註冊資源以利稽核

如要稽核 Google Cloud 環境，您必須在稽核管理工具中，將組織、資料夾或專案註冊為資源。

註冊程序會完成下列工作：

• 系統會建立與稽核管理工具相關聯的 Google 代管服務代理，代表您監控指定資源。服務代理的電子郵件地址會採用下列其中一種格式：

  • 如要在組織層級啟用：

    [e-mail]
    

  • 如要在資料夾層級啟用：

    [e-mail]
    

  • 如要在專案層級啟用：

    [e-mail]
    

• 指定的 Cloud Storage bucket 會設為稽核資料的儲存目的地。

註冊資源時，其子項資源也會一併註冊。舉例來說，如果您註冊組織，該組織中的所有專案也會一併註冊。如果上層資源已註冊，而您嘗試註冊其中一項子項資源，則該子項資源會獨立註冊。

您可以使用 Audit Manager 或法規遵循管理工具，註冊資源並設定 Cloud Storage bucket 進行稽核。您註冊的資源和 bucket 可供 Audit Manager 和 Compliance Manager 用於稽核。

事前準備

• 確認您具備下列 IAM 角色和權限：

  • 稽核管理員 (roles/auditmanager.admin)。
  • 儲存空間管理員 (roles/storage.admin) 或儲存空間舊版值區擁有者 (roles/storage.legacyBucketOwner)

• 如要註冊組織或資料夾，您必須具備下列額外權限：

  • 機構：resourcemanager.organizations.setIamPolicy
  • 資料夾：resourcemanager.folders.setIamPolicy

• 找出或建立要匯出稽核資料的 Cloud Storage bucket。

  如要瞭解如何建立 Cloud Storage bucket，請參閱「建立 bucket」。

註冊要稽核的資源

您可以在 Audit Manager 或 Compliance Manager 中，註冊要稽核的組織、資料夾或專案。

註冊資源最簡單的方法是透過 Google Cloud 控制台。您也可以使用 Audit Manager API、Google Cloud CLI 或法規遵循管理員控制台。

控制台

1. 前往 Google Cloud 控制台的「Audit Manager」頁面。

   前往「稽核管理工具」

2. 按一下「設定」。

   視您在專案選取器中選取的資源而定，「Settings」(設定) 頁面會顯示資料夾或專案清單。

3. 在「Settings」(設定) 頁面中，選取要註冊 Audit Manager 的資源，然後按一下「Status」(狀態) 欄中的 「Enroll」(註冊)。

4. 在「Select storage bucket details」(選取儲存空間 bucket 詳細資料) 對話方塊中，選取一或多個要儲存報表和證據的 Cloud Storage bucket，然後按一下「Enroll」(註冊)。

   資源已註冊稽核。

gcloud

使用下列任何指令資料前，請先替換以下項目：

• RESOURCE_TYPE：資源類型。可能的值為 organization、folder 和 project。
• RESOURCE_ID：組織、資料夾或專案的資源 ID。例如：8767234。
• BUCKET_URI：Cloud Storage bucket 的 URI。例如：gs://testbucketauditmanager。

執行下列指令：

Linux、macOS 或 Cloud Shell

注意：請務必執行 gcloud init，或 gcloud auth login 和 gcloud config set project，初始化 Google Cloud CLI 並設定驗證和專案。

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

Windows (PowerShell)

注意：請務必執行 gcloud init，或 gcloud auth login 和 gcloud config set project，初始化 Google Cloud CLI 並設定驗證和專案。

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows (cmd.exe)

注意：請務必執行 gcloud init，或 gcloud auth login 和 gcloud config set project，初始化 Google Cloud CLI 並設定驗證和專案。

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

使用任何要求資料之前，請先修改下列項目的值：

• RESOURCE_TYPE：資源類型。可能的值為 organizations、folders 和 projects。
• RESOURCE_ID：組織、資料夾或專案的資源 ID。例如：8767234。
• BUCKET_URI：Cloud Storage bucket 的 URI。例如：gs://testbucketauditmanager。

HTTP 方法和網址：

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

JSON 要求內文：

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

如要傳送要求，請選擇以下其中一個選項：

curl

注意：下列指令假設您已執行 gcloud init 或 gcloud auth login 透過使用者帳戶登入 gcloud CLI，或是使用 Cloud Shell 自動登入 gcloud CLI。您可以執行 gcloud auth list，查看目前使用的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

注意：下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI。您可以執行 gcloud auth list，查看目前使用的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

您應該會收到執行成功的狀態碼 (2xx) 和空白回應。

如要在註冊後變更稽核資料的儲存位置，請更新資源註冊設定，並指定新的儲存位置。先前的註冊和儲存位置會遭到新要求覆寫。

後續步驟

• 執行稽核。
• 疑難排解註冊問題