Pengelola Kepatuhan mencakup banyak kontrol cloud bawaan yang dapat Anda tambahkan ke framework dan di-deploy di lingkungan Anda. Jika diperlukan, Anda dapat membuat dan mengelola kontrol cloud kustom Anda sendiri serta memperbarui kontrol cloud bawaan.
Sebelum memulai
-
Untuk mendapatkan izin yang Anda perlukan guna mengelola framework kontrol cloud, minta administrator Anda untuk memberi Anda peran IAM berikut pada organisasi Anda:
-
Admin Compliance Manager (
roles/cloudsecuritycompliance.admin) -
Untuk membuat atau mengubah kontrol cloud yang didasarkan pada kebijakan organisasi, salah satu dari:
-
Administrator Kebijakan Organisasi (
roles/orgpolicy.policyAdmin) -
Administrator Assured Workloads (
roles/assuredworkloads.admin) -
Editor Assured Workloads (
roles/assuredworkloads.editor)
-
Administrator Kebijakan Organisasi (
Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, baca artikel Mengelola akses ke project, folder, dan organisasi.
Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.
-
Admin Compliance Manager (
Melihat kontrol cloud
Selesaikan langkah-langkah berikut untuk melihat kontrol cloud bawaan dan kontrol cloud kustom yang telah Anda buat.
Di konsol Google Cloud , buka halaman Compliance.
Pilih organisasi Anda.
Di tab Configure, klik Cloud Controls. Kontrol cloud yang tersedia akan ditampilkan.
Dasbor ini mencakup informasi tentang framework mana yang menyertakan kontrol cloud dan jumlah resource (organisasi, folder, dan project) yang menerapkan kontrol cloud.
Untuk melihat detail tentang kontrol cloud, klik nama kontrol.
Membuat kontrol cloud kustom
Kontrol cloud kustom hanya berlaku untuk satu jenis resource. Satu-satunya jenis data yang didukung adalah resource Inventaris Aset Cloud. Kontrol cloud kustom tidak mendukung parameter.
Di konsol Google Cloud , buka halaman Compliance.
Pilih organisasi Anda.
Di tab Configure, klik Cloud Controls. Daftar kontrol cloud yang tersedia akan ditampilkan.
Buat kontrol cloud, baik dengan Gemini maupun secara manual:
Gunakan Gemini
Minta Gemini membuat kontrol cloud untuk Anda. Berdasarkan perintah Anda, Gemini akan memberikan ID unik, nama, logika deteksi terkait, dan kemungkinan langkah-langkah perbaikan.
Tinjau rekomendasi dan lakukan perubahan yang diperlukan.
Simpan kontrol cloud kustom Anda.
Buat secara manual
Di ID kontrol cloud, berikan ID unik untuk kontrol Anda.
Masukkan nama dan deskripsi untuk membantu pengguna di organisasi Anda memahami tujuan kontrol cloud kustom.
Opsional: Pilih kategori untuk kontrol. Klik Lanjutkan.
Pilih jenis resource yang tersedia untuk kontrol cloud kustom Anda. Compliance Manager mendukung semua jenis resource. Untuk menemukan nama resource, lihat Jenis aset.
Berikan logika deteksi untuk kontrol cloud Anda, dalam format Common Expression Language (CEL).
Ekspresi CEL memungkinkan Anda menentukan cara mengevaluasi properti resource. Untuk mengetahui informasi dan contoh selengkapnya, lihat Menulis aturan untuk kontrol cloud kustom. Klik Continue.
Jika aturan evaluasi Anda tidak valid, error akan ditampilkan.
Pilih tingkat keparahan temuan yang sesuai.
Tulis petunjuk perbaikan Anda sehingga petugas respons insiden dan administrator di organisasi Anda dapat menyelesaikan temuan apa pun untuk kontrol cloud. Klik Lanjutkan.
Tinjau entri Anda, lalu klik Buat.
Mengedit kontrol cloud kustom
Setelah membuat kontrol cloud, Anda dapat mengubah nama, deskripsi, aturan, langkah perbaikan, dan tingkat keparahannya. Anda tidak dapat mengubah kategori kontrol cloud.
Di konsol Google Cloud , buka halaman Compliance.
Pilih organisasi Anda.
Di tab Configure, klik Cloud Controls. Daftar kontrol cloud yang tersedia akan ditampilkan.
Klik kontrol cloud yang ingin Anda edit.
Di halaman Detail kontrol cloud, pastikan kontrol cloud tidak disertakan dalam framework. Jika diperlukan, edit framework untuk menghapus kontrol cloud.
Klik Edit.
Di halaman Edit kontrol cloud kustom, ubah nama dan deskripsi sesuai kebutuhan. Klik Continue.
Perbarui aturan, tingkat keparahan temuan, dan langkah-langkah perbaikan. Klik Lanjutkan.
Tinjau perubahan Anda, lalu klik Simpan.
Memperbarui kontrol cloud bawaan ke rilis yang lebih baru
Google memublikasikan update rutin pada kontrol cloud bawaannya saat layanan men-deploy fitur baru atau saat praktik terbaik baru muncul. Pembaruan dapat mencakup kontrol baru atau perubahan pada kontrol yang ada.
Anda dapat melihat rilis kontrol cloud bawaan di dasbor kontrol cloud di tab Konfigurasi atau di halaman detail kontrol cloud.
Google akan memberi tahu Anda di catatan rilis saat item berikut diperbarui:
- Nama kontrol cloud
- Kategori temuan
- Perubahan pada logika detektif atau preventif dalam aturan
- Logika dasar aturan
Untuk memperbarui kontrol cloud setelah Anda menerima notifikasi, Anda harus membatalkan penetapan dan men-deploy ulang framework yang menyertakan kontrol cloud. Untuk mengetahui petunjuknya, lihat Memperbarui framework ke rilis yang lebih baru.
Menghapus kontrol cloud kustom
Menghapus kontrol cloud jika tidak diperlukan lagi. Anda hanya dapat menghapus kontrol cloud yang Anda buat. Anda tidak dapat menghapus kontrol cloud bawaan.
Di konsol Google Cloud , buka halaman Compliance.
Pilih organisasi Anda.
Di tab Configure, klik Cloud Controls. Daftar kontrol cloud yang tersedia akan ditampilkan.
Klik kontrol cloud yang ingin Anda hapus.
Di halaman Detail kontrol cloud, pastikan kontrol cloud tidak disertakan dalam framework. Jika diperlukan, edit framework untuk menghapus kontrol cloud.
Klik Hapus.
Di jendela Hapus, tinjau pesan. Ketik
Delete, lalu klik Konfirmasi.
Pemetaan detektor Security Health Analytics ke kontrol cloud
Tabel berikut menunjukkan cara kontrol cloud Compliance Manager dipetakan ke detektor Security Health Analytics.
| Kategori temuan di Security Health Analytics | Nama kontrol cloud di Compliance Manager |
|---|---|
|
Mengaktifkan Transparansi Akses |
|
Memblokir Peran Administrator dari Akun Layanan |
|
Mengonfigurasi Batasan Kebijakan Organisasi Cloud Run untuk Setelan Ingress yang Diizinkan |
|
Mengonfigurasi Setelan Egress VPC yang Diizinkan untuk Batasan Kebijakan Organisasi Cloud Run |
|
Mengaktifkan Pencadangan Otomatis AlloyDB di Cluster |
|
Mengaktifkan Cadangan AlloyDB di Cluster |
|
Mengaktifkan CMEK untuk Cluster AlloyDB |
|
Menetapkan Flag Tingkat Detail Error Log untuk Instance AlloyDB |
|
Menetapkan Flag Pernyataan Error Minimum Log untuk Instance AlloyDB |
|
Menetapkan Flag Pesan Log Minimum untuk Instance AlloyDB |
|
Memblokir Alamat IP Publik untuk Instance Cluster AlloyDB |
|
Menonaktifkan Fitur Alfa di Cluster GKE |
|
Membatasi Kunci API Hanya untuk API yang Diperlukan |
|
Tidak tersedia |
|
Mewajibkan Rotasi Kunci API |
|
Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Logging Audit |
|
Menerapkan Pencatatan Peristiwa untuk Layanan Google Cloud |
|
Mengaktifkan Pencadangan Otomatis untuk Database Cloud SQL |
|
Mengaktifkan Perbaikan Otomatis untuk Cluster GKE |
|
Mengaktifkan Upgrade Otomatis di Cluster GKE |
|
Mengaktifkan CMEK untuk Tabel BigQuery |
|
Mewajibkan Otorisasi Biner di Cluster |
|
Mengaktifkan CMEK untuk Bucket Cloud Storage |
|
Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Kebijakan IAM Cloud Storage |
|
Mewajibkan Logging Bucket Cloud Storage |
|
Mengaktifkan Akses Level Bucket yang Seragam di Bucket Cloud Storage |
|
Mengaktifkan Layanan Inventaris Aset Cloud |
|
Mengaktifkan Cloud Logging di Cluster GKE |
|
Mengaktifkan Cloud Monitoring di Cluster GKE |
|
Mengaktifkan Akses Google Pribadi di instance |
|
Mengaktifkan Enkripsi di Cluster GKE |
|
Mengaktifkan Shielded GKE Node di Cluster |
|
Memblokir Kunci SSH di Seluruh Project pada Instance Compute Engine |
|
Mengaktifkan Booting Aman di Instance Compute Engine |
|
Memblokir Port Serial untuk Instance Compute Engine |
|
Mengaktifkan Confidential Computing untuk Instance Compute Engine |
|
Mewajibkan Container-Optimized OS untuk Cluster GKE |
|
Tidak tersedia |
|
Mengonfigurasi Metrik Log dan Notifikasi untuk Perubahan Peran Khusus |
|
Mewajibkan CMEK di Cluster Dataproc |
|
Menggunakan Versi Image Terbaru di Cluster Dataproc |
|
Mengaktifkan CMEK untuk Set Data BigQuery |
|
Menggunakan Jaringan dengan Aturan Firewall Kustom |
|
Menggunakan Akun Layanan Kustom untuk Instance Compute Engine |
|
Mengonfigurasi Kebijakan Organisasi Nonaktifkan Penggunaan IPv6 Eksternal VPC |
|
Mengonfigurasi Kebijakan Organisasi Nonaktifkan Penggunaan IPv6 Eksternal VPC |
|
Mengonfigurasi Kebijakan Organisasi Nonaktifkan Logging Port Serial VM ke Stackdriver |
|
Mengaktifkan CMEK di Persistent Disk Compute Engine |
|
Mengaktifkan CSEK di Persistent Disk Compute Engine |
|
Mengaktifkan Pemantauan Log Cloud DNS |
|
Mengaktifkan DNSSEC untuk Cloud DNS |
|
Menerapkan Aturan Firewall Keluar Tolak Semua |
|
Menentukan Kontak Penting |
|
Mengonfigurasi Metrik Log dan Notifikasi untuk Perubahan Firewall Jaringan VPC |
|
Mengaktifkan Logging Aturan Firewall |
|
Mengaktifkan Log Alur untuk Subnet VPC |
|
Membatasi Akses API ke Google Cloud API untuk Instance Compute Engine |
|
Menerapkan Hanya Traffic HTTPS |
|
Menentukan Perimeter Layanan di Kontrol Layanan VPC |
|
Mengaktifkan Login OS |
|
Mengaktifkan Pemantauan Integritas di Cluster GKE |
|
Mengaktifkan Visibilitas Intranode untuk Cluster GKE |
|
Mengaktifkan Rentang IP Alias untuk Cluster GKE |
|
Mencegah Penerusan IP di Instance Compute Engine |
|
Menentukan Periode Rotasi untuk Kunci Cloud KMS |
|
Tidak tersedia |
|
Tidak tersedia |
|
Menerapkan Pemisahan Tugas |
|
Memblokir Otorisasi Lama di Cluster GKE |
|
Menonaktifkan Endpoint Server Metadata Lama di Compute Engine |
|
Jangan Menggunakan Jaringan Lama |
|
Mengaktifkan Logging Load Balancer |
|
Mengunci Kebijakan Retensi Bucket Penyimpanan |
|
Mengonfigurasi Sink Log |
|
Mengaktifkan Jaringan yang Diizinkan Bidang Kontrol di Cluster GKE |
|
Tidak tersedia |
|
Mengonfigurasi Metrik dan Pemberitahuan Log untuk Perubahan Jaringan VPC |
|
Mengaktifkan Kebijakan Jaringan di Cluster GKE |
|
Mengaktifkan CMEK di Boot Disk Node Pool GKE |
|
Mengaktifkan Booting Aman untuk Shielded GKE Node |
|
Tidak tersedia |
|
Mengaktifkan Pembuatan Versi Objek di Bucket |
|
Memblokir Koneksi ke Port Cassandra dari Semua Alamat IP |
|
Memblokir Koneksi ke Port CiscoSecure/WebSM dari Semua Alamat IP |
|
Memblokir Koneksi ke Port Layanan Direktori dari Semua Alamat IP |
|
Memblokir Koneksi ke Port DNS dari Semua Alamat IP |
|
Memblokir Koneksi ke Port Elasticsearch dari Semua Alamat IP |
|
Tidak tersedia |
|
Memblokir Koneksi ke Port FTP dari Semua Alamat IP |
|
Tidak tersedia |
|
Memblokir Koneksi ke Port HTTP dari Semua Alamat IP |
|
Memblokir Koneksi ke Port LDAP dari Semua Alamat IP |
|
Blokir Koneksi ke Port Memcached dari Semua Alamat IP |
|
Memblokir Koneksi ke Port MongoDB dari Semua Alamat IP |
|
Memblokir Koneksi ke Port MySQL dari Semua Alamat IP |
|
Memblokir Koneksi ke Port NetBIOS dari Semua Alamat IP |
|
Memblokir Koneksi ke Port Database Oracle dari Semua Alamat IP |
|
Memblokir Koneksi ke Port Server POP3 dari Semua Alamat IP |
|
Memblokir Koneksi ke Port Server PostgreSQL dari Semua Alamat IP |
|
Memblokir Akses ke Port RDP |
|
Memblokir Koneksi ke Port Server Redis dari Semua Alamat IP |
|
Memblokir Koneksi ke Port Server SMTP dari Semua Alamat IP |
|
Memblokir Akses ke Port SSH |
|
Memblokir Koneksi ke Port Server Telnet dari Semua Alamat IP |
|
Mengaktifkan Batasan Kebijakan Organisasi Confidential VM |
|
Mengaktifkan Login OS untuk Semua Instance di Level Project |
|
Menggunakan Akun Layanan dengan Hak Istimewa Terendah untuk Cluster GKE |
|
Membuat Cluster GKE dengan Cakupan Akses Akun Layanan Terbatas |
|
Memblokir Peran Administrator dari Akun Layanan |
|
Tidak tersedia |
|
Tidak tersedia |
|
Membatasi Peran IAM Lama |
|
Mengaktifkan Cluster Pribadi untuk GKE |
|
Mengaktifkan Akses Google Pribadi untuk Subnet VPC |
|
Membatasi Akses Publik ke Bucket Cloud Storage |
|
Membatasi Akses Publik ke Image Compute |
|
Membatasi Akses Publik ke Set Data BigQuery |
|
Membatasi Alamat IP Publik ke Instance Compute Engine |
|
Membatasi Akses Publik ke Bucket Cloud Storage |
|
Membatasi Akses Publik ke Instance Database Cloud SQL |
|
Mengenkripsi topik Pub/Sub dengan CMEK |
|
Mengaktifkan Flag Pernyataan Log untuk PostgreSQL |
|
Tidak tersedia |
|
Menyubscribe Cluster GKE ke Saluran Rilis |
|
Mengaktifkan Login OS |
|
Menentukan Egress VPC Connector untuk Fungsi Cloud Run |
|
Aktifkan Batasan Kebijakan Organisasi Batasi Jaringan yang Diizinkan di Instance Cloud SQL |
|
Mengonfigurasi Metrik dan Notifikasi Log untuk Perubahan Rute VPC |
|
Hindari RSASHA1 untuk Penandatanganan DNSSEC |
|
Tidak tersedia |
|
Tidak tersedia |
|
Mewajibkan Rotasi Kunci Akun Layanan |
|
Menerapkan Pemisahan Tugas |
|
Mengaktifkan Shielded VM untuk Instance Compute Engine |
|
Membatasi Pembuatan Jaringan Default untuk Instance Compute Engine |
|
Mengaktifkan CMEK untuk Database Cloud SQL |
|
Menonaktifkan Flag Autentikasi Database Mandiri untuk SQL Server |
|
Menonaktifkan Flag Cross Database Ownership Chaining untuk SQL Server |
|
Menonaktifkan Flag Skrip Eksternal untuk SQL Server |
|
Mengonfigurasi Metrik dan Notifikasi Log untuk Perubahan Konfigurasi Cloud SQL |
|
Menonaktifkan Flag Local Infile untuk MySQL |
|
Mengaktifkan Flag Checkpoint Log untuk PostgreSQL |
|
Mengaktifkan Flag Koneksi Log untuk PostgreSQL |
|
Mengaktifkan Flag Log Disconnections untuk PostgreSQL |
|
Mengaktifkan Flag Durasi Log untuk instance PostgreSQL |
|
Mengaktifkan Flag Tingkat Detail Error Log untuk PostgreSQL |
|
Menonaktifkan Flag Statistik Eksekutor Log untuk PostgreSQL |
|
Menonaktifkan Flag Nama Host Log untuk PostgreSQL |
|
Mengaktifkan Flag Tunggu Kunci Log untuk instance PostgreSQL |
|
Menonaktifkan Flag Pernyataan Durasi Log Minimum untuk PostgreSQL |
|
Mengaktifkan Flag Pernyataan Error Log Min untuk PostgreSQL |
|
Tidak tersedia |
|
Mengaktifkan Flag Pesan Log Min untuk PostgreSQL |
|
Menonaktifkan Flag Statistik Parser Log untuk PostgreSQL |
|
Menonaktifkan Flag Statistik Perencana Log untuk PostgreSQL |
|
Mengaktifkan Flag Pernyataan Log untuk PostgreSQL |
|
Mengaktifkan Flag Log Temp Files untuk instance PostgreSQL |
|
Tidak tersedia |
|
Memblokir Alamat IP Publik untuk Instance Cloud SQL |
|
Menonaktifkan Flag Akses Jarak Jauh untuk SQL Server |
|
Mengaktifkan Enkripsi SSL pada Instance AlloyDB |
|
Mengaktifkan Flag Database Skip Show untuk MySQL |
|
Mengaktifkan Flag Database Pelacakan 3625 untuk SQL Server |
|
Jangan Gunakan Flag Koneksi Pengguna untuk SQL Server |
|
Jangan Gunakan Flag Opsi Pengguna untuk SQL Server |
|
Tidak tersedia |
|
Menerapkan SSL untuk semua Koneksi Database Masuk |
|
Membatasi Pengguna Kunci Kriptografis KMS hingga Tiga |
|
Mengaktifkan Akses Level Bucket yang Seragam di Bucket Cloud Storage |
|
Membatasi Kunci Akun Layanan yang Dikelola Pengguna |
|
Tidak tersedia |
|
Membatasi Kebijakan SSL yang Tidak Aman untuk Instance Compute Engine |
|
Jangan Menggunakan UI Web Kubernetes |
|
Mengaktifkan Workload Identity Federation for GKE di cluster |