立並繼續」。
  5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
    1. 按一下「選擇角色」。
    2. 搜尋並選取「Storage 物件管理員」。
    3. 點選「+ 新增其他角色」。
    4. 搜尋並選取「Cloud Run Invoker」。
    5. 點選「+ 新增其他角色」。
    6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
  6. 按一下「繼續」。
  7. 按一下 [完成]。

授予 GCS 值區的 IAM 權限

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 bucket 名稱 (lucid-audit-logs-gcs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：輸入服務帳戶電子郵件地址 (lucid-audit-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • 指派角色：選取「Storage 物件管理員」
  6. 按一下 [儲存]。

建立 Pub/Sub 主題

  1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
  2. 按一下「建立主題」。
  3. 請提供下列設定詳細資料：
    • 主題 ID：輸入 lucid-audit-trigger
    • 其他設定保留預設值
  4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 Lucid 稽核記錄 API 擷取記錄，並寫入 GCS。

  1. 前往 GCP Console 的「Cloud Run」。
  2. 按一下「Create service」(建立服務)。
  3. 選取「函式」 (使用內嵌編輯器建立函式)。

  4. 在「設定」部分，提供下列設定詳細資料：

    設定 值
    服務名稱 lucid-audit-collector
    區域 選取與 GCS bucket 相符的區域 (例如 us-central1)
    執行階段 選取 Python 3.12 以上版本

  5. 在「Trigger (optional)」(觸發條件 (選用)) 專區：

    1. 按一下「+ 新增觸發條件」。
    2. 選取「Cloud Pub/Sub」。
    3. 在「Select a Cloud Pub/Sub topic」(選取 Cloud Pub/Sub 主題) 中，選擇 lucid-audit-trigger。
    4. 按一下 [儲存]。

  6. 在「Authentication」(驗證) 部分：

    1. 選取「需要驗證」。
    2. 檢查 Identity and Access Management (IAM)。

  7. 向下捲動並展開「容器」、「網路」和「安全性」。

  8. 前往「安全性」分頁：

    • 服務帳戶：選取 lucid-audit-collector-sa

  9. 前往「容器」分頁：

    1. 按一下「變數與密鑰」。
    2. 針對每個環境變數，按一下「+ 新增變數」：
    變數名稱 範例值 說明
    GCS_BUCKET lucid-audit-logs-gcs GCS bucket 名稱
    GCS_PREFIX lucid-audit 記錄檔的前置字串
    STATE_KEY lucid-audit/state.json 狀態檔案路徑
    LUCID_CLIENT_ID your-oauth-client-id Lucid OAuth 2.0 用戶端 ID
    LUCID_CLIENT_SECRET your-oauth-client-secret Lucid OAuth 2.0 用戶端密鑰
    LUCID_REFRESH_TOKEN your-refresh-token Lucid OAuth 2.0 更新權杖
    LOOKBACK_HOURS 24 初始回溯期
    PAGE_SIZE 200 每個 API 頁面的記錄數 (最多 200 筆)
    MAX_PAGES 50 每次執行最多可掃描的頁面數

  10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

  11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上
      • CPU：選取 1

  12. 在「修訂版本資源調度」部分：

    • 執行個體數量下限：輸入 0
    • 執行個體數量上限：輸入 100

  13. 點選「建立」。

  14. 等待服務建立完成 (1 到 2 分鐘)。

  15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

  1. 在「進入點」欄位中輸入「main」。
  2. 在內嵌程式碼編輯器中建立兩個檔案：

  • main.py:

    import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import re

http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=10.0, read=60.0),
    retries=False,
)

storage_client = storage.Client()

GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'lucid-audit')
STATE_KEY = os.environ.get('STATE_KEY', 'lucid-audit/state.json')
LUCID_CLIENT_ID = os.environ.get('LUCID_CLIENT_ID')
LUCID_CLIENT_SECRET = os.environ.get('LUCID_CLIENT_SECRET')
LUCID_REFRESH_TOKEN = os.environ.get('LUCID_REFRESH_TOKEN')
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '200'))
MAX_PAGES = int(os.environ.get('MAX_PAGES', '50'))

API_BASE = 'https://api.lucid.co'

@functions_framework.cloud_event
def main(cloud_event):
    if not all([GCS_BUCKET, LUCID_CLIENT_ID, LUCID_CLIENT_SECRET, LUCID_REFRESH_TOKEN]):
        print('Error: Missing required environment variables')
        return

    try:
        bucket = storage_client.bucket(GCS_BUCKET)
        state = load_state(bucket)
        now = datetime.now(timezone.utc)

        if isinstance(state, dict) and state.get('last_event_time'):
            try:
                last_val = state['last_event_time']
                if last_val.endswith('Z'):
                    last_val = last_val[:-1] + '+00:00'
                last_time = datetime.fromisoformat(last_val)
                last_time = last_time - timedelta(minutes=2)
            except Exception as e:
                print(f"Warning: Could not parse last_event_time: {e}")
                last_time = now - timedelta(hours=LOOKBACK_HOURS)
        else:
            last_time = now - timedelta(hours=LOOKBACK_HOURS)

        print(f"Fetching audit logs from {last_time.isoformat()} to {now.isoformat()}")

        access_token, new_refresh_token = refresh_access_token()

        if new_refresh_token:
            save_refresh_token(bucket, new_refresh_token)

        records, newest_event_time = fetch_audit_logs(access_token, last_time, now)

        if not records:
            print("No new audit log records found.")
            save_state(bucket, now.isoformat())
            return

        timestamp = now.strftime('%Y%m%d_%H%M%S')
        object_key = f"{GCS_PREFIX}/lucid_audit_{timestamp}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join(
            [json.dumps(record, ensure_ascii=False) for record in records]
        ) + '\n'
        blob.upload_from_string(ndjson, content_type='application/x-ndjson')

        print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")

        if newest_event_time:
            save_state(bucket, newest_event_time)
        else:
            save_state(bucket, now.isoformat())

        print(f"Successfully processed {len(records)} audit log records")

    except Exception as e:
        print(f'Error processing logs: {str(e)}')
        raise

def refresh_access_token():
    url = f"{API_BASE}/oauth2/token"
    body = json.dumps({
        'grant_type': 'refresh_token',
        'refresh_token': LUCID_REFRESH_TOKEN,
        'client_id': LUCID_CLIENT_ID,
        'client_secret': LUCID_CLIENT_SECRET
    }).encode('utf-8')

    response = http.request(
        'POST', url,
        body=body,
        headers={'Content-Type': 'application/json'}
    )

    if response.status != 200:
        raise Exception(
            f"Token refresh failed: {response.status} - "
            f"{response.data.decode('utf-8')}"
        )

    data = json.loads(response.data.decode('utf-8'))
    access_token = data.get('access_token')
    new_refresh_token = data.get('refresh_token')

    if not access_token:
        raise Exception("No access_token in token refresh response")

    print("Successfully refreshed Lucid API access token")
    return access_token, new_refresh_token

def fetch_audit_logs(access_token, start_time, end_time):
    records = []
    newest_time = None
    page_num = 0
    next_page_url = None

    since_str = start_time.strftime('%Y-%m-%dT%H:%M:%S.000Z')
    until_str = end_time.strftime('%Y-%m-%dT%H:%M:%S.000Z')

    while page_num < MAX_PAGES:
        page_num += 1

        if next_page_url:
            url = next_page_url
        else:
            url = (
                f"{API_BASE}/auditLogs"
                f"?pageSize={PAGE_SIZE}"
                f"&since={since_str}"
                f"&until={until_str}"
            )

        headers = {
            'Authorization': f'Bearer {access_token}',
            'Lucid-Api-Version': '1',
            'Accept': 'application/json'
        }

        response = http.request('GET', url, headers=headers)

        if response.status == 429:
            print(f"Rate limited on page {page_num}. Stopping pagination.")
            break

        if response.status != 200:
            print(
                f"API error on page {page_num}: {response.status} - "
                f"{response.data.decode('utf-8')}"
            )
            break

        page_results = json.loads(response.data.decode('utf-8'))

        if not page_results:
            print(f"No more results at page {page_num}")
            break

        records.extend(page_results)
        print(f"Page {page_num}: Retrieved {len(page_results)} events "
              f"(total: {len(records)})")

        for event in page_results:
            try:
                event_time = event.get('eventTimestamp')
                if event_time:
                    if newest_time is None or event_time > newest_time:
                        newest_time = event_time
            except Exception as e:
                print(f"Warning: Could not parse event time: {e}")

        link_header = response.headers.get('Link', '')
        next_page_url = parse_link_header(link_header)

        if not next_page_url:
            print(f"No next page link found. Pagination complete.")
            break

        if len(page_results) < PAGE_SIZE:
            break

    print(f"Total audit log records fetched: {len(records)} from {page_num} pages")
    return records, newest_time

def parse_link_header(link_header):
    if not link_header:
        return None

    match = re.search(r'<([^>]+)>;\s*rel="next"', link_header)
    if match:
        return match.group(1)
    return None

def load_state(bucket):
    try:
        blob = bucket.blob(STATE_KEY)
        if blob.exists():
            return json.loads(blob.download_as_text())
    except Exception as e:
        print(f"Warning: Could not load state: {e}")
    return {}

def save_state(bucket, last_event_time_iso):
    try:
        state = {
            'last_event_time': last_event_time_iso,
            'last_run': datetime.now(timezone.utc).isoformat()
        }
        blob = bucket.blob(STATE_KEY)
        blob.upload_from_string(
            json.dumps(state, indent=2),
            content_type='application/json'
        )
        print(f"Saved state: last_event_time={last_event_time_iso}")
    except Exception as e:
        print(f"Warning: Could not save state: {e}")

def save_refresh_token(bucket, new_refresh_token):
    try:
        token_key = f"{GCS_PREFIX}/refresh_token.json"
        blob = bucket.blob(token_key)
        blob.upload_from_string(
            json.dumps({'refresh_token': new_refresh_token}, indent=2),
            content_type='application/json'
        )
        print("Saved new refresh token to GCS")
    except Exception as e:
        print(f"Warning: Could not save refresh token: {e}")

  • requirements.txt:

      functions-framework==3.*
  google-cloud-storage==2.*
  urllib3>=2.0.0
  ```
  1. 點選「部署」即可儲存並部署函式。

  2. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

  1. 前往 GCP 主控台的「Cloud Scheduler」。
  2. 點選「建立工作」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 lucid-audit-collector-hourly
    區域 選取與 Cloud Run 函式相同的區域
    頻率 0 * * * * (每小時整點)
    時區 選取時區 (建議使用世界標準時間)
    目標類型 Pub/Sub
    主題 選取「lucid-audit-trigger」
    郵件內文 {} (空白 JSON 物件)

  4. 點選「建立」。

測試整合項目

  1. 在 Cloud Scheduler 控制台中，找出您的工作 (lucid-audit-collector-hourly)。
  2. 按一下「強制執行」即可手動觸發工作。
  3. 稍等幾秒鐘。
  4. 前往「Cloud Run」>「Services」。
  5. 按一下 lucid-audit-collector。
  6. 按一下 [Logs] (記錄) 分頁標籤。

  7. 確認函式是否已順利執行。請注意以下事項：

    Fetching audit logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Successfully refreshed Lucid API access token
Page 1: Retrieved X events (total: X)
Wrote X records to gs://lucid-audit-logs-gcs/lucid-audit/lucid_audit_YYYYMMDD_HHMMSS.ndjson
Successfully processed X audit log records

  8. 依序前往「Cloud Storage」>「Buckets」。

  9. 按一下 lucid-audit-logs-gcs。

  10. 前往 lucid-audit/ 資料夾。

  11. 確認是否已建立新的 .ndjson 檔案，且檔案名稱包含目前的時間戳記。

如果記錄中顯示錯誤：

  • HTTP 401：確認 LUCID_CLIENT_ID、LUCID_CLIENT_SECRET 和 LUCID_REFRESH_TOKEN 環境變數是否正確
  • HTTP 403：確認 OAuth 2.0 用戶端具有 account.audit.logs 範圍，且權杖為帳戶權杖
  • HTTP 429：頻率限制，函式會停止分頁，並在下次排定的執行作業中繼續
  • 缺少環境變數：確認 Cloud Run 函式設定中已設定所有必要變數

稽核記錄事件類別

Lucid 稽核記錄分為下列事件類別：

類別 說明
登入 與使用者登入相關聯的事件
內容 與文件和資料夾存取及修改相關的事件
管理 與管理員活動和帳戶變更相關的事件
使用者 與使用者在個人設定中執行的動作相關聯的事件
團隊 與團隊作業相關的事件

如需事件類型和結構定義的完整清單，請參閱「Lucid 稽核記錄事件」說明文件。

FedRAMP 環境

Lucid FedRAMP 環境中的使用者會使用不同的授權和 API 端點。如需正確的端點網址，請參閱 Lucid FedRAMP 環境說明文件。

擷取 Google SecOps 服務帳戶

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Lucid Audit Logs)。
  5. 選取「Google Cloud Storage V2」做為「來源類型」。
  6. 選取「Lucid」做為「記錄類型」。

  7. 按一下「取得服務帳戶」，系統會顯示專屬服務帳戶電子郵件地址，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. 複製這個電子郵件地址，以便在下一步中使用。

  9. 點選「下一步」。

  10. 指定下列輸入參數的值：

    • 儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：

      gs://lucid-audit-logs-gcs/lucid-audit/

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

      • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)

    • 資產命名空間：資產命名空間

    • 擷取標籤：要套用至這個動態饋給事件的標籤

  11. 點選「下一步」。

  12. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 lucid-audit-logs-gcs。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
    • 指派角色：選取「Storage 物件檢視者」

  6. 按一下 [儲存]。

UDM 對應表

記錄欄位 UDM 對應 邏輯
document_opened additional.fields 如果來源欄位不為空白，則會與從各來源欄位建立的標籤合併
share_link_enable additional.fields
restricted_account_enable additional.fields
event1.documentIds additional.fields
team_folder additional.fields
method_type additional.fields
extensions.auth.type extensions.auth.type 登入/登出事件請設為「AUTHTYPE_UNSPECIFIED」
eventTimestamp metadata.event_timestamp 使用日期比對 ISO8601 或 yyyy-MM-ddTHH:mm:ss.SSSSSSZ 轉換
has_user_login metadata.event_type 根據 has_* 旗標設定：如果 has_user_login 和 has_target_user 為 true，則為 USER_LOGIN；如果 has_user_logout 和 has_target_user 為 true，則為 USER_LOGOUT；如果 has_user_resource_updated、has_target_resource 和 has_principal_user 為 true，則為 USER_RESOURCE_UPDATE_CONTENT；如果 has_principal_user、has_target_application 和 has_target_user 為 true，則為 USER_CREATION；如果 has_target_resource 和 has_principal_user 為 true，則為 USER_RESOURCE_CREATION；如果 has_target_file、has_principal 和 has_target 為 true，則為 FILE_CREATION；如果 has_target_resource 為 true，則為 USER_RESOURCE_ACCESS；如果 has_principal_user 為 true，則為 USER_COMMUNICATION；如果 has_principal 和 has_target 為 false，則為 STATUS_UPDATE；否則為 GENERIC_EVENT
has_user_logout metadata.event_type
has_user_resource_updated metadata.event_type
has_principal_user metadata.event_type
has_target_resource metadata.event_type
has_target_file metadata.event_type
has_principal metadata.event_type
has_target_user metadata.event_type
has_target_application metadata.event_type
has_target metadata.event_type
event1.event1Type metadata.product_event_type 直接複製值
actor.actorIp principal.asset.ip 如果值不是空白，則直接複製
actor.actorIp principal.ip 如果值不是空白，則直接複製
actor.actorAccountId principal.resource.id 如果值不是空白，則直接複製
actor.actorClient principal.resource.name 如果值不是空白，則直接複製
flowId principal.resource.product_object_id 如果值不是空白，則直接複製
actor.actorType principal.user.attribute.roles 如果 eventType 不是登入/登出，且 actor_type 不為空白，則從 actor_type 合併
actor.actorEmail principal.user.email_addresses 如果 actor_email 不為空白且是有效電子郵件，且 eventType 不是登入/登出，則會合併
actor.actorUserId principal.user.userid 如果值不為空，且 eventType 不是登入/登出，則直接複製值
event1.registrationMethod security_result.description 如果值不是空白，則直接複製
event1.source target.application 如果值不是空白，則直接複製
event1.publishedLink.link target.file.full_path 如果值不是空白，則直接複製
event1.filename target.file.names 如果不是空白，則會合併
targetData._targetType target.resource.attribute.labels 如果來源欄位不為空白，則會與從各來源欄位建立的標籤合併
targetData._targetId target.resource.attribute.labels
event1.format target.resource.attribute.labels
event1.method target.resource.attribute.labels
event1.publishedLink.format target.resource.attribute.labels
accountId target.resource.id 如果值不是空白，則直接複製
event1.destinationFolderName target.resource.name 如果 destinationFolderName 不為空值，則設為該值；否則，如果 folderName 不為空值，則設為該值；否則，如果 publishedLink.name 不為空值，則設為該值
event1.folderName target.resource.name
event1.publishedLink.name target.resource.name
event1.documentId target.resource.product_object_id 如果值不是空白，則直接複製
actor.actorType target.user.attribute.roles 如果 eventType 為登入/登出，則從 actor_type 合併；如果 event_role 不為空白，則從 event_role 合併
event1.role target.user.attribute.roles
actor.actorEmail target.user.email_addresses 如果登入/登出有效，則從 actor_email 合併；如果登入/登出無效，則從 _target 中的 userEmail 合併
targetData.userEmail target.user.email_addresses
event1.destinationFolderId target.user.product_object_id 如果 destinationFolderId 不為空，則設為該值；否則，如果 folderId 不為空，則設為該值
event1.folderId target.user.product_object_id
targetData.displayName target.user.user_display_name 如果值不是空白，則直接複製
actor.actorUserId target.user.userid 如果值不為空，且 eventType 為登入/登出，則直接複製值
event1.product metadata.product_name 如果產品值不為空，則為產品值，否則為「LUCID」
metadata.vendor_name metadata.vendor_name 設為「LUCID」

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。