Visão geral do Inventário de recursos do Cloud

O Inventário de recursos do Cloud é um serviço global de inventário de metadados que permite visualizar, pesquisar, exportar, monitorar e analisar os metadados dos seus recursos do Google Cloud . Algumas tarefas que você pode usar com o Inventário de recursos do Cloud incluem:

  • Descoberta e gerenciamento de recursos: filtre por propriedades de metadados, como local, hora de criação, tags e status.
  • Monitoramento de recursos: acompanhe as mudanças em um recurso ao longo do tempo para criar um registro de auditoria, depurar problemas e gerenciar o desvio de compliance.
  • Auditorias de segurança e custo: encontre recursos com permissões excessivas, expostos publicamente ou não utilizados para minimizar a superfície de ataque e otimizar os custos.

O histórico de criação, atualização e exclusão de recursos é mantido por até 35 dias. Os recursos que não mudaram nos últimos 35 dias retornam o status mais recente.

Trabalhar com recursos em Google Cloud

Veja como trabalhar com seus recursos:

Fontes de metadados de recursos

Os metadados de recursos podem vir dos seguintes locais:

  • Google Cloud recursos, como instâncias de VM do Compute Engine, buckets do Cloud Storage e instâncias do App Engine.

  • Políticas definidas em recursos do Google Cloud , como políticas do IAM, políticas da organização e políticas do Access Context Manager.

  • Informações de tempo de execução do Gerenciamento de inventário do SO.

Tipos, nomes e tipos de conteúdo de recursos

O Inventário de recursos do Cloud oferece vários métodos para interagir com seus recursos. Dependendo do método usado e do nível de detalhe da resposta desejada, talvez seja necessário especificar tipos e nomes de recursos e tipos de conteúdo nas solicitações.

Tipos de recurso

Alguns métodos do Inventário de recursos do Cloud retornam resultados com base em tipos de recursos. Os tipos de recursos incluem recursos Google Cloud , políticas, informações de tempo de execução do inventário do SO e relacionamentos. Os tipos de recursos disponíveis e os métodos do Inventário de recursos do Cloud que os aceitam estão detalhados em Tipos de recursos.

Nomes de recursos

Alguns métodos do Cloud Asset Inventory retornam resultados com base nos nomes dos recursos. Ao especificar um nome de recurso, use o nome completo dele. Consulte Nomes de recursos para uma lista de nomes de recursos completos.

Tipos de conteúdo

É possível solicitar mais metadados em um recurso especificando um tipo de conteúdo de metadados. Se você não especificar um tipo de conteúdo, apenas uma resposta básica será retornada, com informações como o nome do recurso, a última vez que ele foi atualizado e os projetos, pastas e organizações a que ele pertence.

Os nomes dos tipos de conteúdo variam de acordo com a forma como você interage com o Inventário de recursos do Cloud. Os nomes das APIs RPC e REST são os mesmos. No entanto, os nomes de tipo de conteúdo da CLI gcloud seguem um padrão diferente. Para consistência e facilidade de explicação, o restante desta documentação se refere aos tipos de conteúdo pelos nomes RPC e REST.

A tabela a seguir detalha os tipos de conteúdo e as descrições deles:

Tipo de conteúdo Descrição
Nome da RPC e do REST Nome da CLI gcloud  
ACCESS_POLICY access-policy A política do Access Context Manager definida em um recurso.
IAM_POLICY iam-policy A vinculação de metadados da política do IAM ao recurso.
ORG_POLICY org-policy Os metadados da política da organização definidos em um recurso. Esse tipo de conteúdo gera a política legada da organização v1. Para a política da organização v2, tente o tipo de conteúdo resource e um tipo de recurso orgpolicy.googleapis.com/Policy.
OS_INVENTORY os-inventory As informações do inventário do SO de tempo de execução. Para ativar o inventário do SO, conclua as etapas relevantes em Configurar o VM Manager.
RELATIONSHIP relationship

Exige acesso ao nível Premium ou Enterprise do Security Command Center, ou ao Gemini Cloud Assist.

Muitos recursos do Google Cloud estão conectados entre si por relacionamentos. Por exemplo, um grupo de instâncias do Compute pode conter uma instância do Compute, ou um cluster do GKE pode conter um nó.

Os dados de relacionamento estão disponíveis desde 30 de maio de 2022. Uma relação pode ter um carimbo de data/hora de atualização próprio, porque pode ser inferida em um momento diferente das atualizações do recurso de origem.

Consulte Tipos de relacionamento para ver uma lista dos relacionamentos compatíveis.
RESOURCE resource Os metadados do recurso.

Como as respostas mudam com o tipo de conteúdo

Os exemplos a seguir mostram como as respostas mudam ao listar instâncias de VM em um projeto usando o Inventário de recursos do Cloud com diferentes tipos de conteúdo.

Nenhum tipo de conteúdo

Se você não especificar um tipo de conteúdo ao listar instâncias de VM, vai receber apenas os nomes das instâncias, a última vez em que foram atualizadas e a quais projetos, pastas e organizações elas pertencem.

Expandir para ver um exemplo de resposta

---
ancestors:
- projects/PROJECT_NUMBER
- folders/FOLDER_NUMBER
- organizations/ORGANIZATION_ID
assetType: compute.googleapis.com/Instance
name: //compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
updateTime: '2023-11-15T12:28:30.087825Z'

Tipo de conteúdo IAM_POLICY

Se você especificar o tipo de conteúdo IAM_POLICY, também vai receber as vinculações do IAM na VM, se houver.

Expandir para ver um exemplo de resposta

---
ancestors:
- projects/PROJECT_NUMBER
- folders/FOLDER_NUMBER
- organizations/ORGANIZATION_ID
assetType: compute.googleapis.com/Instance
iamPolicy:
  bindings:
  - members:
    - user:USER_EMAIL_ADDRESS
    role: roles/compute.securityAdmin
  etag: ETAG
name: //compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
updateTime: '2023-12-19T23:35:42.673842Z'

Tipo de conteúdo RELATIONSHIP

Para usar as relações, é necessário ter acesso ao nível Premium ou Enterprise do Security Command Center ou ao Gemini Cloud Assist.

Se você especificar o tipo de conteúdo RELATIONSHIP, também vai receber metadados associados aos recursos relacionados da instância de VM.

Expandir para ver um exemplo de resposta

---
ancestors:
- projects/PROJECT_NUMBER
- folders/FOLDER_NUMBER
- organizations/ORGANIZATION_ID
assetType: compute.googleapis.com/Instance
name: //compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
relatedAsset:
  ancestors:
  - projects/PROJECT_NUMBER
  - folders/FOLDER_NUMBER
  - organizations/ORGANIZATION_ID
  asset: //compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/disks/INSTANCE_NAME
  assetType: compute.googleapis.com/Disk
  relationshipType: COMPUTE_INSTANCE_USE_DISK
updateTime: '2023-12-19T23:35:42.673842Z'

Ao usar o tipo de conteúdo RELATIONSHIP, em vez de solicitar todos os relacionamentos, você pode pedir tipos de relacionamento específicos.

Tipo de conteúdo RESOURCE

Se você especificar o tipo de conteúdo RESOURCE, também vai receber todos os metadados associados à VM.

Expandir para ver um exemplo de resposta

---
ancestors:
- projects/PROJECT_NUMBER
- folders/FOLDER_NUMBER
- organizations/ORGANIZATION_ID
assetType: compute.googleapis.com/Instance
name: //compute.googleapis.com/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
resource:
  data:
    allocationAffinity:
      consumeAllocationType: ANY_ALLOCATION
    canIpForward: false
    confidentialInstanceConfig:
      enableConfidentialCompute: true
    cpuPlatform: AMD Rome
    creationTimestamp: '2023-11-14T14:35:37.059-08:00'
    deletionProtection: false
    description: ''
    disks:
    - architecture: X86_64
      autoDelete: true
      boot: true
      deviceName: INSTANCE_NAME
      diskSizeGb: '10'
      guestOsFeatures:
      - type: VIRTIO_SCSI_MULTIQUEUE
      - type: SEV_CAPABLE
      - type: SEV_SNP_CAPABLE
      - type: SEV_LIVE_MIGRATABLE
      - type: UEFI_COMPATIBLE
      - type: GVNIC
      index: 0
      interface: NVME
      licenses:
      - https://www.googleapis.com/compute/v1/projects/ubuntu-os-cloud/global/licenses/ubuntu-2004-lts
      mode: READ_WRITE
      shieldedInstanceInitialState:
        dbx:
        - content: DATA
          fileType: BIN
        dbxs:
        - content: DATA
          fileType: BIN
      source: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/disks/INSTANCE_NAME
      type: PERSISTENT
    displayDevice:
      enableDisplay: false
    fingerprint: FINGERPRINT
    id: 'ID'
    keyRevocationActionType: NONE_ON_KEY_REVOCATION
    labelFingerprint: LABEL_FINGERPRINT
    lastStartTimestamp: '2023-11-15T04:28:30.005-08:00'
    machineType: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/machineTypes/n2d-standard-2
    name: INSTANCE_NAME
    networkInterfaces:
    - accessConfigs:
      - name: External NAT
        natIP: 34.27.105.222
        networkTier: PREMIUM
        type: ONE_TO_ONE_NAT
      fingerprint: jKU51FdTluk=
      name: nic0
      network: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/default
      networkIP: 10.128.15.212
      nicType: GVNIC
      stackType: IPV4_ONLY
      subnetwork: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/regions/REGION/subnetworks/default
    reservationAffinity:
      consumeReservationType: ANY_ALLOCATION
    resourceStatus: {}
    scheduling:
      automaticRestart: true
      onHostMaintenance: TERMINATE
      preemptible: false
      provisioningModel: STANDARD
    selfLink: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/INSTANCE_NAME
    serviceAccounts:
    - email: PROJECT_NUMBER-compute@developer.gserviceaccount.com
      scopes:
      - https://www.googleapis.com/auth/devstorage.read_only
      - https://www.googleapis.com/auth/logging.write
      - https://www.googleapis.com/auth/monitoring.write
      - https://www.googleapis.com/auth/servicecontrol
      - https://www.googleapis.com/auth/service.management.readonly
      - https://www.googleapis.com/auth/trace.append
    shieldedInstanceConfig:
      enableIntegrityMonitoring: true
      enableSecureBoot: false
      enableVtpm: true
    shieldedInstanceIntegrityPolicy:
      updateAutoLearnPolicy: true
    startRestricted: false
    status: RUNNING
    tags:
      fingerprint: FINGERPRINT
    zone: https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE
  discoveryDocumentUri: https://www.googleapis.com/discovery/v1/apis/compute/v1/rest
  discoveryName: Instance
  location: ZONE
  parent: //cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER
  version: v1
updateTime: '2023-11-15T12:28:30.087825Z'

Atualização de dados

O Inventário de recursos do Cloud oferece consistência posterior nos dados atuais e consistência de melhor esforço nos dados históricos. Embora seja raro, é possível que o Inventário de recursos do Cloud perca algumas atualizações de dados.

A menos que indicado na tabela de tipos de recursos, quase todas as atualizações de recursos ficam disponíveis em minutos.

A seguir