Administra los controles de la nube

El Administrador de cumplimiento incluye muchos controles de nube integrados que puedes agregar a los frameworks y, luego, implementar en tu entorno. Si es necesario, puedes crear y administrar tus propios controles de nube personalizados y actualizar los controles de nube integrados.

Antes de comenzar

Completa estas tareas antes de completar las tareas restantes de esta página.

Configurar los permisos

Configura Google Cloud CLI

En la consola de Google Cloud , activa Cloud Shell.

Activa Cloud Shell

En la parte inferior de la consola de Google Cloud , se inicia una sesión de Cloud Shell en la que se muestra una ventana de línea de comandos. Cloud Shell es un entorno de shell con Google Cloud CLI ya instalada y con valores ya establecidos para el proyecto actual. La sesión puede tardar unos segundos en inicializarse.

Para configurar la gcloud CLI con el objetivo de usar la identidad temporal como cuenta de servicio y autenticarte en las APIs de Google, en lugar de tus credenciales de usuario, ejecuta el comando siguiente: 

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

Para obtener más información, consulta Identidad temporal como cuenta de servicio.

Ver controles de la nube

Completa los siguientes pasos para ver los controles de nube integrados y los controles de nube personalizados que ya creaste.

Console

  1. En la consola de Google Cloud , ve a la página Cumplimiento.

    Ve a cumplimiento

  2. Elige tu organización o proyecto.

  3. En la pestaña Configurar, haz clic en Controles de Cloud. Se muestran los controles de la nube disponibles.

    El panel incluye información sobre qué frameworks incluyen el control de la nube y la cantidad de recursos (organización, carpetas y proyectos) a los que se aplica el control de la nube.

  4. Para ver los detalles de un control de la nube, haz clic en el nombre del control.

CLI

Puedes ver información sobre un control de nube específico o enumerar todos los controles de nube de tu organización.

Consulta los detalles de un control de la nube

Para ver los detalles de un control de la nube específico, ejecuta el comando gcloud compliance-manager cloud-controls describe:

gcloud compliance-manager cloud-controls describe CLOUD_CONTROL \
   --location=LOCATION \
   --organization=ORGANIZATION \
   [--major-revision-id=MAJOR_REVISION_ID]

Reemplaza los siguientes valores:

  • CLOUD_CONTROL: Es el nombre del control de la nube.

  • ORGANIZATION: Es el ID de tu organización.

  • LOCATION: la región en la que se almacena el control de la nube

  • MAJOR_REVISION_ID es una marca opcional que especifica qué versión del control de la nube se debe ver. Si no incluyes la marca, se devuelve la versión más reciente.

Por ejemplo, para ver un control de Cloud con el nombre builtin-block-external-ip-addresses-for-vm-access y el número de revisión principal 1, ejecuta el siguiente comando:

gcloud compliance-manager cloud-controls describe \
   builtin-block-external-ip-addresses-for-vm-access \
   --organization=3589215982 \
   --location=global \
   --major-revision-id=1

Para obtener más información, consulta gcloud compliance-manager cloud-controls describe.

Obtener lista de controles de la nube

Para obtener la lista de controles de Cloud en tu organización, ejecuta el comando gcloud compliance-manager cloud-controls list:

gcloud compliance-manager cloud-controls list \
   --location=LOCATION \
   --organization=ORGANIZATION

Reemplaza los siguientes valores:

  • ORGANIZATION: Es el ID de tu organización.

  • LOCATION: la región en la que se almacenan los controles de la nube

Por ejemplo, para ver todos los controles de la nube dentro de la organización 3589215982 y almacenados en la ubicación global, ejecuta lo siguiente:

gcloud compliance-manager cloud-controls list \
   --organization=3589215982 \
   --location=global

Para obtener información sobre las marcas opcionales, consulta gcloud compliance-manager cloud-controls list.

Crear un control de la nube personalizado

Cuando creas un control de nube personalizado, aplicas una regla a cualquier tipo de recurso de Cloud Asset Inventory.

Console

Cuando usas la consola, puedes crear controles de nube personalizados con una regla que se aplique a un tipo de recurso de Cloud Asset Inventory.

  1. En la consola de Google Cloud , ve a la página Cumplimiento.

    Ve a cumplimiento

  2. Elige tu organización o proyecto.

  3. En la pestaña Configurar, haz clic en Controles de Cloud. Se muestra la lista de controles de nube disponibles.

  4. Crea un control de nube, ya sea con Gemini o de forma manual:

Usar Gemini

  1. Pídele a Gemini que genere un control de nube por ti. Según tu instrucción, Gemini proporciona un identificador único, un nombre, una lógica de detección asociada y posibles pasos de solución.

  2. Revisa las recomendaciones y realiza los cambios necesarios.

  3. Guarda tu control de nube personalizado.

Crear manualmente

  1. En ID de control de nube, proporciona un identificador único para tu control.

  2. Ingresa un nombre y una descripción para ayudar a los usuarios de tu organización a comprender el propósito del control de nube personalizado.

  3. Opcional: Selecciona las categorías para el control. Haz clic en Continuar.

  4. Selecciona un tipo de recurso disponible para tu control de nube personalizado. El Administrador de cumplimiento admite todos los tipos de recursos. Para encontrar el nombre de un recurso, consulta Tipos de recursos.

  5. Proporciona la lógica de detección para tu control de nube en formato de Common Expression Language (CEL).

    Las expresiones de CEL te permiten definir cómo deseas evaluar las propiedades de un recurso. Para obtener más información y ejemplos, consulta Escribe reglas para controles personalizados de Cloud. Haga clic en Continuar.

    Si tu regla de evaluación no es válida, se mostrará un error.

  6. Selecciona la gravedad adecuada de los hallazgos.

  7. Escribe tus instrucciones de solución para que los encargados de responder incidentes y los administradores de tu organización puedan resolver cualquier hallazgo para el control de la nube. Haz clic en Continuar.

  8. Revisa tus entradas y, luego, haz clic en Crear.

CLI

Cuando usas gcloud CLI, puedes crear un control de nube personalizado con un máximo de tres reglas. Cada regla se puede aplicar a un solo tipo de recurso.

Para crear un control de nube personalizado, ejecuta el comando gcloud compliance-manager cloud-controls create:

gcloud compliance-manager cloud-controls create CLOUD_CONTROL \
   --location=LOCATION \
   --organization=ORGANIZATION \
   [--display-name=DISPLAY_NAME] \
   [--description=DESCRIPTION] \
   [--categories=[CATEGORIES,...]] \
   [--finding-category=FINDING_CATEGORY] \
   [--parameter-spec=[defaultValue=DEFAULTVALUE],[description=DESCRIPTION],[displayName=DISPLAYNAME],[isRequired=ISREQUIRED],[name=NAME],[substitutionRules=SUBSTITUTIONRULES],[validation=VALIDATION],[valueType=VALUETYPE]] \
   [--remediation-steps=REMEDIATION_STEPS] \
   [--rules=[celExpression=CELEXPRESSION],[description=DESCRIPTION],[ruleActionTypes=RULEACTIONTYPES]] \
   [--severity=SEVERITY] \
   [--supported-cloud-providers=[SUPPORTED_CLOUD_PROVIDERS,…]] \
   [--supported-target-resource-types=[SUPPORTED_TARGET_RESOURCE_TYPES,…]]

Reemplaza los siguientes valores:

  • CLOUD_CONTROL: un nombre alfanumérico único para el control de la nube

  • ORGANIZATION: Es el ID de tu organización.

  • LOCATION: la región en la que se almacena el control de la nube

  • DISPLAY_NAME: un nombre legible por humanos para el control de la nube

  • DESCRIPTION: Es una descripción opcional del propósito del control de la nube.

  • CATEGORIES,…: Es un parámetro opcional que define las categorías de las que forma parte el control de la nube. Para obtener una lista de las categorías permitidas, consulta gcloud compliance-manager cloud-controls create.

  • FINDING_CATEGORY: Es el valor que se muestra en el panel de hallazgos de Security Command Center cuando el control de la nube genera un hallazgo.

  • --parameter-spec=[defaultValue=DEFAULTVALUE], \
 [description=DESCRIPTION], \
 [displayName= DISPLAYNAME], \
 [isRequired=ISREQUIRED], \
 [name=NAME], \
 [substitutionRules=SUBSTITUTIONRULES], \
 [validation=VALIDATION], \
 [valueType=VALUETYPE]...]

    es la información opcional del parámetro para el control de la nube, en el siguiente formato:

    • DEFAULTVALUE: Son los datos que se aplican si un usuario no personaliza el parámetro cuando implementa un framework. Los tipos de valores admitidos son boolValue, numberValue, stringListValue o stringValue.

    • DESCRIPTION: una descripción opcional del control

    • ISREQUIRED: true si el control requiere que se establezca un parámetro

    • NAME: Es el nombre del parámetro.

    • SUBSTITUTIONRULES: cómo y dónde el Administrador de cumplimiento inserta el valor personalizado para el parámetro. Especifica la ruta de acceso de destino dentro de la regla con una notación de puntos de proto (por ejemplo, rules[0].org_policy_constraint...). Elige una de las siguientes opciones:

      • attributeSubstitutionRule cuando quieras insertar el valor del parámetro directamente en un campo estructural de tu regla (por ejemplo, completar una lista de valores restringidos dentro de una plantilla de regla de restricción de política de la organización).

      • placeholderSubstitutionRule cuando tu regla use una cadena de texto (o una expresión de CEL). La cadena debe contener una variable de marcador de posición con el prefijo $ (por ejemplo, $deniedServices), y esta regla le indica al compilador que asigne el parámetro a ese marcador de posición.

      En el siguiente ejemplo, se crea un parámetro de lista llamado deniedServices con el tipo STRINGLIST. Usa attributeSubstitutionRule para agregar nombres de servicios proporcionados por el usuario (como compute.googleapis.com) directamente en una regla de política de la organización personalizada estructural (denied_values) cuando se implementa:

      --parameter-spec='name=deniedServices,isRequired=true,valueType=STRINGLIST,substitutionRules=[{attributeSubstitutionRule={attribute="rules[0].org_policy_constraint.policy_rules[0].values.denied_values"}}]'

    • VALIDATION es el conjunto de valores permitidos. Elige una de las siguientes opciones:

      • Usa allowedValues para aplicar una lista de entidades permitidas estática; por ejemplo, limita los parámetros de ubicación a campos de cadena específicos: validation={allowedValues={values=[{stringValue=us-central1},{stringValue=us-west1}]}}

      • Usa intRange para aplicar límites numéricos en números enteros; por ejemplo, establece un período de retención entre 1 y 365: validation={intRange={min=1,max=365}}

      • Usa regexpPattern para aplicar la coincidencia de expresiones regulares en el texto de la cadena; por ejemplo, exige nombres alfanuméricos estrictos: validation={regexpPattern={pattern="^[a-z][-a-z0-9]*$"}}

    • VALUETYPE: Es el tipo de datos o el formato del valor que un usuario proporciona para este parámetro. Los tipos de valores admitidos son STRING, BOOLEAN, STRINGLIST, NUMBER y ONEOF.

    Como alternativa, puedes especificar un archivo JSON o YAML que defina los parámetros. Por ejemplo, --parameter-spec=path_to_file.(yaml|json). Expande la siguiente sección para ver ejemplos de archivos JSON y YAML.

    Ejemplo de archivo JSON

      [
    {
      "name": "deniedServices",
      "displayName": "Services Requiring CMEK",
      "description": "List of service names that must use Customer-Managed Encryption Keys.",
      "isRequired": true,
      "valueType": "STRINGLIST",
      "substitutionRules": [
        {
          "attributeSubstitutionRule": {
            "attribute": "rules[0].org_policy_constraint.policy_rules[0].values.denied_values"
          }
        }
      ]
    }
  ]

    Archivo YAML de ejemplo

      - name: deniedServices
    displayName: "Services Requiring CMEK"
    description: "List of service names that must use Customer-Managed Encryption Keys."
    isRequired: true
    valueType: STRINGLIST
    substitutionRules:
    - attributeSubstitutionRule:
        attribute: "rules[0].org_policy_constraint.policy_rules[0].values.denied_values"

  • REMEDIATION_STEPS: los pasos necesarios para resolver cualquier hallazgo. Esta cadena tiene un límite de 400 caracteres.

  • --rules=[celExpression=CELEXPRESSION],[description=DESCRIPTION],[ruleActionTypes=RULEACTIONTYPES] es la regla que deseas aplicar, en el siguiente formato:

    • CELEXPRESSION: Es la expresión de Common Expression Language (CEL) de la regla. Para obtener información sobre cómo escribir expresiones de CEL, consulta Escribe reglas para controles personalizados de la nube. Se incluye lo siguiente:

      • expression: Es la expresión de CEL, con un máximo de 1,000 caracteres.

      • resourceTypesValues: Es el nombre de los recursos, en el formato SERVICE_NAME/type. Usa un array values para enumerar todos los tipos de recursos a los que deseas aplicar la regla, por ejemplo, values=[compute.googleapis.com/Instance].

    • DESCRIPTION: una descripción de la regla

    • RULEACTIONTYPES: Es la acción que realiza la regla. Los valores admitidos son rule-action-type-detective, rule-action-type-preventive y rule-action-type-audit.

    Por ejemplo, para verificar el período de rotación de claves de Cloud Key Management Service, ingresa lo siguiente:

    --rules="[
  {
    \"celExpression\": {
      \"expression\": \"has(resource.data.rotationPeriod) && resource.data.rotationPeriod < duration('60h')\",
      \"resourceTypesValues\": {
        \"values\": [
          \"cloudkms.googleapis.com/CryptoKey\"
        ]
      }
    },
    \"description\": \"Check KMS key rotation period\",
    \"ruleActionTypes\": [
      \"rule-action-type-detective\"
    ]
  }
]"

    Como alternativa, puedes especificar un archivo JSON o YAML que defina la regla. Por ejemplo, --rules=path_to_file.(yaml|json). Expande la siguiente sección para ver ejemplos de archivos JSON y YAML.

    Ejemplo de archivo JSON

      [
    {
      "celExpression": {
        "expression": "has(resource.data.rotationPeriod) && resource.data.rotationPeriod < duration('60h')",
        "resourceTypesValues": {
          "values": [
            "cloudkms.googleapis.com/CryptoKey"
          ]
        }
      },
      "description": "Check KMS key rotation period to ensure it is under 60 hours.",
      "ruleActionTypes": [
        "rule-action-type-detective"
      ]
    }
  ]

    Ejemplo de archivo YAML

      - celExpression:
      expression: "has(resource.data.rotationPeriod) && resource.data.rotationPeriod < duration('60h')"
      resourceTypesValues:
        values:
        - cloudkms.googleapis.com/CryptoKey
    description: "Check KMS key rotation period to ensure it is under 60 hours."
    ruleActionTypes:
    - rule-action-type-detective

  • SEVERITY: Es el nivel de importancia del control de la nube. Los valores admitidos son critical, high, medium y low.

  • SUPPORTED_CLOUD_PROVIDERS,…: Son los proveedores de servicios en la nube a los que se aplica este control de nube. El único valor admitido es gcp.

  • SUPPORTED_TARGET_RESOURCE_TYPES,…: Son los tipos de recursos (organización, carpeta, proyecto o carpeta habilitada para apps en App Hub) que admite el control de la nube. Los valores admitidos son target-resource-crm-type-folder, target-resource-crm-type-org, target-resource-crm-type-project y target-resource-type-application.

Por ejemplo, para crear un control de nube que aplique ubicaciones de recursos, ejecuta el siguiente comando:

  gcloud compliance-manager cloud-controls create \
     restrict-resource-locations \
     --organization=3589215982 \
     --location=global \
     --display-name="Restrict Resource Locations" \
     --description="Enforces checks to ensure resources are only deployed in approved cloud regions." \
     --severity=high \
     --finding-category="LOCATION_VIOLATION" \
     --supported-cloud-providers="gcp" \
     --supported-target-resource-types="target-resource-crm-type-project" \
     --parameter-spec='name=allowedLocations,isRequired=true,valueType=STRINGLIST,substitutionRules=[{placeholderSubstitutionRule={attribute="rules[0].cel_expression.expression"}}]' \
     --rules="[{\"celExpression\": {\"expression\": \"resource.location in \$allowedLocations\", \"resourceTypesValues\": {\"values\": [\"compute.googleapis.com/Instance\"]}}, \"description\": \"Check Compute Engine instance locations\", \"ruleActionTypes\": [\"rule-action-type-detective\"]}]"

Para crear el mismo control, pero usar archivos YAML para definir los parámetros y las reglas, ejecuta lo siguiente:

     gcloud compliance-manager cloud-controls create \
     restrict-resource-locations \
     --organization=3589215982 \
     --location=global \
     --display-name="Restrict Resource Locations" \
     --description="Enforces checks to ensure resources are only deployed in approved cloud regions." \
     --severity=high \
     --finding-category="LOCATION_VIOLATION" \
     --supported-cloud-providers="gcp" \
     --supported-target-resource-types="target-resource-crm-type-project" \
     --parameter-spec=parameters.yaml \
     --rules=rules.yaml

Para obtener más información, consulta gcloud compliance-manager cloud-controls create.

Terraform

Cuando usas Terraform, puedes crear un control de nube personalizado con un máximo de tres reglas. Cada regla se puede aplicar a un solo tipo de recurso.

En el siguiente ejemplo, se muestra cómo puedes crear un control de nube personalizado con Terraform.

resource "google_cloud_security_compliance_cloud_control" "example" {
  parent              = "organizations/123456789"
  location            = "global"
  cloud_control_id    = "example-cloudcontrol"

  display_name      = "TF test CloudControl Name"
  description       = "A test cloud control for security compliance"
  categories        = ["CC_CATEGORY_INFRASTRUCTURE"]
  severity          = "HIGH"
  finding_category  = "SECURITY_POLICY"
  remediation_steps = "Review and update the security configuration according to best practices."

  supported_cloud_providers        = ["GCP"]

  rules {
    description         = "Ensure compute instances have secure boot enabled"
    rule_action_types   = ["RULE_ACTION_TYPE_DETECTIVE"]

    cel_expression {
      expression = "resource.data.shieldedInstanceConfig.enableSecureBoot == true"
      resource_types_values {
        values = ["compute.googleapis.com/Instance"]
      }
    }
  }

  parameter_spec {
    name         = "location"
    display_name = "Resource Location"
    description  = "The location where the resource should be deployed"
    value_type   = "STRING"
    is_required  = true

    default_value {
      string_value = "us-central1"
    }

    validation {
      regexp_pattern {
        pattern = "^[a-z]+-[a-z]+[0-9]$"
      }
    }
  }

  parameter_spec {
    name         = "enable_secure_boot"
    display_name = "Enable Secure Boot"
    description  = "Whether to enable secure boot for instances"
    value_type   = "BOOLEAN"
    is_required  = true

    default_value {
      bool_value = true
    }

    substitution_rules {
      attribute_substitution_rule {
        attribute = "rules[0].cel_expression.expression"
      }
    }

    validation {
      allowed_values {
        values {
          bool_value = true
        }
      }
    }
  }

  parameter_spec {
    name         = "max_instances"
    display_name = "Maximum Instances"
    description  = "Maximum number of instances allowed"
    value_type   = "NUMBER"
    is_required  = false

    default_value {
      number_value = 10
    }

    substitution_rules {
      placeholder_substitution_rule {
        attribute = "rules[0].description"
      }
    }

    validation {
      int_range {
        min = "1"
        max = "100"
      }
    }
  }

  parameter_spec {
    name         = "allowed_regions"
    display_name = "Allowed Regions"
    description  = "List of regions where resources can be deployed"
    value_type   = "STRINGLIST"
    is_required  = true

    default_value {
      string_list_value {
        values = ["us-central1", "us-east1", "us-west1"]
      }
    }

    validation {
      allowed_values {
        values {
          string_list_value {
            values = ["us-central1", "us-east1"]
          }
        }
        values {
          string_list_value {
            values = ["us-west1", "us-west2"]
          }
        }
      }
    }
  }

  parameter_spec {
    name         = "environment_type"
    display_name = "Environment Type"
    description  = "The type of environment"
    value_type   = "STRING"
    is_required  = true

    default_value {
      string_value = "production"
    }

    validation {
      allowed_values {
        values {
          string_value = "production"
        }
        values {
          string_value = "staging"
        }
        values {
          number_value = 1
        }
      }
    }
  }
}

Edita un control de nube personalizado

Después de crear un control de nube, puedes cambiar su nombre, descripción, reglas, pasos de solución y nivel de gravedad. No puedes cambiar la categoría del control de nube.

  1. En la consola de Google Cloud , ve a la página Cumplimiento.

    Ve a cumplimiento

  2. Elige tu organización o proyecto.

  3. En la pestaña Configurar, haz clic en Controles de Cloud. Aparecerá la lista de controles de nube disponibles.

  4. Haz clic en el control de la nube que quieres editar.

  5. En la página Detalles de los controles de la nube, verifica que el control de la nube no esté incluido en un framework. Si es necesario, edita el framework para quitar el control de nube.

  6. Haz clic en Editar.

  7. En la página Editar control de nube personalizado, cambia el nombre y la descripción según sea necesario. Haga clic en Continuar.

  8. Actualiza las reglas, la gravedad de los hallazgos y los pasos de solución. Haz clic en Continuar.

  9. Revisa los cambios y haz clic en Guardar.

Actualiza un control de nube integrado a una versión más reciente

Google publica actualizaciones periódicas de sus controles de nube integrados a medida que los servicios implementan funciones nuevas o que surgen prácticas recomendadas nuevas. Las actualizaciones pueden incluir controles nuevos o cambios en los existentes.

Puedes ver las versiones de los controles de nube integrados en el panel de controles de nube en la pestaña Configurar o en la página de detalles del control de nube.

Para actualizar un control de la nube después de recibir una notificación, debes actualizar los frameworks implementados que incluyen el control de la nube. Para obtener instrucciones, consulta Actualiza un framework integrado a una versión más reciente.

Borra un control de nube personalizado

Borra un control de nube cuando ya no sea necesario. Solo puedes borrar los controles de nube que crees. No puedes borrar los controles de nube integrados.

Console

  1. En la consola de Google Cloud , ve a la página Cumplimiento.

    Ve a cumplimiento

  2. Elige tu organización o proyecto.

  3. En la pestaña Configurar, haz clic en Controles de Cloud. Aparecerá la lista de controles de nube disponibles.

  4. Haz clic en el control de la nube que quieres borrar.

  5. En la página Detalles de los controles de la nube, verifica que el control de la nube no esté incluido en un framework. Si es necesario, edita el framework para quitar el control de nube.

  6. Haz clic en Borrar.

  7. En la ventana Borrar, revisa el mensaje. Escribe Delete y haz clic en Confirmar.

CLI

Para borrar un control de nube personalizado, ejecuta el comando gcloud compliance-manager cloud-controls delete:

gcloud compliance-manager cloud-controls delete CLOUD_CONTROL \
   --location=LOCATION \
   --organization=ORGANIZATION

Reemplaza los siguientes valores:

  • CLOUD_CONTROL: Es el nombre del control de la nube.

  • ORGANIZATION: Es el ID de tu organización.

  • LOCATION: la región en la que se almacena el control de la nube

Por ejemplo, para borrar un control de nube con el nombre restrict-resource-locations, ejecuta el siguiente comando:

gcloud compliance-manager cloud-controls delete \
   restrict-resource-locations \
   --organization=3589215982 \
   --location=global

Para obtener más información, consulta gcloud compliance-manager cloud-controls delete.

Asignación de detectores de Security Health Analytics a controles de la nube

En la siguiente tabla, se muestra cómo se asignan los controles de nube del Administrador de cumplimiento a los detectores de Security Health Analytics.

Categoría del hallazgo en Security Health Analytics Nombre del control de la nube en el Administrador de cumplimiento

ACCESS_TRANSPARENCY_DISABLED

Habilita la Transparencia de acceso

ADMIN_SERVICE_ACCOUNT

Bloquea los roles de administrador de las cuentas de servicio

ALLOWED_INGRESS_ORG_POLICY

Configura la restricción de la política de la organización de Configuración de entrada permitida para Cloud Run

ALLOWED_VPC_EGRESS_ORG_POLICY

Configura la restricción de la política de la organización de Cloud Run para la configuración de salida de VPC permitida

ALLOYDB_AUTO_BACKUP_DISABLED

Habilita las copias de seguridad automáticas de AlloyDB en el clúster

ALLOYDB_BACKUPS_DISABLED

Habilita las copias de seguridad de AlloyDB en el clúster

ALLOYDB_CMEK_DISABLED

Habilita las CMEK para los clústeres de AlloyDB

ALLOYDB_LOG_ERROR_VERBOSITY

Establece la marca de verbosidad de errores de registros para las instancias de AlloyDB

ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY

Establece la marca de declaración de error mínima de registros para las instancias de AlloyDB

ALLOYDB_LOG_MIN_MESSAGES

Establece la marca de cantidad mínima de mensajes de registro para las instancias de AlloyDB

ALLOYDB_PUBLIC_IP

Bloquea las direcciones IP públicas para las instancias de clústeres de AlloyDB

ALPHA_CLUSTER_ENABLED

Inhabilita las funciones alfa en los clústeres de GKE

API_KEY_APPS_UNRESTRICTED

Restringe las claves de API solo para las APIs obligatorias

API_KEY_EXISTS

No disponible

API_KEY_NOT_ROTATED

Exige la rotación de la clave de API

AUDIT_CONFIG_NOT_MONITORED

Configura métricas y alertas de registros para los cambios en el registro de auditoría

AUDIT_LOGGING_DISABLED

Implementa el registro de eventos para los servicios de Google Cloud

AUTO_BACKUP_DISABLED

Habilita las copias de seguridad automáticas para las bases de datos de Cloud SQL

AUTO_REPAIR_DISABLED

Habilita la reparación automática para los clústeres de GKE

AUTO_UPGRADE_DISABLED

Habilita la actualización automática en los clústeres de GKE

BIGQUERY_TABLE_CMEK_DISABLED

Habilita las CMEK para las tablas de BigQuery

BINARY_AUTHORIZATION_DISABLED

Exige la Autorización binaria en un clúster

BUCKET_CMEK_DISABLED

Habilita las CMEK para los buckets de Cloud Storage

BUCKET_IAM_NOT_MONITORED

Configura métricas y alertas de registros para los cambios en la política de IAM de Cloud Storage

BUCKET_LOGGING_DISABLED

Exige el registro de buckets de Cloud Storage

BUCKET_POLICY_ONLY_DISABLED

Habilita el acceso uniforme a nivel de bucket en los buckets de Cloud Storage

CLOUD_ASSET_API_DISABLED

Habilita el servicio de Cloud Asset Inventory

CLUSTER_LOGGING_DISABLED

Habilita Cloud Logging en clústeres de GKE

CLUSTER_MONITORING_DISABLED

Habilita Cloud Monitoring en clústeres de GKE

CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED

Habilita el Acceso privado a Google en una instancia

CLUSTER_SECRETS_ENCRYPTION_DISABLED

Habilita la encriptación en clústeres de GKE

CLUSTER_SHIELDED_NODES_DISABLED

Habilita los nodos de GKE protegidos en un clúster

COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Bloquea las claves SSH de todo el proyecto en las instancias de Compute Engine

COMPUTE_SECURE_BOOT_DISABLED

Habilita el inicio seguro en las instancias de Compute Engine

COMPUTE_SERIAL_PORTS_ENABLED

Bloquea los puertos en serie para las instancias de Compute Engine

CONFIDENTIAL_COMPUTING_DISABLED

Habilita Confidential Computing para las instancias de Compute Engine

COS_NOT_USED

Exige Container-Optimized OS para un clúster de GKE

CUSTOM_ORG_POLICY_VIOLATION

No disponible

CUSTOM_ROLE_NOT_MONITORED

Configura métricas de registros y alertas para los cambios de roles personalizados

DATAPROC_CMEK_DISABLED

Exige CMEK en los clústeres de Dataproc

DATAPROC_IMAGE_OUTDATED

Usa las versiones de imágenes más recientes en los clústeres de Dataproc

DATASET_CMEK_DISABLED

Habilita las CMEK para los conjuntos de datos de BigQuery

DEFAULT_NETWORK

Usa redes con reglas de firewall personalizadas

DEFAULT_SERVICE_ACCOUNT_USED

Usa cuentas de servicio personalizadas para las instancias de Compute Engine

DISABLE_VPC_EXTERNAL_IP_V6_ORG_POLICY

Configura la política de la organización Inhabilitar el uso de IPv6 externa de VPC

DISABLE_VPC_INTERNAL_IP_V6_ORG_POLICY

Configura la política de la organización Inhabilitar el uso de IPv6 externa de VPC

DISABLED_SERIAL_PORT_ACCESS_ORG_POLICY

Configura la política de la organización Inhabilitar el registro de puertos en serie de VM en Stackdriver

DISK_CMEK_DISABLED

Habilita CMEK en los discos persistentes de Compute Engine

DISK_CSEK_DISABLED

Habilita CSEK en los discos persistentes de Compute Engine

DNS_LOGGING_DISABLED

Habilita la supervisión de registros de Cloud DNS

DNSSEC_DISABLED

Habilita DNSSEC para Cloud DNS

EGRESS_DENY_RULE_NOT_SET

Aplica la regla de firewall de rechazo de toda la salida

ESSENTIAL_CONTACTS_NOT_CONFIGURED

Define los contactos esenciales

FIREWALL_NOT_MONITORED

Configura métricas de registros y alertas para los cambios en el firewall de la red de VPC

FIREWALL_RULE_LOGGING_DISABLED

Habilita el registro de reglas de firewall

FLOW_LOGS_DISABLED

Habilita los registros de flujo para la subred de VPC

FULL_API_ACCESS

Restringe el acceso a las APIs de Google Cloud para las instancias de Compute Engine

HTTP_LOAD_BALANCER

Aplicar solo el tráfico HTTPS

INCORRECT_BQ4G_SERVICE_PERIMETER

Define perímetros de servicio en los Controles del servicio de VPC

INSTANCE_OS_LOGIN_DISABLED

Habilitar el Acceso al SO

INTEGRITY_MONITORING_DISABLED

Habilita la supervisión de integridad en los clústeres de GKE

INTRANODE_VISIBILITY_DISABLED

Habilita la visibilidad dentro de los nodos para los clústeres de GKE

IP_ALIAS_DISABLED

Habilita el rango de alias de IP para los clústeres de GKE

IP_FORWARDING_ENABLED

Evita el reenvío de IP en instancias de Compute Engine

KMS_KEY_NOT_ROTATED

Define el período de rotación para las claves de Cloud KMS

KMS_PROJECT_HAS_OWNER

No disponible

KMS_PUBLIC_KEY

No disponible

KMS_ROLE_SEPARATION

Aplicar de manera forzosa la separación de funciones

LEGACY_AUTHORIZATION_ENABLED

Bloquea la autorización heredada en los clústeres de GKE

LEGACY_METADATA_ENABLED

Inhabilita los extremos del servidor de metadatos heredados en Compute Engine

LEGACY_NETWORK

No uses redes heredadas

LOAD_BALANCER_LOGGING_DISABLED

Habilita el registro del balanceador de cargas

LOCKED_RETENTION_POLICY_NOT_SET

Bloquea las políticas de retención de buckets de almacenamiento

LOG_NOT_EXPORTED

Configura receptores de registros

MASTER_AUTHORIZED_NETWORKS_DISABLED

Habilita las redes autorizadas del plano de control en los clústeres de GKE

MFA_NOT_ENFORCED

No disponible

NETWORK_NOT_MONITORED

Configura métricas de registros y alertas para los cambios en la red de VPC

NETWORK_POLICY_DISABLED

Habilita la política de red en los clústeres de GKE

NODEPOOL_BOOT_CMEK_DISABLED

Habilita CMEK en los discos de arranque del grupo de nodos de GKE

NODEPOOL_SECURE_BOOT_DISABLED

Habilita el arranque seguro para los nodos de GKE protegidos

NON_ORG_IAM_MEMBER

No disponible

OBJECT_VERSIONING_DISABLED

Habilita el control de versiones de objetos en los buckets

OPEN_CASSANDRA_PORT

Bloquea las conexiones a los puertos de Cassandra desde todas las direcciones IP

OPEN_CISCOSECURE_WEBSM_PORT

Bloquea las conexiones a los puertos de CiscoSecure/WebSM desde todas las direcciones IP

OPEN_DIRECTORY_SERVICES_PORT

Bloquea las conexiones a los puertos de servicios de directorio desde todas las direcciones IP

OPEN_DNS_PORT

Bloquea las conexiones a los puertos DNS desde todas las direcciones IP

OPEN_ELASTICSEARCH_PORT

Bloquea las conexiones a los puertos de Elasticsearch desde todas las direcciones IP

OPEN_FIREWALL

No disponible

OPEN_FTP_PORT

Bloquea las conexiones a los puertos FTP desde todas las direcciones IP

OPEN_GROUP_IAM_MEMBER

No disponible

OPEN_HTTP_PORT

Bloquea las conexiones a puertos HTTP desde todas las direcciones IP

OPEN_LDAP_PORT

Bloquea las conexiones a los puertos LDAP desde todas las direcciones IP

OPEN_MEMCACHED_PORT

Bloquea las conexiones a los puertos de Memcached desde todas las direcciones IP

OPEN_MONGODB_PORT

Bloquea las conexiones a los puertos de MongoDB desde todas las direcciones IP

OPEN_MYSQL_PORT

Bloquea las conexiones a los puertos de MySQL desde todas las direcciones IP

OPEN_NETBIOS_PORT

Bloquea las conexiones a los puertos de NetBIOS desde todas las direcciones IP

OPEN_ORACLEDB_PORT

Bloquea las conexiones a los puertos de la base de datos de Oracle desde todas las direcciones IP

OPEN_POP3_PORT

Bloquea las conexiones a los puertos del servidor POP3 desde todas las direcciones IP

OPEN_POSTGRESQL_PORT

Bloquea las conexiones a los puertos del servidor de PostgreSQL desde todas las direcciones IP

OPEN_RDP_PORT

Bloquea el acceso al puerto RDP

OPEN_REDIS_PORT

Bloquea las conexiones a los puertos del servidor de Redis desde todas las direcciones IP

OPEN_SMTP_PORT

Bloquea las conexiones a los puertos del servidor SMTP desde todas las direcciones IP

OPEN_SSH_PORT

Bloquea el acceso al puerto SSH

OPEN_TELNET_PORT

Bloquea las conexiones a los puertos del servidor de Telnet desde todas las direcciones IP

ORG_POLICY_CONFIDENTIAL_VM_POLICY

Habilita la restricción de la política de la organización de Confidential VM

OS_LOGIN_DISABLED

Habilita el Acceso al SO para todas las instancias a nivel de proyecto

OVER_PRIVILEGED_ACCOUNT

Usa cuentas de servicio con privilegios mínimos para los clústeres de GKE

OVER_PRIVILEGED_SCOPES

Crea clústeres de GKE con permisos de acceso de cuentas de servicio limitados

OVER_PRIVILEGED_SERVICE_ACCOUNT_USER

Bloquea los roles de administrador de las cuentas de servicio

OWNER_NOT_MONITORED

No disponible

POD_SECURITY_POLICY_DISABLED

No disponible

PRIMITIVE_ROLES_USED

Restringe los roles de IAM heredados

PRIVATE_CLUSTER_DISABLED

Habilita clústeres privados para GKE

PRIVATE_GOOGLE_ACCESS_DISABLED

Habilita el Acceso privado a Google para las subredes de VPC

PUBLIC_BUCKET_ACL

Restringe el acceso público a los buckets de Cloud Storage

PUBLIC_COMPUTE_IMAGE

Restringe el acceso público a las imágenes de Compute

PUBLIC_DATASET

Restringe el acceso público a los conjuntos de datos de BigQuery

PUBLIC_IP_ADDRESS

Restringe las direcciones IP públicas a las instancias de Compute Engine

PUBLIC_LOG_BUCKET

Restringe el acceso público a los buckets de Cloud Storage

PUBLIC_SQL_INSTANCE

Restringe el acceso público a las instancias de base de datos de Cloud SQL

PUBSUB_CMEK_DISABLED

Encripta el tema de Pub/Sub con CMEK

QL_LOG_STATEMENT_STATS_ENABLED

Habilita la marca de instrucción de registro para PostgreSQL

REDIS_ROLE_USED_ON_ORG

No disponible

RELEASE_CHANNEL_DISABLED

Suscribe un clúster de GKE a un canal de versiones

REQUIRE_OS_LOGIN_ORG_POLICY

Habilitar el Acceso al SO

REQUIRE_VPC_CONNECTOR_ORG_POLICY

Define la salida del conector de VPC para Cloud Run Functions

RESTRICT_AUTHORIZED_NETWORKS_ORG_POLICY

Habilita la restricción de la política de la organización Restringir las redes autorizadas en las instancias de Cloud SQL

ROUTE_NOT_MONITORED

Configura métricas de registros y alertas para los cambios de ruta de VPC

RSASHA1_FOR_SIGNING

Evita RSASHA1 para la firma de DNSSEC

S3_BUCKET_ACCESS_LOGGING_ENABLED_CLOUDTRAIL_S3_BUCKET

No disponible

S3_BUCKETS_CONFIGURED_BLOCK_PUBLIC_ACCESS_BUCKET_AND_ACCOUNT_SETTINGS

No disponible

SERVICE_ACCOUNT_KEY_NOT_ROTATED

Exige la rotación de claves de la cuenta de servicio

SERVICE_ACCOUNT_ROLE_SEPARATION

Aplicar de manera forzosa la separación de funciones

SHIELDED_VM_DISABLED

Habilita la VM protegida para las instancias de Compute Engine

SKIP_DEFAULT_NETWORK_CREATION_ORG_POLICY

Restringe la creación de redes predeterminadas para las instancias de Compute Engine

SQL_CMEK_DISABLED

Habilita las CMEK para las bases de datos de Cloud SQL

SQL_CONTAINED_DATABASE_AUTHENTICATION

Desactiva la marca de autenticación de bases de datos independientes para SQL Server

SQL_CROSS_DB_OWNERSHIP_CHAINING

Desactiva la marca de encadenamiento de propiedad de bases de datos cruzadas para SQL Server

SQL_EXTERNAL_SCRIPTS_ENABLED

Desactiva la marca de secuencias de comandos externas para SQL Server

SQL_INSTANCE_NOT_MONITORED

Configura métricas y alertas de registros para los cambios de configuración de Cloud SQL

SQL_LOCAL_INFILE

Desactiva la marca de archivo de entrada local para MySQL

SQL_LOG_CHECKPOINTS_DISABLED

Habilita la marca Log Checkpoints para PostgreSQL

SQL_LOG_CONNECTIONS_DISABLED

Habilita la marca de conexiones de registro para PostgreSQL

SQL_LOG_DISCONNECTIONS_DISABLED

Habilita la marca de desconexiones de registros para PostgreSQL

SQL_LOG_DURATION_DISABLED

Habilita la marca de duración de registros para la instancia de PostgreSQL

SQL_LOG_ERROR_VERBOSITY

Habilita la marca de nivel de detalle de los errores de registro para PostgreSQL

SQL_LOG_EXECUTOR_STATS_ENABLED

Desactiva la marca de estadísticas del ejecutor de registros para PostgreSQL

SQL_LOG_HOSTNAME_ENABLED

Desactiva la marca de nombre de host de registro para PostgreSQL

SQL_LOG_LOCK_WAITS_DISABLED

Habilita la marca de espera de bloqueos de registros para la instancia de PostgreSQL

SQL_LOG_MIN_DURATION_STATEMENT_ENABLED

Desactiva la marca de declaración de duración mínima de registros para PostgreSQL

SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

Habilita la marca de declaración de error mínima de los registros para PostgreSQL

SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY

No disponible

SQL_LOG_MIN_MESSAGE

Habilita la marca de mensajes de registro mínimos para PostgreSQL

SQL_LOG_PARSER_STATS_ENABLED

Desactiva la marca de estadísticas del analizador de registros para PostgreSQL

SQL_LOG_PLANNER_STATS_ENABLED

Desactiva la marca de estadísticas del planificador de registros para PostgreSQL

SQL_LOG_STATEMENT

Habilita la marca de instrucción de registro para PostgreSQL

SQL_LOG_TEMP_FILES

Habilita la marca de registro de archivos temporales para la instancia de PostgreSQL

SQL_NO_ROOT_PASSWORD

No disponible

SQL_PUBLIC_IP

Bloquea las direcciones IP públicas para las instancias de Cloud SQL

SQL_REMOTE_ACCESS_ENABLED

Desactiva la marca de acceso remoto para SQL Server

SQL_SCANNER

Habilita la encriptación SSL en las instancias de AlloyDB

SQL_SKIP_SHOW_DATABASE_DISABLED

Habilita la marca de base de datos Omitir mostrar para MySQL

SQL_TRACE_FLAG_3625

Habilita la marca de base de datos de seguimiento 3625 para SQL Server

SQL_USER_CONNECTIONS_CONFIGURED

No uses la marca de conexiones de usuario para SQL Server

SQL_USER_OPTIONS_CONFIGURED

No uses la marca de opciones de usuario para SQL Server

SQL_WEAK_ROOT_PASSWORD

No disponible

SSL_NOT_ENFORCED

Aplica SSL de manera forzosa para todas las conexiones de base de datos entrantes

TOO_MANY_KMS_USERS

Limita a tres la cantidad de usuarios de claves criptográficas de KMS

UNIFORM_BUCKET_LEVEL_ACCESS_ORG_POLICY

Habilita el acceso uniforme a nivel de bucket en los buckets de Cloud Storage

USER_MANAGED_SERVICE_ACCOUNT_KEY

Restringe las claves de cuentas de servicio administradas por el usuario

VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED

No disponible

WEAK_SSL_POLICY

Restringe las políticas de SSL no seguras para las instancias de Compute Engine

WEB_UI_ENABLED

No uses la IU web de Kubernetes

WORKLOAD_IDENTITY_DISABLED

Habilita Workload Identity Federation for GKE en clústeres

¿Qué sigue?