Inscrever um recurso para auditoria

Para auditar o ambiente do Google Cloud , é necessário registrar uma organização, uma pasta ou um projeto como um recurso no Audit Manager.

O registro realiza as seguintes tarefas:

  • Um agente de serviço gerenciado pelo Google associado ao Gerenciador de Auditoria é criado, que monitora o recurso especificado em seu nome. O endereço de e-mail do agente de serviço usa um dos seguintes formatos:

    • Para ativação no nível da organização:

      service-org-ORGANIZATION_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Para ativação no nível da pasta:

      service-folder-FOLDER_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Para envolvidos no projeto:

      service-PROJECT_NUMBER@gcp-sa-audit-manager.iam.gserviceaccount.com

  • Os buckets do Cloud Storage especificados são configurados como o destino para armazenar os dados de auditoria.

Quando você inscreve um recurso, os recursos filhos dele também são inscritos. Por exemplo, se você registrar uma organização, todos os projetos dela também serão registrados. Se um recurso pai já estiver inscrito e você tentar inscrever um dos recursos filhos, o recurso filho será inscrito de forma independente.

É possível registrar recursos e configurar buckets do Cloud Storage para auditoria usando o Audit Manager ou o Compliance Manager. Os recursos e buckets que você inscreve estão disponíveis para o Gerenciador de Auditoria e o Gerenciador de Compliance usarem para fins de auditoria.

Antes de começar

  • Verifique se você tem os seguintes papéis e permissões do IAM:

  • Para registrar uma organização ou uma pasta, você precisa ter as seguintes permissões adicionais:

    • Organização: resourcemanager.organizations.setIamPolicy
    • Pasta: resourcemanager.folders.setIamPolicy

  • Identifique ou crie buckets do Cloud Storage em que os dados de auditoria precisam ser exportados.

    Para saber como criar buckets do Cloud Storage, consulte Criar um bucket.

Inscrever um recurso para auditoria

É possível registrar uma organização, uma pasta ou um projeto para auditoria no Gerenciador de Auditoria ou no Gerenciador de Compliance.

A maneira mais simples de registrar um recurso é pelo console do Google Cloud . Como alternativa, use a API Audit Manager, a Google Cloud CLI ou o console do Compliance Manager.

Console

  1. No console do Google Cloud , acesse a página Audit Manager.

    Acessar o Audit Manager

  2. Clique em Configurações.

    Dependendo do recurso selecionado no seletor de projetos, uma lista de pastas ou projetos será exibida na página Configurações.

  3. Na página Configurações, selecione o recurso que você quer inscrever no Gerenciador de Auditoria e clique em Inscrever na coluna Status.

  4. Na caixa de diálogo Selecionar detalhes do bucket de armazenamento, selecione um ou mais buckets do Cloud Storage em que você quer salvar os relatórios e as evidências e clique em Inscrever.

    Seu recurso agora está registrado para auditoria.

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

  • RESOURCE_TYPE: o tipo do recurso. Os valores possíveis são organization, folder e project.
  • RESOURCE_ID: o ID do recurso da organização, pasta ou projeto. Por exemplo, 8767234.
  • BUCKET_URI: o URI do bucket do Cloud Storage. Por exemplo, gs://testbucketauditmanager.

Execute o seguinte comando:

Linux, macOS ou Cloud Shell

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

Windows (PowerShell)

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows (cmd.exe)

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

  • RESOURCE_TYPE: o tipo do recurso. Os valores possíveis são organizations, folders e projects.
  • RESOURCE_ID: o ID do recurso da organização, pasta ou projeto. Por exemplo, 8767234.
  • BUCKET_URI: o URI do bucket do Cloud Storage. Por exemplo, gs://testbucketauditmanager.

Método HTTP e URL: 

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

Corpo JSON da solicitação:

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

Para enviar a solicitação, escolha uma destas opções:

curl

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando abaixo: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

Você receberá um código de status bem-sucedido (2xx) e uma resposta vazia.

Se você quiser mudar o local de armazenamento dos dados de auditoria após a inscrição, atualize a inscrição do recurso e especifique os novos locais de armazenamento. Os locais de registro e armazenamento anteriores são substituídos pela nova solicitação.

A seguir