רישום משאב לביקורת

כדי לבדוק את הסביבה שלכם ב- Google Cloud , אתם צריכים לרשום ארגון, תיקייה או פרויקט כמשאב בכלי לניהול ביקורות.

הרישום מבצע את המשימות הבאות:

• נוצר סוכן שירות בניהול Google שמשויך לכלי לניהול ביקורות, והוא עוקב אחרי המשאב שציינתם בשמכם. כתובת האימייל של סוכן השירות היא באחד מהפורמטים הבאים:

  • כדי להפעיל את התכונה ברמת הארגון:

    [e-mail]
    

  • כדי להפעיל ברמת התיקייה:

    [e-mail]
    

  • כדי להפעיל ברמת הפרויקט:

    [e-mail]
    

• הקטגוריות שצוינו ב-Cloud Storage מוגדרות כיעד לאחסון נתוני הביקורת.

כשרושמים משאב, גם המשאבים הצאצאים שלו נרשמים. לדוגמה, אם רושמים ארגון, כל הפרויקטים באותו ארגון נרשמים גם הם. אם משאב הורה כבר רשום ואתם מנסים לרשום את אחד ממשאבי הצאצא שלו, משאב הצאצא נרשם באופן עצמאי.

אתם יכולים לרשום משאבים ולהגדיר קטגוריות של Cloud Storage לביקורת באמצעות Audit Manager או Compliance Manager. המשאבים והקטגוריות שאתם רושמים זמינים לשימוש גם ב-Audit Manager וגם ב-Compliance Manager למטרות ביקורת.

לפני שמתחילים

• מוודאים שיש לכם את התפקידים וההרשאות הבאים ב-IAM:

  • אדמין בכלי לניהול ביקורות (roles/auditmanager.admin).
  • אדמין של Storage‏ (roles/storage.admin) או בעלים של קטגוריית אחסון מדור קודם (roles/storage.legacyBucketOwner)

• כדי לרשום ארגון או תיקייה, אתם צריכים את ההרשאות הנוספות הבאות:

  • ארגון: resourcemanager.organizations.setIamPolicy
  • תיקייה: resourcemanager.folders.setIamPolicy

• מזהים או יוצרים קטגוריות של Cloud Storage שאליהן צריך לייצא את נתוני הביקורת.

  במאמר יצירת קטגוריה מוסבר איך יוצרים קטגוריות של Cloud Storage.

רישום משאב לביקורת

אתם יכולים לרשום ארגון, תיקייה או פרויקט לביקורת ב-Audit Manager או ב-Compliance Manager.

הדרך הכי פשוטה לרשום משאב היא באמצעות מסוף Google Cloud . אפשר גם להשתמש ב-Audit Manager API, ב-Google Cloud CLI או במסוף Compliance Manager.

המסוף

1. נכנסים לדף Audit Manager במסוף Google Cloud .

   כניסה לכלי לניהול ביקורות

2. לוחצים על הגדרות.

   בהתאם למשאב שבחרתם בבורר הפרויקטים, בדף Settings תוצג רשימה של תיקיות או פרויקטים.

3. בדף Settings, בוחרים את המשאב שרוצים לרשום לכלי לניהול ביקורות ולוחצים על Enroll בעמודה Status.

4. בתיבת הדו-שיח Select storage bucket details, בוחרים קטגוריה אחת או יותר של Cloud Storage שבה רוצים לשמור את הדוחות וההוכחות, ולוחצים על Enroll.

   המשאב שלכם רשום עכשיו לביקורת.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב. הערכים האפשריים הם organization,‏ folder ו-project.
• ‫RESOURCE_ID: מזהה המשאב של הארגון, התיקייה או הפרויקט. לדוגמה: 8767234.
• ‫BUCKET_URI: ה-URI של הקטגוריה של Cloud Storage. לדוגמה: gs://testbucketauditmanager.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט, על ידי הרצת הפקודה gcloud init או הפקודות gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

‏Windows (PowerShell)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט, על ידי הרצת הפקודה gcloud init או הפקודות gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows‏ (cmd.exe)

הערה: חשוב לוודא שהפעלתם את Google Cloud CLI עם אימות ופרויקט, על ידי הרצת הפקודה gcloud init או הפקודות gcloud auth login ו- gcloud config set project.

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב. הערכים האפשריים הם organizations,‏ folders ו-projects.
• ‫RESOURCE_ID: מזהה המשאב של הארגון, התיקייה או הפרויקט. לדוגמה: 8767234.
• ‫BUCKET_URI: ה-URI של הקטגוריה של Cloud Storage. לדוגמה: gs://testbucketauditmanager.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

גוף בקשת JSON:

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

curl

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

אמורים לקבל קוד סטטוס של הצלחה (2xx) ותגובה ריקה.

אם רוצים לשנות את מיקום האחסון של נתוני הביקורת אחרי הרישום, צריך לעדכן את הרישום של המשאב ולציין את מיקומי האחסון החדשים. הבקשה החדשה מחליפה את מיקומי הרישום והאחסון הקודמים.

המאמרים הבאים

• מריצים ביקורת.
• פתרון בעיות ברישום