Inscrever um recurso para auditoria

Nesta página, descrevemos como registrar uma organização, pasta ou projeto como um recurso para auditoria no Audit Manager.

O registro realiza as seguintes tarefas:

  • Um agente de serviço gerenciado pelo Google associado ao Audit Manager é criado, que monitora o recurso especificado em seu nome. O endereço de e-mail do agente de serviço usa o seguinte formato, em que RESOURCE_ID é o ID da organização, da pasta ou do ID do projeto.

    RESOURCE_ID@gcp-sa-audit-manager.iam.gserviceaccount.com

  • Os buckets do Cloud Storage especificados são configurados como o destino para armazenar os dados de auditoria.

Quando você registra um recurso, os recursos filhos dele também são registrados. Por exemplo, se você registrar uma organização, todos os projetos dela também serão registrados. Se um recurso pai já estiver registrado e você tentar registrar um dos recursos filhos, o recurso filho será registrado de forma independente.

É possível registrar recursos e configurar buckets do Cloud Storage para auditoria usando o Audit Manager ou o Compliance Manager. Os recursos e buckets registrados estão disponíveis para o Audit Manager e o Compliance Manager para fins de auditoria.

Antes de começar

  • Verifique se você tem os seguintes papéis e permissões do IAM:

  • Para registrar uma organização ou pasta, você precisa das seguintes permissões adicionais:

    • Organização: resourcemanager.organizations.setIamPolicy
    • Pasta: resourcemanager.folders.setIamPolicy

  • Identifique ou crie buckets do Cloud Storage em que os dados de auditoria precisam ser exportados.

    Para saber como criar buckets do Cloud Storage, consulte Criar um bucket.

Registrar um recurso para auditoria

É possível registrar uma organização, pasta ou projeto para auditoria no Audit Manager ou no Compliance Manager.

A maneira mais simples de registrar um recurso é pelo Google Cloud console. Como alternativa, você pode usar a API Audit Manager, a Google Cloud CLI, ou o console do Compliance Manager.

Console

  1. No Google Cloud console do, acesse a página Audit Manager.

    Acessar o Audit Manager

  2. Clique em Configurações.

    Dependendo do recurso selecionado no seletor de projetos, uma lista de pastas ou projetos será exibida na página Configurações.

  3. Na página Configurações, selecione o recurso que você quer registrar no Audit Manager e clique em Registrar na coluna Status.

  4. Na caixa de diálogo Selecionar detalhes do bucket de armazenamento , selecione um ou mais buckets do Cloud Storage em que você quer salvar seus relatórios e evidências e clique em Registrar.

    Seu recurso agora está registrado para auditoria.

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

  • RESOURCE_TYPE: o tipo do recurso. Os valores possíveis são organization, folder e project.
  • RESOURCE_ID: o ID do recurso da organização, pasta ou projeto. Por exemplo: 8767234.
  • BUCKET_URI: o URI do bucket do Cloud Storage. Por exemplo: gs://testbucketauditmanager.

Execute o comando a seguir:

Linux, macOS ou Cloud Shell

gcloud audit-manager enrollments add \
    --RESOURCE_TYPE=RESOURCE_ID \
    --eligible-gcs-buckets=BUCKET_URI

Windows (PowerShell)

gcloud audit-manager enrollments add `
    --RESOURCE_TYPE=RESOURCE_ID `
    --eligible-gcs-buckets=BUCKET_URI

Windows (cmd.exe)

gcloud audit-manager enrollments add ^
    --RESOURCE_TYPE=RESOURCE_ID ^
    --eligible-gcs-buckets=BUCKET_URI

REST

Antes de usar os dados da solicitação abaixo, faça estas substituições:

  • RESOURCE_TYPE: o tipo do recurso. Os valores possíveis são organizations, folders e projects.
  • RESOURCE_ID: o ID do recurso da organização, pasta ou projeto. Por exemplo: 8767234.
  • BUCKET_URI: o URI do bucket do Cloud Storage. Por exemplo: gs://testbucketauditmanager.

Método HTTP e URL: 

POST https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource

Corpo JSON da solicitação: 

{
  "destinations": [
    {
      "eligibleGcsBucket": "BUCKET_URI"
    }
  ]
}

Para enviar a solicitação, escolha uma destas opções:

curl

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir: 

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource"

PowerShell

Salve o corpo da solicitação em um arquivo com o nome request.json e execute o comando a seguir: 

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://auditmanager.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global:enrollResource" | Select-Object -Expand Content

Você receberá um código de status bem-sucedido (2xx) e uma resposta vazia.

Se você quiser mudar o local de armazenamento dos dados de auditoria após o registro, será necessário atualizar o registro do recurso e especificar os novos locais de armazenamento. O registro e os locais de armazenamento anteriores serão substituídos pela nova solicitação.

A seguir