Le journal d’audit garde la trace de ce qui s’est passé dans votre organisation et ses équipes : qui a changé un réglage, ajouté un domaine, configuré l’authentification unique, créé une clé ou posé une question, et quand. Vous pouvez le filtrer, l’exporter pour votre équipe sécurité, choisir combien de temps il est conservé et empêcher la suppression d’événements tant que vous en avez besoin.
Nous ouvrons le journal d’audit aux organisations progressivement. Si vous ne voyez pas Journal d’audit dans Réglages, puis Organisation, il n’est pas encore activé pour votre organisation et vous voyez à la place la liste Activité, plus courte. Contactez-nous si vous le voulez.
Qui peut le voir
Seuls les propriétaires et les admins d’une des équipes de l’organisation peuvent ouvrir le journal d’audit, connectés sur le site. Les membres ne le voient jamais. Là où votre organisation a des comptes de service, la clé d’API ou l’application connectée d’un admin avec la permission audit:read peut aussi le lire et l’exporter, tout comme un compte de service avec cette permission.
Changer la durée de conservation, placer une conservation légale ou la lever demande de confirmer à nouveau que c’est vous. Choisissez Confirmer que c’est vous quand on vous le demande. La confirmation dure 10 minutes.
Ce qui est enregistré
- Votre organisation : son renommage, les domaines ajoutés, vérifiés, en échec ou supprimés, les changements de règles et les personnes qui rejoignent par adhésion automatique.
- Authentification unique : sa configuration et ses changements, les tests, son activation, sa désactivation, le fait de l’exiger ou non, les comptes liés, les sessions qu’elle a terminées, et les propriétaires de secours ajoutés, retirés ou utilisés. Voir L’authentification unique pour votre organisation.
- Provisionnement et règles de sécurité : les jetons SCIM créés, remplacés et révoqués, les rôles par groupe, les personnes que votre fournisseur d’identité a ajoutées, modifiées, désactivées ou retirées, et chaque étape de la fin de leurs accès, les changements de règles de sécurité, les sessions terminées par un admin et les nouveaux propriétaires d’équipe. Voir Provisionnement et règles de sécurité.
- Chaque équipe : les questions posées et annulées, les crédits achetés, les clés d’API créées et révoquées, les personnes invitées, qui arrivent, partent ou changent de rôle, les limites mensuelles et les applications connectées.
- Le journal d’audit lui-même : les exports, les changements de durée de conservation, les événements supprimés à cause de la durée de conservation, et les conservations légales placées ou levées.
Chaque événement indique qui l’a fait : une personne, la clé d’API ou l’application connectée d’une personne, un compte de service, 50heads lui-même (par exemple la vérification quotidienne des domaines), ou votre fournisseur d’identité via SCIM. C’est vrai aussi pour les événements de chaque équipe : quand votre fournisseur d’identité ajoute une personne à une équipe ou l’en retire, l’événement de l’équipe indique SCIM, pas 50heads. Les changements faits dans Réglages, puis Organisation, et les changements des personnes d’une équipe (invitations, rôles, limites, retraits) enregistrent aussi l’adresse d’où ils viennent. Les événements plus anciens n’en ont pas.
Les événements ne peuvent pas être modifiés. Ils ne sont supprimés qu’une fois plus anciens que votre durée de conservation, et jamais tant qu’une conservation légale les garde.
Ce qui n’est jamais enregistré
- Les secrets : mots de passe, jetons SCIM, secrets client de l’authentification unique, clés d’API, liens et tickets de connexion, et codes à usage unique. Si l’un d’eux arrivait dans un événement, il serait retiré avant d’être stocké, puis de nouveau avant d’être affiché.
- Tout ce qui permet d’identifier les personnes qui répondent à vos questions. Le journal montre ce que votre équipe a demandé, jamais qui a répondu.
Filtrer le journal
Choisissez les dates Du et Au, une Personne, un Type et une Équipe, puis Afficher les événements. Personne liste toutes les personnes des équipes de votre organisation, les mêmes que dans Personnes, pas seulement l’équipe que vous utilisez. La liste montre 50 événements à la fois, du plus récent au plus ancien. Voir plus ancien remonte plus loin. Effacer les filtres affiche de nouveau tout.
Les types regroupent les événements liés : organisation et règles, domaines, personnes, authentification unique, provisionnement (SCIM), questions, crédits, clés et connexions, et le journal d’audit lui-même.
L’exporter
Exporter en JSONL et Exporter en CSV téléchargent les événements qui correspondent à vos filtres, du plus ancien au plus récent, jusqu’à 1 000 000 d’événements par fichier. Chaque export est lui-même enregistré dans le journal.
- JSONL contient un événement par ligne, sous forme d’objet JSON. Il convient à un SIEM ou à un script.
- CSV contient une ligne par événement et s’ouvre dans un tableur.
| Colonne du CSV | Ce qu’elle contient |
|---|---|
id |
La référence de l’événement |
at |
Quand il s’est produit, en UTC |
organization_id |
Votre organisation |
workspace_id |
L’équipe où il s’est produit, ou vide pour les événements de toute l’organisation |
source |
organization ou workspace (le journal propre d’une équipe) |
actor_type |
person, system (50heads), scim, api_key (la clé d’une personne), oauth (l’application connectée d’une personne) ou service_account |
actor_id |
La référence 50heads de la personne ou du compte de service, quand il y en a une |
actor_name |
Son nom ou son adresse e-mail |
action |
Ce qui s’est passé, par exemple domain.verified ou sso.enforced |
subject |
Sur quoi : un domaine, une adresse e-mail, le nom d’une clé |
data |
Les détails, en JSON |
ip |
L’adresse d’où vient le changement, quand elle est enregistrée |
Un tableur peut traiter comme une formule une cellule qui commence par =, +, - ou @. Pour qu’aucun événement ne puisse rien exécuter, ces cellules commencent par une apostrophe (') dans le CSV. Le fichier JSONL garde le texte exactement tel quel.
Durée de conservation des événements
Les événements sont conservés six ans sauf si vous changez ce réglage. Vous pouvez choisir 1 an, 2 ans, 6 ans ou 10 ans, ou n’importe quel nombre de jours entre les deux. Le minimum est d’un an (365 jours) et le maximum de dix ans (3 650 jours).
- Tant que vous n’avez pas choisi de durée, elle s’applique aux événements de l’organisation elle-même. Dès que vous en choisissez une, elle s’applique aussi aux événements de chaque équipe.
- Un nettoyage a lieu une fois par jour. Il supprime les événements plus anciens que votre durée, sauf ceux qu’une conservation légale garde.
- Si vous raccourcissez la durée, nous vous indiquons quels événements seront supprimés et vous demandons de confirmer avant d’enregistrer. Ils sont supprimés lors du prochain nettoyage quotidien, dans la journée, et ne peuvent pas être récupérés.
- Chaque nettoyage qui supprime quelque chose ajoute un événement indiquant combien il en a supprimé.
Raccourcir la durée ne touche jamais à ce que nous devons garder pour payer les personnes qui répondent ou pour enquêter sur une fraude.
Conservations légales
Une conservation légale empêche la suppression des événements, quelle que soit votre durée de conservation, jusqu’à ce que vous la leviez. Utilisez-en une quand vous devez garder des traces pour une procédure juridique ou une enquête.
- Sous Conservations légales, choisissez Placer une conservation légale.
- Indiquez un motif, par exemple une référence de dossier. Tous les admins qui voient le journal d’audit peuvent le lire.
- Choisissez ce qu’il faut garder : Tout, Équipes choisies ou Personnes choisies. Vous pouvez choisir n’importe quelle personne des équipes de votre organisation.
- Choisissez Placer la conservation.
Une conservation sur des équipes choisies garde les événements de ces équipes. Les événements de toute l’organisation, comme les changements de domaine, sont gardés par Tout ou par une conservation sur la personne qui les a faits. Vous pouvez avoir jusqu’à 50 conservations actives. Lever met fin à une conservation ; les événements qu’elle gardait sont supprimés lors du prochain nettoyage quotidien s’ils dépassent votre durée de conservation. Les conservations levées restent dans la liste.