Enregistrer une ressource pour l'audit

Cette page explique comment enregistrer une organisation, un dossier ou un projet en tant que ressource pour l'audit dans Audit Manager.

L'enregistrement effectue les tâches suivantes :

  • Un agent de service géré par Google associé à Audit Manager est créé. Il surveille la ressource spécifiée en votre nom. L'adresse e-mail de l'agent de service utilise l'un des formats suivants :

    • Pour l'activation au niveau de l'organisation :

      service-org-ORGANIZATION_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Pour l'activation au niveau du dossier :

      service-folder-FOLDER_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Pour l'activation au niveau du projet :

      service-PROJECT_NUMBER@gcp-sa-audit-manager.iam.gserviceaccount.com

  • Les buckets Cloud Storage spécifiés sont configurés comme destination pour stocker les données d'audit.

Lorsque vous enregistrez une ressource, ses ressources enfants sont également enregistrées. Par exemple, si vous enregistrez une organisation, tous les projets de cette organisation sont également enregistrés. Si une ressource parente est déjà enregistrée et que vous tentez d'enregistrer l'une de ses ressources enfants, cette dernière est enregistrée indépendamment.

Vous pouvez enregistrer des ressources et configurer des buckets Cloud Storage pour l'audit à l'aide d'Audit Manager ou de Compliance Manager. Les ressources et les buckets que vous enregistrez sont disponibles pour Audit Manager et Compliance Manager à des fins d'audit.

Avant de commencer

  • Assurez-vous de disposer des rôles et autorisations IAM suivants :

  • Pour enregistrer une organisation ou un dossier, vous devez disposer des autorisations supplémentaires suivantes :

    • Organisation : resourcemanager.organizations.setIamPolicy
    • Dossier : resourcemanager.folders.setIamPolicy

  • Identifiez ou créez des buckets Cloud Storage dans lesquels les données d'audit doivent être exportées.

    Pour savoir comment créer des buckets Cloud Storage, consultez Créer un bucket.

Enregistrer une ressource pour l'audit

Vous pouvez enregistrer une organisation, un dossier ou un projet pour l'audit dans Audit Manager ou Compliance Manager.

Le moyen le plus simple d'enregistrer une ressource consiste à utiliser la Google Cloud console. Vous pouvez également utiliser l'API Audit Manager, la Google Cloud CLI, ou la console Compliance Manager.

Console

  1. Dans la Google Cloud console, accédez à la page Audit Manager.

    Accéder à Audit Manager

  2. Cliquez sur Paramètres.

    En fonction de la ressource que vous avez sélectionnée dans le sélecteur de projet, une liste de dossiers ou de projets s'affiche sur la page Paramètres.

  3. Sur la page Paramètres, sélectionnez la ressource que vous souhaitez enregistrer pour Audit Manager, puis cliquez sur Enregistrer dans la État colonne.

  4. Dans la boîte de dialogue Sélectionner les détails du bucket de stockage, sélectionnez un ou plusieurs buckets Cloud Storage dans lesquels vous souhaitez enregistrer vos rapports et vos preuves, puis cliquez sur Enregistrer.

    Votre ressource est désormais enregistrée pour l'audit.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

  • RESOURCE_TYPE : type de ressource. Les valeurs possibles sont organization, folder et project.
  • RESOURCE_ID : ID de ressource de l' organisation, du dossier ou du projet. Exemple : 8767234.
  • BUCKET_URI : URI du bucket Cloud Storage. Exemple : gs://testbucketauditmanager.

Exécutez la commande suivante :

Linux, macOS ou Cloud Shell

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

Windows (PowerShell)

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows (cmd.exe)

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

Avant d'utiliser les données de requête, effectuez les remplacements suivants :

  • RESOURCE_TYPE : type de ressource. Les valeurs possibles sont organizations, folders et projects.
  • RESOURCE_ID : ID de ressource de l' organisation, du dossier ou du projet. Exemple : 8767234.
  • BUCKET_URI : URI du bucket Cloud Storage. Exemple : gs://testbucketauditmanager.

Méthode HTTP et URL : 

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

Corps JSON de la requête : 

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

Pour envoyer votre requête, choisissez l'une des options suivantes :

curl

Enregistrez le corps de la requête dans un fichier nommé request.json, et exécutez la commande suivante : 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

Enregistrez le corps de la requête dans un fichier nommé request.json, et exécutez la commande suivante : 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

Vous devriez recevoir un code d'état indiquant le succès de l'opération (2xx), ainsi qu'une réponse vide.

Si vous souhaitez modifier l'emplacement de stockage des données d'audit après l'enregistrement, vous devez mettre à jour l'enregistrement de votre ressource et spécifier les nouveaux emplacements de stockage. L'enregistrement et les emplacements de stockage précédents sont remplacés par la nouvelle requête.

Étape suivante