Comment Exporter les Journaux d’Audit de Google Workspace

Dans la console d’administration Google, Rapports → Audit et investigation contient les journaux (Connexion, Admin, Drive, OAuth et plus), et chacun peut être exporté de là. Pour JSON, utilisez l’API Admin SDK Reports, méthode activities.list. Pour une seule fois, vous n’avez même pas besoin de code : la page de référence de l’API a un panneau « Essayer cette méthode » qui exécute l’appel pour vous. La plupart des données d’audit Workspace sont conservées pendant six mois.

Les journaux d’audit Workspace montrent qui s’est connecté d’où, quelles applications tierces ont eu accès aux e-mails et fichiers, et quels documents ont été soudainement partagés avec le monde extérieur. Prime Core a {N} règles de détection pour les données Google Workspace, mappées à {M} techniques MITRE ATT&CK. Parmi elles : abus de comptes cloud (T1078.004), octrois OAuth malveillants (T1528) et redirections d’emails vers les adresses externes (T1114.003).

Commencez gratuitement

Avant de commencer

Autorisations. Un super administrateur ou un rôle d’administrateur avec le privilège Rapports.

Choisissez le bon journal. Dans l’API, chaque journal est un applicationName : login, admin, drive, token (octrois OAuth), user_accounts, saml, groups et autres. Les journaux de messages Gmail ne font pas partie de cette API. Pour ceux-ci, utilisez la recherche de journal de messagerie dans la console d’administration, ou l’export BigQuery si votre édition le permet.

Rétention et délai. La plupart des journaux d’audit remontent à environ six mois. Les nouveaux événements peuvent prendre de quelques minutes à plusieurs heures pour apparaître, selon le journal.

Un court script Python

Pour des exports répétables, un compte de service avec délégation étendue du domaine se fait passer pour un administrateur. Il a besoin de google-api-python-client et google-auth :

import json

from google.oauth2 import service_account

from googleapiclient.discovery import build


creds = service_account.Credentials.from_service_account_file(

    "sa.json",

    scopes=["https://www.googleapis.com/auth/admin.reports.audit.readonly"],

    subject="admin@example.com",

)

svc = build("admin", "reports_v1", credentials=creds)


with open("workspace_login_1019.jsonl", "w") as out:

    req = svc.activities().list(

        userKey="all", applicationName="login",

        startTime="2026-10-19T00:00:00Z", endTime="2026-10-20T00:00:00Z",

        maxResults=1000,

    )

    while req is not None:

        resp = req.execute()

        for item in resp.get("items", []):

            out.write(json.dumps(item) + "n")

        req = svc.activities().list_next(req, resp)

La délégation étendue du domaine est puissante. N’accordez-lui que ce champ en lecture seule, conservez le fichier de clé hors des disques partagés, et supprimez la délégation lorsque vous avez terminé. Exécutez le script une fois par applicationName dont vous avez besoin.

À quoi faire attention

Télécharger, désinfecter et examiner dans LogTotal

1. Télécharger. Ouvrir logtotal.com et déposez le fichier .jsonl.
2. Désinfecter. 
3. Examiner. 

Lorsque cela tourne mal