APIs für Auditereignisse verwenden

Mit REST-Endpunkten für Auditereignisse von Identitätsdomains können Sie Auditlogs abrufen, die wichtige Ereignisse, Änderungen oder Aktionen abdecken. Mit diesen APIs können Sie alle Security Information and Event Management (SIEM), User and Entity Behavior Analytics (UEBA) und Cloud Access Security Broker (CASB) integrieren, um Auditdaten abzufragen.

Hinweis

Identitätsdomains AuditEvents und bestimmte Berichtsvorlagen in den Berichts-APIs geben nach dem 15. Dezember 2024 keine neuen Daten mehr zurück. Stattdessen können Sie diese Daten mit dem OCI Audit-Service abrufen. Informationen zum Anzeigen von Ankündigungen zu Serviceänderungen für IAM finden Sie unter Ankündigungen zu Serviceänderungen für IAM.

Mit Auditereignissen können Sie die von Mitgliedern Ihrer Organisation ausgeführten Aktionen anhand der in den Auditlogs angegebenen Details prüfen, z.B. wer die Aktion ausgeführt hat und was die Aktion war. Identitätsdomains sind der zentrale Kontrollpunkt für alle Aktivitäten, die im System stattfinden. Es generiert Auditdaten als Reaktion auf alle Administrator- und Endbenutzervorgänge, wie Benutzeranmeldung, Anwendungszugriff, Zurücksetzen des Kennworts, Benutzerprofilaktualisierung, CRUD-Vorgänge für Benutzer, Gruppe, Anwendungen usw.

Hinweis

Auditereignisbezogene Datums- und Zeitangaben verwenden das UTC-Format (Coordinated Universal Time): JJJJ-MM-TT Thh:mm:ss.mscZ. Beispiel, 2022-03-24T10:24:24.022Z.

Umfassende Berichte können aus vielen Administrator- und Benutzeraktivitäten generiert werden, z. B. aus den Berichten auf der linken Seite des Diagramms. Auf der rechten Seite werden Beispiele für die historische Benutzeraktivität dargestellt, die Sie erfassen können, sowie die Statistiken und Analysen, die Sie generieren können, indem Sie Daten in Analysetools importieren.

Auditbeispiele

Auditbeispiele sind verfügbar, um Sie auf den neuesten Stand zu bringen. Nachdem Sie die Sammlung importiert haben, geben Sie "audit" in den Filter ein, um alle Auditanforderungen zu suchen. Laden Sie die Collection der Anwendungsbeispiele für die Authentifizierung von Identitätsdomains und die globale Variablendatei aus dem Ordner idcs-rest-clients im Repository idm-samples GitHub herunter, und importieren Sie sie dann in Postman.

Auditereignisse für Identitätsdomains

Diese Tabelle enthält Ereignis-IDs einiger der wichtigsten Ereignisse in Identitätsdomains.

Ereigniskategorie Ereignis Ereignis-ID

Einzelanmeldung

Benutzeranmeldungen erfolgreich

sso.session.create.success

Einzelanmeldung

Fehler bei der Benutzeranmeldung

sso.authentication.failure

Anwendungszugriffsereignisse

Anwendungszugriff erfolgreich

sso.app.access.success

Anwendungszugriffsereignisse

Anwendungszugriff nicht erfolgreich

sso.app.access.failure

Multifaktor-Authentifizierung

Step-up-Authentifizierung für Benutzer

sso.auth.factor.initiated

Multifaktor-Authentifizierung

ByPass-Codeerstellung

sso.bypasscode.create.success

Multifaktor-Authentifizierung

Löschen von ByPass-Code

sso.bypasscode.delete.success

Selbstregistrierung

Benutzerselbstregistrierung erfolgreich

admin.me.register.success

Selfservice-Zugriffsanforderung

Zugriffsanforderung erfolgreich

admin.myrequest.create.success

Benachrichtigungen

Erfolgreiche Übermittlung von Benachrichtigungen

notification.delivery.success

Benachrichtigungen

Benachrichtigungsübermittlungsfehler

notification.delivery.failure

Identity Bridge-Synchronisierung

ID-Bridge-Synchronisierung erfolgreich

idbridge.sync.success

Identity Bridge-Synchronisierung

Synchronisierungsfehler bei ID-Bridge

idbridge.sync.failure

Kennwort vergessen/zurücksetzen

Kennwort zurücksetzen erfolgreich

admin.me.password.reset.success

Zurücksetzen des Kennworts vom Administrator initiiert

Kennwort zurücksetzen erfolgreich

admin.user.password.reset.success

Kennwort ändern

Kennwort erfolgreich geändert

admin.me.password.change.success

Kennwort ändern

Kennwortänderung nicht erfolgreich

admin.me.password.change.failure

Benutzer-CRUD-Vorgänge

Benutzer erfolgreich erstellt

admin.user.create.success

Benutzer-CRUD-Vorgänge

Benutzer erfolgreich aktiviert

admin.user.activated.success

Benutzer-CRUD-Vorgänge

Benutzeraktualisierung erfolgreich

admin.user.update.success

Benutzer-CRUD-Vorgänge

Benutzer erfolgreich gelöscht

admin.user.delete.success

CRUD-Vorgänge für Gruppen

Gruppe erfolgreich erstellt

admin.group.create.success

CRUD-Vorgänge für Gruppen

Gruppe erfolgreich aktualisiert

admin.group.update.success

CRUD-Vorgänge für Gruppen

Gruppe erfolgreich gelöscht

admin.group.delete.success

CRUD-Vorgänge für Gruppen

Gruppenmitgliedschaftszuweisung

admin.group.add.member.success

CRUD-Vorgänge für Gruppen

Entfernen der Gruppenmitgliedschaft

admin.group.remove.member.success

CRUD-Vorgänge für Anwendungen

Anwendungserstellung

admin.app.create.success

CRUD-Vorgänge für Anwendungen

Anwendungsupdate

admin.app.update.success

CRUD-Vorgänge für Anwendungen

Löschen der Anwendung

admin.app.delete.success

Benutzer-Provisioning

Benutzer-Provisioning erfolgreich

admin.account.create.success

Benutzer-Provisioning

Nicht erfolgreiches Benutzer-Provisioning

admin.account.delete.success

Veranstaltungsressourcen

In der folgenden Tabelle werden wichtige Ereignisressourcen beschrieben.

Ereignisressource Beschreibung

eventID

Ereignis-ID, wie von den Identitätsdomains-Komponenten definiert

actorName

Benutzername (Anmeldename) aus dem Sicherheitskontext

actorDisplayName

Anzeigename des Benutzers aus dem Sicherheitskontext

actorId

Benutzer-GUID aus dem Sicherheitskontext

actorType

Der Akteurtyp, entweder Benutzer oder Client

ssoSessionId

Cloud-SSO-ID

ssoIdentityProvider

SSO-Identitätsprovider

ssoAuthFactor

Der Authentifizierungsfaktor für die Authentifizierung

ssoApplicationId

Anwendungs-ID-GUID

ssoApplicationType

SSO-Anwendungstyp: Der Anwendungstyp gibt an, ob die Anwendung eine OPC- oder eine NonOPC-Anwendung ist und ob der Typ basierend auf dem Protokoll SAML, OAuth oder Secure Form Fill ist.

clientIp

IP-Adresse der Clientanwendung, die die Anforderung sendet

ssoUserAgent

Informationen zum Gerät des Benutzers

ssoPlatform

Plattform zur Authentifizierung

ssoProtectedResource

URI der geschützten Ressource (Ressourcenhost, Port und Kontext)

ssoMatchedSignOnPolicy

Übereinstimmende Anmelde-Policy, in Version 18.1.2 hinzugefügt

Meldung

Meldung für ereignisspezifischen Erfolg oder Fehler

Timestamp

Zeitpunkt des Ereignisses

Auditschema

Sie können das Auditschema mit der REST-API für Identitätsdomains suchen. Das Auditschema enthält alle Informationen, die in den Tabellen dieses Anwendungsfalls beschrieben werden.

Beispielanforderung

Führen Sie eine GET für den Endpunkt /Schemas mit dem Schema AuditEvent aus.

GET <domainURL>>/admin/v1/Schemas/urn:ietf:params:scim:schemas:oracle:idcs:AuditEvent

Beispielantwort-Snapshot

Im Folgenden finden Sie einen Snapshot der Antwort.

{
    "attributes": [
        {
            "caseExact": false,
            "description": "Unique URI of the schema",
            "idcsDisplayName": "ID",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readOnly",
            "name": "id",
            "required": true,
            "returned": "always",
            "type": "string",
            "uniqueness": "global"
        },
        {
            "caseExact": false,
            "description": "An identifier for the Resource as defined by the Service Consumer. The externalId may simplify identification of the Resource between Service Consumer and Service Provider by allowing the Consumer to refer to the Resource with its own identifier, obviating the need to store a local mapping between the local identifier of the Resource and the identifier used by the Service Provider. Each Resource MAY include a non-empty externalId value. The value of the externalId attribute is always issued by the Service Consumer and can never be specified by the Service Provider. The Service Provider MUST always interpret the externalId as scoped to the Service Consumer's tenant.",
            "idcsDisplayName": "External ID",
            "idcsSearchable": false,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "externalId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Event correlation ID (ECID) correlating a chain of events as belonging to the same business operation (root task). ECID is generated when the request enters the IDCS web tier.",
            "idcsDisplayName": "Execution Context Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "ecId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Relationship Identifier (RID). This value indicates the position of a particular event/sub-operation within the tree of tasks that begins with the root task.",
            "idcsDisplayName": "Relationship Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "rId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": false,
            "description": "Timestamp of when the event occurred, provided by the Event Manager (not supplied by clients)",
            "idcsDisplayName": "Timestamp",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "timestamp",
            "required": false,
            "returned": "default",
            "type": "dateTime",
            "uniqueness": "none"
        },