Compliance Manager には、フレームワークに追加して環境にデプロイできる組み込みのクラウド コントロールが多数含まれています。必要に応じて、独自のカスタム クラウド コントロールを作成して管理し、組み込みのクラウド コントロールを更新できます。
始める前に
-
クラウド コントロール フレームワークの管理に必要な権限を取得するには、組織に対する次の IAM ロールを付与するよう管理者に依頼してください。
- コンプライアンス マネージャー管理者（
roles/cloudsecuritycompliance.admin） -
組織のポリシーに基づくクラウド コントロールを作成または変更するには、次のいずれかが必要です。
- 組織のポリシー管理者（
roles/orgpolicy.policyAdmin） - Assured Workloads 管理者（
roles/assuredworkloads.admin） - Assured Workloads 編集者（
roles/assuredworkloads.editor）
- 組織のポリシー管理者（
ロールの付与については、プロジェクト、フォルダ、組織へのアクセス権の管理をご覧ください。
- コンプライアンス マネージャー管理者（
クラウド コントロールを表示する
組み込みのクラウド コントロールと、すでに作成したカスタム クラウド コントロールを表示するには、次の手順を行います。
Google Cloud コンソールで、[コンプライアンス] ページに移動します。
組織を選択する。
[構成] タブで、[クラウド コントロール] をクリックします。使用可能なクラウド コントロールが表示されます。
ダッシュボードには、クラウド コントロールを含むフレームワークと、クラウド コントロールが適用されているリソース（組織、フォルダ、プロジェクト）の数に関する情報が表示されます。
クラウド コントロールの詳細を表示するには、コントロール名をクリックします。
カスタム クラウド コントロールを作成する
カスタム クラウド コントロールは、1 つのリソースタイプにのみ適用されます。サポートされているデータタイプは Cloud Asset Inventory リソースのみです。カスタム クラウド コントロールはパラメータをサポートしていません。
Google Cloud コンソールで、[コンプライアンス] ページに移動します。
組織を選択する。
[構成] タブで、[クラウド コントロール] をクリックします。使用可能なクラウド コントロールのリストが表示されます。
Gemini を使用するか手動で、クラウド コントロールを作成します。
Gemini を使用する
Gemini にクラウド コントロールの生成を依頼します。Gemini は、プロンプトに基づいて、固有識別子、名前、関連する検出ロジック、可能な修復手順を提供します。
推奨事項を確認し、必要な変更を加えます。
カスタム クラウド コントロールを保存します。
手動で作成する
[クラウド コントロール ID] に、コントロールの固有識別子を指定します。
組織内のユーザーがカスタム クラウド コントロールの目的を理解できるように、名前と説明を入力します。
省略可: コントロールのカテゴリを選択します。[続行] をクリックします。
カスタム クラウド コントロールで使用可能なリソースタイプを選択します。Compliance Manager はすべてのリソースタイプをサポートしています。リソースの名前を確認するには、アセットタイプをご覧ください。
Common Expression Language（CEL）形式で、クラウド コントロールの検出ロジックを指定します。
CEL 式を使用すると、リソースのプロパティを評価する方法を定義できます。詳細と例については、カスタム クラウド コントロールのルールを作成するをご覧ください。[続行] をクリックします。
評価ルールが無効な場合は、エラーが表示されます。
適切な検出結果の重大度を選択します。
組織のインシデント対応者と管理者がクラウド コントロールの検出結果を解決できるように、修復手順を記述します。[続行] をクリックします。
入力内容を確認し、[作成] をクリックします。
カスタム クラウド コントロールを編集する
クラウド コントロールを作成した後、名前、説明、ルール、修復手順、重大度レベルを変更できます。クラウド コントロールのカテゴリは変更できません。
Google Cloud コンソールで、[コンプライアンス] ページに移動します。
組織を選択する。
[構成] タブで、[クラウド コントロール] をクリックします。使用可能なクラウド コントロールのリストが表示されます。
編集するクラウド コントロールをクリックします。
[クラウド コントロールの詳細] ページで、クラウド コントロールがフレームワークに含まれていないことを確認します。必要に応じて、フレームワークを編集してクラウド コントロールを削除します。
[編集] をクリックします。
[カスタム クラウド コントロールの編集] ページで、必要に応じて名前と説明を変更します。[続行] をクリックします。
ルール、検出結果の重大度、修復手順を更新します。[続行] をクリックします。
変更内容を確認して、[保存] をクリックします。
組み込みのクラウド制御を新しいリリースに更新する
Google は、サービスで新機能がデプロイされた場合や、新しいベスト プラクティスが登場した場合に、組み込みのクラウド コントロールの定期的な更新を公開します。更新には、新しいコントロールの追加や既存のコントロールの変更が含まれます。
組み込みのクラウド コントロールのリリースは、[構成] タブのクラウド コントロール ダッシュボードまたはクラウド コントロールの詳細ページで確認できます。
次の項目が更新されると、リリースノートでお知らせします。
- Cloud コントロール名
- 検出結果のカテゴリ
- ルールの検出ロジックまたは予防ロジックの変更
- ルールの基盤となるロジック
通知を受け取った後にクラウド コントロールを更新するには、クラウド コントロールを含むフレームワークの割り当てを解除して再デプロイする必要があります。手順については、フレームワークを新しいリリースに更新するをご覧ください。
カスタム クラウド コントロールを削除する
不要になったクラウド コントロールを削除します。削除できるのは、作成したクラウド コントロールのみです。組み込みのクラウド コントロールは削除できません。
Google Cloud コンソールで、[コンプライアンス] ページに移動します。
組織を選択する。
[構成] タブで、[クラウド コントロール] をクリックします。使用可能なクラウド コントロールのリストが表示されます。
削除するクラウド コントロールをクリックします。
[クラウド コントロールの詳細] ページで、クラウド コントロールがフレームワークに含まれていないことを確認します。必要に応じて、フレームワークを編集してクラウド コントロールを削除します。
[削除] をクリックします。
[削除] ウィンドウで、メッセージを確認します。「
Delete」と入力して、[確定] をクリックします。
Security Health Analytics の検出機能とクラウド コントロールのマッピング
次の表に、Compliance Manager のクラウド制御が Security Health Analytics の検出機能にどのようにマッピングされるかを示します。
| Security Health Analytics の検出結果のカテゴリ | コンプライアンス マネージャーのクラウド コントロール名 |
|---|---|
|
アクセスの透明性を有効にする |
|
サービス アカウントからの管理者ロールのブロック |
|
Cloud Run 組織のポリシー制約に対して許可される上り（内向き）設定を構成する |
|
Cloud Run 組織のポリシー制約の許可される VPC 下り（外向き）設定を構成する |
|
クラスタで AlloyDB 自動バックアップを有効にする |
|
クラスタで AlloyDB バックアップを有効にする |
|
AlloyDB クラスタの CMEK を有効にする |
|
AlloyDB インスタンスのログエラーの詳細度フラグを設定する |
|
AlloyDB インスタンスのログ最小エラー ステートメント フラグを設定する |
|
AlloyDB インスタンスのログ最小メッセージ フラグを設定する |
|
AlloyDB クラスタ インスタンスのパブリック IP アドレスをブロックする |
|
GKE クラスタでアルファ版機能を無効にする |
|
必要な API のみに API キーを制限する |
|
利用不可 |
|
API キーのローテーションを必須にする |
|
監査ロギングの変更に関するログ指標とアラートを構成する |
|
Google Cloud サービスのイベント ロギングを実装する |
|
Cloud SQL データベースの自動バックアップを有効にする |
|
GKE クラスタの自動修復を有効にする |
|
GKE クラスタで自動アップグレードを有効にする |
|
BigQuery テーブルの CMEK を有効にする |
|
クラスタで Binary Authorization を必須にする |
|
Cloud Storage バケットの CMEK を有効にする |
|
Cloud Storage IAM ポリシーの変更に関するログ指標とアラートを構成する |
|
Cloud Storage バケットのロギングを必須にする |
|
Cloud Storage バケットで均一なバケットレベルのアクセスを有効にする |
|
Cloud Asset Inventory サービスを有効にする |
|
GKE クラスタで Cloud Logging を有効にする |
|
GKE クラスタで Cloud Monitoring を有効にする |
|
インスタンスで限定公開の Google アクセスを有効にする |
|
GKE クラスタで暗号化を有効にする |
|
クラスタで Shielded GKE Nodes を有効にする |
|
Compute Engine インスタンスでプロジェクト全体の SSH 認証鍵をブロックする |
|
Compute Engine インスタンスでセキュアブートを有効にする |
|
Compute Engine インスタンスのシリアルポートをブロックする |
|
Compute Engine インスタンスで Confidential Computing を有効にする |
|
GKE クラスタに Container-Optimized OS を要求する |
|
利用不可 |
|
カスタムロールの変更に関するログ指標とアラートを構成する |
|
Dataproc クラスタで CMEK を必須にする |
|
Dataproc クラスタで最新のイメージ バージョンを使用する |
|
BigQuery データセットの CMEK を有効にする |
|
カスタム ファイアウォール ルールを含むネットワークを使用する |
|
Compute Engine インスタンスにカスタム サービス アカウントを使用する |
|
VPC 外部 IPv6 の使用を無効にする組織のポリシーを構成する |
|
VPC 外部 IPv6 の使用を無効にする組織のポリシーを構成する |
|
Stackdriver への VM シリアルポート ロギングを無効にする組織のポリシーを構成する |
|
Compute Engine Persistent Disk で CMEK を有効にする |
|
Compute Engine Persistent Disk で CSEK を有効にする |
|
Cloud DNS ログ モニタリングを有効にする |
|
Cloud DNS で DNSSEC を有効にする |
|
すべての下り（外向き）を拒否するファイアウォール ルールを適用する |
|
重要な連絡先を定義する |
|
VPC ネットワーク ファイアウォールの変更に関するログ指標とアラートを構成する |
|
ファイアウォール ルール ロギングを有効にする |
|
VPC サブネットのフローログを有効にする |
|
Compute Engine インスタンスの Google Cloud APIs への API アクセスを制限する |
|
HTTPS トラフィックのみを適用する |
|
VPC Service Controls でサービス境界を定義する |
|
OS Login を有効にする |
|
GKE クラスタで整合性モニタリングを有効にする |
|
GKE クラスタのノード内の可視化を有効にする |
|
GKE クラスタの IP エイリアス範囲を有効にする |
|
Compute Engine インスタンスでの IP 転送を防止する |
|
Cloud KMS 鍵のローテーション期間を定義する |
|
利用不可 |
|
利用不可 |
|
職務の分離を強制する |
|
GKE クラスタで以前の承認をブロックする |
|
Compute Engine で以前のメタデータ サーバー エンドポイントを無効にする |
|
レガシー ネットワークを使用しない |
|
ロードバランサのロギングを有効にする |
|
ストレージ バケットの保持ポリシーをロックする |
|
ログシンクを構成する |
|
GKE クラスタでコントロール プレーン承認済みネットワークを有効にする |
|
利用不可 |
|
VPC ネットワークの変更のログ指標とアラートを構成する |
|
GKE クラスタでネットワーク ポリシーを有効にする |
|
GKE ノードプールのブートディスクで CMEK を有効にする |
|
Shielded GKE Nodes のセキュアブートを有効にする |
|
利用不可 |
|
バケットでオブジェクトのバージョニングを有効にする |
|
すべての IP アドレスからの Cassandra ポートへの接続をブロックする |
|
すべての IP アドレスからの CiscoSecure/WebSM ポートへの接続をブロックする |
|
すべての IP アドレスからのディレクトリ サービス ポートへの接続をブロックする |
|
すべての IP アドレスからの DNS ポートへの接続をブロックする |
|
すべての IP アドレスからの Elasticsearch ポートへの接続をブロックする |
|
利用不可 |
|
すべての IP アドレスからの FTP ポートへの接続をブロックする |
|
利用不可 |
|
すべての IP アドレスからの HTTP ポートへの接続をブロックする |
|
すべての IP アドレスからの LDAP ポートへの接続をブロックする |
|
すべての IP アドレスからの Memcached ポートへの接続をブロックする |
|
すべての IP アドレスからの MongoDB ポートへの接続をブロックする |
|
すべての IP アドレスからの MySQL ポートへの接続をブロックする |
|
すべての IP アドレスからの NetBIOS ポートへの接続をブロックする |
|
すべての IP アドレスからの Oracle Database ポートへの接続をブロックする |
|
すべての IP アドレスからの POP3 サーバー ポートへの接続をブロックする |
|
すべての IP アドレスからの PostgreSQL サーバーポートへの接続をブロックする |
|
RDP ポートへのアクセスをブロックする |
|
すべての IP アドレスからの Redis サーバーポートへの接続をブロックする |
|
すべての IP アドレスからの SMTP サーバー ポートへの接続をブロックする |
|
SSH ポートへのアクセスをブロックする |
|
すべての IP アドレスからの Telnet サーバー ポートへの接続をブロックする |
|
Confidential VM 組織のポリシーの制約を有効にする |
|
プロジェクト レベルですべてのインスタンスに対して OS Login を有効にする |
|
GKE クラスタに最小権限のサービス アカウントを使用する |
|
制限付きサービス アカウント アクセス スコープを使用して GKE クラスタを作成する |
|
サービス アカウントからの管理者ロールのブロック |
|
利用不可 |
|
利用不可 |
|
以前の IAM ロールを制限する |
|
GKE 用の限定公開クラスタを有効にする |
|
VPC サブネットで限定公開の Google アクセスを有効にする |
|
Cloud Storage バケットへの公開アクセスを制限する |
|
コンピューティング イメージへの公開アクセスを制限する |
|
BigQuery データセットへの一般公開アクセスを制限する |
|
パブリック IP アドレスを Compute Engine インスタンスに制限する |
|
Cloud Storage バケットへの公開アクセスを制限する |
|
Cloud SQL データベース インスタンスへのパブリック アクセスを制限する |
|
CMEK で Pub/Sub トピックを暗号化する |
|
PostgreSQL のログ ステートメント フラグを有効にする |
|
利用不可 |
|
GKE クラスタをリリース チャンネルに登録する |
|
OS Login を有効にする |
|
Cloud Run Functions の VPC コネクタの下り（外向き）を定義する |
|
Cloud SQL インスタンスに対する承認済みネットワークを制限する組織のポリシーの制約を有効にする |
|
VPC ルートの変更のログ指標とアラートを構成する |
|
DNSSEC 署名に RSASHA1 を使用しない |
|
利用不可 |
|
利用不可 |
|
サービス アカウント キーのローテーションを必須にする |
|
職務の分離を強制する |
|
Compute Engine インスタンスで Shielded VM を有効にする |
|
Compute Engine インスタンスのデフォルト ネットワークの作成を制限する |
|
Cloud SQL データベースの CMEK を有効にする |
|
SQL Server の包含データベース認証フラグをオフにする |
|
SQL Server のデータベース間の所有権チェーン フラグをオフにする |
|
SQL Server の外部スクリプト フラグをオフにする |
|
Cloud SQL 構成の変更のログ指標とアラートを構成する |
|
MySQL の Local Infile フラグをオフにする |
|
PostgreSQL のログ チェックポイント フラグを有効にする |
|
PostgreSQL の Log Connections フラグを有効にする |
|
PostgreSQL の接続解除ログフラグを有効にする |
|
PostgreSQL インスタンスのログ期間フラグを有効にする |
|
PostgreSQL のログエラー詳細度フラグを有効にする |
|
PostgreSQL のログ エグゼキュータの統計情報フラグをオフにする |
|
PostgreSQL のログホスト名フラグをオフにする |
|
PostgreSQL インスタンスのログロック待機フラグを有効にする |
|
PostgreSQL の最小時間ステートメント フラグのログ出力をオフにする |
|
PostgreSQL の最小エラー ステートメント フラグのログ出力を有効にする |
|
利用不可 |
|
PostgreSQL の Log Min Messages フラグを有効にする |
|
PostgreSQL のログパーサー統計情報フラグをオフにする |
|
PostgreSQL の Log Planner 統計情報フラグをオフにする |
|
PostgreSQL のログ ステートメント フラグを有効にする |
|
PostgreSQL インスタンスの Log Temp Files フラグを有効にする |
|
利用不可 |
|
Cloud SQL インスタンスのパブリック IP アドレスをブロックする |
|
SQL Server のリモート アクセス フラグをオフにする |
|
AlloyDB インスタンスで SSL 暗号化を有効にする |
|
MySQL のデータベース表示のスキップ フラグを有効にする |
|
SQL Server の 3625 トレース データベース フラグを有効にする |
|
SQL Server のユーザー接続フラグを使用しない |
|
SQL Server のユーザー オプション フラグを使用しない |
|
利用不可 |
|
すべての受信データベース接続に SSL を適用する |
|
KMS 暗号鍵のユーザーを 3 人に制限する |
|
Cloud Storage バケットで均一なバケットレベルのアクセスを有効にする |
|
ユーザー管理サービス アカウント キーを制限する |
|
利用不可 |
|
Compute Engine インスタンスの安全でない SSL ポリシーを制限する |
|
Kubernetes ウェブ UI を使用しない |
|
クラスタで Workload Identity Federation for GKE を有効にする |