やりたいこと

Google Workspace(G Suite)で特定の条件を満たした時に任意の宛先へ通知メールを送りたい
Google Workspace(G Suite)で提供されている機能のみで実現したい

使うもの

Google Workspace(G Suite)のルール機能と通知機能

公式ドキュメント

2020/11/18追記：公式ブログに同じ話が書かれてたことに後から気付いた・・。
https://cloud.google.com/blog/ja/products/identity-security/logs-based-security-alerting-in-google-cloud

ログデータのフィルタとエクスポート、アラートの作成
https://support.google.com/a/answer/9725685

Google 管理コンソールで確認する監査ログの内容をカスタマイズできます。特定のアクティビティに関するアラートを設定することもできます。

####メールアラートを作成する
メールアラートを設定すると、特定のアクティビティを確認できます。管理者のメールアラートは、[セキュリティルール] >ページのシステム定義ルールに基づいています。たとえば、不審なログインが試みられたときにアラートを受け取ることができます。

前述の手順で監査ログを開きます。

[フィルタを追加] をクリックします。

フィルタの条件を入力または選択し、レポートルールを作成アイコン "" をクリックします。

ルールの名前を入力します。

（省略可）すべての特権管理者にアラートを送信するには、[受信者] で特権管理者に送信スライダー "" をオンにします。

受信者のメールアドレスを入力し、[作成] をクリックします。

管理者へのメールアラートとシステム定義ルール
https://support.google.com/a/answer/3230421

システム定義ルールに基づく管理者アラートの種類

ユーザーのアクティビティに関するアラート

App Maker Cloud SQL

アプリケーションの停止警告

Gmail での従業員へのなりすましの可能性

パスワード漏洩

不審なログイン

不審なメールの報告

プログラムによる不審なログイン

不審なログイン

不審なメールの報告

ユーザーのパスワードを変更しました

新しいユーザーの追加

ユーザーを削除しました

管理者により停止されたユーザー

ユーザーの停止（Google Identity のアラート）

ユーザーの停止（不審なアクティビティ）

ユーザーの停止（迷惑メール）

ユーザーの停止（リレーを利用した迷惑メール）

ユーザーへの管理者権限の付与

ユーザーの管理者権限の取り消し

停止中のユーザーの再開

ユーザーのフィッシング報告

モバイルデバイスのアクティビティに関するアラート

（省略）

メールのアクティビティに関するアラート（G Suite のみ）

（省略）

他の管理者によって変更された設定に関するアラート

（省略）

セキュリティ全般に関するアラート

（省略）

現在のルールを確認

https://admin.google.com/ac/ax を開く。
ここでは標準で定義されたルールや自分で定義したルールを確認できる。

ルールの作成方法

監査ログ画面で、特定のログが出た時にアラートが出るように設定する。
今回はユーザーがログインした時に通知メールを送ってみる。

新しいルール→レポートをクリックする。

左のメニューで監査ログ→ログインをクリックする。
フィルタを追加→イベント名：ログイン成功をクリックする。

右上のベルのアイコンをクリックする。
ここでレポートルールの名前、受信者を設定する。
ここに任意の宛先（グループアドレスとか）を指定すれば、そこへ通知メールを送れる。

設定したルールは、左のメニューでレポートルールを管理をクリックすると確認できる。

先ほど作成したログイン成功時通知が表示されている。

注意点

データの保持期間とタイムラグ
https://support.google.com/a/answer/7061566?hl=ja

管理コンソールのレポートと監査ログのデータはリアルタイムには反映されない

リアルタイムではなく、遅れて見えるようになるので注意。
あくまで後追い用。

関連資料

Google Cloud のログベースのセキュリティアラート: Cloud Identity での攻撃の検出
https://cloud.google.com/blog/ja/products/identity-security/logs-based-security-alerting-in-google-cloud