收集 Oracle NetSuite - NetSuite Applications Suite 記錄

支援的國家/地區：

本文說明如何使用 Google Cloud Storage V2，將 Oracle NetSuite - NetSuite Applications Suite 記錄檔擷取至 Google Security Operations。

Oracle NetSuite 是雲端企業資源規劃 (ERP) 平台，提供全方位的業務管理功能，包括財務管理、客戶關係管理 (CRM)、電子商務和商品目錄管理。NetSuite 會產生大量稽核記錄，包括使用者登入記錄、追蹤記錄變更的系統附註，以及可透過 SuiteQL REST API 擷取的 API 存取記錄，以利進行安全監控和法規遵循。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 已啟用 Cloud Storage、Cloud Run、Pub/Sub 和 Cloud Scheduler API 的 GCP 專案
  • 建立及管理 GCS bucket 的權限
  • 管理 Google Cloud Storage 值區 IAM 政策的權限
  • 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
  • 具備管理員存取權的 NetSuite 帳戶
  • 已啟用 NetSuite REST 網路服務
  • 在 NetSuite 中建立整合記錄和存取權杖的權限

設定 NetSuite API 存取權

如要透過 SuiteQL REST API 啟用記錄收集功能，您必須在 NetSuite 中啟用 REST Web 服務、建立整合記錄，並產生以權杖為基礎的驗證 (TBA) 憑證。

啟用必要的 NetSuite 功能

  1. 以管理員身分登入 NetSuite 帳戶。
  2. 依序前往「設定」>「公司」>「啟用功能」。
  3. 按一下「SuiteCloud」SuiteCloud分頁標籤。
  4. 在「SuiteScript」SuiteScript部分，勾選下列方塊：
    • 用戶端 SuiteScript
    • 伺服器 SuiteScript
  5. 在「SuiteTalk (Web Services)」部分，勾選下列方塊：
    • REST 網路服務
  6. 在「管理驗證」部分中，勾選「以權杖為基礎的驗證」方塊。
  7. 在 SuiteCloud 服務條款頁面中，按一下「我同意」。
  8. 按一下 [儲存]。

建立整合記錄

  1. 在 NetSuite 中，依序前往「設定」>「整合」>「管理整合」>「新增」。
  2. 在「Name」(名稱) 欄位中，輸入 Google SecOps Integration。
  3. 在「Description」(說明) 欄位輸入 Integration for Google Security Operations log collection。
  4. 在「狀態」欄位中，保留預設的「已啟用」選項。
  5. 按一下 [Authentication] (驗證) 分頁標籤。
  6. 在「Token-based Authentication」部分，勾選「Token-based Authentication」方塊。
  7. 請勿勾選「TBA: Authorization Flow」(TBA：授權流程) 方塊。
  8. 勾選「TBA: ISSUETOKEN ENDPOINT」方塊。
  9. 按一下 [儲存]。

  10. 在確認頁面中，複製並儲存「消費者金鑰/用戶端 ID」和「消費者密鑰/用戶端密鑰」。

建立 API 存取權的自訂角色

  1. 依序前往「設定」>「使用者/角色」>「管理角色」>「新增」。
  2. 在「Name」(名稱) 欄位中，輸入 Google SecOps API Role。
  3. 在「ID」欄位中輸入 google_secops_api_role。
  4. 按一下「權限」子分頁標籤。
  5. 按一下「設定」子分頁標籤。
  6. 新增下列權限，並將存取層級設為「完整」：
    • 使用存取權杖登入
    • 使用者存取權權杖
    • REST 網路服務
  7. 按一下「報表」子分頁。
  8. 新增下列權限，並將存取層級設為「檢視」：
    • SuiteAnalytics Workbook
  9. 按一下「清單」子分頁標籤。
  10. 新增下列權限，並將存取層級設為「檢視」：
    • 登入稽核記錄
  11. 按一下 [儲存]。

將角色指派給使用者

  1. 依序前往「清單」>「員工」>「員工」。
  2. 選取用於整合的使用者帳戶 (或建立新的專用整合使用者)。
  3. 按一下 [編輯]。
  4. 按一下「存取權」分頁標籤。
  5. 在「角色」部分中，按一下「新增」。
  6. 從下拉式清單中選取「Google SecOps API Role」。
  7. 按一下 [儲存]。

建立存取權杖

  1. 以獲派 Google SecOps API 角色的使用者身分登入 NetSuite。
  2. 依序前往「設定」>「使用者/角色」>「存取權杖」>「新增」。
  3. 在「存取權杖」頁面中：
    • 在「Application Name」下拉式清單中，選取「Google SecOps Integration」。
    • 在「使用者」下拉式清單中，選取已指派 Google SecOps API 角色的使用者帳戶。
    • 在「角色」下拉式選單中，選取「Google SecOps API 角色」。
    • 「權杖名稱」欄位會自動填入，但您可以視需要修改。
  4. 按一下 [儲存]。

  5. 在確認頁面中，複製並儲存「權杖 ID」和「權杖密鑰」。

找出 NetSuite 帳戶 ID

  1. 在 NetSuite 中，依序前往「設定」>「公司」>「公司資訊」。
  2. 找出「帳戶 ID」欄位 (顯示在「時區」設定下方)。
  3. 複製並儲存帳戶 ID (例如沙箱帳戶的 1234567 或 1234567_SB1)。

驗證權限

如要確認帳戶是否具備必要權限，請按照下列步驟操作：

  1. 使用已指派 Google SecOps API 角色的使用者登入 NetSuite。
  2. 依序前往「設定」>「使用者/角色」>「查看登入稽核追蹤記錄」。
  3. 如果能看到「登入稽核記錄」頁面，表示帳戶具備必要權限。
  4. 如果看不到這個選項，請與 NetSuite 管理員聯絡，要求對方在「Lists」子分頁下方授予「Login Audit Trail」權限。

測試 API 存取權

  • 請先測試憑證，再繼續進行整合：

    # Replace with your actual values
ACCOUNT_ID="your-account-id"

# Replace underscores with hyphens in the account ID for the URL
# For example: 1234567_SB1 becomes 1234567-sb1
URL_ACCOUNT_ID=$(echo "$ACCOUNT_ID" | tr '_' '-' | tr '[:upper:]' '[:lower:]')

CONSUMER_KEY="your-consumer-key"
CONSUMER_SECRET="your-consumer-secret"
TOKEN_ID="your-token-id"
TOKEN_SECRET="your-token-secret"

# Test SuiteQL API access using OAuth 1.0 TBA
# Note: This example requires the oauth1 CLI tool or Postman.
# Use the following endpoint and headers to verify connectivity:
# POST https://${URL_ACCOUNT_ID}.suitetalk.api.netsuite.com/services/rest/query/v1/suiteql?limit=5
# Headers:
#   Authorization: OAuth (with consumer key, token, HMAC-SHA256 signature)
#   Content-Type: application/json
#   Prefer: transient
# Body: {"q": "SELECT id, date, status, user, emailaddress FROM LoginAudit ORDER BY date DESC"}

成功的回應會傳回包含 LoginAudit 記錄的 JSON 物件。

建立 Google Cloud Storage bucket

  1. 前往 Google Cloud 控制台。
  2. 選取專案或建立新專案。
  3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
  4. 按一下「建立值區」。

  5. 請提供下列設定詳細資料：

    設定 值
    為 bucket 命名 輸入全域不重複的名稱 (例如 netsuite-audit-logs)
    位置類型 根據需求選擇 (區域、雙區域、多區域)
    位置 選取位置 (例如 us-central1)
    儲存空間級別 標準 (建議用於經常存取的記錄)
    存取控管 統一 (建議)
    保護工具 選用：啟用物件版本管理或資料保留政策

  6. 點選「建立」。

為 Cloud Run 函式建立服務帳戶

Cloud Run 函式需要具備 GCS bucket 寫入權限，且可由 Pub/Sub 叫用的服務帳戶。

建立服務帳戶

  1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 請提供下列設定詳細資料：
    • 服務帳戶名稱：輸入 netsuite-audit-collector-sa
    • 服務帳戶說明：輸入 Service account for Cloud Run function to collect NetSuite audit logs
  4. 按一下「建立並繼續」。
  5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
    1. 按一下「選擇角色」。
    2. 搜尋並選取「Storage 物件管理員」。
    3. 點選「+ 新增其他角色」。
    4. 搜尋並選取「Cloud Run Invoker」。
    5. 點選「+ 新增其他角色」。
    6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
  6. 按一下「繼續」。
  7. 按一下 [完成]。

這些角色適用於：

  • Storage 物件管理員：將記錄檔寫入 GCS bucket，並管理狀態檔案
  • Cloud Run 叫用者：允許 Pub/Sub 叫用函式
  • Cloud Functions 叫用者：允許函式叫用

授予 GCS 值區的 IAM 權限

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 bucket 名稱 (netsuite-audit-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：輸入服務帳戶電子郵件地址 (netsuite-audit-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • 指派角色：選取「Storage 物件管理員」
  6. 按一下 [儲存]。

建立 Pub/Sub 主題

  1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
  2. 按一下「建立主題」。
  3. 請提供下列設定詳細資料：
    • 主題 ID：輸入 netsuite-audit-trigger
    • 其他設定保留預設值
  4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 NetSuite SuiteQL REST API 擷取記錄，並寫入 GCS。

  1. 前往 GCP Console 的「Cloud Run」。
  2. 按一下「Create service」(建立服務)。
  3. 選取「函式」 (使用內嵌編輯器建立函式)。

  4. 在「設定」部分，提供下列設定詳細資料：

    設定 值
    服務名稱 netsuite-audit-collector
    區域 選取與 GCS bucket 相符的區域 (例如 us-central1)
    執行階段 選取 Python 3.12 以上版本

  5. 在「Trigger (optional)」(觸發條件 (選用)) 專區：

    1. 按一下「+ 新增觸發條件」。
    2. 選取「Cloud Pub/Sub」。
    3. 在「Select a Cloud Pub/Sub topic」(選取 Cloud Pub/Sub 主題) 中，選擇 netsuite-audit-trigger。
    4. 按一下 [儲存]。

  6. 在「Authentication」(驗證) 部分：

    1. 選取「需要驗證」。
    2. 檢查 Identity and Access Management (IAM)。

  7. 向下捲動並展開「容器」、「網路」和「安全性」。

  8. 前往「安全性」分頁：

    • 服務帳戶：選取 netsuite-audit-collector-sa

  9. 前往「容器」分頁：

    1. 按一下「變數與密鑰」。
    2. 針對每個環境變數，按一下「+ 新增變數」：
    變數名稱 範例值 說明
    GCS_BUCKET netsuite-audit-logs GCS bucket 名稱
    GCS_PREFIX netsuite-audit 記錄檔的前置字串
    STATE_KEY netsuite-audit/state.json 狀態檔案路徑
    NS_ACCOUNT_ID 1234567 NetSuite 帳戶 ID
    NS_CONSUMER_KEY your-consumer-key 整合記錄中的用戶端金鑰
    NS_CONSUMER_SECRET your-consumer-secret 整合記錄中的用戶端密鑰
    NS_TOKEN_ID your-token-id 存取權杖中的權杖 ID
    NS_TOKEN_SECRET your-token-secret 存取權杖的權杖密鑰
    MAX_RECORDS 10000 每次執行的記錄數上限
    PAGE_SIZE 1000 每個 SuiteQL 頁面的記錄數
    LOOKBACK_HOURS 24 初始回溯期

  10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

  11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上
      • CPU：選取 1

  12. 在「修訂版本資源調度」部分：

    • 執行個體數量下限：輸入 0
    • 執行個體數量上限：輸入 100

  13. 點選「建立」。

  14. 等待服務建立完成 (1 到 2 分鐘)。

  15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

  1. 在「進入點」欄位中輸入「main」。

  2. 在內嵌程式碼編輯器中建立兩個檔案：

    • main.py:
    import functions_framework
from google.cloud import storage
import json
import os
import urllib3
import hashlib
import hmac
import base64
import time
import secrets
import urllib.parse
from datetime import datetime, timezone, timedelta

# Initialize HTTP client with timeouts
http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=10.0, read=60.0),
  retries=False,
)

# Initialize Storage client
storage_client = storage.Client()

# Environment variables
GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'netsuite-audit')
STATE_KEY = os.environ.get('STATE_KEY', 'netsuite-audit/state.json')
NS_ACCOUNT_ID = os.environ.get('NS_ACCOUNT_ID')
NS_CONSUMER_KEY = os.environ.get('NS_CONSUMER_KEY')
NS_CONSUMER_SECRET = os.environ.get('NS_CONSUMER_SECRET')
NS_TOKEN_ID = os.environ.get('NS_TOKEN_ID')
NS_TOKEN_SECRET = os.environ.get('NS_TOKEN_SECRET')
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '10000'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))

def get_netsuite_base_url(account_id):
  """Build the NetSuite REST API base URL from the account ID."""
  url_account = account_id.replace('_', '-').lower()
  return f"https://{url_account}.suitetalk.api.netsuite.com"

def generate_oauth_header(method, url, account_id, consumer_key,
  consumer_secret, token_id, token_secret):
  """Generate OAuth 1.0 Authorization header using HMAC-SHA256."""
  timestamp = str(int(time.time()))
  nonce = secrets.token_hex(16)

  # Parse URL to separate base URL and query parameters
  parsed = urllib.parse.urlparse(url)
  base_url = f"{parsed.scheme}://{parsed.netloc}{parsed.path}"
  query_params = urllib.parse.parse_qs(parsed.query, keep_blank_values=True)

  # Build parameter string (OAuth params + query params)
  params = {
    'oauth_consumer_key': consumer_key,
    'oauth_token': token_id,
    'oauth_nonce': nonce,
    'oauth_timestamp': timestamp,
    'oauth_signature_method': 'HMAC-SHA256',
    'oauth_version': '1.0',
  }
  for key, values in query_params.items():
    params[key] = values[0]

  # Sort parameters and create parameter string
  sorted_params = sorted(params.items())
  param_string = '&'.join(
    f"{urllib.parse.quote(k, safe='')}={urllib.parse.quote(v, safe='')}"
    for k, v in sorted_params
  )

  # Create signature base string
  signature_base = (
    f"{method.upper()}&"
    f"{urllib.parse.quote(base_url, safe='')}&"
    f"{urllib.parse.quote(param_string, safe='')}"
  )

  # Create signing key
  signing_key = (
    f"{urllib.parse.quote(consumer_secret, safe='')}&"
    f"{urllib.parse.quote(token_secret, safe='')}"
  )

  # Generate HMAC-SHA256 signature
  signature = base64.b64encode(
    hmac.new(
      signing_key.encode('utf-8'),
      signature_base.encode('utf-8'),
      hashlib.sha256
    ).digest()
  ).decode('utf-8')

  # Build realm from account ID
  realm = account_id.replace('-', '_').upper()

  # Build Authorization header
  auth_header = (
    f'OAuth realm="{realm}",'
    f'oauth_consumer_key="{consumer_key}",'
    f'oauth_token="{token_id}",'
    f'oauth_nonce="{nonce}",'
    f'oauth_timestamp="{timestamp}",'
    f'oauth_signature_method="HMAC-SHA256",'
    f'oauth_version="1.0",'
    f'oauth_signature="{urllib.parse.quote(signature, safe="")}"'
  )
  return auth_header

@functions_framework.cloud_event
def main(cloud_event):
  """
  Cloud Run function triggered by Pub/Sub to fetch NetSuite
  LoginAudit logs via SuiteQL and write to GCS.
  """
  if not all([GCS_BUCKET, NS_ACCOUNT_ID, NS_CONSUMER_KEY,
    NS_CONSUMER_SECRET, NS_TOKEN_ID, NS_TOKEN_SECRET]):
    print('Error: Missing required environment variables')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)
    state = load_state(bucket)
    now = datetime.now(timezone.utc)

    if isinstance(state, dict) and state.get('last_event_time'):
      try:
        last_val = state['last_event_time']
        if last_val.endswith('Z'):
          last_val = last_val[:-1] + '+00:00'
        last_time = datetime.fromisoformat(last_val)
        last_time = last_time - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: Could not parse last_event_time: {e}")
        last_time = now - timedelta(hours=LOOKBACK_HOURS)
    else:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")

    records, newest_time = fetch_login_audit(last_time, now)

    if not records:
      print("No new log records found.")
      save_state(bucket, now.isoformat())
      return

    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/netsuite_audit_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join(
      [json.dumps(r, ensure_ascii=False, default=str) for r in records]
    ) + '\n'
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')

    print(f"Wrote {len(records)} records to gs://{GCS_BUCKET}/{object_key}")

    if newest_time:
      save_state(bucket, newest_time)
    else:
      save_state(bucket, now.isoformat())

    print(f"Successfully processed {len(records)} records")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def fetch_login_audit(start_time, end_time):
  """
  Fetch LoginAudit records from NetSuite SuiteQL API with pagination.

  Returns:
    Tuple of (records list, newest_event_time ISO string)
  """
  base_url = get_netsuite_base_url(NS_ACCOUNT_ID)
  suiteql_endpoint = f"{base_url}/services/rest/query/v1/suiteql"

  start_str = start_time.strftime('%Y-%m-%d %H:%M:%S')
  end_str = end_time.strftime('%Y-%m-%d %H:%M:%S')

  query = (
    "SELECT id, date, status, user, role, emailaddress, "
    "ipaddress, useragent, detail, requesturi, "
    "oauthaccesstokenname, oauthappname "
    "FROM LoginAudit "
    f"WHERE date BETWEEN TO_DATE('{start_str}', 'YYYY-MM-DD HH24:MI:SS') "
    f"AND TO_DATE('{end_str}', 'YYYY-MM-DD HH24:MI:SS') "
    "ORDER BY date ASC"
  )

  records = []
  newest_time = None
  offset = 0
  backoff = 1.0

  while True:
    if len(records) >= MAX_RECORDS:
      print(f"Reached max_records limit ({MAX_RECORDS})")
      break

    remaining = min(PAGE_SIZE, MAX_RECORDS - len(records))
    url = f"{suiteql_endpoint}?limit={remaining}&offset={offset}"

    auth_header = generate_oauth_header(
      'POST', url, NS_ACCOUNT_ID, NS_CONSUMER_KEY,
      NS_CONSUMER_SECRET, NS_TOKEN_ID, NS_TOKEN_SECRET
    )

    headers = {
      'Authorization': auth_header,
      'Content-Type': 'application/json',
      'Prefer': 'transient',
      'User-Agent': 'GoogleSecOps-NetSuiteCollector/1.0',
    }

    body = json.dumps({'q': query}).encode('utf-8')

    try:
      response = http.request('POST', url, headers=headers, body=body)

      if response.status == 429:
        retry_after = int(
          response.headers.get('Retry-After', str(int(backoff)))
        )
        print(f"Rate limited (429). Retrying after {retry_after}s...")
        time.sleep(retry_after)
        backoff = min(backoff * 2, 60.0)
        continue

      backoff = 1.0

      if response.status != 200:
        print(f"HTTP Error: {response.status}")
        response_text = response.data.decode('utf-8')
        print(f"Response body: {response_text}")
        return records, newest_time

      data = json.loads(response.data.decode('utf-8'))

      page_results = data.get('items', [])

      if not page_results:
        print("No more results (empty page)")
        break

      page_num = (offset // PAGE_SIZE) + 1
      print(f"Page {page_num}: Retrieved {len(page_results)} records")
      records.extend(page_results)

      for event in page_results:
        try:
          event_time = event.get('date')
          if event_time:
            if newest_time is None or event_time > newest_time:
              newest_time = event_time
        except Exception as e:
          print(f"Warning: Could not parse event time: {e}")

      has_more = data.get('hasMore', False)
      if not has_more:
        print("Reached last page (hasMore=false)")
        break

      offset += len(page_results)

    except Exception as e:
      print(f"Error fetching logs: {e}")
      return records, newest_time

  print(f"Retrieved {len(records)} total records")
  return records, newest_time

def load_state(bucket):
  """Load state from GCS."""
  try:
    blob = bucket.blob(STATE_KEY)
    if blob.exists():
      return json.loads(blob.download_as_text())
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, last_event_time_iso):
  """Save the last event timestamp to GCS state file."""
  try:
    state = {
      'last_event_time': last_event_time_iso,
      'last_run': datetime.now(timezone.utc).isoformat()
    }
    blob = bucket.blob(STATE_KEY)
    blob.upload_from_string(
      json.dumps(state, indent=2),
      content_type='application/json'
    )
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")
    • requirements.txt:
    functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. 點選「部署」即可儲存並部署函式。

  4. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。

  1. 前往 GCP 主控台的「Cloud Scheduler」。
  2. 點選「建立工作」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 netsuite-audit-collector-hourly
    區域 選取與 Cloud Run 函式相同的區域
    頻率 0 * * * * (每小時整點)
    時區 選取時區 (建議使用世界標準時間)
    目標類型 Pub/Sub
    主題 選取「netsuite-audit-trigger」
    郵件內文 {} (空白 JSON 物件)

  4. 點選「建立」。

排程頻率選項

根據記錄檔量和延遲時間要求選擇頻率：

頻率 Cron 運算式 用途
每 5 分鐘 */5 * * * * 大量、低延遲
每 15 分鐘 */15 * * * * 中等
每小時 0 * * * * 標準 (建議)
每 6 小時 0 */6 * * * 少量、批次處理
每日 0 0 * * * 歷來資料集合

測試整合項目

  1. 在 Cloud Scheduler 控制台中，找出您的工作 (netsuite-audit-collector-hourly)。
  2. 按一下「強制執行」即可手動觸發工作。
  3. 稍等幾秒鐘。
  4. 前往「Cloud Run」>「Services」。
  5. 按一下 netsuite-audit-collector。
  6. 按一下 [Logs] (記錄) 分頁標籤。

  7. 確認函式是否已順利執行。請注意以下事項：

    Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Page 1: Retrieved X records
Wrote X records to gs://netsuite-audit-logs/netsuite-audit/netsuite_audit_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

  8. 依序前往「Cloud Storage」>「Buckets」。

  9. 按一下 netsuite-audit-logs。

  10. 前往 netsuite-audit/ 資料夾。

  11. 確認是否已建立新的 .ndjson 檔案，且檔案名稱包含目前的時間戳記。

如果記錄中顯示錯誤：

  • HTTP 401：確認 OAuth 憑證 (NS_CONSUMER_KEY、NS_CONSUMER_SECRET、NS_TOKEN_ID、NS_TOKEN_SECRET) 和 NS_ACCOUNT_ID 環境變數是否正確
  • HTTP 403：確認 NetSuite 角色是否具備必要權限 (REST Web Services、Login Audit Trail、SuiteAnalytics Workbook)
  • HTTP 429：頻率限制，函式會自動重試，並採用指數輪詢間隔
  • 缺少環境變數：確認 Cloud Run 函式設定中已設定所有必要變數

擷取 Google SecOps 服務帳戶

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 NetSuite Audit Logs)。
  5. 選取「Google Cloud Storage V2」做為「來源類型」。
  6. 選取「Oracle NetSuite - NetSuite Applications Suite」做為「記錄類型」。

  7. 按一下「取得服務帳戶」。畫面上會顯示專屬的服務帳戶電子郵件地址。例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. 複製這個電子郵件地址，以便在下一步中使用。

  9. 點選「下一步」。

  10. 指定下列輸入參數的值：

    • 儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：

      gs://netsuite-audit-logs/netsuite-audit/
    • 來源刪除選項：根據偏好選取刪除選項：
      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。
      • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。
    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)
    • 資產命名空間：資產命名空間
    • 擷取標籤：要套用至這個動態饋給事件的標籤

  11. 點選「下一步」。

  12. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 netsuite-audit-logs。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
    • 指派角色：選取「Storage 物件檢視者」

  6. 按一下 [儲存]。

NetSuite API 頻率限制

NetSuite API 有下列並行和速率限制：

限制類型 預設值 附註
並行要求 15 項要求 適用於每個帳戶的 SOAP 和 REST API 要求總數
SuiteQL 查詢結果 最多 100,000 列 每個 SuiteQL 查詢傳回的資料列數量上限
每個要求中的物件數 最多 1,000 個物件 每個 API 要求傳回的物件數量上限

Cloud Run 函式會自動處理頻率限制，並採用指數輪詢機制。如果持續發生頻率限制錯誤 (HTTP 429)，請與 NetSuite 支援團隊聯絡，以提高 API 限制或調整 Cloud Scheduler 頻率。

UDM 對應表

記錄欄位 UDM 對應 邏輯
使用者 extensions.auth.type 使用的驗證機制類型
日期 metadata.event_timestamp 事件發生時的時間戳記
event_type metadata.event_type 事件類型 (例如 USER_LOGIN、NETWORK_CONNECTION)
security_result security_result 事件安全結果的詳細資料
oauthaccesstokenname security_result.about.resource.attribute.labels 描述安全性結果所涉資源屬性的鍵/值標籤
secchallenge security_result.about.resource.attribute.labels
狀態 security_result.summary 安全結果的摘要說明
oauthappname target.application 目標應用程式名稱
使用者代理程式 target.application
ipaddress target.ip 目標的 IP 位址
requesturi target.url 目標資源的網址
emailaddress target.user.email_addresses 與目標使用者相關聯的電子郵件地址
角色 target.user.role_name 指派給目標使用者的角色名稱
使用者 target.user.userid 目標使用者的專屬 ID

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。