Inscrever um recurso para auditoria

Nesta página, descrevemos como inscrever uma organização, uma pasta ou um projeto como um recurso para auditoria no Gerenciador de auditorias.

O registro realiza as seguintes tarefas:

  • Um agente de serviço gerenciado pelo Google associado ao Audit Manager é criado para monitorar o recurso especificado em seu nome. O endereço de e-mail do agente de serviço usa um dos seguintes formatos:

    • Para ativação no nível da organização:

      service-org-ORGANIZATION_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Para ativação no nível da pasta:

      service-folder-FOLDER_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

    • Para ativação no nível do projeto:

      service-PROJECT_NUMBER@gcp-sa-audit-manager.iam.gserviceaccount.com

  • Os buckets especificados do Cloud Storage são configurados como o destino para armazenar os dados de auditoria.

Quando você registra um recurso, os recursos filhos dele também são registrados. Por exemplo, se você inscrever uma organização, todos os projetos dela também serão inscritos. Se um recurso principal já estiver inscrito e você tentar inscrever um dos recursos filhos, ele será inscrito de forma independente.

É possível inscrever recursos e configurar buckets do Cloud Storage para auditoria usando o Audit Manager ou o Compliance Manager. Os recursos e buckets registrados estão disponíveis para o Gerenciador de auditoria e o Gerenciador de compliance para fins de auditoria.

Antes de começar

  • Verifique se você tem os seguintes papéis e permissões do IAM:

  • Para inscrever uma organização ou uma pasta, você precisa das seguintes permissões adicionais:

    • Organização: resourcemanager.organizations.setIamPolicy
    • Pasta: resourcemanager.folders.setIamPolicy

  • Identifique ou crie buckets do Cloud Storage para exportar os dados de auditoria.

    Para saber como criar buckets do Cloud Storage, consulte Criar um bucket.

Registrar um recurso para auditoria

É possível inscrever uma organização, uma pasta ou um projeto para auditoria no Gerenciador de auditorias ou no Gerenciador de compliance.

A maneira mais simples de registrar um recurso é pelo console Google Cloud . Como alternativa, use a API Audit Manager, a Google Cloud CLI ou o console do Compliance Manager.

Console

  1. No console do Google Cloud , acesse a página Gerenciador de auditoria.

    Acessar o Audit Manager

  2. Clique em Configurações.

    Dependendo do recurso selecionado no seletor de projetos, uma lista de pastas ou projetos será exibida na página Configurações.

  3. Na página Configurações, selecione o recurso que você quer registrar no Audit Manager e clique em Registrar na coluna Status.

  4. Na caixa de diálogo Selecionar detalhes do bucket de armazenamento, escolha um ou mais buckets do Cloud Storage em que você quer salvar seus relatórios e evidências e clique em Inscrever-se.

    Seu recurso agora está registrado para auditoria.

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

  • RESOURCE_TYPE: o tipo de recurso. Os valores possíveis são organization, folder e project.
  • RESOURCE_ID: o ID do recurso da organização, pasta ou projeto. Por exemplo, 8767234.
  • BUCKET_URI: o URI do bucket do Cloud Storage. Por exemplo, gs://testbucketauditmanager.

Execute o seguinte comando:

Linux, macOS ou Cloud Shell

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

Windows (PowerShell)

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows (cmd.exe)

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

  • RESOURCE_TYPE: o tipo de recurso. Os valores possíveis são organizations, folders e projects.
  • RESOURCE_ID: o ID do recurso da organização, pasta ou projeto. Por exemplo, 8767234.
  • BUCKET_URI: o URI do bucket do Cloud Storage. Por exemplo, gs://testbucketauditmanager.

Método HTTP e URL: 

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

Corpo JSON da solicitação:

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

Para enviar a solicitação, escolha uma destas opções:

curl

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando abaixo: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

Você receberá um código de status bem-sucedido (2xx) e uma resposta vazia.

Se você quiser mudar o local de armazenamento dos dados de auditoria após a inscrição, atualize a inscrição do recurso e especifique os novos locais de armazenamento. As inscrições e locais de armazenamento anteriores são substituídos pelo novo pedido.

A seguir