Условия и источник
Определите область Audit Trails и владельца облачной среды. CreateServiceAccount относится к появлению сервисного аккаунта, а выдача ключа и назначение роли — другие операции. Зафиксируйте период и форму экспорта. Карточка разбирает camelCase опубликованной схемы; для snake_case требуется соответствующий фильтр. Проверьте настройки trail и полноту доставки событий.
Как отобрать запись
Из локального JSONL выделите точный eventType и нужную область ресурсов. Сохраните eventTime, eventId и requestMetadata.requestId, когда они доступны. Затем проверьте статус операции и идентификатор созданного аккаунта. Не ограничивайтесь поиском по отображаемому имени: переименование, повторное использование имени и одинаковые имена в разных областях требуют различения по объектным ID.
Разбор примера
В примере actor-demo инициирует создание sa-demo с именем demo-automation. authentication описывает субъекта запроса, details — создаваемый объект. Эти роли не взаимозаменяемы. DONE иллюстрирует завершённую операцию; статус самого аккаунта, когда доступен, является другим полем. Идентификаторы вымышлены, а необязательные или не показанные параметры не восстанавливаются из предположений.
Интерпретация и границы
Новый сервисный аккаунт ещё не означает, что ему выдали доступ, создали ключ или использовали его в действующей нагрузке. Отделите факт создания от фактических полномочий и запуска автоматизации. Технический инициатор также не обязательно человек: проверьте управляющий процесс. Поводом для дополнительной проверки служит несоответствие назначению среды и согласованной операции, а не сам тип события.
Следующая проверка
Постройте цепочку по serviceAccountId: создание, привязки ролей, учётные данные и доступные операции использования. Сопоставляйте временные границы и область ресурсов, а не только имя. Проверьте владельца и ожидаемую роль новой автоматизации по имеющимся документам. В выводе перечислите подтверждённые звенья и недостающие данные; отсутствие записи о ключе не превращайте в доказательство невозможности другого способа аутентификации.
Если записи нет
При пустой выдаче сначала проверьте вариант camelCase/snake_case и точное имя типа. Затем уточните область сбора, временной диапазон, задержку доставки и сохранность исходных файлов. Сравните журнал с индексом SIEM. Текущее наличие аккаунта подтверждает состояние на момент просмотра, но не автора его создания. Если историческое событие недоступно, сохраните этот пробел отдельно от результата проверки текущих полномочий.