Inscribe un recurso para su auditoría

Para auditar tu entorno de Google Cloud , debes registrar una organización, una carpeta o un proyecto como un recurso en Audit Manager.

La inscripción realiza las siguientes tareas:

  • Se crea un agente de servicio administrado por Google asociado con el Administrador de auditorías, que supervisa el recurso especificado en tu nombre. La dirección de correo electrónico del agente de servicio usa uno de los siguientes formatos:

    • Para la habilitación a nivel de la organización, haz lo siguiente:

      service-org-ORGANIZATION_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Para la habilitación a nivel de la carpeta, haz lo siguiente:

      service-folder-FOLDER_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Para la habilitación a nivel del proyecto, haz lo siguiente:

      service-PROJECT_NUMBER@gcp-sa-audit-manager.iam.gserviceaccount.com

  • Los buckets de Cloud Storage especificados se configuran como el destino para almacenar los datos de auditoría.

Cuando inscribes un recurso, también se inscriben sus recursos secundarios. Por ejemplo, si inscribes una organización, también se inscribirán todos los proyectos que se encuentren dentro de ella. Si un recurso superior ya está inscrito y tratas de inscribir uno de sus recursos secundarios, este se inscribirá de forma independiente.

Puedes registrar recursos y configurar buckets de Cloud Storage para la auditoría con el Administrador de auditorías o el Administrador de cumplimiento. Los recursos y buckets que inscribas estarán disponibles para que el Administrador de auditorías y el Administrador de cumplimiento los usen con fines de auditoría.

Antes de comenzar

  • Asegúrate de tener los siguientes roles y permisos de IAM:

  • Para inscribir una organización o una carpeta, debes tener los siguientes permisos adicionales:

    • Organización: resourcemanager.organizations.setIamPolicy
    • Carpeta: resourcemanager.folders.setIamPolicy

  • Identifica o crea buckets de Cloud Storage en los que se deban exportar los datos de auditoría.

    Para obtener información sobre cómo crear buckets de Cloud Storage, consulta Crea un bucket.

Inscribe un recurso para auditarlo

Puedes registrar una organización, una carpeta o un proyecto para auditar en el Administrador de auditorías o el Administrador de cumplimiento.

La forma más sencilla de inscribir un recurso es a través de la consola de Google Cloud . Como alternativa, puedes usar la API de Audit Manager, Google Cloud CLI o la consola de Compliance Manager.

Console

  1. En la consola de Google Cloud , ve a la página Gestor de auditorías.

    Ir al Gestor de auditorías

  2. Haz clic en Configuración.

    Según el recurso que hayas elegido en el selector de proyectos, se mostrará una lista de carpetas o proyectos en la página Configuración.

  3. En la página Configuración, selecciona el recurso que deseas inscribir en el Administrador de auditorías y haz clic en Inscribir en la columna Estado.

  4. En el cuadro de diálogo Selecciona los detalles del bucket de almacenamiento, elige uno o más buckets de Cloud Storage en los que quieras guardar tus informes y evidencias, y haz clic en Inscribir.

    Tu recurso ahora está inscrito para la auditoría.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:

  • RESOURCE_TYPE: Es el tipo de recurso. Los valores posibles son organization, folder y project.
  • RESOURCE_ID: Es el ID del recurso de la organización, la carpeta o el proyecto. Por ejemplo: 8767234.
  • BUCKET_URI: Es el URI del bucket de Cloud Storage. Por ejemplo: gs://testbucketauditmanager.

Ejecuta el siguiente comando:

Linux, macOS o Cloud Shell

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

Windows (PowerShell)

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows (cmd.exe)

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

  • RESOURCE_TYPE: Es el tipo de recurso. Los valores posibles son organizations, folders y projects.
  • RESOURCE_ID: Es el ID del recurso de la organización, la carpeta o el proyecto. Por ejemplo: 8767234.
  • BUCKET_URI: Es el URI del bucket de Cloud Storage. Por ejemplo: gs://testbucketauditmanager.

Método HTTP y URL: 

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

Cuerpo JSON de la solicitud:

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

Para enviar tu solicitud, elige una de estas opciones:

curl

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

Guarda el cuerpo de la solicitud en un archivo llamado request.json y ejecuta el siguiente comando:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

Deberías recibir un código de estado exitoso (2xx) y una respuesta vacía.

Si deseas cambiar la ubicación de almacenamiento de los datos de auditoría después de la inscripción, debes actualizar la inscripción de tu recurso y especificar las ubicaciones de almacenamiento nuevas. Las ubicaciones de inscripción y almacenamiento anteriores se reemplazan por la solicitud nueva.

¿Qué sigue?