Inscribe un recurso para su auditoría

En esta página, se describe cómo inscribir una organización, una carpeta o un proyecto como recurso para la auditoría en Audit Manager.

La inscripción realiza las siguientes tareas:

  • Se crea un agente de servicio administrado por Google asociado con Audit Manager, que supervisa el recurso especificado en tu nombre. La dirección de correo electrónico del agente de servicio usa uno de los siguientes formatos:

    • Para la habilitación a nivel de la organización:

      service-org-ORGANIZATION_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Para la habilitación a nivel de la carpeta:

      service-folder-FOLDER_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Para la habilitación a nivel del proyecto:

      service-PROJECT_NUMBER@gcp-sa-audit-manager.iam.gserviceaccount.com

  • Los buckets de Cloud Storage especificados se configuran como el destino para almacenar los datos de auditoría.

Cuando inscribes un recurso, también se inscriben sus recursos secundarios. Por ejemplo, si inscribes una organización, también se inscribirán todos los proyectos dentro de esa organización. Si un recurso superior ya está inscrito y tratas de inscribir uno de sus recursos secundarios, este se inscribirá de forma independiente.

Puedes inscribir recursos y configurar buckets de Cloud Storage para la auditoría con Audit Manager o Compliance Manager. Los recursos y buckets que inscribes están disponibles para que Audit Manager y Compliance Manager los usen con fines de auditoría.

Antes de comenzar

  • Asegúrate de tener los siguientes roles y permisos de IAM:

  • Para inscribir una organización o una carpeta, debes tener los siguientes permisos adicionales:

    • Organización: resourcemanager.organizations.setIamPolicy
    • Carpeta: resourcemanager.folders.setIamPolicy

  • Identifica o crea buckets de Cloud Storage en los que se deben exportar los datos de auditoría.

    Para obtener información sobre cómo crear buckets de Cloud Storage, consulta Crea un bucket.

Inscribe un recurso para la auditoría

Puedes inscribir una organización, una carpeta o un proyecto para la auditoría en Audit Manager o Compliance Manager.

La forma más sencilla de inscribir un recurso es a través de la Google Cloud consola. Como alternativa, puedes usar la API de Audit Manager, Google Cloud CLI, o la consola de Compliance Manager.

Console

  1. En la Google Cloud consola de, ve a la página Audit Manager.

    Ir a Audit Manager

  2. Haz clic en Configuración.

    Según el recurso que hayas seleccionado en el selector de proyectos, se mostrará una lista de carpetas o proyectos en la página Configuración.

  3. En la página Configuración , selecciona el recurso que deseas inscribir en Audit Manager y haz clic Inscribir en la Estado columna.

  4. En el cuadro de diálogo Selecciona los detalles del bucket de almacenamiento, selecciona uno o más buckets de Cloud Storage en los que deseas guardar tus informes y pruebas, y haz clic en Inscribir.

    Tu recurso ahora está inscrito para la auditoría.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

  • RESOURCE_TYPE: El tipo de recurso. Los valores posibles son organization, folder y project.
  • RESOURCE_ID: El ID del recurso de la organización, la carpeta o el proyecto. Por ejemplo: 8767234.
  • BUCKET_URI: El URI del bucket de Cloud Storage. Por ejemplo: gs://testbucketauditmanager.

Ejecuta el siguiente comando:

Linux, macOS o Cloud Shell

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

Windows (PowerShell)

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows (cmd.exe)

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

  • RESOURCE_TYPE: El tipo de recurso. Los valores posibles son organizations, folders y projects.
  • RESOURCE_ID: El ID del recurso de la organización, la carpeta o el proyecto. Por ejemplo: 8767234.
  • BUCKET_URI: El URI del bucket de Cloud Storage. Por ejemplo: gs://testbucketauditmanager.

Método HTTP y URL: 

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

Cuerpo JSON de la solicitud: 

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

Para enviar tu solicitud, elige una de estas opciones:

curl

Guarda el cuerpo de la solicitud en un archivo llamado request.json, y ejecuta el siguiente comando: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

Guarda el cuerpo de la solicitud en un archivo llamado request.json, y ejecuta el siguiente comando: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

Deberías recibir un código de estado exitoso (2xx) y una respuesta vacía.

Si deseas cambiar la ubicación de almacenamiento de los datos de auditoría después de la inscripción, debes actualizar la inscripción de tu recurso y especificar las nuevas ubicaciones de almacenamiento. La solicitud nueva reemplaza la inscripción y las ubicaciones de almacenamiento anteriores.

¿Qué sigue?