收集 Oracle Fusion Cloud Applications 記錄

支援語言：

本文說明如何使用 Google Cloud Storage V2，將 Oracle Fusion Cloud Applications 記錄檔擷取至 Google Security Operations。

Oracle Fusion Cloud Applications 是 Oracle 的全方位雲端企業資源規劃 (ERP)、人力資本管理 (HCM)、供應鏈管理 (SCM) 和客戶體驗 (CX) 應用程式套件。這個平台透過 REST API 提供廣泛的稽核記錄功能，可擷取所有 Fusion 模組中的使用者驗證事件、交易變更、管理動作和安全性相關活動。Cloud Run 函式會查詢 Oracle Fusion Audit REST API 來擷取這項資料，並將資料寫入 GCS bucket，供 Google SecOps 擷取。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 已啟用 Cloud Storage、Cloud Run、Pub/Sub 和 Cloud Scheduler API 的 GCP 專案
  • 建立及管理 GCS bucket 的權限
  • 管理 Google Cloud Storage 值區 IAM 政策的權限
  • 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
  • Oracle Fusion Cloud Applications 的管理員存取權
  • 與 Fusion Applications 執行個體相關聯的 Oracle Cloud Infrastructure (OCI) Identity and Access Management (IAM) 身分識別網域管理員存取權
  • 具有 FND_VIEW_AUDIT_HISTORY_PRIV 權限或 Fusion Apps 管理員角色的 Fusion Applications 使用者帳戶

設定 Oracle Fusion Cloud Applications OAuth 2.0 API 存取權

如要讓 Google SecOps 擷取稽核記錄，您需要使用「用戶端憑證」授權類型建立 OAuth 2.0 機密應用程式，並在 Fusion Applications 中將用戶端 ID 設定為使用者。

建立 OAuth 2.0 機密應用程式

  1. 使用身分識別網域管理員憑證登入 Oracle Cloud Infrastructure 主控台。
  2. 在選單列中，依序點選「身分與安全性」>「網域」。
  3. 選取所需間隔。
  4. 按一下與 Fusion Applications 執行個體相關聯的身分識別網域。
  5. 在選單列中，依序點選「整合式應用程式」>「新增應用程式」。
  6. 在「新增應用程式」對話方塊中，選取「機密應用程式」，然後按一下「啟動工作流程」。
  7. 在「Add Confidential Application」(新增機密應用程式) 頁面的「Name」(名稱) 欄位中，輸入描述性名稱 (例如 Chronicle SIEM Integration)。
  8. 點選「下一步」。
  9. 在「設定 OAuth」部分，勾選「立即將這個應用程式設定為用戶端」核取方塊。
  10. 在「Authorization」(授權) 部分，勾選「Client credentials」(用戶端憑證) 核取方塊。
  11. 清除其他所有授權類型核取方塊。
  12. 向下捲動至「權杖核發政策」部分。
  13. 在「已授權的資源」部分中，選取「特定」。
  14. 選取「新增資源」核取方塊。
  15. 在「資源」子部分中，按一下「新增範圍」。
  16. 在「新增範圍」對話方塊中，找到並選取「Fusion Applications」資源應用程式。

  17. 為 Fusion Applications 執行個體選取適當範圍。

  18. 按一下「新增」。

  19. 點選「下一步」。

  20. 在「Web tier policy」頁面中，接受預設設定，然後按一下「Finish」。

  21. 確認對話方塊隨即顯示自動產生的「用戶端 ID」和「用戶端密鑰」值。

  22. 請立即複製並儲存「用戶端 ID」和「用戶端密鑰」。

  23. 按一下 [關閉]。

  24. 在應用程式詳細資料頁面中，按一下「啟用」。

  25. 在確認對話方塊中，按一下「啟用應用程式」。

記錄身分網域網址

  1. 在 Oracle Cloud Infrastructure 主控台中查看身分識別網域時，請記下頁面頂端顯示的「網域網址」。
  2. 網域網址的格式為 https://idcs-<idcs-id>.identity.oraclecloud.com。

  3. 請儲存這個網址，稍後會用到。

為 OAuth 用戶端建立使用者帳戶

在用戶端憑證流程中，API 呼叫是在應用程式本身 (而非使用者) 的環境中叫用。您必須在 Fusion Applications 中建立使用者帳戶，並使用與 OAuth 用戶端 ID 相同的使用者名稱。

  1. 登入 Oracle Fusion Cloud Applications。
  2. 按一下左上角的「導覽器」Navigator圖示。
  3. 在「工具」下方，選取「安全控制台」。
  4. 按一下「Users」(使用者)。
  5. 點選「新增使用者帳戶」。

  6. 在「使用者資訊」部分的「使用者名稱」欄位中，輸入 OAuth 應用程式的「用戶端 ID」值。

  7. 填寫其餘必填欄位：

    • 名字：輸入 Google SecOps 或描述性名稱
    • 姓氏：輸入 Integration 或描述性名稱
    • 電子郵件：輸入有效的電子郵件地址 (例如 chronicle-integration@yourcompany.com)

  8. 按一下「新增角色」。

  9. 搜尋並新增下列角色：

    • Fusion Apps 管理員

  10. 按一下「儲存並關閉」。

記錄 Fusion Applications 基準網址

  1. 登入 Oracle Fusion Cloud Applications 後，請記下瀏覽器網址列中的網址。
  2. 基本網址的格式為 https://<instance>.<service>.<datacenter>.oraclecloud.com。
  3. 只擷取主機名稱部分 (例如 mycompany.fa.us2.oraclecloud.com)。

  4. 請儲存這個主機名稱，稍後會用到。

驗證權限

如要確認 OAuth 用戶端是否具備必要權限，請按照下列步驟操作：

  1. 登入 Oracle Fusion Cloud Applications。
  2. 依序點選「導覽器」圖示 >「工具」>「安全控制台」。
  3. 按一下「使用者」，然後搜尋與用戶端 ID 相符的使用者帳戶。
  4. 確認使用者已獲派「Fusion Apps Administrator」角色或「FND_VIEW_AUDIT_HISTORY_PRIV」權限。
  5. 如果找不到使用者或缺少權限，請與 Fusion Applications 管理員聯絡，要求對方授予必要角色。

測試 API 存取權

  • 請先測試憑證，再繼續進行整合：

    # Replace with your actual values
IDENTITY_DOMAIN_URL="https://idcs-xxxxxxxxxxxx.identity.oraclecloud.com"
CLIENT_ID="your-client-id"
CLIENT_SECRET="your-client-secret"
FUSION_HOST="mycompany.fa.us2.oraclecloud.com"
OAUTH_SCOPE="urn:opc:resource:fusion:podname:boss/"
FUSION_USERNAME="svc_secops_audit"
FUSION_PASSWORD="your-user-password"

# Step 1: Obtain OAuth access token (only needed if you use bearer auth instead of Basic)
TOKEN=$(curl -s -u "${CLIENT_ID}:${CLIENT_SECRET}" \
    -H "Content-Type: application/x-www-form-urlencoded;charset=UTF-8" \
    -X POST "${IDENTITY_DOMAIN_URL}/oauth2/v1/token" \
    -d "grant_type=client_credentials&scope=${OAUTH_SCOPE}" \
    | python3 -c "import sys,json; print(json.load(sys.stdin)['access_token'])")

echo "Token obtained: ${TOKEN:0:20}..."

# Step 2: Test the Sign In - Sign Out Audit REST API (last 7 days of data)
# The API is documented with HTTP Basic auth (-u "<user>:<password>").
# If your tenant accepts the bearer token instead, replace -u with
# -H "Authorization: Bearer ${TOKEN}".
curl -s -X GET "https://${FUSION_HOST}/oam/services/rest/access/api/v1/audit/events/1?fromDate=$(date -u -v-7d '+%Y-%m-%dT%H:%M:%S.000Z')&toDate=$(date -u '+%Y-%m-%dT%H:%M:%S.000Z')&pageSize=5" \
    -u "${FUSION_USERNAME}:${FUSION_PASSWORD}" \
    -H "Accept: application/json" \
    | python3 -m json.tool

如果回應成功，系統會傳回 JSON 物件，其中包含登入和登出記錄的 Events.eventData 陣列 (每筆記錄都有 eventID、userID、ipAddress、type、status 和 accessTime 等欄位)。

建立 Google Cloud Storage bucket

  1. 前往 Google Cloud 控制台。
  2. 選取專案或建立新專案。
  3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
  4. 按一下「建立值區」。

  5. 請提供下列設定詳細資料：

    設定 值
    為 bucket 命名 輸入全域不重複的名稱 (例如 oracle-fusion-audit-logs)
    位置類型 根據需求選擇 (區域、雙區域、多區域)
    位置 選取位置 (例如 us-central1)
    儲存空間級別 標準 (建議用於經常存取的記錄)
    存取控管 統一 (建議)
    保護工具 選用：啟用物件版本管理或保留政策

  6. 點選「建立」。

為 Cloud Run 函式建立服務帳戶

Cloud Run 函式需要具備 GCS bucket 寫入權限，且可由 Pub/Sub 叫用的服務帳戶。

建立服務帳戶

  1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 提供下列設定詳細資料：
    • 服務帳戶名稱：輸入 oracle-fusion-audit-collector-sa
    • 服務帳戶說明：輸入 Service account for Cloud Run function to collect Oracle Fusion Cloud Applications audit logs
  4. 按一下「建立並繼續」。
  5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
    1. 按一下「選擇角色」。
    2. 搜尋並選取「Storage 物件管理員」。
    3. 點選「+ 新增其他角色」。
    4. 搜尋並選取「Cloud Run Invoker」。
    5. 點選「+ 新增其他角色」。
    6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
  6. 按一下「繼續」。
  7. 按一下「完成」。

這些角色適用於：

  • Storage 物件管理員：將記錄檔寫入 GCS bucket，並管理狀態檔案
  • Cloud Run 叫用者：允許 Pub/Sub 叫用函式
  • Cloud Functions 叫用者：允許函式叫用

授予 GCS 值區的 IAM 權限

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 bucket 名稱 (oracle-fusion-audit-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 提供下列設定詳細資料：
    • 新增主體：輸入服務帳戶電子郵件地址 (oracle-fusion-audit-collector-sa@PROJECT_ID.iam.gserviceaccount.com)
    • 指派角色：選取「Storage 物件管理員」
  6. 按一下 [儲存]。

建立 Pub/Sub 主題

  1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
  2. 按一下「建立主題」。
  3. 提供下列設定詳細資料：
    • 主題 ID：輸入 oracle-fusion-audit-trigger
    • 其他設定保留預設值
  4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 Oracle Fusion Cloud Applications Audit REST API 擷取稽核資料，並寫入 GCS。

  1. 前往 GCP Console 的「Cloud Run」。
  2. 按一下「Create service」(建立服務)。
  3. 選取「函式」 (使用內嵌編輯器建立函式)。

  4. 在「設定」部分，提供下列設定詳細資料：

    設定 值
    服務名稱 oracle-fusion-audit-collector
    區域 選取與 GCS bucket 相符的區域 (例如 us-central1)
    執行階段 選取 Python 3.12 以上版本

  5. 在「觸發條件 (選用)」部分：

    1. 按一下「+ 新增觸發條件」。
    2. 選取「Cloud Pub/Sub」。
    3. 在「Select a Cloud Pub/Sub topic」(選取 Cloud Pub/Sub 主題) 中，選擇 oracle-fusion-audit-trigger。
    4. 按一下 [儲存]。

  6. 在「Authentication」(驗證) 部分：

    1. 選取「需要驗證」。
    2. 檢查 Identity and Access Management (IAM)。

  7. 向下捲動並展開「容器」、「網路」和「安全性」。

  8. 前往「安全性」分頁：

    • 服務帳戶：選取 oracle-fusion-audit-collector-sa

  9. 前往「容器」分頁：

    1. 按一下「變數與密鑰」。
    2. 針對每個環境變數，按一下「+ 新增變數」：
    變數名稱 範例值 說明
    GCS_BUCKET oracle-fusion-audit-logs GCS bucket 名稱
    GCS_PREFIX oracle-fusion-audit 記錄檔的前置字串
    STATE_KEY oracle-fusion-audit/state.json 狀態檔案路徑
    FUSION_HOST mycompany.fa.us2.oraclecloud.com Fusion Applications 主機名稱
    IDENTITY_DOMAIN_URL https://idcs-xxxx.identity.oraclecloud.com 身分網域網址
    CLIENT_ID your-client-id OAuth 2.0 用戶端 ID
    CLIENT_SECRET your-client-secret OAuth 2.0 用戶端密鑰
    OAUTH_SCOPE urn:opc:resource:fusion:podname:boss/ Fusion Applications 的 OAuth 範圍
    LOOKBACK_HOURS 24 初始回溯期
    PAGE_SIZE 100 每頁記錄數
    FUSION_USERNAME svc_secops_audit 選用。用於 HTTP 基本驗證，可存取登入/登出稽核 API。如果留空，系統會使用 OAuth 2.0 不記名權杖
    FUSION_PASSWORD your-user-password 選用。FUSION_USERNAME 的密碼 (儲存為 Secret Manager 密鑰)

  10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

  11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上
      • CPU：選取 1

  12. 在「修訂版本資源調度」部分：

    • 執行個體數量下限：輸入 0
    • 執行個體數量上限：輸入 100

  13. 點選「建立」。

  14. 等待服務建立完成 (1 到 2 分鐘)。

  15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

  1. 在「進入點」欄位中輸入「main」。

  2. 在內嵌程式碼編輯器中，建立兩個檔案：

    • main.py:
    import functions_framework
from google.cloud import storage
import json
import os
import urllib3
from datetime import datetime, timezone, timedelta
import time
import base64
import urllib.parse

http = urllib3.PoolManager(
  timeout=urllib3.Timeout(connect=10.0, read=60.0),
  retries=False,
)

storage_client = storage.Client()

GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'oracle-fusion-audit')
STATE_KEY = os.environ.get('STATE_KEY', 'oracle-fusion-audit/state.json')
FUSION_HOST = os.environ.get('FUSION_HOST', '').strip()
IDENTITY_DOMAIN_URL = os.environ.get('IDENTITY_DOMAIN_URL', '').rstrip('/')
CLIENT_ID = os.environ.get('CLIENT_ID')
CLIENT_SECRET = os.environ.get('CLIENT_SECRET')
OAUTH_SCOPE = os.environ.get('OAUTH_SCOPE', '')
# The Sign In - Sign Out Audit REST API is documented with HTTP Basic auth.
# Set FUSION_USERNAME / FUSION_PASSWORD to use it; otherwise the function falls
# back to the OAuth 2.0 bearer token configured above.
FUSION_USERNAME = os.environ.get('FUSION_USERNAME', '')
FUSION_PASSWORD = os.environ.get('FUSION_PASSWORD', '')
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '100'))

# Sign In - Sign Out Audit REST API. Returns {"Events": {"eventData": [...]}},
# which the ORACLE_FUSION parser reads directly. Data is retained for 7 days.
AUDIT_PATH = '/oam/services/rest/access/api/v1/audit/events'

def get_oauth_token():
  token_url = f"{IDENTITY_DOMAIN_URL}/oauth2/v1/token"
  auth_b64 = base64.b64encode(f"{CLIENT_ID}:{CLIENT_SECRET}".encode('utf-8')).decode('utf-8')
  body = f"grant_type=client_credentials&scope={urllib.parse.quote(OAUTH_SCOPE, safe='')}"
  try:
    response = http.request(
      'POST', token_url,
      body=body.encode('utf-8'),
      headers={
        'Authorization': f'Basic {auth_b64}',
        'Content-Type': 'application/x-www-form-urlencoded;charset=UTF-8',
      }
    )
    if response.status != 200:
      print(f"OAuth token request failed: {response.status} {response.data.decode('utf-8')}")
      return None
    return json.loads(response.data.decode('utf-8')).get('access_token')
  except Exception as e:
    print(f"Error obtaining OAuth token: {e}")
    return None

def get_auth_header():
  """Use HTTP Basic auth when FUSION_USERNAME/PASSWORD are set, else OAuth bearer."""
  if FUSION_USERNAME and FUSION_PASSWORD:
    creds_b64 = base64.b64encode(f"{FUSION_USERNAME}:{FUSION_PASSWORD}".encode('utf-8')).decode('utf-8')
    return f"Basic {creds_b64}"
  token = get_oauth_token()
  return f"Bearer {token}" if token else None

def fetch_signin_audit(auth_header, start_time, end_time):
  """Page through the Sign In - Sign Out Audit REST API.

  Returns (pages, newest_time). Each item in pages is a raw
  {"Events": {"eventData": [...]}} object, written unchanged for the parser.
  """
  base_url = f"https://{FUSION_HOST}{AUDIT_PATH}"
  from_date = start_time.strftime('%Y-%m-%dT%H:%M:%S.000Z')
  to_date = end_time.strftime('%Y-%m-%dT%H:%M:%S.000Z')

  headers = {'Authorization': auth_header, 'Accept': 'application/json'}

  pages = []
  newest_time = None
  page_num = 1
  backoff = 1.0

  while True:
    query_string = urllib.parse.urlencode({
      'fromDate': from_date,
      'toDate': to_date,
      'pageSize': str(PAGE_SIZE),
    })
    # The page number is a path segment: /audit/events/{page}
    request_url = f"{base_url}/{page_num}?{query_string}"

    try:
      response = http.request('GET', request_url, headers=headers)

      if response.status == 429:
        retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
        print(f"Rate limited (429). Retrying after {retry_after}s...")
        time.sleep(retry_after)
        backoff = min(backoff * 2, 60.0)
        continue
      backoff = 1.0

      if response.status != 200:
        print(f"HTTP Error {response.status}: {response.data.decode('utf-8')}")
        break

      data = json.loads(response.data.decode('utf-8'))
      event_list = data.get('Events', {}).get('eventData', [])
      if isinstance(event_list, dict):
        event_list = [event_list]

      if not event_list:
        print(f"No more sign-in events (empty page {page_num})")
        break

      # Preserve the exact {"Events": {"eventData": [...]}} shape the parser
      # consumes; do not rename or flatten individual records.
      pages.append({'Events': {'eventData': event_list}})
      print(f"Page {page_num}: retrieved {len(event_list)} sign-in events")

      for event in event_list:
        access_time = event.get('accessTime')
        if access_time and (newest_time is None or access_time > newest_time):
          newest_time = access_time

      if len(event_list) < PAGE_SIZE:
        break
      page_num += 1

    except Exception as e:
      print(f"Error fetching sign-in audit: {e}")
      break

  print(f"Retrieved {len(pages)} page(s) of sign-in audit events")
  return pages, newest_time

@functions_framework.cloud_event
def main(cloud_event):
  if not all([GCS_BUCKET, FUSION_HOST]):
    print('Error: Missing required environment variables (GCS_BUCKET, FUSION_HOST)')
    return

  try:
    bucket = storage_client.bucket(GCS_BUCKET)
    state = load_state(bucket)
    now = datetime.now(timezone.utc)

    if isinstance(state, dict) and state.get('last_event_time'):
      try:
        last_val = state['last_event_time']
        if last_val.endswith('Z'):
          last_val = last_val[:-1] + '+00:00'
        last_time = datetime.fromisoformat(last_val) - timedelta(minutes=2)
      except Exception as e:
        print(f"Warning: could not parse last_event_time: {e}")
        last_time = now - timedelta(hours=LOOKBACK_HOURS)
    else:
      last_time = now - timedelta(hours=LOOKBACK_HOURS)

    # The API retains only 7 days of data; never look back further.
    earliest = now - timedelta(days=7)
    if last_time < earliest:
      last_time = earliest

    print(f"Fetching sign-in audit from {last_time.isoformat()} to {now.isoformat()}")

    auth_header = get_auth_header()
    if not auth_header:
      print("Error: could not build authorization header")
      return

    pages, newest_time = fetch_signin_audit(auth_header, last_time, now)

    if not pages:
      print("No new sign-in audit events found.")
      save_state(bucket, now.isoformat())
      return

    timestamp = now.strftime('%Y%m%d_%H%M%S')
    object_key = f"{GCS_PREFIX}/oracle_fusion_audit_{timestamp}.ndjson"
    blob = bucket.blob(object_key)

    ndjson = '\n'.join([json.dumps(p, ensure_ascii=False, default=str) for p in pages]) + '\n'
    blob.upload_from_string(ndjson, content_type='application/x-ndjson')
    print(f"Wrote {len(pages)} page(s) to gs://{GCS_BUCKET}/{object_key}")

    save_state(bucket, newest_time if newest_time else now.isoformat())
    print("Successfully processed sign-in audit events")

  except Exception as e:
    print(f'Error processing logs: {str(e)}')
    raise

def load_state(bucket):
  try:
    blob = bucket.blob(STATE_KEY)
    if blob.exists():
      return json.loads(blob.download_as_text())
  except Exception as e:
    print(f"Warning: Could not load state: {e}")
  return {}

def save_state(bucket, last_event_time_iso):
  try:
    state = {
      'last_event_time': last_event_time_iso,
      'last_run': datetime.now(timezone.utc).isoformat()
    }
    blob = bucket.blob(STATE_KEY)
    blob.upload_from_string(json.dumps(state, indent=2), content_type='application/json')
    print(f"Saved state: last_event_time={last_event_time_iso}")
  except Exception as e:
    print(f"Warning: Could not save state: {e}")

    • requirements.txt:

      functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0

  3. 點選「部署」即可儲存並部署函式。

  4. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

  1. 前往 GCP 主控台的「Cloud Scheduler」。
  2. 點選「建立工作」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 oracle-fusion-audit-collector-hourly
    區域 選取與 Cloud Run 函式相同的區域
    頻率 0 * * * * (每小時整點)
    時區 選取時區 (建議使用世界標準時間)
    目標類型 Pub/Sub
    主題 選取「oracle-fusion-audit-trigger」
    郵件內文 {} (空白 JSON 物件)

  4. 點選「建立」。

排程頻率選項

根據記錄檔量和延遲時間要求選擇頻率：

頻率 Cron 運算式 用途
每 5 分鐘 */5 * * * * 高容量、低延遲
每 15 分鐘 */15 * * * * 中等
每小時 0 * * * * 標準 (建議)
每 6 小時 0 */6 * * * 少量、批次處理
每天 0 0 * * * 歷來資料集合

測試整合項目

  1. 在 Cloud Scheduler 控制台中，找出您的工作 (oracle-fusion-audit-collector-hourly)。
  2. 按一下「強制執行」即可手動觸發工作。
  3. 稍等幾秒鐘。
  4. 前往「Cloud Run」>「Services」。
  5. 按一下 oracle-fusion-audit-collector。
  6. 點選「記錄」分頁標籤。

  7. 確認函式是否執行成功。尋找：

    Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Successfully obtained OAuth access token
Page 1: Retrieved X audit events
Wrote X records to gs://oracle-fusion-audit-logs/oracle-fusion-audit/oracle_fusion_audit_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records

  8. 依序前往「Cloud Storage」>「Buckets」。

  9. 按一下 oracle-fusion-audit-logs。

  10. 前往 oracle-fusion-audit/ 資料夾。

  11. 確認是否已建立新的 .ndjson 檔案，且檔案名稱包含目前的時間戳記。

如果記錄中顯示錯誤：

  • HTTP 401：確認 CLIENT_ID 和 CLIENT_SECRET 環境變數皆正確無誤，且 OAuth 應用程式已啟用
  • HTTP 403：確認 Fusion Applications 使用者 (與用戶端 ID 相符) 具有 FND_VIEW_AUDIT_HISTORY_PRIV 權限或 Fusion Apps 管理員角色
  • HTTP 429：頻率限制，函式會自動重試，並採用指數輪詢間隔
  • API 狀態為 FAIL：確認 FUSION_HOST 環境變數正確無誤，且可存取 Fusion Applications 執行個體
  • OAuth 權杖錯誤：確認 IDENTITY_DOMAIN_URL 和 OAUTH_SCOPE 環境變數皆正確無誤

必要的 API 權限

  • OAuth 用戶端需要下列權限：

    權限/範圍 存取層級 目的
    FND_VIEW_AUDIT_HISTORY_PRIV 讀取 從 Fusion Applications 擷取稽核記錄資料
    Fusion Applications 範圍 應用程式 存取 Fusion Applications REST API 資源

地區端點

Oracle Fusion Cloud Applications 使用不同的資料中心區域。各區域的基礎網址格式如下：

區域 資料中心代碼 主機名稱範例
美國西部 (鳳凰城) us-phoenix-1 instance.fa.us-phoenix-1.oraclecloud.com
美國東部 (阿什本) us-ashburn-1 instance.fa.us-ashburn-1.oraclecloud.com
US Commercial 2 us2 instance.fa.us2.oraclecloud.com
歐盟西部 (法蘭克福) eu-frankfurt-1 instance.fa.eu-frankfurt-1.oraclecloud.com
歐盟西部 (阿姆斯特丹) eu-amsterdam-1 instance.fa.eu-amsterdam-1.oraclecloud.com
英國南部 (倫敦) uk-london-1 instance.fa.uk-london-1.oraclecloud.com
加拿大東南部 (多倫多) ca-toronto-1 instance.fa.ca-toronto-1.oraclecloud.com
亞太東南 (雪梨) ap-sydney-1 instance.fa.ap-sydney-1.oraclecloud.com
亞太東北 (東京) ap-tokyo-1 instance.fa.ap-tokyo-1.oraclecloud.com

請使用與 Oracle Fusion Cloud Applications 執行個體區域對應的主機名稱。存取 Fusion Applications 環境時，系統會顯示網址，您可從中找出區域。

API 頻率限制

Oracle Fusion Cloud Applications Audit REST API 具有下列特徵：

限制類型 值
權杖有效期限 3,600 秒 (1 小時)
稽核記錄查詢範圍 每項要求最多 1 個月
登入/登出稽核記錄保留期限 7 天
交易稽核保留 30 到 365 天 (因產品而異)

Cloud Run 函式會自動處理 OAuth 權杖重新整理、分頁和查詢範圍分塊。如果時間範圍超過一個月，函式會將其分割為每月區塊，並透過自動重新驗證處理權杖到期問題。

Note: For sign-in and sign-out audit events, the retention period is limited to 7 days. Configure the scheduler to poll frequently to avoid data loss. Transaction audit retention varies by Fusion Applications product and configuration.

擷取 Google SecOps 服務帳戶

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 Oracle Fusion Audit Logs)。
  5. 選取「Google Cloud Storage V2」做為「來源類型」。
  6. 選取「Oracle Fusion Cloud Applications」做為「記錄類型」。
  7. 按一下「取得服務帳戶」。

  8. 系統會顯示專屬服務帳戶電子郵件地址，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  9. 複製這個電子郵件地址，以便在下一步中使用。

  10. 點選「下一步」。

  11. 指定下列輸入參數的值：

    • 儲存空間值區 URL：輸入 GCS 值區 URI，並加上前置路徑：

      gs://oracle-fusion-audit-logs/oracle-fusion-audit/

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

      • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)

    • 資產命名空間：資產命名空間

    • 擷取標籤：要套用至這個動態饋給事件的標籤

  12. 點選「下一步」。

  13. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 oracle-fusion-audit-logs。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 提供下列設定詳細資料：
    • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址
    • 指派角色：選取「Storage 物件檢視者」

  6. 按一下 [儲存]。

UDM 對應表

記錄欄位 UDM 對應 邏輯
類型 extensions.auth.type 驗證類型
類型 metadata.event_type 事件類型
ipAddress metadata.event_type
eventID metadata.product_log_id 產品記錄 ID
attributeMap.attribute.value network.http.user_agent HTTP 使用者代理程式
ipAddress principal.asset.ip 與主體相關聯的資產 IP 位址
ipAddress principal.ip 主體的 IP 位址
userID.userDN principal.user.attribute.labels 使用者屬性的標籤
userID.userDN principal.user.email_addresses 使用者的電子郵件地址
userID.loginID principal.user.userid 使用者 ID
狀態 security_result.action 安全性動作
oracleECID target.user.userid 目標的使用者 ID

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。