收集 Oracle Cloud Infrastructure 稽核記錄

本文說明如何使用 Google Cloud Storage，將 Oracle Cloud Infrastructure 稽核記錄擷取至 Google Security Operations。

Oracle Cloud Infrastructure Audit 服務會自動將對所有支援的 Oracle Cloud Infrastructure 公開應用程式設計介面 (API) 端點的呼叫記錄為記錄事件。目前所有服務都支援 Oracle Cloud Infrastructure Audit 記錄。Oracle Cloud Infrastructure Audit 記錄的記錄事件包括：Oracle Cloud Infrastructure 主控台、指令列介面 (CLI)、軟體開發套件 (SDK)、您自己的自訂用戶端，或其他 Oracle Cloud Infrastructure 服務發出的 API 呼叫。

事前準備

請確認您已完成下列事前準備事項：

• Google SecOps 執行個體
• 已啟用 Cloud Storage API 的 GCP 專案
• 建立及管理 GCS bucket 的權限
• 管理 Google Cloud Storage 值區 IAM 政策的權限
• 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
• 具備建立及管理下列項目的權限的 Oracle Cloud Infrastructure 帳戶：
  • 服務連接器中樞
  • 函式
  • 物件儲存空間值區
  • IAM 政策
• Oracle Cloud Infrastructure 控制台的特殊權限存取權

建立 Google Cloud Storage bucket

1. 前往 Google Cloud 控制台。
2. 選取專案或建立新專案。
3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
4. 按一下「建立值區」。

5. 請提供下列設定詳細資料：

   設定	值
   為 bucket 命名	輸入全域不重複的名稱 (例如 oci-audit-logs-gcs)
   位置類型	根據需求選擇 (區域、雙區域、多區域)
   位置	選取位置 (例如 us-central1)
   儲存空間級別	標準 (建議用於經常存取的記錄)
   存取控管	統一 (建議)
   保護工具	選用：啟用物件版本管理或保留政策

6. 點選「建立」。

設定 Oracle Cloud Infrastructure，將稽核記錄匯出至 GCS

Oracle Cloud Infrastructure 不支援原生匯出至 Google Cloud Storage。您將搭配使用 Oracle Cloud Infrastructure 服務連接器中樞和函式，將稽核記錄轉送至 GCS。

建立 Oracle Cloud Infrastructure 函式，將記錄轉送至 GCS

1. 登入 Oracle Cloud Console。
2. 依序前往「開發人員服務」>「函式」>「應用程式」。
3. 選取要建立函式應用程式的區間。
4. 點選「Create Application」(建立應用程式)。
5. 請提供下列設定詳細資料：
   • 「Name」(名稱)：輸入 audit-logs-to-gcs-app。
   • VCN：選取虛擬雲端網路。
   • 子網路：選取可存取網際網路的子網路。
6. 點選「建立」。
7. 建立應用程式後，按一下「開始使用」，然後按照操作說明，使用 Fn CLI 設定本機開發環境。

8. 在本機電腦上建立新的函式目錄：

   mkdir oci-audit-to-gcs
   cd oci-audit-to-gcs
   

9. 初始化 Python 函式：

   fn init --runtime python oci-audit-to-gcs
   cd oci-audit-to-gcs
   

10. 將 func.py 的內容替換為下列程式碼：

    import io
    import json
    import logging
    import os
    from fdk import response
    from google.cloud import storage
    from google.oauth2 import service_account
    from datetime import datetime
    
    # Configure logging
    logging.basicConfig(level=logging.INFO)
    logger = logging.getLogger()
    
    # Environment variables
    GCS_BUCKET = os.environ.get('GCS_BUCKET')
    GCS_PREFIX = os.environ.get('GCS_PREFIX', 'oci-audit-logs')
    GCS_CREDENTIALS_JSON = os.environ.get('GCS_CREDENTIALS_JSON')
    
    def handler(ctx, data: io.BytesIO = None):
        """
        Oracle Cloud Infrastructure Function to forward Audit logs to GCS.
    
        Args:
            ctx: Function context
            data: Input data containing Audit log events
        """
    
        if not all([GCS_BUCKET, GCS_CREDENTIALS_JSON]):
            logger.error('Missing required environment variables: GCS_BUCKET or GCS_CREDENTIALS_JSON')
            return response.Response(
                ctx, response_data=json.dumps({"error": "Missing configuration"}),
                headers={"Content-Type": "application/json"}
            )
    
        try:
            # Parse input data
            body = json.loads(data.getvalue())
            logger.info(f"Received event: {json.dumps(body)}")
    
            # Extract log entries
            log_entries = []
            if isinstance(body, list):
                log_entries = body
            elif isinstance(body, dict):
                # Service Connector Hub sends data in specific format
                if 'data' in body:
                    log_entries = [body['data']] if isinstance(body['data'], dict) else body['data']
                else:
                    log_entries = [body]
    
            if not log_entries:
                logger.info("No log entries to process")
                return response.Response(
                    ctx, response_data=json.dumps({"status": "no_logs"}),
                    headers={"Content-Type": "application/json"}
                )
    
            # Initialize GCS client with service account credentials
            credentials_dict = json.loads(GCS_CREDENTIALS_JSON)
            credentials = service_account.Credentials.from_service_account_info(credentials_dict)
            storage_client = storage.Client(credentials=credentials, project=credentials_dict.get('project_id'))
            bucket = storage_client.bucket(GCS_BUCKET)
    
            # Write logs to GCS as NDJSON
            timestamp = datetime.utcnow().strftime('%Y%m%d_%H%M%S_%f')
            object_key = f"{GCS_PREFIX}/logs_{timestamp}.ndjson"
            blob = bucket.blob(object_key)
    
            ndjson = '\n'.join([json.dumps(entry, ensure_ascii=False) for entry in log_entries]) + '\n'
            blob.upload_from_string(ndjson, content_type='application/x-ndjson')
    
            logger.info(f"Wrote {len(log_entries)} records to gs://{GCS_BUCKET}/{object_key}")
    
            return response.Response(
                ctx, response_data=json.dumps({"status": "success", "records": len(log_entries)}),
                headers={"Content-Type": "application/json"}
            )
    
        except Exception as e:
            logger.error(f'Error processing logs: {str(e)}')
            return response.Response(
                ctx, response_data=json.dumps({"error": str(e)}),
                headers={"Content-Type": "application/json"},
                status_code=500
            )
    

11. 使用下列依附元件更新 requirements.txt：

    fdk>=0.1.0
    google-cloud-storage>=2.0.0
    google-auth>=2.0.0
    

12. 將函式部署至 Oracle Cloud Infrastructure：

    fn -v deploy --app audit-logs-to-gcs-app
    

13. 部署完成後，請記下函式 OCID。後續步驟會用到。

設定函式環境變數

1. 在 Oracle Cloud 控制台中，依序前往「Developer Services」>「Functions」>「Applications」。
2. 按一下應用程式 (audit-logs-to-gcs-app)。
3. 按一下函式名稱 (oci-audit-to-gcs)。
4. 按一下「設定」。

5. 新增下列設定變數：

   鍵	值
   GCS_BUCKET	您的 GCS bucket 名稱 (例如 oci-audit-logs-gcs)
   GCS_PREFIX	記錄檔的前置字串 (例如 oci-audit-logs)
   GCS_CREDENTIALS_JSON	GCP 服務帳戶金鑰的 JSON 字串 (請見下文)

6. 按一下 [儲存變更]。

為 Oracle Cloud Infrastructure Function 建立 GCP 服務帳戶

Oracle Cloud Infrastructure Function 需要 GCP 服務帳戶，才能寫入 GCS bucket。

1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
2. 按一下「Create Service Account」(建立服務帳戶)。
3. 請提供下列設定詳細資料：
   • 服務帳戶名稱：輸入 oci-function-gcs-writer。
   • 服務帳戶說明：輸入 Service account for OCI Function to write Audit logs to GCS。
4. 按一下「建立並繼續」。
5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
   1. 按一下「選擇角色」。
   2. 搜尋並選取「Storage 物件管理員」。
6. 按一下「繼續」。
7. 按一下 [完成]。
8. 按一下新建立的服務帳戶電子郵件地址。
9. 前往「金鑰」分頁標籤。
10. 依序點選「新增金鑰」>「建立新的金鑰」。
11. 選取「JSON」做為金鑰類型。
12. 點選「建立」。
13. JSON 金鑰檔案會下載至您的電腦。
14. 開啟 JSON 金鑰檔案，然後複製所有內容。
15. 返回 Oracle Cloud 控制台函式設定。

16. 將 JSON 內容貼到 GCS_CREDENTIALS_JSON 設定變數中。

授予 GCS 值區的 IAM 權限

將 GCS bucket 的寫入權限授予服務帳戶：

1. 依序前往「Cloud Storage」>「Buckets」。
2. 按一下 bucket 名稱 (oci-audit-logs-gcs)。
3. 前往「權限」分頁標籤。
4. 按一下「授予存取權」。
5. 請提供下列設定詳細資料：
   • 新增主體：輸入服務帳戶電子郵件地址 (oci-function-gcs-writer@PROJECT_ID.iam.gserviceaccount.com)。
   • 指派角色：選取「Storage 物件管理員」。
6. 按一下 [儲存]。

建立 Oracle Cloud Infrastructure 服務連接器中樞

1. 登入 Oracle Cloud 控制台。
2. 依序前往「可觀測性與管理」>「記錄」>「服務連接器中樞」。
3. 選取要建立服務連接器的區間。
4. 按一下「建立服務連接器」。

5. 請提供下列設定詳細資料：

   • 服務連結器資訊：

   設定	值
   連接器名稱	輸入audit-logs-to-gcs-connector人數
   說明	輸入Forward OCI Audit logs to Google Cloud Storage人數
   資源區間	選取區間

   • 設定來源：

   設定	值
   來源	選取「記錄」
   Compartment	選取包含稽核記錄的區間
   記錄群組	選取「_Audit」 (稽核記錄的預設記錄群組)

6. 按一下「+ 另一個記錄」。

7. 選取區間的稽核記錄 (例如 _Audit_Include_Subcompartment)。

   • 設定目標：

   設定	值
   目標	選取「函式」
   函式區間	選取含有函式的區間
   函式應用程式	選取「audit-logs-to-gcs-app」
   功能	選取「oci-audit-to-gcs」

8. 捲動至「設定工作 (選用)」，保留預設設定。

9. 點選「建立」。