רישום משאב לביקורת

בדף הזה מוסבר איך לרשום ארגון, תיקייה או פרויקט כמשאב לביקורת ב-Audit Manager.

ההרשמה מאפשרת לבצע את המשימות הבאות:

• נוצר סוכן שירות בניהול Google שמשויך ל-Audit Manager, והוא עוקב אחרי המשאב שצוין בשמכם. כתובת האימייל של סוכן השירות היא באחד מהפורמטים הבאים:

  • להפעלה ברמת הארגון:

    [e-mail]
    

  • להפעלה ברמת התיקייה:

    [e-mail]
    

  • כדי להפעיל את התכונה ברמת הפרויקט:

    [e-mail]
    

• הקטגוריות שצוינו ב-Cloud Storage מוגדרות כיעד לאחסון נתוני הביקורת.

כשרושמים משאב, גם משאבי הצאצאים שלו נרשמים. לדוגמה, אם רושמים ארגון, כל הפרויקטים בארגון הזה נרשמים גם הם. אם משאב אב כבר רשום ואתם מנסים לרשום אחד ממשאבי הצאצאים שלו, משאב הצאצאים נרשם באופן עצמאי.

אתם יכולים לרשום משאבים ולהגדיר קטגוריות של Cloud Storage לביקורת באמצעות Audit Manager או Compliance Manager. המשאבים והמאגרי המידע שאתם רושמים זמינים גם ל-Audit Manager וגם ל-Compliance Manager לשימוש למטרות ביקורת.

לפני שמתחילים

• ודאו שיש לכם את תפקידי ה-IAM וההרשאות הבאים:

  • אדמין ב-Audit Manager (roles/auditmanager.admin).
  • אדמין אחסון (roles/storage.admin) או בעלים של קטגוריה באחסון מדור קודם (roles/storage.legacyBucketOwner)

• כדי לרשום ארגון או תיקייה, אתם צריכים את ההרשאות הנוספות הבאות:

  • ארגון: resourcemanager.organizations.setIamPolicy
  • תיקייה: resourcemanager.folders.setIamPolicy

• מזהים או יוצרים קטגוריות של Cloud Storage שאליהן צריך לייצא את נתוני הביקורת.

  במאמר יצירת קטגוריה מוסבר איך ליצור קטגוריות של Cloud Storage.

רישום משאב לביקורת

אתם יכולים לרשום ארגון, תיקייה או פרויקט לביקורת ב-Audit Manager או ב-Compliance Manager.

הדרך הכי פשוטה לרשום משאב היא באמצעות Google Cloud המסוף. לחלופין, אפשר להשתמש ב-Audit Manager API, ב-Google Cloud CLI או במסוף Compliance Manager.

המסוף

1. נכנסים לדף Audit Manager במסוף Google Cloud .

   מעבר אל הכלי לניהול ביקורות

2. לוחצים על הגדרות.

   בהתאם למשאב שבחרתם בכלי לבחירת פרויקטים, תוצג רשימה של תיקיות או פרויקטים בדף הגדרות.

3. בדף הגדרות, בוחרים את המשאב שרוצים לרשום ב-Audit Manager ולוחצים על הרשמה בעמודה סטטוס.

4. בתיבת הדו-שיח בחירת פרטים של קטגוריית אחסון, בוחרים קטגוריה אחת או יותר של Cloud Storage שבהן רוצים לשמור את הדוחות והראיות, ולוחצים על הרשמה.

   המשאב שלכם רשום עכשיו לביקורת.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב. הערכים האפשריים הם organization, folder ו-project.
• ‫RESOURCE_ID: מזהה המשאב של הארגון, התיקייה או הפרויקט. לדוגמה: 8767234.
• ‫BUCKET_URI: ה-URI של קטגוריית Cloud Storage. לדוגמה: gs://testbucketauditmanager.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

‏Windows (PowerShell)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows‏ (cmd.exe)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב. הערכים האפשריים הם organizations, folders ו-projects.
• ‫RESOURCE_ID: מזהה המשאב של הארגון, התיקייה או הפרויקט. לדוגמה: 8767234.
• ‫BUCKET_URI: ה-URI של קטגוריית Cloud Storage. לדוגמה: gs://testbucketauditmanager.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

גוף בקשת JSON:

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

curl

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

אמורים לקבל קוד סטטוס של הצלחה (2xx) ותגובה ריקה.

אם רוצים לשנות את מיקום האחסון של נתוני הביקורת אחרי ההרשמה, צריך לעדכן את ההרשמה של המשאב ולציין את מיקומי האחסון החדשים. הבקשה החדשה מבטלת את ההרשמה הקודמת ואת המיקומים הקודמים לאחסון.

המאמרים הבאים

• הרצת בדיקה
• פתרון בעיות שקשורות לרישום