Catalogue des événements d'audit

La plateforme émet un ensemble fixe et énuméré d'actions d'audit. Les chaînes d'action libres ne sont pas autorisées — chaque action que votre SIEM reçoit provient de ce catalogue. Cela garantit que les événements sont analysables par machine et que la même action signifie la même chose pour tous les clients.

Pour le modèle de stockage, la rétention et le transfert du journal d'audit, consultez Journal d'audit. Pour le format de transfert SIEM, consultez Transfert SIEM.

Actions par espace de noms

Secrets

Fournisseurs de secrets

Ressources génériques

Pour les ressources sans espace de noms dédié (workflows, documents de base de connaissances, tables gérées, etc.) :

Décisions d'autorisation

Ces événements enregistrent les décisions d'autorisation refusées et accordées pour les opérations sensibles :

Autorisations d'exécution

Autorisations d'exécution de workflow — les tokens à courte durée de vie émis par le serveur qui autorisent une exécution de workflow. Voir Autorisation.

Provisionnement SCIM

Droits d'intégration

Pour les intégrations installées et la configuration de cloisonnement :

Événements propres au SIEM / journal d'audit

Licence

Types de ressources

Le champ resourceType de chaque événement identifie l'objet sur lequel l'action a été effectuée :

Charge utile des événements

Chaque événement porte :

Exemples de charges utiles

SECRET_ACCESS

{
  "id": "aud_abc123",
  "action": "SECRET_ACCESS",
  "resourceType": "secret",
  "resourceId": "sec_xyz789",
  "actorId": "usr_456",
  "organizationId": "org_001",
  "metadata": { "secretName": "OPENAI_API_KEY", "strategy": "LOCAL" },
  "ipAddress": "10.0.1.42",
  "userAgent": "Mozilla/5.0...",
  "createdAt": "2026-03-16T10:30:00Z"
}

AUTH_EXECUTE_DENIED

{
  "id": "aud_def456",
  "action": "AUTH_EXECUTE_DENIED",
  "resourceType": "workflow",
  "resourceId": "wf_q3report",
  "actorId": "usr_789",
  "organizationId": "org_001",
  "metadata": {
    "policy": "workflow.execute",
    "reason": "actor not a workspace member"
  },
  "ipAddress": "10.0.1.99",
  "userAgent": "PostmanRuntime/7.32.0",
  "createdAt": "2026-03-16T10:31:15Z"
}

INTEGRATION_ENTITLEMENT_SYNC

{
  "id": "aud_ghi789",
  "action": "INTEGRATION_ENTITLEMENT_SYNC",
  "resourceType": "integrationEntitlement",
  "resourceId": "ent_m365_alpha",
  "actorId": "system",
  "organizationId": "org_001",
  "metadata": {
    "provider": "microsoft",
    "scopeId": "<entra-security-group-object-id>",
    "added": 3,
    "removed": 1,
    "unchanged": 12,
    "unmappable": 0
  },
  "ipAddress": null,
  "userAgent": null,
  "createdAt": "2026-03-16T11:00:00Z"
}

Ce qui est délibérément absent du journal

Le catalogue enregistre qu'il s'est passé quelque chose, pas les données sur lesquelles l'action a porté :

• Les valeurs de secrets ne sont jamais journalisées. Les noms et IDs de secrets le sont.
• Le contenu des documents de la base de connaissances n'est jamais journalisé. Les IDs et classifications de documents le sont.
• Les charges utiles d'entrée et de sortie des workflows ne sont jamais journalisées. Les IDs de workflow, durées et résultats le sont.
• Le contenu des prompts LLM n'est jamais journalisé. Les comptages de tokens, IDs de modèles, coûts et la source d'intégration le sont.
• Les mots de passe des utilisateurs ne sont jamais journalisés. Les événements de connexion le sont.

Cette séparation est ce qui permet d'exposer le journal d'audit aux auditeurs sans exposer les données sous-jacentes.

Correspondance de conformité

Automatisation Vanta

De nombreux référentiels de conformité posent les mêmes questions (« montrez-moi les connexions échouées », « montrez-moi les revues d'accès »). Le catalogue d'événements d'audit est connecté à la collecte de preuves de Vanta — consultez Conformité pour savoir quels créneaux Vanta chaque famille d'événements remplit.

Connexe

• Journal d'audit — stockage, rétention, requête.
• Transfert SIEM — poussez les événements vers votre SIEM en quasi temps réel.
• Conformité — correspondances avec les référentiels.
• Modèle de permissions — ce qui génère les événements AUTH_*.