Uso de las API de evento de auditoría

Los puntos finales REST de eventos de auditoría de dominios de identidad permiten obtener logs de auditoría que abarcan eventos, cambios o acciones significativos. Con estas API, puede integrar toda la información de seguridad y la gestión de eventos (SIEM), User and Entity Behavior Analytics (UEBA) y Cloud Access Security Broker (CASB) para sondear los datos de auditoría.

Nota

Los dominios de identidad AuditEvents y determinadas plantillas de informes en las API de Reports dejarán de devolver nuevos datos después del 15 de diciembre de 2024. En su lugar, puede utilizar el servicio OCI Audit para obtener estos datos. Para ver los anuncios de cambio de servicio para IAM, consulte Anuncios de cambio de servicio de IAM.

Los eventos de auditoría permiten revisar las acciones realizadas por los miembros de la organización mediante los detalles proporcionados por los logs de auditoría, como quién realizó la acción y cuál fue la acción. Los dominios de identidad son el punto central de control de todas las actividades que se realizan en el sistema. Genera datos de auditoría en respuesta a todas las operaciones de administrador y usuario final, como Conexión de usuario, Acceso a aplicación, Restablecimiento de contraseña, Actualización de perfil de usuario, Operaciones CRUD en usuarios, Grupo, Aplicaciones, etc.

Nota

Las fechas y horas relacionadas con los eventos de auditoría utilizan el formato de hora universal coordinada (UTC): AAAA-MM-DDThh:mm:ss.mscZ. Por ejemplo, 2022-03-24T10:24:24.022Z.

Los informes completos se pueden generar a partir de muchas actividades de administrador y usuario, como las del lado izquierdo del diagrama. En el lado derecho se muestran ejemplos de la actividad histórica del usuario que puede capturar y las estadísticas y análisis que puede generar mediante la importación de datos en herramientas de análisis.

Ejemplos de auditoría

Los ejemplos de auditoría están disponibles para ayudarle a ponerse al día rápidamente. Después de importar la recopilación, escriba "audit" en el filtro para buscar todas las solicitudes de auditoría. Descargue la recopilación de ejemplos de casos de uso de autenticación de dominios de identidad y el archivo de variables globales de la carpeta idcs-rest-clients en el repositorio idm-samples GitHub y, a continuación, impórtelos en Postman.

Eventos de auditoría de dominios de identidad

Esta tabla proporciona los ID de eventos de algunos de los eventos más importantes en los dominios de identidad.

Categoría de Eventos Evento ID de evento

Inicio de sesión único

Conexiones de usuario correctas

sso.session.create.success

Inicio de sesión único

Error de inicios de sesión de usuario

sso.authentication.failure

Eventos de acceso a la aplicación

Acceso correcto a la aplicación

sso.app.access.success

Eventos de acceso a la aplicación

Fallo de acceso a la aplicación

sso.app.access.failure

Autenticación Multifactor

Autenticación de paso para el usuario

sso.auth.factor.initiated

Autenticación Multifactor

Creación de código ByPass

sso.bypasscode.create.success

Autenticación Multifactor

ByPass Supresión de código

sso.bypasscode.delete.success

Autorregistro

Autorregistro de usuario correcto

admin.me.register.success

Solicitud de acceso de autoservicio

Solicitud de acceso correcta

admin.myrequest.create.success

Notificaciones

Entrega de notificación correcta

notification.delivery.success

Notificaciones

Fallo de entrega de notificación

notification.delivery.failure

Sincronización del puente de identidades

Sincronización de puente de ID correcta

idbridge.sync.success

Sincronización del puente de identidades

Fallo de sincronización de puente de ID

idbridge.sync.failure

Contraseña olvidada/restablecida

Restablecimiento de contraseña correcto

admin.me.password.reset.success

Restablecer contraseña iniciada por el administrador

Restablecimiento de contraseña correcto

admin.user.password.reset.success

Cambiar Contraseña

Cambio de contraseña correcto

admin.me.password.change.success

Cambiar Contraseña

Fallo al cambiar la contraseña

admin.me.password.change.failure

Operaciones CRUD de Usuario

Creación de usuario correcta

admin.user.create.success

Operaciones CRUD de Usuario

Activación de usuario correcta

admin.user.activated.success

Operaciones CRUD de Usuario

Actualización de usuario correcta

admin.user.update.success

Operaciones CRUD de Usuario

Supresión de Usuario Correcta

admin.user.delete.success

Operaciones CRUD de Grupo

Creación de grupo correcta

admin.group.create.success

Operaciones CRUD de Grupo

El grupo se ha actualizado correctamente

admin.group.update.success

Operaciones CRUD de Grupo

Supresión de Grupo Correcta

admin.group.delete.success

Operaciones CRUD de Grupo

Asignación de afiliación de grupo

admin.group.add.member.success

Operaciones CRUD de Grupo

Eliminación de miembros de grupo

admin.group.remove.member.success

Operaciones CRUD de Aplicación

Creación de la Aplicación

admin.app.create.success

Operaciones CRUD de Aplicación

Actualización de la Aplicación

admin.app.update.success

Operaciones CRUD de Aplicación

Supresión de la Aplicación

admin.app.delete.success

Provisionamiento de Usuarios

Aprovisionamiento de usuario correcto

admin.account.create.success

Provisionamiento de Usuarios

Aprovisionamiento de usuario incorrecto

admin.account.delete.success

Recursos de eventos

En la siguiente tabla, se describen los recursos de eventos cruciales.

Recurso de evento Descripción

eventID

ID de evento definido por los componentes de los dominios de identidad

actorName

Nombre de usuario (nombre de conexión) del contexto de seguridad

actorDisplayName

Nombre mostrado del usuario del contexto de seguridad

actorId

GUID de usuario del contexto de seguridad

actorType

El tipo de actor, ya sea Usuario o Cliente

ssoSessionId

Identificador de SSO de nube

ssoIdentityProvider

Proveedor de Identidad SSO

ssoAuthFactor

Factor de autenticación utilizado para la autenticación

ssoApplicationId

GUID de identificador de aplicación

ssoApplicationType

Tipo de aplicación SSO: el tipo de aplicación indica si la aplicación es una aplicación OPC o NonOPC y si el tipo es SAML, OAuth o relleno de formulario seguro según el protocolo.

clientIp

Dirección IP de la aplicación cliente que realiza la solicitud

ssoUserAgent

Información del dispositivo del usuario

ssoPlatform

Plataforma utilizada para realizar la autenticación

ssoProtectedResource

URI del recurso protegido (host, puerto y contexto del recurso)

ssoMatchedSignOnPolicy

Política de conexión coincidente, agregada a la versión 18.1.2

Mensaje

Mensaje de éxito o fallo específico del evento

Registro de hora

Registro de hora de cuándo se produjo el evento

Esquema de auditoría

Puede encontrar el esquema de auditoría mediante la API de REST de los dominios de identidad. El esquema de auditoría contiene toda la información tratada en las tablas de este caso de uso.

Solicitud de ejemplo

Realice un GET en el punto final /Schemas mediante el esquema AuditEvent.

GET <domainURL>>/admin/v1/Schemas/urn:ietf:params:scim:schemas:oracle:idcs:AuditEvent

Ejemplo de instantánea de respuesta

A continuación, se muestra una instantánea de la respuesta.

{
    "attributes": [
        {
            "caseExact": false,
            "description": "Unique URI of the schema",
            "idcsDisplayName": "ID",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readOnly",
            "name": "id",
            "required": true,
            "returned": "always",
            "type": "string",
            "uniqueness": "global"
        },
        {
            "caseExact": false,
            "description": "An identifier for the Resource as defined by the Service Consumer. The externalId may simplify identification of the Resource between Service Consumer and Service Provider by allowing the Consumer to refer to the Resource with its own identifier, obviating the need to store a local mapping between the local identifier of the Resource and the identifier used by the Service Provider. Each Resource MAY include a non-empty externalId value. The value of the externalId attribute is always issued by the Service Consumer and can never be specified by the Service Provider. The Service Provider MUST always interpret the externalId as scoped to the Service Consumer's tenant.",
            "idcsDisplayName": "External ID",
            "idcsSearchable": false,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "externalId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Event correlation ID (ECID) correlating a chain of events as belonging to the same business operation (root task). ECID is generated when the request enters the IDCS web tier.",
            "idcsDisplayName": "Execution Context Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "ecId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Relationship Identifier (RID). This value indicates the position of a particular event/sub-operation within the tree of tasks that begins with the root task.",
            "idcsDisplayName": "Relationship Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "rId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": false,
            "description": "Timestamp of when the event occurred, provided by the Event Manager (not supplied by clients)",
            "idcsDisplayName": "Timestamp",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "timestamp",
            "required": false,
            "returned": "default",
            "type": "dateTime",
            "uniqueness": "none"
        },