Registra una risorsa per il controllo

Questa pagina descrive come registrare un'organizzazione, una cartella o un progetto come risorsa per il controllo in Audit Manager.

La registrazione esegue le seguenti attività:

  • Viene creato un agente di servizio gestito da Google associato ad Audit Manager, che monitora la risorsa specificata per tuo conto. L'indirizzo email dell'agente di servizio utilizza uno dei seguenti formati:

    • Per l'attivazione a livello di organizzazione:

      service-org-ORGANIZATION_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Per l'attivazione a livello di cartella:

      service-folder-FOLDER_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Per l'attivazione a livello di progetto:

      service-PROJECT_NUMBER@gcp-sa-audit-manager.iam.gserviceaccount.com

  • I bucket Cloud Storage specificati vengono configurati come destinazione per archiviare i dati di audit.

Quando registri una risorsa, vengono registrate anche le relative risorse figlio. Ad esempio, se registri un'organizzazione, vengono registrati anche tutti i progetti al suo interno. Se una risorsa padre è già registrata e tenti di registrare una delle relative risorse figlio, la risorsa figlio viene registrata in modo indipendente.

Puoi registrare le risorse e configurare i bucket Cloud Storage per il controllo utilizzando Audit Manager o Compliance Manager. Le risorse e i bucket che registri sono disponibili sia per Audit Manager sia per Compliance Manager per scopi di controllo.

Prima di iniziare

  • Assicurati di disporre dei seguenti ruoli e autorizzazioni IAM:

  • Per registrare un'organizzazione o una cartella, devi disporre delle seguenti autorizzazioni aggiuntive:

    • Organizzazione: resourcemanager.organizations.setIamPolicy
    • Cartella: resourcemanager.folders.setIamPolicy

  • Identifica o crea i bucket Cloud Storage in cui devono essere esportati i dati di audit.

    Per scoprire come creare bucket Cloud Storage, consulta Creare un bucket.

Registrare una risorsa per il controllo

Puoi registrare un'organizzazione, una cartella o un progetto per il controllo in Audit Manager o Compliance Manager.

Il modo più semplice per registrare una risorsa è tramite la Google Cloud console. In alternativa, puoi utilizzare l'API Audit Manager, Google Cloud CLI, o la console Compliance Manager.

Console

  1. Nella Google Cloud console, vai alla pagina Audit Manager.

    Vai ad Audit Manager

  2. Fai clic su Impostazioni.

    A seconda della risorsa selezionata nel selettore di progetti, nella pagina Impostazioni viene visualizzato un elenco di cartelle o progetti.

  3. Nella pagina Impostazioni, seleziona la risorsa che vuoi registrare per Audit Manager, fai clic su Registra nella colonna Stato.

  4. Nella finestra di dialogo Seleziona i dettagli del bucket di archiviazione, seleziona uno o più bucket Cloud Storage in cui vuoi salvare i report e le prove, quindi fai clic su Registra.

    La risorsa è ora registrata per il controllo.

gcloud

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

  • RESOURCE_TYPE: il tipo di risorsa. I valori possibili sono organization, folder, e project.
  • RESOURCE_ID: l'ID risorsa dell' organizzazione, della cartella o del progetto. Ad esempio: 8767234.
  • BUCKET_URI: l'URI del bucket Cloud Storage. Ad esempio: gs://testbucketauditmanager.

Esegui questo comando:

Linux, macOS o Cloud Shell

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

Windows (PowerShell)

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows (cmd.exe)

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

Prima di utilizzare i dati della richiesta, apporta le sostituzioni seguenti:

  • RESOURCE_TYPE: il tipo di risorsa. I valori possibili sono organizations, folders e projects.
  • RESOURCE_ID: l'ID risorsa dell' organizzazione, della cartella o del progetto. Ad esempio: 8767234.
  • BUCKET_URI: l'URI del bucket Cloud Storage. Ad esempio: gs://testbucketauditmanager.

Metodo HTTP e URL: 

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

Corpo JSON della richiesta: 

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

Per inviare la richiesta, scegli una di queste opzioni:

curl

Salva il corpo della richiesta in un file denominato request.json, quindi esegui il comando seguente: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

Salva il corpo della richiesta in un file denominato request.json, e quindi esegui il comando seguente: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

Dovresti ricevere un codice di stato riuscito (2xx) e una risposta vuota.

Se vuoi modificare la località di archiviazione dei dati di audit dopo la registrazione, devi aggiornare la registrazione della risorsa e specificare le nuove località di archiviazione. La registrazione e le località di archiviazione precedenti vengono sovrascritte dalla nuova richiesta.

Passaggi successivi