Assured Workloads でフレームワークを管理する

Assured Workloads フレームワークは、 クラウド コントロールで構成されており、 クラウド環境のフォルダまたはプロジェクトのセキュリティ要件と規制要件を満たすのに役立ちます。Assured Workloads には、データ境界など、多くの組み込みフレームワークが用意されていますが、既存のフレームワークを変更したり、独自のフレームワークを作成したりすることもできます。独自のフレームワークを作成するには、まず、ビジネスのセキュリティとコンプライアンスの義務に沿ったクラウド コントロールを特定または作成します。次に、これらのクラウド コントロールを含むフレームワークを選択したフォルダまたはプロジェクトにデプロイします。

このページでは、次の手順について説明します。

  1. どの組み込みフレームワークが規制とセキュリティの要件に最も適しているかを評価します。独自のカスタム フレームワークを作成できますが、組み込みのフレームワークから始めることをおすすめします。

  2. ビジネス要件にマッピングされる組み込みのクラウド コントロールを特定します。 必要に応じて、カスタム クラウド コントロールを作成できます。

  3. フレームワークをデプロイするフォルダまたはプロジェクトを決定します。フレームワークは次の方法でデプロイできます。

    • フォルダまたはプロジェクトのいずれであっても、1 つのリソースにデプロイできる組み込みの予防フレームワーク（データ境界など）は 1 つだけです。
    • フォルダまたはプロジェクトのいずれであっても、1 つのリソースに複数の検出フレームワークをデプロイできます。
    • 複数のリソースに同じ予防フレームワークまたは検出フレームワークをデプロイできます。たとえば、親フォルダには、子プロジェクトと同じ予防フレームワークまたは検出フレームワークをデプロイできます。

  4. 既存のフレームワークをコピーして、要件に合わせて変更します。必要に応じて、カスタム フレームワークを作成できます。

  5. 選択したフォルダまたはプロジェクトにフレームワークをデプロイします。

始める前に

フレームワークを表示する

組み込みフレームワークまたは作成済みの他のフレームワークの構成を表示する手順は次のとおりです。

  1. コンソールで、[**フレームワーク**] ページに移動します。 Google Cloud

    [フレームワーク] に移動

  2. 表示された指示に従って組織を選択します。

  3. ダッシュボードには、利用可能なフレームワーク、簡単な説明、サポートされているプラットフォームと階層、フレームワークが割り当てられたリソースが表示されます。

  4. 特定のフレームワークの詳細を表示するには、フレームワーク名をクリックします。

フレームワークを作成する

組織内、特定のフォルダ内、またはプロジェクト内のリソースに適用されるクラウド コントロールを特定したら、フレームワークを作成できます。カスタム フレームワークを作成するか、既存のフレームワークをコピーして変更できます。 フレームワークをコピーすると、組み込みのクラウド コントロールの最新リリースが含まれます。

  1. コンソールで、[**フレームワーク**] ページに移動します。 Google Cloud

    [フレームワーク] に移動

  2. 表示された指示に従って組織を選択します。

  3. [カスタム フレームワークを作成] をクリックします。

  4. 次のいずれかを行います。

    • 既存のフレームワークを使用するには、次の操作を行います。

      1. [既存のフレームワークから始める] を選択します。

      2. コピーするフレームワークを選択します。

    • カスタム フレームワークを作成するには、[新規作成] を選択します。

  5. フレームワークの名前、固有識別子、説明を入力します。[続行] をクリックします。

  6. [フレームワークのロケーションを設定] の手順で、特定の リージョンまたはマルチリージョンを選択します。使用可能なリージョンの詳細については、 Assured Workloads のロケーションをご覧ください。 [続行] をクリックします。

    既存のフレームワークをコピーする場合は、既存のフレームワークに含まれていたクラウド コントロールのリストが表示されます。

  7. 必要なクラウド コントロールを追加する手順は次のとおりです。

    • 既存のクラウド コントロールを追加するには、[クラウド コントロールを追加] をクリックします。必要なクラウド コントロールをすべて選択し、[追加] をクリックします。

      コントロールを追加するときは、コントロールのタイプ（検出、予防、監査）を確認します。環境のモニタリングと違反の検出に使用するフレームワークに、監査専用のコントロールを含めないでください。 監査専用の コントロールを含むフレームワークをデプロイすることはできません。

    • カスタム クラウド コントロールを作成するには、[カスタム クラウド コントロールを作成] をクリックします。 手順については、 カスタム クラウド コントロールを作成するをご覧ください。

  8. [続行] をクリックします。

  9. クラウド コントロールに必要な追加のパラメータを追加します。

    たとえば、Cloud Logging のストレージ ロケーション、リソース ロケーションを設定し、許可されるサービス エンドポイントを変更できます。

  10. [作成] をクリックします。

フレームワークをデプロイする

フレームワークをフォルダまたはプロジェクトにデプロイして、フレームワークのクラウド コントロールを使用してリソースを制御およびモニタリングできるようにします。フレームワークは次の方法でデプロイできます。

  • フォルダまたはプロジェクトのいずれであっても、1 つのリソースにデプロイできる組み込みの予防フレームワーク（データ境界など）は 1 つだけです。
  • フォルダまたはプロジェクトのいずれであっても、1 つのリソースに複数の検出フレームワークをデプロイできます。
  • 複数のリソースに同じ予防フレームワークまたは検出フレームワークをデプロイできます。たとえば、親フォルダには、子プロジェクトと同じ予防フレームワークまたは検出フレームワークをデプロイできます。

フォルダとプロジェクトは、リソース階層を介してフレームワークを継承します。 Google Cloudしたがって、フォルダレベルとプロジェクト レベルでフレームワークをデプロイすると、両方のフレームワーク内のすべてのクラウド コントロールがプロジェクト内のリソースに適用されます。クラウド コントロールの定義に違いがある場合、プロジェクト内のリソースでは下位レベルのクラウド コントロールが使用されます。たとえば、クラウド コントロール ルールがフォルダレベルで許可に設定され、プロジェクト レベルで拒否に設定されている場合、プロジェクト レベルの拒否設定がプロジェクト内のリソースに適用されます。

ベスト プラクティスとして、すべてのプロジェクトに適用できるクラウド コントロールを含むフレームワークをフォルダレベルでデプロイすることをおすすめします。 必要に応じて、より厳格なフレームワークを個々のプロジェクトにデプロイできます。

フレームワークのデプロイをネストする場合（たとえば、1 つのフレームワークを親フォルダにデプロイし、別のフレームワークを子プロジェクトにデプロイする場合）、親リソースと子リソースで発生する可能性のあるコンプライアンス違反を解決するのはユーザーの責任です。

  1. コンソールで、[**フレームワーク**] ページに移動します。 Google Cloud

    [フレームワーク] に移動

  2. 表示された指示に従って組織を選択します。

  3. デプロイするフレームワークで、 [その他の操作] > [リソースに適用] をクリックします。

  4. 次のいずれかのオプションを選択します。

    • ドリフトのみをモニタリングするには、[モニタリング] を選択します。

    • ドリフトをモニタリングして違反を積極的に防止するには、[モニタリングと防止] を選択します。

  5. フレームワークをデプロイするリソースを選択します。既存のフォルダまたはプロジェクトを選択できます。違反を積極的に防止することを選択した場合は、新しいフォルダまたはプロジェクトを作成して、フレームワークをデプロイできます。フレームワークに追加の詳細情報（CMEK プロジェクトやその他の構成の詳細など）が必要な場合は、それらの情報を提供する必要があります。

  6. 次のいずれかを行います。

    • [モニタリング] を選択した場合は、次の操作を行います。

      1. 情報を確認します。
      2. [Monitor] をクリックします。

    • [モニタリングと防止] を選択した場合は、次の操作を行います。

      1. [次へ] をクリックします。クラウド コントロールとモードを確認します。
      2. [続行] をクリックします。
      3. 表示された場合は、一部のクラウド コントロールに必要な追加情報を検証します。
      4. [次へ] をクリックします。
      5. 選択内容を確認し、[適用] をクリックします。

フレームワークをデプロイすると、環境で、定義したクラウド コントロールからのずれの有無をモニタリングできます。Assured Workloads のモニタリングは、ドリフトのインスタンスを検出結果として報告します。この検出結果は、確認、フィルタ、解決できます。 違反が表示されるまでに、フレームワークのデプロイ後約 6 時間かかることがあります。

カスタム フレームワークを編集する

フレームワークを作成した後、名前と説明の変更、クラウド コントロールの追加または削除、パラメータの更新を行うことができます。作成したフレームワークのみを編集できます。組み込みのフレームワークは編集できません。

  1. コンソールで、[**フレームワーク**] ページに移動します。 Google Cloud

    [フレームワーク] に移動

  2. 表示された指示に従って組織を選択します。

  3. 編集するフレームワークをクリックします。

  4. [フレームワークの詳細] ページで、フレームワークがリソースに割り当てられていないことを確認します。必要に応じて、 割り当てを削除します。

  5. [アクション] > [編集] をクリックします。

  6. [フレームワークの詳細を更新] ページで、必要に応じて名前と説明を変更します。[続行] をクリックします。

  7. フレームワークに含まれるクラウド コントロールを変更する手順は次のとおりです。

    • 既存のクラウド コントロールを追加するには、[クラウド コントロールを追加] をクリックします。必要なクラウド コントロールをすべて選択し、[追加] をクリックします。

    • カスタム クラウド コントロールを作成するには、[カスタム クラウド コントロールを作成] をクリックします。 手順については、 カスタム クラウド コントロールを作成するをご覧ください。

    • クラウド コントロールを削除するには、クラウド コントロールを選択して [削除] をクリックします。

  8. [続行] をクリックします。

  9. クラウド コントロールに必要な追加のパラメータを追加します。

  10. [保存] をクリックします。

デプロイされたフレームワークからリソースを削除する

デプロイされたフレームワークに割り当てたフォルダまたはプロジェクトを削除できます。リソースを削除すると、フレームワークはそのリソース階層のノードに関する違反を生成しなくなります。

  1. コンソールで、[**フレームワーク**] ページに移動します。 Google Cloud

    [フレームワーク] に移動

  2. 表示された指示に従って組織を選択します。

  3. リソースの割り当てを解除するフレームワークをクリックします。

  4. [フレームワークの詳細] ページで、[アクション] > [リソース割り当ての管理] をクリックします。

  5. [割り当てられたリソース] テーブルで、削除するリソースを見つけて、[ 削除] をクリックします。

  6. 確認メッセージが表示されたら、[割り当て解除] をクリックします。

フレームワークを新しいリリースに更新する

Google は、サービスで新しい機能がデプロイされたときや、新しいベスト プラクティスが導入されたときに、組み込みフレームワークの定期的な更新を公開します。組み込みフレームワークのリリースは、[構成] タブのフレームワーク ダッシュボードまたはフレームワークの詳細ページで確認できます。

次の更新が行われると、コンソールとリリースノートで通知されます。

  • 組み込みのクラウド コントロールがフレームワークに追加または削除される
  • 組み込みのクラウド コントロールが更新される

フレームワークを更新する手順は次のとおりです。

  1. コンソールで、[**フレームワーク**] ページに移動します。 Google Cloud

    [フレームワーク] に移動

  2. 表示された指示に従って組織を選択します。

  3. 更新するフレームワークをクリックします。

  4. [フレームワークの詳細] ページの [割り当てられたリソース] テーブルで、[更新可能] と識別された割り当ての [更新ステータス] を確認します。

  5. 変更を適用するには、次の操作を行います。

    1. リソースの割り当てを削除します。

    2. フレームワークをリソースに再デプロイして、 Assured Workloads フレームワークがリソースのモニタリングと 違反の作成を再開できるようにします。

カスタム フレームワークを削除する

フレームワークが不要になったら削除します。削除できるのは、自分で作成したフレームワークのみです。組み込みのフレームワークは削除できません。

  1. コンソールで、[**フレームワーク**] ページに移動します。 Google Cloud

    [フレームワーク] に移動

  2. 表示された指示に従って組織を選択します。

  3. リソースの割り当てを解除するフレームワークをクリックします。

  4. [フレームワークの詳細] ページで、フレームワークがリソースに割り当てられていないことを確認します。必要に応じて、 割り当てを削除します。

  5. [アクション] > [削除] をクリックします。

  6. [削除] ウィンドウで、メッセージを確認します。「Delete」と入力して、[確定] をクリックします。

次のステップ

  • Assured Workloads フレームワークの詳細を確認する 。
  • クラウド コントロールを管理する方法を 確認する。