Utiliser le Gestionnaire de conformité avec VPC Service Controls

Niveaux de service Standard, Premium et Enterprise

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027.

Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium à partir du 21 mai 2027. Contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud si vous avez des questions.

Si vous activez Compliance Manager dans un périmètre de service VPC Service Controls, vous devez configurer des règles d'entrée et de sortie.

Vous pouvez ajuster les exemples de règles d'entrée et de sortie suivants pour répondre à vos besoins commerciaux.

Pour en savoir plus sur les limites, consultez Produits compatibles et limites.

Remarque : La fonctionnalité d'audit est réservée aux niveaux de service Premium et Enterprise.

Avant de commencer

1. Assurez-vous de disposer des rôles requis pour configurer VPC Service Controls au niveau de l'organisation.

2. Pour garantir l'accès aux ressources qui existent dans l'organisation ou les dossiers, accordez le rôle Administrateur Compliance Manager (roles/cloudsecuritycompliance.admin) au niveau de l'organisation.

3. Assurez-vous de connaître les points suivants :

   • Adresse e-mail de l'agent de service de sécurité et de conformité du cloud ([e-mail]).

   • Si vous utilisez également Audit Manager, l'adresse e-mail de l'agent de service Audit Manager ([e-mail]), où RESOURCE_ID correspond à l'ID de votre organisation, de votre dossier ou de votre projet.

   • Adresses e-mail des utilisateurs de Compliance Manager et Audit Manager. Ces utilisateurs administrent le Gestionnaire de conformité et le Gestionnaire d'audits, et effectuent des activités telles que des audits.

4. Vérifiez que l'agent de service de conformité de la sécurité du cloud dispose des autorisations requises dans le périmètre pour effectuer un audit. Pour en savoir plus, consultez Auditer votre environnement avec Compliance Manager.

Ajouter des règles d'entrée et de sortie

1. Ajoutez la règle d'entrée suivante :

   - ingressFrom:
     identities:
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
         - serviceName: securitycenter.googleapis.com
           methodSelectors:
             - method: "*"
       resources: "*"
   

   Remplacez USER_EMAIL_ADDRESS par l'adresse e-mail de l'utilisateur Compliance Manager ou Audit Manager.

2. Ajoutez la règle d'entrée suivante pour permettre au Gestionnaire de conformité de surveiller et d'auditer les ressources de votre organisation Google Cloud  :

   - ingressFrom:
     identities:
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
         - serviceName: cloudsecuritycompliance.googleapis.com
           methodSelectors:
             - method: "*"
         - serviceName: auditmanager.googleapis.com
           methodSelectors:
             - method: "*"
       resources: "*"
   

   Remplacez USER_EMAIL_ADDRESS par l'adresse e-mail de l'utilisateur Compliance Manager ou Audit Manager.

3. Configurez la règle d'entrée suivante pour exécuter des audits pour un projet :

   - ingressFrom:
     identities:
     - serviceAccount: COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
         - serviceName: cloudasset.googleapis.com
           methodSelectors:
             - method: "*"
       resources: "*"
   

   Remplacez les éléments suivants :

   • USER_EMAIL_ADDRESS : adresse e-mail de l'utilisateur Compliance Manager.

   • COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT : adresse e-mail de l'agent de service de sécurité et de conformité du cloud ou de l'agent de service Audit Manager. Si Audit Manager est activé, utilisez l'agent de service Audit Manager.

4. Configurez la règle d'entrée suivante pour exécuter des audits pour un dossier :

   - ingressFrom:
     identities:
     - serviceAccount: COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
           - serviceName: "*"
       resources: "*"
   

   Remplacez les éléments suivants :

   • USER_EMAIL_ADDRESS : adresse e-mail de l'utilisateur Compliance Manager.

   • COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT : adresse e-mail de l'agent de service de sécurité et de conformité du cloud ou de l'agent de service Audit Manager. Si Audit Manager est activé, utilisez l'agent de service Audit Manager.

   Un accès étendu est nécessaire pour permettre l'audit de toutes les ressources des projets du dossier.

5. Configurez la règle d'entrée suivante pour exécuter un audit lorsque le bucket Cloud Storage enregistré se trouve dans le périmètre :

   - ingressFrom:
     identities:
     - serviceAccount: COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
           - serviceName: storage.googleapis.com
             methodSelectors:
               - method: google.storage.buckets.getIamPolicy
               - method: google.storage.buckets.testIamPermissions
               - method: google.storage.objects.getIamPolicy
               - method: google.storage.buckets.setIamPolicy
               - method: google.storage.objects.setIamPolicy
               - method: google.storage.objects.create
               - method: google.storage.objects.get
     resources: "*"
   

   Remplacez les éléments suivants :

   • USER_EMAIL_ADDRESS : adresse e-mail de l'utilisateur Compliance Manager.

   • COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT : adresse e-mail de l'agent de service de sécurité et de conformité du cloud ou de l'agent de service Audit Manager. Si Audit Manager est activé, utilisez l'agent de service Audit Manager.

6. Configurez la règle de sortie suivante pour exécuter un audit lorsque le bucket Cloud Storage enregistré se trouve à l'intérieur du périmètre :

   - egressFrom:
     identities:
       - serviceAccount: COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT
       - user: USER_EMAIL_ADDRESS
       sources:
         - accessLevel: "*"
     egressTo:
       operations:
           - serviceName: storage.googleapis.com
             methodSelectors:
               - method: google.storage.buckets.getIamPolicy
               - method: google.storage.buckets.testIamPermissions
               - method: google.storage.objects.getIamPolicy
               - method: google.storage.buckets.setIamPolicy
               - method: google.storage.objects.setIamPolicy
               - method: google.storage.objects.create
               - method: google.storage.objects.get
       resources: "*"
   

   Remplacez les éléments suivants :

   • USER_EMAIL_ADDRESS : adresse e-mail de l'utilisateur Compliance Manager.

   • COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT : adresse e-mail de l'agent de service de sécurité et de conformité du cloud ou de l'agent de service Audit Manager. Si Audit Manager est activé, utilisez l'agent de service Audit Manager.

Étapes suivantes

• Diagnostiquez les problèmes à l'aide de l'outil de dépannage de VPC Service Controls ou de l'analyseur de cas de non-conformité de VPC Service Controls.