Utilizzo delle API degli eventi di audit

Gli endpoint REST degli eventi di audit dei domini di Identity consentono di ottenere i log di audit che coprono eventi, modifiche o azioni significative. Utilizzando queste API, puoi integrare tutte le Security Information and Event Management (SIEM), User and Entity Behavior Analytics (UEBA) e Cloud Access Security Broker (CASB) per eseguire il polling dei dati di audit.

Nota

I domini di Identity AuditEvents e alcuni modelli di report nelle API dei report non restituiranno più nuovi dati dopo il 15 dicembre 2024. In alternativa, è possibile utilizzare il servizio di audit OCI per ottenere questi dati. Per visualizzare gli annunci di modifica del servizio per IAM, vedere gli annunci di modifica del servizio per IAM.

Gli eventi di audit consentono di rivedere le azioni eseguite dai membri dell'organizzazione utilizzando i dettagli forniti dai log di audit, ad esempio l'utente che ha eseguito l'azione e lo stato dell'azione. I domini di Identity sono il punto di controllo centrale per tutte le attività che si verificano nel sistema. Genera dati di audit in risposta a tutte le operazioni dell'amministratore e dell'utente finale, ad esempio Login utente, Accesso all'applicazione, Reimpostazione password, Aggiornamento profilo utente, Operazioni CRUD su utenti, Gruppo, Applicazioni e così via.

Nota

Le date e le ore relative agli eventi di audit utilizzano il formato UTC (Coordinated Universal Time): AAAA-MM-GGThh:mm:ss.mscZ. Ad esempio, 2022-03-24T10:24:24.022Z.

È possibile generare report completi da molte attività dell'amministratore e dell'utente, ad esempio quelle sul lato sinistro del diagramma. Rappresentati sul lato destro sono esempi dell'attività utente cronologica che è possibile acquisire e delle statistiche e dell'analitica che è possibile generare importando i dati negli strumenti di analisi.

Esempi di audit

Sono disponibili esempi di audit che consentono di essere sempre aggiornati. Dopo aver importato la raccolta, digitare "audit" nel filtro per trovare tutte le richieste di audit. Scaricare la raccolta di esempi di casi d'uso di autenticazione dei domini di Identity e il file delle variabili globali dalla cartella idcs-rest-clients all'interno del repository idm-samples GitHub, quindi importarli in Postman.

Eventi di audit domini di Identity

Questa tabella fornisce gli ID evento di alcuni degli eventi più importanti nei domini di Identity.

Categoria eventi Evento ID evento

Single Sign-On.

Login dell'utente riusciti

sso.session.create.success

Single Sign-On.

Login utente non riusciti

sso.authentication.failure

Eventi di accesso applicazione

Accesso all'applicazione riuscito

sso.app.access.success

Eventi di accesso applicazione

Errore di accesso all'applicazione

sso.app.access.failure

autenticazione con più fattori;

Autenticazione dettagliata per l'utente

sso.auth.factor.initiated

autenticazione con più fattori;

ByPass Creazione codice

sso.bypasscode.create.success

autenticazione con più fattori;

Eliminazione codice ByPass

sso.bypasscode.delete.success

Registrazione automatica

Autoregistrazione utente riuscita

admin.me.register.success

Richiesta di accesso self-service

Richiesta di accesso riuscita

admin.myrequest.create.success

Notifiche

Consegna delle notifiche riuscita

notification.delivery.success

Notifiche

Errore di consegna notifiche

notification.delivery.failure

Sincronizzazione Identity Bridge

Sincronizzazione bridge ID riuscita

idbridge.sync.success

Sincronizzazione Identity Bridge

Errore sincronizzazione bridge ID

idbridge.sync.failure

Password dimenticata/reimpostata

Reimpostazione password riuscita

admin.me.password.reset.success

Reimpostazione della password avviata dall'amministratore

Reimpostazione password riuscita

admin.user.password.reset.success

Modifica password

Modifica password riuscita

admin.me.password.change.success

Modifica password

Modifica password non riuscita

admin.me.password.change.failure

Operazioni CRUD utente

Creazione utente riuscita

admin.user.create.success

Operazioni CRUD utente

Attivazione dell'utente riuscita

admin.user.activated.success

Operazioni CRUD utente

Aggiornamento utente riuscito

admin.user.update.success

Operazioni CRUD utente

Eliminazione utente riuscita

admin.user.delete.success

Operazioni CRUD gruppo

Creazione gruppo riuscita

admin.group.create.success

Operazioni CRUD gruppo

Aggiornamento gruppo riuscito

admin.group.update.success

Operazioni CRUD gruppo

Eliminazione gruppo riuscita

admin.group.delete.success

Operazioni CRUD gruppo

Assegnazione appartenenza a gruppo

admin.group.add.member.success

Operazioni CRUD gruppo

Rimozione appartenenza a gruppo

admin.group.remove.member.success

Operazioni CRUD applicazione

Creazione applicazione

admin.app.create.success

Operazioni CRUD applicazione

Aggiornamento applicazione

admin.app.update.success

Operazioni CRUD applicazione

Eliminazione applicazioni

admin.app.delete.success

Attivazione utente

Attivazione utente completata

admin.account.create.success

Attivazione utente

Assegnazione ruoli utente non riuscita

admin.account.delete.success

Risorse evento

Nella tabella riportata di seguito vengono descritte le risorse eventi cruciali.

Risorsa evento descrizione;

eventID

ID evento definito dai componenti dei domini di Identity

actorName

Nome utente (nome di login) dal contesto di sicurezza

actorDisplayName

Nome visualizzato dell'utente dal contesto di sicurezza

actorId

GUID utente dal contesto di sicurezza

actorType

Tipo di attore, Utente o Client

ssoSessionId

Identificativo SSO cloud

ssoIdentityProvider

Provider di identità SSO

ssoAuthFactor

Fattore di autenticazione utilizzato per l'autenticazione

ssoApplicationId

GUID identificativo applicazione

ssoApplicationType

Tipo di applicazione SSO: il tipo di applicazione indica se l'applicazione è un'applicazione OPC o NonOPC e se il tipo è SAML, OAuth o Secure Form Fill in base al protocollo.

clientIp

Indirizzo IP dell'applicazione client che effettua la richiesta

ssoUserAgent

Informazioni sul dispositivo dell'utente

ssoPlatform

Piattaforma utilizzata per eseguire l'autenticazione

ssoProtectedResource

URI della risorsa protetta (host, porta e contesto della risorsa)

ssoMatchedSignOnPolicy

Criteri di accesso corrispondenti, aggiunti nella versione 18.1.2

Messaggio

Messaggio per operazione riuscita o non riuscita specifica dell'evento

Indicatore orario

Data e ora in cui si è verificato l'evento

Schema audit

È possibile trovare lo schema di audit utilizzando l'API REST dei domini di Identity. Lo schema di audit contiene tutte le informazioni discusse nelle tabelle di questo caso d'uso.

Richiesta di esempio

Eseguire un comando GET sull'endpoint /Schemas utilizzando lo schema AuditEvent.

GET <domainURL>>/admin/v1/Schemas/urn:ietf:params:scim:schemas:oracle:idcs:AuditEvent

Esempio di snapshot della risposta

Di seguito è riportato uno snapshot della risposta.

{
    "attributes": [
        {
            "caseExact": false,
            "description": "Unique URI of the schema",
            "idcsDisplayName": "ID",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readOnly",
            "name": "id",
            "required": true,
            "returned": "always",
            "type": "string",
            "uniqueness": "global"
        },
        {
            "caseExact": false,
            "description": "An identifier for the Resource as defined by the Service Consumer. The externalId may simplify identification of the Resource between Service Consumer and Service Provider by allowing the Consumer to refer to the Resource with its own identifier, obviating the need to store a local mapping between the local identifier of the Resource and the identifier used by the Service Provider. Each Resource MAY include a non-empty externalId value. The value of the externalId attribute is always issued by the Service Consumer and can never be specified by the Service Provider. The Service Provider MUST always interpret the externalId as scoped to the Service Consumer's tenant.",
            "idcsDisplayName": "External ID",
            "idcsSearchable": false,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "externalId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Event correlation ID (ECID) correlating a chain of events as belonging to the same business operation (root task). ECID is generated when the request enters the IDCS web tier.",
            "idcsDisplayName": "Execution Context Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "ecId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": true,
            "description": "Relationship Identifier (RID). This value indicates the position of a particular event/sub-operation within the tree of tasks that begins with the root task.",
            "idcsDisplayName": "Relationship Id",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "rId",
            "required": false,
            "returned": "default",
            "type": "string",
            "uniqueness": "none"
        },
        {
            "caseExact": false,
            "description": "Timestamp of when the event occurred, provided by the Event Manager (not supplied by clients)",
            "idcsDisplayName": "Timestamp",
            "idcsSearchable": true,
            "multiValued": false,
            "mutability": "readWrite",
            "name": "timestamp",
            "required": false,
            "returned": "default",
            "type": "dateTime",
            "uniqueness": "none"
        },