APIs für Auditereignisse verwenden

Mit den REST-Endpunkten für Auditereignisse von Identitätsdomains können Sie Auditlogs abrufen, die wichtige Ereignisse, Änderungen oder Aktionen abdecken. Mit diesen APIs können Sie alle Security Information and Event Management (SIEM), User and Entity Behavior Analytics (UEBA) und Cloud Access Security Broker (CASB) integrieren, um Auditdaten abzufragen.

Hinweis

Identitätsdomains AuditEvents und bestimmte Berichtsvorlagen in den Reports-APIs geben nach dem 15. Dezember 2024 keine neuen Daten mehr zurück. Stattdessen können Sie den OCI-Audit-Service verwenden, um diese Daten abzurufen. Informationen zum Anzeigen von Serviceänderungsankündigungen für IAM finden Sie unter IAM-Serviceänderungsankündigungen.

Mit Auditereignissen können Sie die von Mitgliedern Ihrer Organisation ausgeführten Aktionen anhand von Details prüfen, die in den Auditlogs bereitgestellt werden, z.B. wer die Aktion ausgeführt hat und was die Aktion war. Identitätsdomains sind der zentrale Kontrollpunkt für alle Aktivitäten im System. Es generiert Auditdaten als Reaktion auf alle Administrator- und Endbenutzervorgänge, wie Benutzeranmeldung, Anwendungszugriff, Kennwortzurücksetzung, Benutzerprofilaktualisierung, CRUD-Vorgänge für Benutzer, Gruppen, Anwendungen usw.

Hinweis

Datums- und Uhrzeitangaben für Auditereignisse verwenden das UTC-Format (Coordinated Universal Time): JJJJ-MM-TTThh:mm:ss.mscZ. Beispiel: 2022-03-24T10:24:24.022Z.

Umfassende Berichte können aus vielen Administrator- und Benutzeraktivitäten generiert werden, wie die auf der linken Seite des Diagramms. Auf der rechten Seite sind Beispiele für die historische Benutzeraktivität, die Sie erfassen können, sowie die Statistiken und Analysen, die Sie generieren können, indem Sie Daten in Analysetools importieren.

Auditbeispiele

Auditbeispiele sind verfügbar, um Sie auf den neuesten Stand zu bringen. Nachdem Sie die Sammlung importiert haben, geben Sie "audit" in den Filter ein, um alle Auditanforderungen zu suchen. Laden Sie die Anwendungsbeispiele für die Identitätsdomainauthentifizierung und die globale Variablendatei aus dem Ordner idcs-rest-clients im Repository idm-samples GitHub herunter, und importieren Sie sie dann in Postman.

Auditereignisse für Identitätsdomains

Diese Tabelle enthält Ereignis-IDs einiger der wichtigsten Ereignisse in Identitätsdomains.

Ereigniskategorie Ereignis Ereignis-ID

Single Sign-On

Benutzeranmeldungen erfolgreich

sso.session.create.success

Single Sign-On

Fehler bei Benutzeranmeldungen

sso.authentication.failure

Anwendungszugriffsereignisse

Anwendungszugriff erfolgreich

sso.app.access.success

Anwendungszugriffsereignisse

Anwendungszugriff fehlgeschlagen

sso.app.access.failure

Multifaktor-Authentifikation

Step-up-Authentifizierung für Benutzer

sso.auth.factor.initiated

Multifaktor-Authentifikation

ByPass Codeerstellung

sso.bypasscode.create.success

Multifaktor-Authentifikation

ByPass Code löschen

sso.bypasscode.delete.success

Selbstregistrierung

Benutzer-Selbstregistrierung erfolgreich

admin.me.register.success

Selfservice-Zugriffsanforderung

Zugriffsanforderung erfolgreich

admin.myrequest.create.success

Benachrichtigungen

Benachrichtigungszustellung erfolgreich

notification.delivery.success

Benachrichtigungen

Benachrichtigungszustellung fehlgeschlagen

notification.delivery.failure

Identity Bridge-Synchronisierung

ID-Bridgesynchronisierung erfolgreich

idbridge.sync.success

Identity Bridge-Synchronisierung

ID-Bridge-Synchronisierungsfehler

idbridge.sync.failure

Kennwort vergessen/zurücksetzen

Kennwortzurücksetzung erfolgreich

admin.me.password.reset.success

Vom Administrator initiiertes Kennwort zurücksetzen

Kennwortzurücksetzung erfolgreich

admin.user.password.reset.success

Kennwort ändern

Kennwort erfolgreich geändert

admin.me.password.change.success

Kennwort ändern

Kennwortänderung nicht erfolgreich

admin.me.password.change.failure

Benutzer-CRUD-Vorgänge

Benutzer erfolgreich erstellt

admin.user.create.success

Benutzer-CRUD-Vorgänge

Benutzeraktivierung erfolgreich

admin.user.activated.success

Benutzer-CRUD-Vorgänge

Benutzeraktualisierung fehlgeschlagen

admin.user.update.success

Benutzer-CRUD-Vorgänge

Benutzer erfolgreich löschen

admin.user.delete.success

Gruppen-CRUD-Vorgänge

Gruppe erfolgreich erstellt

admin.group.create.success

Gruppen-CRUD-Vorgänge

Gruppe erfolgreich aktualisiert

admin.group.update.success

Gruppen-CRUD-Vorgänge

Gruppenlöschung erfolgreich

admin.group.delete.success

Gruppen-CRUD-Vorgänge

Gruppenmitgliedschaftszuweisung

admin.group.add.member.success

Gruppen-CRUD-Vorgänge

Gruppenmitgliedschaft entfernen

admin.group.remove.member.success

Anwendungs-CRUD-Vorgänge

Anwendungserstellung

admin.app.create.success

Anwendungs-CRUD-Vorgänge

Anwendungsupdate

admin.app.update.success

Anwendungs-CRUD-Vorgänge

Anwendungslöschung

admin.app.delete.success

Benutzer-Provisioning

Erfolgreiches Benutzer-Provisioning

admin.account.create.success

Benutzer-Provisioning

Benutzer-Provisioning nicht erfolgreich

admin.account.delete.success

Veranstaltungsressourcen

In der folgenden Tabelle werden wichtige Ereignisressourcen beschrieben.

Ereignisressource Beschreibung

eventID

Ereignis-ID, wie von den Identitätsdomainkomponenten definiert

actorName

Benutzername (Anmeldename) aus dem Sicherheitskontext

actorDisplayName

Benutzeranzeigename aus dem Sicherheitskontext

actorId

Benutzer-GUID aus Sicherheitskontext

actorType

Der Akteurstyp, entweder Benutzer oder Client

ssoSessionId

Cloud-SSO-ID

ssoIdentityProvider

SSO-Identitätsprovider

ssoAuthFactor

Der für die Authentifizierung verwendete Authentifizierungsfaktor

ssoApplicationId

Anwendungs-ID-GUID

ssoApplicationType

SSO-Anwendungstyp: "Anwendungstyp" gibt an, ob es sich bei der Anwendung um eine OPC- oder eine NonOPC-Anwendung handelt und ob der Typ auf Basis des Protokolls SAML, OAuth oder Secure Form Fill lautet.

clientIp

IP-Adresse der Clientanwendung, die den Request erstellt

ssoUserAgent

Informationen zum Gerät des Benutzers

ssoPlatform

Plattform zur Authentifizierung

ssoProtectedResource

URI der geschützten Ressource (Ressourcenhost, Port und Kontext)

ssoMatchedSignOnPolicy

Übereinstimmende Anmelde-Policy, hinzugefügt in Version 18.1.2

Nachricht

Meldung für ereignisbezogenen Erfolg oder Fehler

Zeitstempel

Zeitstempel, wann das Ereignis aufgetreten ist

Auditschema

Sie finden das Auditschema mit der REST-API für Identitätsdomains. Das Auditschema enthält alle Informationen, die in den Tabellen dieses Anwendungsfalls erläutert werden.

Beispielanforderung

Führen Sie ein GET für den Endpunkt /Schemas mit dem Schema AuditEvent aus.

GET <domainURL>>/admin/v1/Schemas/urn:ietf:params:scim:schemas:oracle:idcs:AuditEvent

Beispielantwort-Snapshot

Im Folgenden finden Sie einen Snapshot der Antwort.

{
    "attributes": [
        {
            "caseExact": false,
            "description": "Unique URI of the schema",
            "idcsDisplayName": "ID",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readOnly",
            "name": "id",
            "required": true,
            "returned": "always",
            "type": "string",
            "uniqueness": "global"
        },
        {
            "caseExact": false,
            "description": "An identifier for the Resource as defined by the Service Consumer. The externalId may simplify identification of the Resource between Service Consumer and Service Provider by allowing the Consumer to refer to the Resource with its own identifier, obviating the need to store a local mapping between the local identifier of the Resource and the identifier used by the Service Provider. Each Resource MAY include a non-empty externalId value. The value of the externalId attribute is always issued by the Service Consumer and can never be specified by the Service Provider. The Service Provider MUST always interpret the externalId as scoped to the Service Consumer's tenant.",
            "idcsDisplayName": "External ID",
            "idcsSearchable": false,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "externalId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Event correlation ID (ECID) correlating a chain of events as belonging to the same business operation (root task). ECID is generated when the request enters the IDCS web tier.",
            "idcsDisplayName": "Execution Context Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "ecId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Relationship Identifier (RID). This value indicates the position of a particular event/sub-operation within the tree of tasks that begins with the root task.",
            "idcsDisplayName": "Relationship Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "rId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": false,
            "description": "Timestamp of when the event occurred, provided by the Event Manager (not supplied by clients)",
            "idcsDisplayName": "Timestamp",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "timestamp",
            "required": false,
            "returned": "default",
            "type": "dateTime",
            "uniqueness": "none"
        },