Setzt voraus, dass Audit-Logs für dein Unternehmen aktiviert sind.
Die Audit-Logs halten fest, wer in deinem Unternehmen was geändert hat und wann. Jeder Eintrag nennt die Person oder das System, die die Änderung ausgelöst hat, das betroffene Objekt und die Werte davor und danach. Damit beantwortest du Fragen im Nachhinein: wer hat dieser Person Zugriff gegeben, wer hat dieses Profilfeld geändert, wer hat diesen API Client erstellt.
Das ist die Oberfläche, nach der Security- und Compliance-Teams in einer Lieferantenprüfung fragen. Der Datensatz ist schreibgeschützt; nichts in den Audit-Logs kann in der Admin Console bearbeitet oder gelöscht werden.
Was erfasst wird
Die Audit-Logs decken die Identitätsobjekte in deinem Unternehmen ab. Jeder Objekttyp bringt eigene erfasste Änderungen mit.
| Objekt | Beispiele für erfasste Änderungen |
|---|---|
| Nutzende | Konto angelegt, geändert und gelöscht; gesperrt und entsperrt; Passwort- und Passkey-Änderungen; erfolgreiche Anmeldungen |
| Benutzergruppen | Gruppe angelegt, archiviert und wiederhergestellt; Mitglieder hinzugefügt und entfernt; Zuordnungsregeln angelegt und geändert |
| Benutzerattribute | Profilfeld angelegt, geändert und gelöscht |
| API Clients | Client angelegt und gelöscht; Access Token erzeugt |
| OIDC Clients | Client angelegt, geändert und gelöscht; Einsicht in das Client Secret |
Das Lesen eines OIDC Client Secrets wird als eigener Eintrag erfasst. Die Einsicht in ein Secret ist eine sensible Aktion und hinterlässt deshalb eine Spur, auch wenn sich nichts geändert hat.
Die Abdeckung unterscheidet sich je Objekt. Nicht jede Operation an jedem Objekt erzeugt bereits einen Eintrag. Wenn dein Compliance-Prozess davon abhängt, dass eine bestimmte Operation erfasst wird, prüfe das in einem Testunternehmen, bevor du dich darauf verlässt.
Was ein Eintrag enthält
- Akteur. Das Konto, das die Änderung ausgelöst hat. Automatische Änderungen haben den Akteur System, zum Beispiel eine Gruppenmitgliedschaft aus einer Zuordnungsregel oder ein durch Provisionierung angelegtes Konto. Ein System-Eintrag bedeutet, dass keine Person die Änderung direkt ausgelöst hat.
- Aktion. Anlegen, ändern, löschen oder lesen.
- Objekt. Das geänderte Objekt und, wo relevant, das Unterobjekt, etwa ein Credential oder eine Gruppenmitgliedschaft an einem Konto.
- Zeitstempel.
- Werte davor und danach. Öffne einen Eintrag, um die Rohwerte vor und nach der Änderung zu sehen. Nicht jeder Eintrag hat beides: eine Anmeldung hat keinen Vorzustand und trägt deshalb nur den neuen Wert.
Die Werte werden als technische Rohdaten angezeigt, nah an der Speicherform, ohne Umbenennung oder Übersetzung. So bleibt der Datensatz dem tatsächlichen Vorgang treu und nicht einem freundlicheren Label. Baue keine automatische Auswertung auf den exakten Feldnamen und der Struktur innerhalb eines Eintrags auf.
Audit-Logs durchsuchen
- Öffne die Audit-Logs in der Admin Console.
- Setze den Zeitraum, den du prüfen willst. Pro Abfrage kannst du höchstens einen Monat abfragen. Für einen längeren Zeitraum führe mehrere Abfragen aus.
- Filtere optional nach Objekttyp, um die Liste auf Nutzende, Benutzergruppen, Benutzerattribute, API Clients oder OIDC Clients einzugrenzen.
- Wähle einen Eintrag, um Akteur, Objekt und die Werte davor und danach zu sehen.
Es hat funktioniert, wenn die Liste nur Einträge des gewählten Typs innerhalb des gesetzten Zeitraums zeigt.
Aufbewahrungsdauer
Wie weit du zurück suchen kannst, hängt davon ab, ob Frontline Identity für dein Unternehmen aktiviert ist.
| Frontline Identity | Durchsuchbare Historie |
|---|---|
| Aktiviert | 1 Jahr |
| Nicht aktiviert | 30 Tage |
Das Ein-Monats-Limit pro Abfrage gilt innerhalb dieses Fensters. Die Aufbewahrungsdauer bestimmt, wie weit du zurückgehen kannst; das Abfragelimit bestimmt, wie viel du auf einmal lesen kannst.
Wenn deine Compliance-Anforderungen ein längeres Fenster brauchen als dein Unternehmen hat, wende dich an deinen Customer Success Manager.
Audit-Logs über die API lesen
Die Audit-Logs sind auch über die Flip Admin API verfügbar, sodass du Einträge in dein eigenes System holen kannst, zum Beispiel regelmäßig in ein SIEM oder ein Data Warehouse. Die Endpunktreferenz findest du auf getflip.dev.
Flip pusht keine Audit-Einträge. Es gibt keinen Streaming-Feed und keinen Webhook, eine Integration fragt die API also ab, statt Events zu empfangen.
Wie sich Audit-Logs von Authentifizierungsevents unterscheiden
Die beiden Seiten beantworten unterschiedliche Fragen.
| Audit-Logs | Authentifizierungsevents | |
|---|---|---|
| Beantwortet | Wer hat was geändert | Wer hat sich wie angemeldet |
| Anmeldungen | Erfolgreiche Anmeldungen | Anmeldeaktivität im Detail |
Wenn du eine Änderung an einem Konto oder einer Berechtigung untersuchst, nutze die Audit-Logs. Wenn du das Anmeldeverhalten einer bestimmten Person untersuchst, beginne bei den Authentifizierungsevents.
Grenzen
- Die Berechtigung gilt ganz oder nicht. Der Zugriff auf die Audit-Logs wird für das gesamte Unternehmen erteilt. Wer die Audit-Logs sehen kann, sieht jeden Eintrag darin; es gibt keine Möglichkeit, Admins auf die Nutzenden oder Gruppen zu beschränken, die sie verwalten. Nur System Admins können diesen Zugriff erhalten.
- Keine Benachrichtigungen. Die Audit-Logs sind ein Datensatz, den du abfragst, kein Monitor, der dich informiert. Benachrichtigungen baust du auf deiner Seite über die API.
- Kein Export aus der Console. Das Herunterladen einer gefilterten Liste aus der Admin Console ist nicht möglich; nutze die API.