Google Workspace 감사 로그를 내보내는 방법

Google 관리자 콘솔에서, 보고 → 감사 및 조사 로그인, 관리자, 드라이브, OAuth 등 여러 로그를 보유하고 있으며, 각각은 여기서 내보낼 수 있습니다. JSON의 경우 Admin SDK Reports API에서 activities.list 메서드를 사용하세요. 단발성인 경우 코드가 필요하지도 않습니다. API 참조 페이지에는 호출을 실행하는 ‘이 방법 시도’ 패널이 있습니다. 대부분의 워크스페이스 감사 데이터는 6개월 동안 보관됩니다.

워크스페이스 감사 로그는 누가 어디에서 로그인했는지, 어떤 서드파티 앱이 메일과 파일에 접근했는지, 어떤 문서가 외부 세계와 갑작스럽게 공유되었는지를 보여줍니다. Prime Core에는 Google 워크스페이스 데이터에 대한 {N}개의 탐지 규칙이 있으며, {M} MITRE ATT&CK 기법에 매핑되어 있습니다. 그 중에는 클라우드 계정의 남용(T1078.004), 악의적인 OAuth 승인(T1528), 외부 주소로의 메일 전달(T1114.003)이 있습니다.

무료로 시작하기

시작하기 전에

권한. 슈퍼 관리자 또는 보고 권한이 있는 관리자 역할.

올바른 로그 선택하기. API에서 각 로그는 applicationName입니다: 로그인, 관리자, 드라이브, 토큰(OAuth 승인), 사용자 계정, SAML, 그룹 등. Gmail 메시지 로그는 이 API의 일부가 아닙니다. 이를 위해서는 관리자 콘솔의 이메일 로그 검색을 사용하거나, 에디션에 BigQuery 내보내기가 있는 경우 이를 사용하십시오.

보존 및 지연. 대부분의 감사 로그는 약 6개월 전으로 거슬러 올라갑니다. 새로운 이벤트는 로그에 따라 몇 분에서 몇 시간까지 표시되는 데 걸릴 수 있습니다.

짧은 Python 스크립트

반복 가능한 내보내기를 위해 도메인 전역 위임을 통해 관리자를 가장하는 서비스 계정이 필요합니다. google-api-python-client와 google-auth가 필요합니다:

import json

from google.oauth2 import service_account

from googleapiclient.discovery import build


creds = service_account.Credentials.from_service_account_file(

    "sa.json",

    scopes=["https://www.googleapis.com/auth/admin.reports.audit.readonly"],

    subject="admin@example.com",

)

svc = build("admin", "reports_v1", credentials=creds)


with open("workspace_login_1019.jsonl", "w") as out:

    req = svc.activities().list(

        userKey="all", applicationName="login",

        startTime="2026-10-19T00:00:00Z", endTime="2026-10-20T00:00:00Z",

        maxResults=1000,

    )

    while req is not None:

        resp = req.execute()

        for item in resp.get("items", []):

            out.write(json.dumps(item) + "n")

        req = svc.activities().list_next(req, resp)

도메인 전역 위임은 강력합니다. 이 읽기 전용 범위에만 부여하고, 키 파일을 공유 드라이브에 두지 않고, 완료 후 위임을 제거하세요. 필요에 따라 각 applicationName에 대해 스크립트를 한 번 실행하세요.

살펴볼 항목

LogTotal에 업로드, 정리 및 검토

1. 업로드. 연다 logtotal.com 그리고 .jsonl 파일을 드롭합니다.
2. 정리. 
3. 검토. 

문제가 발생할 때