用途：在 GCP 中启用、路由与分析 Cloud Audit Logs，用于合规（SOC 2、HIPAA、PCI DSS、FedRAMP）、安全调查和运营监控。
主要能力：覆盖四类审计日志——管理活动（admin_activity）、数据访问（data_access，默认未启用，需显式开启）、系统事件（system_event）、策略拒绝（policy_denied），并说明默认保留期（400 天或 30 天）与费用差异。支持通过 IAM 策略在组织或项目级别开启数据访问日志（可为 allServices 或指定 service，如 storage.googleapis.com、bigquery.googleapis.com），配置日志接收器（sink）导出到 BigQuery、Cloud Storage 长期归档（可设保留策略与桶锁）或 Pub/Sub 实时流式传输到 SIEM；提供 Cloud Logging 查询示例、BigQuery 分析 SQL（破坏性操作、IAM 变更、主体活动、服务账号密钥创建、敏感桶数据访问、失败操作）、日志指标与告警策略，以及 Terraform 配置示例。
使用方式：使用 gcloud organizations/projects get-iam-policy 与 set-iam-policy 修改审计配置；用 gcloud logging sinks create 创建组织级或项目级接收器并授予写权限；用 bq、gsutil、gcloud pubsub 配置目标；用 gcloud logging read 进行查询；用 gcloud logging metrics create 与 gcloud alpha monitoring policies create 建立告警；或用 Terraform 的 google_logging_organization_sink、google_bigquery_dataset、google_storage_bucket、google_logging_metric、google_monitoring_alert_policy 资源声明式配置。
适用场景：组织范围审计日志启用、合规审计留档、未授权访问与可疑 API 活动调查、管理与数据访问事件告警、长期 BigQuery 分析与报告。
限制与注意：数据访问日志需显式开启，高流量下费用可能较高，建议仅对敏感服务选择性启用并配置豁免；管理活动、系统事件与策略拒绝日志无法关闭；日志接收器需正确授予目标资源权限；敏感数据的访问分析应遵循最小权限；具体计费、配额及平台可用性本资料暂未完整提供，实施前需结合官方文档核对。