如何使用Cloud Logging记录Firestore所有操作及日志查询异常排查

配置校验 #

• 确认IAM审计日志配置页中已针对Cloud Firestore API单独开启「数据读」「数据写」审计日志采集，仅配置全局审计规则不会默认捕获Firestore的读写操作。
• 确认当前查询日志的账号持有roles/logging.viewer及以上权限，权限不足时Cloud Logs会返回空结果而非权限提示。
• 读写操作产生后最多存在15分钟的日志上报延迟，建议操作后间隔一段时间再执行查询，避免命中延迟窗口。

查询语句修正 #

原查询语句仅指定了日志名，缺少Firestore资源过滤规则，容易漏过目标日志，同时需替换查询语句中的项目ID占位符，修正后的语句参考：

logName=("projects/{实际项目ID}/logs/cloudaudit.googleapis.com%2Fdata_access" OR "projects/{实际项目ID}/logs/cloudaudit.googleapis.com%2Factivity")
resource.type="firestore_database"

注意将{实际项目ID}替换为你的GCP项目真实ID，占位符不会被自动解析为实际值。

其他排查点 #

• 确认查询时选择的时间范围覆盖了读写操作产生的时间段，Cloud Logs默认仅查询最近1小时的日志，可手动拉长时间范围验证。
• 如果你使用Firebase客户端SDK访问Firestore，确认安全规则未配置特殊的日志屏蔽逻辑，默认安全规则不会影响审计日志上报。

内容的提问来源于stack exchange，提问作者AlTunegenie