רישום משאב לביקורת

בדף הזה מוסבר איך לרשום ארגון, תיקייה או פרויקט כמשאב לביקורת ב-Audit Manager.

ההרשמה מאפשרת לבצע את המשימות הבאות:

• נוצר סוכן שירות בניהול Google שמשויך ל-Audit Manager, והוא עוקב אחרי המשאב שצוין בשמכם. כתובת האימייל של סוכן השירות היא בפורמט הבא, כאשר RESOURCE_ID הוא מזהה הארגון, מזהה התיקייה או מזהה הפרויקט.

  [e-mail]
  

  ביטול התפקידים של סוכן השירות הזה עלול לגרום לכך ש-Audit Manager יפסיק לבצע ביקורת על המשאב.

• הקטגוריות שצוינו ב-Cloud Storage מוגדרות כיעד לאחסון נתוני הביקורת.

כשרושמים משאב, גם משאבי הצאצאים שלו נרשמים. לדוגמה, אם רושמים ארגון, כל הפרויקטים בארגון הזה נרשמים גם הם. אם משאב אב כבר רשום ואתם מנסים לרשום אחד ממשאבי הצאצאים שלו, משאב הצאצאים נרשם באופן עצמאי.

לפני שמתחילים

• ודאו שיש לכם את תפקידי ה-IAM וההרשאות הבאים:

  • אדמין ב-Audit Manager (roles/auditmanager.admin).
  • אדמין אחסון(roles/storage.admin) או בעלים של קטגוריה באחסון מדור קודם (roles/storage.legacyBucketOwner)

• כדי לרשום ארגון או תיקייה, אתם צריכים את ההרשאות הנוספות הבאות:

  • ארגון: resourcemanager.organizations.setIamPolicy
  • תיקייה: resourcemanager.folders.setIamPolicy

• מזהים או יוצרים קטגוריות של Cloud Storage שאליהן צריך לייצא את נתוני הביקורת.

  במאמר יצירת קטגוריה מוסבר איך ליצור קטגוריות של Cloud Storage.

רישום משאב לביקורת

אתם יכולים לרשום ארגון, תיקייה או פרויקט לביקורת ב-Audit Manager.

הדרך הכי פשוטה לרשום משאב היא דרך Google Cloud המסוף. לחלופין, אפשר להשתמש ב-Audit Manager API או ב-Google Cloud CLI.

המסוף

1. נכנסים לדף כלי לניהול ביקורות במסוף Google Cloud .

   מעבר אל הכלי לניהול ביקורות

2. לוחצים על הגדרות.

   בהתאם למשאב שבחרתם בכלי לבחירת פרויקטים, תוצג רשימה של תיקיות או פרויקטים בדף הגדרות.

3. בדף הגדרות, בוחרים את המשאב שרוצים לרשום ב-Audit Manager ולוחצים על הרשמה בעמודה סטטוס.

4. בתיבת הדו-שיח בחירת פרטים של קטגוריית אחסון, בוחרים קטגוריה אחת או יותר של Cloud Storage שבהן רוצים לשמור את הדוחות והראיות, ולוחצים על הרשמה.

   המשאב שלכם רשום עכשיו לביקורת.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב. הערכים האפשריים הם organization, folder ו-project.
• ‫RESOURCE_ID: מזהה המשאב של הארגון, התיקייה או הפרויקט. לדוגמה: 8767234.
• ‫BUCKET_URI: ה-URI של קטגוריית Cloud Storage. לדוגמה: gs://testbucketauditmanager.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

‏Windows (PowerShell)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows‏ (cmd.exe)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט באמצעות אחת מהפקודות הבאות: gcloud init; או gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב. הערכים האפשריים הם organizations, folders ו-projects.
• ‫RESOURCE_ID: מזהה המשאב של הארגון, התיקייה או הפרויקט. לדוגמה: 8767234.
• ‫BUCKET_URI: ה-URI של קטגוריית Cloud Storage. לדוגמה: gs://testbucketauditmanager.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

גוף בקשת JSON:

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

curl

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

אמורים לקבל קוד סטטוס של הצלחה (2xx) ותגובה ריקה.

הערה: אם נתקלתם בבעיות כשניסיתם לרשום משאב, כדאי לעיין במאמר בנושא פתרון בעיות שקשורות לרישום.

אם רוצים לשנות את מיקום האחסון של נתוני הביקורת אחרי ההרשמה, צריך לעדכן את ההרשמה של המשאב ולציין את מיקומי האחסון החדשים. הבקשה החדשה מבטלת את ההרשמה הקודמת ואת מיקומי האחסון הקודמים.

המאמרים הבאים

• יצירת מסגרת תאימות בהתאמה אישית
• הרצת בדיקה.