获取 BigQuery 表创建者和 Google 存储桶创建者详细信息答案

【问题标题】：Get the BigQuery Table creator and Google Storage Bucket Creator Details获取 BigQuery 表创建者和 Google 存储桶创建者详细信息
【发布时间】：2019-07-01 22:46:34
【问题描述】：

我正在尝试识别在 BigQuery 中创建表的用户。是否有任何命令行或 API 可以提供此信息。我知道审计日志确实提供了这些信息，但我一直在寻找一个可以完成这项工作的命令行，以便我可以将它包装在一个 shell 脚本中并一次针对所有表运行它们。谷歌存储桶也是如此。我试过了

gsutil iam get gs://my-bkt 并寻找“role”：“roles/storage.admin”角色，但我没有找到所有存储桶的管理员角色。有什么帮助吗？

【问题讨论】：

标签： google-cloud-platform google-bigquery google-cloud-storage

【解决方案1】：

这是一个审计日志的用例。 BigQuery 表不会报告有关原始资源创建者的元数据，因此通过 tables.list 进行扫描或检查 ACL 并不会真正公开谁创建了资源，而只会公开当前有权访问的人。

用例是什么？您当然可以将审核日志导出回 BigQuery 并查询未来的表创建事件，但这并不完全相同。

【讨论】：

用例是——在一个项目中创建了几个表，它们是几年前创建的。这些表很大（> 700 GB），我们想要么删除它们，要么联系所有者看看我们是否可以在表上应用一些保留规则。因此正在寻找是否有更简单的方法。 GCS 也一样。这是一个非常有用的功能，可以方便地在表元数据上识别谁是创建者。我知道 Bigquery SQL 查询也没有这个功能，但是在新的 UI 中，在项目查询下，您可以很容易地看到用户触发了查询。
审核日志将有助于识别当前是否有人正在访问该资源，因此即使没有创建者身份，您也可以确定是否有任何消费者仍然存在。设置保留政策通常不需要创建者身份，只需要您对相关资源（例如 bigquery 表）拥有足够的权限。

【解决方案2】：

您可以使用Audit Logs 找到它。您可以通过 Console/Log Explorer 或使用 CLI 中的 gcloud 工具访问它们。

您感兴趣的日志过滤器是这个：

resource.type = ("bigquery_project" OR "bigquery_dataset")
logName="projects/YOUR_PROJECT/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName = "google.cloud.bigquery.v2.TableService.InsertTable"
protoPayload.resourceName = "projects/YOUR_PROJECT/datasets/curb_tracking/tables/YOUR_TABLE"

如果你想从命令行运行它，你可以这样做：

gcloud logging read \
'
resource.type = ("bigquery_project" OR "bigquery_dataset")
logName="projects/YOUR_PROJECT/logs/cloudaudit.googleapis.com%2Factivity"
protoPayload.methodName = "google.cloud.bigquery.v2.TableService.InsertTable"
protoPayload.resourceName = "projects/YOUR_PROJECT/datasets/curb_tracking/tables/YOUR_TABLE"
'\
 --limit 10

然后，您可以对输出进行后处理以找出创建表的人。查找principalEmail 字段。

【讨论】：