Utiliser le Gestionnaire de conformité avec VPC Service Controls

Niveaux de service Standard, Premium et Enterprise (obsolètes)

Le niveau de service Enterprise de Security Command Center sera arrêté le 21 mai 2027. Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium à partir du 21 mai 2027. Pour toute question, contactez votre responsable de compte ou un Google Cloud spécialiste commercial.

Si vous activez Compliance Manager dans un périmètre de service VPC Service Controls, vous devez configurer des règles d'entrée et de sortie.

Vous pouvez ajuster les exemples de règles d'entrée et de sortie suivants pour répondre aux besoins de votre entreprise.

Pour en savoir plus sur les limites, consultez la page Produits compatibles et limites.

Remarque : La fonctionnalité d'audit est réservée aux niveaux de service Premium et Enterprise service tiers.

Avant de commencer

1. Assurez-vous de disposer des rôles requis pour configurer VPC Service Controls au niveau de l'organisation.

2. Pour garantir l'accès aux ressources qui existent dans l'organisation ou les dossiers, attribuez le rôle Administrateur Compliance Manager (roles/cloudsecuritycompliance.admin) au niveau de l'organisation.

3. Assurez-vous de connaître les informations suivantes :

   • L'adresse e-mail de l'agent de service Cloud Security Compliance ([e-mail]).

   • Si vous utilisez également Audit Manager, l'adresse e-mail de l'agent de service Audit Manager ([e-mail]), où RESOURCE_ID correspond à l'ID de votre organisation, à l'ID du dossier ou à l'ID du projet.

   • Les adresses e-mail des utilisateurs de Compliance Manager et d'Audit Manager. Ces utilisateurs administrent Compliance Manager et Audit Manager et effectuent des activités telles que des audits.

4. Vérifiez que l'agent de service Cloud Security Compliance dispose des autorisations requises dans le périmètre pour effectuer un audit. Pour en savoir plus, consultez Auditer votre environnement avec Compliance Manager.

Ajouter des règles d'entrée et de sortie

1. Ajoutez la règle d'entrée suivante :

   - ingressFrom:
     identities:
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
         - serviceName: securitycenter.googleapis.com
           methodSelectors:
             - method: "*"
       resources: "*"
   

   Remplacez USER_EMAIL_ADDRESS par l'adresse e-mail de l'utilisateur de Compliance Manager ou d'Audit Manager.

2. Ajoutez la règle d'entrée suivante pour autoriser Compliance Manager à surveiller et à auditer les ressources de votre Google Cloud organisation :

   - ingressFrom:
     identities:
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
         - serviceName: cloudsecuritycompliance.googleapis.com
           methodSelectors:
             - method: "*"
         - serviceName: auditmanager.googleapis.com
           methodSelectors:
             - method: "*"
       resources: "*"
   

   Remplacez USER_EMAIL_ADDRESS par l'adresse e-mail de l'utilisateur de Compliance Manager ou d'Audit Manager.

3. Configurez la règle d'entrée suivante pour exécuter des audits pour un projet :

   - ingressFrom:
     identities:
     - serviceAccount: COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
         - serviceName: cloudasset.googleapis.com
           methodSelectors:
             - method: "*"
       resources: "*"
   

   Remplacez les éléments suivants :

   • USER_EMAIL_ADDRESS : adresse e-mail de l'utilisateur de Compliance Manager.

   • COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT : adresse e-mail de l'agent de service Cloud Security Compliance ou l'agent de service Audit Manager. Si Audit Manager est activé, utilisez l'agent de service Audit Manager.

4. Configurez la règle d'entrée suivante pour exécuter des audits pour un dossier :

   - ingressFrom:
     identities:
     - serviceAccount: COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
           - serviceName: "*"
       resources: "*"
   

   Remplacez les éléments suivants :

   • USER_EMAIL_ADDRESS : adresse e-mail de l'utilisateur de Compliance Manager.

   • COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT : adresse e-mail de l'agent de service Cloud Security Compliance ou l'agent de service Audit Manager. Si Audit Manager est activé, utilisez l'agent de service Audit Manager.

   Un accès étendu est requis pour autoriser l'audit de toutes les ressources des projets du dossier.

5. Configurez la règle d'entrée suivante pour exécuter un audit lorsque le bucket Cloud Storage enregistré se trouve dans le périmètre :

   - ingressFrom:
     identities:
     - serviceAccount: COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT
     - user: USER_EMAIL_ADDRESS
     sources:
         - accessLevel: "*"
     ingressTo:
       operations:
           - serviceName: storage.googleapis.com
             methodSelectors:
               - method: google.storage.buckets.getIamPolicy
               - method: google.storage.buckets.testIamPermissions
               - method: google.storage.objects.getIamPolicy
               - method: google.storage.buckets.setIamPolicy
               - method: google.storage.objects.setIamPolicy
               - method: google.storage.objects.create
               - method: google.storage.objects.get
     resources: "*"
   

   Remplacez les éléments suivants :

   • USER_EMAIL_ADDRESS : adresse e-mail de l'utilisateur de Compliance Manager.

   • COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT : adresse e-mail de l'agent de service Cloud Security Compliance ou l'agent de service Audit Manager. Si Audit Manager est activé, utilisez l'agent de service Audit Manager.

6. Configurez la règle de sortie suivante pour exécuter un audit lorsque le bucket Cloud Storage enregistré se trouve dans le périmètre :

   - egressFrom:
     identities:
       - serviceAccount: COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT
       - user: USER_EMAIL_ADDRESS
       sources:
         - accessLevel: "*"
     egressTo:
       operations:
           - serviceName: storage.googleapis.com
             methodSelectors:
               - method: google.storage.buckets.getIamPolicy
               - method: google.storage.buckets.testIamPermissions
               - method: google.storage.objects.getIamPolicy
               - method: google.storage.buckets.setIamPolicy
               - method: google.storage.objects.setIamPolicy
               - method: google.storage.objects.create
               - method: google.storage.objects.get
       resources: "*"
   

   Remplacez les éléments suivants :

   • USER_EMAIL_ADDRESS : adresse e-mail de l'utilisateur de Compliance Manager.

   • COMPLIANCE_MANAGER_SERVICE_ACCOUNT_OR_AUDIT_MANAGER_SERVICE_ACCOUNT : adresse e-mail de l'agent de service Cloud Security Compliance ou l'agent de service Audit Manager. Si Audit Manager est activé, utilisez l'agent de service Audit Manager.

Étape suivante

• Diagnostiquez les problèmes à l'aide de l'outil de dépannage de VPC Service Controls ou de l' analyseur de violations de VPC Service Controls.