Regeln für benutzerdefinierte Cloud-Kontrollen schreiben

Wenn Sie eine benutzerdefinierte Cloud Kontrolle, erstellen, verwenden Sie Ausdrücke in Common Expression Language (CEL), um die Regeln zu erstellen, mit denen die Attribute der gescannten Ressource ausgewertet werden. Unterstützte Ressourcen sind Cloud Asset Inventory Ressourcentypen. REST APIs werden nicht unterstützt.

Ihre Ausdrücke können Prüfungen eines einzelnen Werts oder komplexere zusammengesetzte Ausdrücke sein, mit denen mehrere Werte oder Bedingungen geprüft werden. In beiden Fällen muss der Ausdruck in einen booleschen Wert false aufgelöst werden, um ein Ergebnis auszulösen.

CEL-Ausdrücke, die Ressourcenattribute auswerten, müssen den folgenden Regeln entsprechen:

  • Die in einem CEL-Ausdruck angegebenen Attribute müssen Attribute der gescannten Ressource sein, wie in der API-Definition des Ressourcentyps definiert.

  • Alle Enums in einem CEL-Ausdruck müssen als Strings dargestellt werden. Der folgende Ausdruck ist beispielsweise für den Ressourcentyp cloudkms.googleapis.com/CryptoKeyVersion gültig:

    resource.data.state = "PENDING_GENERATION"

  • Das Ergebnis der CEL-Ausdrücke, die Sie im Attribut condition definieren, muss ein boolescher Wert sein. Ein Ergebnis wird nur ausgelöst, wenn das Ergebnis false ist.

Den Namen einer Ressource finden Sie unter Asset Typen.

Weitere Informationen zu CEL finden Sie hier:

Beispiel-CEL-Ausdrücke

In der folgenden Tabelle sind einige CEL-Ausdrücke aufgeführt, mit denen Sie Ressourcenattribute auswerten können.

Ressourcentyp Beschreibung CEL-Ausdruck
cloudkms.googleapis.com/CryptoKey Rotationszeitraum des Cloud KMS-Schlüssels prüfen has(resource.data.rotationPeriod) && resource.data.rotationPeriod < duration('60h')
compute.googleapis.com/Network Regel für Virtual Private Cloud-Peering mit Netzwerk-Peers abgleichen resource.data.selfLink.matches('https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/default') || resource.data.peerings.exists(p, p.network.matches('https://www.googleapis.com/compute/v1/projects/PROJECT_ID/global/networks/shared$'))
cloudfunctions.googleapis.com/CloudFunction Nur internen eingehenden Traffic für eine Cloud Run-Funktion zulassen has(resource.data.ingressSettings) && resource.data.ingressSettings.matches('ALLOW_INTERNAL_ONLY')
compute.googleapis.com/Instance Ressourcenname entspricht dem Muster resource.data.name.matches('^gcp-vm-(linux|windows)-v\\\\d+$')
serviceusage.googleapis.com/Service Nur die Aktivierung von speicherbezogenen APIs zulassen resource.data.state == 'ENABLED' && !( resource.data.name.matches('storage-api.googleapis.com') || resource.data.name.matches('bigquery-json.googleapis.com') || resource.data.name.matches('bigquery.googleapis.com') || resource.data.name.matches('sql-component.googleapis.com') || resource.data.name.matches('spanner.googleapis.com'))
sqladmin.googleapis.com/Instance Nur öffentliche IP-Adressen auf der Zulassungsliste zulassen (resource.data.instanceType == 'CLOUD_SQL_INSTANCE' && resource.data.backendType == 'SECOND_GEN' && resource.data.settings.ipConfiguration.ipv4Enabled ) && (resource.data.ipAddresses.all(ip, ip.type != 'PRIMARY' || ip.ipAddress.matches('IP_ADDRESS')))
dataproc.googleapis.com/Cluster Prüfen, ob Projekt-IDs in einem Managed Service for Apache Spark-Cluster die Teilstrings testing oder development enthalten has(resource.data.projectId) && !resource.data.projectId.contains('testing') || !resource.data.projectId.contains('development')