監査イベントAPIの使用
アイデンティティ・ドメインの監査イベントRESTエンドポイントでは、重要なイベント、変更またはアクションに関する監査ログを取得できます。これらのAPIを使用して、すべてのセキュリティ情報およびイベント管理(SIEM)、ユーザーおよびエンティティの行動分析(UEBA)およびクラウド・アクセス・セキュリティ・ブローカ(CASB)を統合し、監査データをポーリングできます。
アイデンティティ・ドメインAuditEventsおよびReports APIの特定のレポート・テンプレートは、2024年12月15日以降に新しいデータの返却を停止します。かわりに、OCI監査サービスを使用してこのデータを取得できます。IAMのサービス変更のお知らせを表示するには、IAMサービス変更のお知らせを参照してください。
監査イベントを使用すると、アクションを実行したユーザーやアクションの内容など、監査ログによって提供される詳細を使用して、組織のメンバーが実行したアクションを確認できます。アイデンティティ・ドメインは、システムで発生するすべてのアクティビティを集中管理するポイントです。ユーザー・ログイン、アプリケーションのアクセス、パスワードのリセット、ユーザー・プロファイルの更新、ユーザー、グループ、アプリケーションへのCRUD操作など、すべての管理者およびエンド・ユーザーの操作に応じて監査データを生成します。
監査イベント関連の日時では、協定世界時(UTC)形式YYYY-MM-DDThh:mm:ss.mscZを使用します。たとえば、2022-03-24T10:24:24.022Zです。
図の左側にあるアクティビティなど、多くの管理者およびユーザー・アクティビティから包括的なレポートを生成できます。右側には、取得可能な履歴ユーザー・アクティビティと、分析ツールにデータをインポートして生成できる統計および分析の例が示されています。
監査の例
監査の例を使用すると、迅速に確認できます。コレクションをインポートした、フィルタに「audit」と入力してすべての監査リクエストを検索します。idm-samples GitHubリポジトリ内のidcs-rest-clientsフォルダからアイデンティティ・ドメイン認証ユースケース・サンプル・コレクションおよびグローバル変数ファイルをダウンロードし、Postmanにインポートします。
アイデンティティ・ドメイン監査イベント
この表では、アイデンティティ・ドメインの最も重要なイベントの一部のイベントIDを示します。
| イベント・カテゴリ | イベント | イベントID |
|---|---|---|
|
シングル・サインオン |
ユーザー・ログイン成功 |
sso.session.create.success
|
|
シングル・サインオン |
ユーザー・ログインに失敗 |
sso.authentication.failure
|
|
アプリケーション・アクセス・イベント |
アプリケーション・アクセスに成功 |
sso.app.access.success
|
|
アプリケーション・アクセス・イベント |
アプリケーション・アクセスに失敗 |
sso.app.access.failure
|
|
多要素認証 |
ユーザーのステップアップ認証 |
sso.auth.factor.initiated
|
|
多要素認証 |
ByPassコードの作成 |
sso.bypasscode.create.success
|
|
多要素認証 |
ByPassコードの削除 |
sso.bypasscode.delete.success
|
|
自己登録 |
ユーザー自己登録に成功 |
admin.me.register.success
|
|
セルフサービス・アクセス・リクエスト |
アクセス・リクエストに成功 |
admin.myrequest.create.success
|
|
通知 |
通知配信に成功 |
notification.delivery.success
|
|
通知 |
通知配信に失敗 |
notification.delivery.failure
|
|
アイデンティティ・ブリッジ同期 |
IDブリッジ同期に成功 |
idbridge.sync.success
|
|
アイデンティティ・ブリッジ同期 |
IDブリッジ同期に失敗 |
idbridge.sync.failure
|
|
パスワードを忘れた場合/リセット |
パスワードのリセットに成功しました |
admin.me.password.reset.success
|
|
管理者によって開始されたパスワードのリセット |
パスワードのリセットに成功しました |
admin.user.password.reset.success
|
|
パスワードの変更 |
パスワードの変更に成功しました |
admin.me.password.change.success
|
|
パスワードの変更 |
パスワードの変更に失敗しました |
admin.me.password.change.failure
|
|
ユーザーCRUD操作 |
ユーザー作成成功 |
admin.user.create.success
|
|
ユーザーCRUD操作 |
ユーザーのアクティブ化に成功 |
admin.user.activated.success
|
|
ユーザーCRUD操作 |
ユーザー更新成功 |
admin.user.update.success
|
|
ユーザーCRUD操作 |
ユーザー削除成功 |
admin.user.delete.success
|
|
グループCRUD操作 |
グループ作成成功 |
admin.group.create.success
|
|
グループCRUD操作 |
グループの更新に成功しました |
admin.group.update.success
|
|
グループCRUD操作 |
グループ削除成功 |
admin.group.delete.success
|
|
グループCRUD操作 |
グループ・メンバーシップの割当て |
admin.group.add.member.success
|
|
グループCRUD操作 |
グループ・メンバーシップの削除 |
admin.group.remove.member.success
|
|
アプリケーションCRUD操作 |
アプリケーションの作成 |
admin.app.create.success
|
|
アプリケーションCRUD操作 |
アプリケーションの更新 |
admin.app.update.success
|
|
アプリケーションCRUD操作 |
アプリケーションの削除 |
admin.app.delete.success
|
|
ユーザー・プロビジョニング |
ユーザー・プロビジョニングに成功 |
admin.account.create.success
|
|
ユーザー・プロビジョニング |
ユーザー・プロビジョニングに失敗 |
admin.account.delete.success
|
イベント・リソース
次の表では、重要なイベント・リソースについて説明します。
| イベント・リソース | 説明 |
|---|---|
|
eventID |
アイデンティティ・ドメイン・コンポーネントによって定義されたイベントID |
|
actorName |
セキュリティ・コンテキストからのユーザー名(ログイン名)。 |
|
actorDisplayName |
セキュリティ・コンテキストからのユーザー表示名 |
|
actorId |
セキュリティ・コンテキストからのユーザーGUID |
|
actorType |
アクター・タイプ(UserまたはClient) |
|
ssoSessionId |
Cloud SSO識別子 |
|
ssoIdentityProvider |
SSOアイデンティティ・プロバイダ |
|
ssoAuthFactor |
認証に使用される認証ファクタ |
|
ssoApplicationId |
アプリケーション識別子GUID |
|
ssoApplicationType |
SSOアプリケーション・タイプ: アプリケーション・タイプは、アプリケーションがOPCとNonOPCのどちらのアプリケーションであるか、およびタイプがSAML、OAuthまたはSecure Form Fillのいずれであるかをプロトコルに基づいて示します。 |
|
clientIp |
リクエストしているクライアント・アプリケーションのIPアドレス |
|
ssoUserAgent |
ユーザーのデバイス情報 |
|
ssoPlatform |
認証の実行に使用されるプラットフォーム |
|
ssoProtectedResource |
保護されたリソースのURI (リソースのホスト、ポートおよびコンテキスト)。 |
|
ssoMatchedSignOnPolicy |
一致するサインオン・ポリシー(バージョン18.1.2で追加) |
|
メッセージ |
イベント固有の成功または失敗に関するメッセージ |
|
タイムスタンプ |
このイベント発生時のタイムスタンプ |
監査スキーマ
監査スキーマは、アイデンティティ・ドメインREST APIを使用して検索できます。監査スキーマには、このユースケースの表で説明するすべての情報が含まれています。
リクエストの例
AuditEventスキーマを使用して、/SchemasエンドポイントでGETを実行します。
GET <domainURL>>/admin/v1/Schemas/urn:ietf:params:scim:schemas:oracle:idcs:AuditEvent
レスポンスのスナップショットの例
レスポンスのスナップショットを次に示します。
{
"attributes": [
{
"caseExact": false,
"description": "Unique URI of the schema",
"idcsDisplayName": "ID",
"idcsSearchable": true,
"multiValued": false,
"mutability": "readOnly",
"name": "id",
"required": true,
"returned": "always",
"type": "string",
"uniqueness": "global"
},
{
"caseExact": false,
"description": "An identifier for the Resource as defined by the Service Consumer. The externalId may simplify identification of the Resource between Service Consumer and Service Provider by allowing the Consumer to refer to the Resource with its own identifier, obviating the need to store a local mapping between the local identifier of the Resource and the identifier used by the Service Provider. Each Resource MAY include a non-empty externalId value. The value of the externalId attribute is always issued by the Service Consumer and can never be specified by the Service Provider. The Service Provider MUST always interpret the externalId as scoped to the Service Consumer's tenant.",
"idcsDisplayName": "External ID",
"idcsSearchable": false,
"multiValued": false,
"mutability": "readWrite",
"name": "externalId",
"required": false,
"returned": "default",
"type": "string",
"uniqueness": "none"
},
{
"caseExact": true,
"description": "Event correlation ID (ECID) correlating a chain of events as belonging to the same business operation (root task). ECID is generated when the request enters the IDCS web tier.",
"idcsDisplayName": "Execution Context Id",
"idcsSearchable": true,
"multiValued": false,
"mutability": "readWrite",
"name": "ecId",
"required": false,
"returned": "default",
"type": "string",
"uniqueness": "none"
},
{
"caseExact": true,
"description": "Relationship Identifier (RID). This value indicates the position of a particular event/sub-operation within the tree of tasks that begins with the root task.",
"idcsDisplayName": "Relationship Id",
"idcsSearchable": true,
"multiValued": false,
"mutability": "readWrite",
"name": "rId",
"required": false,
"returned": "default",
"type": "string",
"uniqueness": "none"
},
{
"caseExact": false,
"description": "Timestamp of when the event occurred, provided by the Event Manager (not supplied by clients)",
"idcsDisplayName": "Timestamp",
"idcsSearchable": true,
"multiValued": false,
"mutability": "readWrite",
"name": "timestamp",
"required": false,
"returned": "default",
"type": "dateTime",
"uniqueness": "none"
},