必须启用并查阅审计日志以追溯敏感操作；需在管理员控制台启用日志、通过审计界面查看记录、导出至外部系统归档，并可集成google cloud logging集中管理。
如果您需要追溯Google Workspace账号中发生的敏感操作，例如新设备登录、密码修改、应用权限变更或组织内文件访问行为，则必须启用并查阅审计日志。以下是开启与查看审计日志的具体方法：
一、在管理员控制台中启用审计日志
Google Workspace的审计日志默认处于启用状态，但仅对具备管理员权限的账户开放；若组织未启用高级版或教育版订阅，部分日志类型可能受限。启用前需确认订阅类型及管理员角色权限。
1、使用超级管理员账号登录Google Workspace 管理员控制台。
2、在左侧导航栏中，点击报告，然后选择审计。
3、在审计页面顶部，确认当前显示的是管理员活动日志或用户活动日志选项卡。
4、点击右上角的设置图标（齿轮），检查是否已勾选所有需记录的事件类别，包括“登录”、“Drive”、“Gmail”、“Calendar”、“第三方OAuth授权”等。
5、如发现某类日志未启用，点击对应类别右侧的启用按钮，并等待最多24小时完成初始日志填充。
二、通过审计日志界面查看具体操作记录
审计日志按时间倒序排列，每条记录包含操作者、执行时间、涉及用户、事件类型、IP地址、设备信息及操作结果。该视图支持实时刷新与条件筛选，适用于快速定位异常行为。
1、进入管理员控制台后，依次点击报告 → 审计。
2、在审计日志主界面，使用顶部时间范围控件选择过去1小时、过去7天、过去30天或自定义时段。
3、在搜索栏中输入关键词，例如用户名、邮箱地址、应用名称（如“Google Drive”）、事件类型（如“login_success”）或IP地址段。
4、点击筛选器图标（漏斗形），展开高级筛选面板，勾选特定产品（如Gmail、Meet）、事件名称（如“send_email”、“create_meeting”）或状态（成功/失败）。
5、找到目标记录后，点击该行右侧的详情箭头，展开完整JSON格式原始日志，含请求ID、用户代理字符串及详细参数。
三、导出审计日志至外部系统进行长期归档
审计日志在控制台中仅保留最长180天（依订阅版本而定），超出时限将自动清除。为满足合规性要求或开展深度分析，需定期导出日志至本地存储或SIEM平台。
1、在审计日志列表页，点击右上角导出为CSV按钮。
2、系统生成压缩包后，下载ZIP文件并解压，其中包含一个CSV主文件和一个README说明文档。
3、若需对接Splunk、Datadog或Google Cloud Logging，启用Google Workspace API 的 Audit Activity API，并通过服务账号调用activities.list端点批量拉取。
4、配置OAuth 2.0作用域为https://www.googleapis.com/auth/admin.reports.audit.readonly，确保服务账号已获管理员委派权限。
5、使用curl或Python脚本定时调用API，将响应中的events数组持久化写入数据库或对象存储，保留原始时间戳与嵌套字段结构。
四、通过Google Cloud Logging集成集中管理日志
将Google Workspace审计日志流式转发至Google Cloud Logging，可实现统一检索、告警触发与日志保留策略配置，避免人工导出遗漏。
1、登录Google Cloud 控制台，切换至已关联Workspace组织的项目。
2、在左侧菜单中，进入Logging → 日志路由器 → 接收器，点击创建接收器。
3、在“来源”下拉菜单中选择Google Workspace 报告，并指定日志名称（如workspace-audit-logs）。
4、设置目标位置为Cloud Logging 存储桶或BigQuery 数据集，启用保留期限（最长365天）。
5、完成创建后，返回管理员控制台审计页面，确认新产生的日志条目同步出现在Cloud Logging的查询界面中，且可使用resource.type="google_workspace"进行过滤。
