Modificare la configurazione della residenza o della crittografia dei dati

Puoi modificare la configurazione della residenza dei dati e della crittografia dei dati della tua organizzazione nei livelli Standard e Premium dopo aver attivato Security Command Center per la tua organizzazione. In particolare, puoi eseguire le seguenti operazioni:

  • Abilitare o disabilitare la residenza dei dati e modificare la località dei dati.
  • Modificare la configurazione della crittografia dei dati per utilizzare le chiavi di crittografia gestite da Google o le chiavi di Cloud Key Management Service.
  • Modificare la chiave Cloud KMS.

Limitazioni

A questa funzionalità si applicano le seguenti limitazioni:

Prima di iniziare

Prima di modificare la configurazione, completa i seguenti passaggi:

  1. Pianifica la modifica.
  2. Assicurati di disporre dei ruoli richiesti.
  3. Crea o individua le chiavi di Cloud Key Management Service se stai modificando la località o le chiavi dei dati.
  4. Prepara le regole di disattivazione e le configurazioni di esportazione se stai modificando la località dei dati.

Pianificare la modifica

Se stai eseguendo la migrazione dalla località dei dati global predefinita, leggi Pianificare la residenza dei dati per scoprire in che modo Security Command Center supporta la residenza dei dati.

Se prevedi di modificare la crittografia dei dati dalle chiavi di crittografia gestite da Google a una chiave Cloud KMS, leggi Abilitare CMEK per Security Command Center per scoprire come utilizzare le chiavi di crittografia gestite dal cliente (CMEK) con Security Command Center.

Pianifica la modifica della configurazione in un momento in cui non esegui esportazioni collettive. Se hai avviato un'esportazione collettiva, attendi il completamento della procedura.

Dopo aver modificato la configurazione, la procedura di migrazione dei dati può richiedere da 4 a 24 ore, a seconda del volume dei risultati. Durante questo periodo, Security Command Center e i servizi di rilevamento integrati abilitati vengono messi in pausa temporaneamente:

  • Security Command Center non genera né aggiorna i risultati. I risultati inviati a Security Command Center da servizi integrati o di terze parti non vengono ricevuti.
  • Le esportazioni di dati da Security Command Center ad altre risorse vengono messe in pausa.
  • Le pagine di Security Command Center nella console non sono accessibili.

  • Le seguenti API Security Command Center non sono disponibili:

    • securitycenter.googleapis.com
    • securitycentermanagement.googleapis.com

    Se viene chiamato un metodo API durante la migrazione, viene restituito un errore FAILED_PRECONDITION con il messaggio API access is temporarily unavailable due to an ongoing data migration.

Al termine della migrazione, Security Command Center e i servizi integrati vengono riavviati automaticamente.

Se Security Command Center si integra con altri prodotti, prevedi che queste connessioni vengano interrotte durante la migrazione.

Quando modifichi la configurazione della residenza dei dati, campi specifici vengono aggiornati con il nuovo identificatore di località (ad esempio da global a us). Ciò influisce sulle seguenti risorse:

  • Risultati: valori name e canonicalNames.
  • Regole di disattivazione: name valore in MuteConfig.

Pianifica l'aggiornamento delle query di ricerca dei risultati, dei sistemi esterni e degli script che dipendono da questi valori dei campi.

Se la tua organizzazione è registrata al programma di anteprima della residenza dei dati e stai aggiornando la configurazione per la prima volta, consulta Considerazioni sull'aggiornamento della configurazione di anteprima per ulteriori informazioni.

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per eseguire la migrazione della località dei dati o della crittografia dei dati di Security Command Center, chiedi all'amministratore di concederti il ruolo IAM Amministratore Security Center (roles/securitycenter.admin) nella tua organizzazione. Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Creare o individuare le chiavi di Cloud Key Management Service

Crea un progetto di chiavi e chiavi di Cloud Key Management Service se si verifica una delle seguenti condizioni:

  • Prevedi di modificare le chiavi di Cloud Key Management Service.

  • Prevedi di modificare la configurazione della residenza dei dati durante l'utilizzo delle chiavi di Cloud Key Management Service. In questo caso, devi selezionare di nuovo le chiavi di Cloud Key Management Service.

Per ulteriori informazioni, consulta Abilitare CMEK per Security Command Center.

Preparare le regole di disattivazione e le configurazioni di esportazione

Se prevedi di modificare la località dei dati, aggiorna le seguenti configurazioni che dipendono dai valori dei campi con un identificatore di località:

  • Regole di disattivazione dei risultati
  • Esportazioni continue Pub/Sub

Modifica i valori dei campi in modo da utilizzare il nuovo identificatore di località (ad esempio, da global a us).

Considerazioni sull'aggiornamento della configurazione di anteprima

La prima volta che utilizzi questa funzionalità, devi aggiornare la configurazione della residenza dei dati alla configurazione di disponibilità generale. Non puoi utilizzare la funzionalità per la prima volta per modificare solo la crittografia dei dati, senza aggiornare la configurazione della residenza dei dati.

Durante l'aggiornamento, i dati vengono migrati da una configurazione multiregionale alla singola località selezionata.

Dopo la migrazione dei dati, potresti visualizzare quanto segue:

  • I riquadri della dashboard che presentano i dati nel tempo potrebbero mostrare misure aggregate errate per le date precedenti alla migrazione. Alcuni dati potrebbero non essere stati mappati e uniti nella singola località.

  • Se la procedura di migrazione identifica un risultato duplicato durante l'unione dei dati tra le regioni, esegue la migrazione solo della versione del risultato con eventTime più recente.

Modificare la configurazione e avviare la migrazione

Puoi utilizzare la console globale o giurisdizionale Google Cloud per modificare la configurazione della residenza dei dati o della crittografia dei dati. Tieni presente quanto segue quando scegli una console:

  • Selezione della chiave CMEK: il menu delle chiavi Cloud KMS mostra solo le chiavi che si trovano nella stessa giurisdizione della console. Se utilizzi la console global, il menu mostra tutte le chiavi.
  • Ricevere notifiche: Google Cloud le notifiche della console vengono visualizzate solo per l'utente che ha avviato la migrazione della residenza dei dati e solo nella stessa console utilizzata per configurare le impostazioni (globale o giurisdizionale).

Puoi modificare la configurazione della residenza dei dati, la configurazione della crittografia dei dati o entrambe.

  1. Nella Google Cloud console, vai a Impostazioni > Dettagli configurazione.

    Vai a Dettagli configurazione

  2. Seleziona l'organizzazione in cui è attivato Security Command Center.

  3. Fai clic su Gestisci residenza e crittografia dei dati.

  4. In Gestisci residenza dei dati, abilita o disabilita la residenza dei dati. Se abiliti la residenza dei dati, seleziona la località dei dati. Se non modifichi la selezione esistente, la procedura di migrazione dei dati non modifica gli identificatori di località nei valori dei campi dei risultati e delle risorse.

  5. Fai clic su Continua.

  6. In Gestisci crittografia dei dati, seleziona la configurazione Crittografia.

    • Seleziona Chiave di crittografia gestita da Google o Chiave Cloud KMS.

    • Se selezioni Chiave Cloud KMS, procedi nel seguente modo:

      • Fai clic su Sfoglia per selezionare il progetto in cui sono archiviate le chiavi.
      • Seleziona la chiave gestita dal cliente.

    Se l'organizzazione utilizza le chiavi Cloud KMS e hai modificato la configurazione della residenza dei dati, devi selezionare di nuovo il progetto di chiavi e la chiave di Cloud Key Management Service.

  7. Esamina le modifiche e poi fai clic su Avvia migrazione. Fai clic su Annulla per tornare indietro e modificare le selezioni.

  8. Nella finestra di dialogo Avvia migrazione dei dati , conferma inserendo l'ID organizzazione e poi facendo clic su Conferma migrazione dei dati.

  9. Viene visualizzata la pagina dello stato della migrazione dei dati, che indica che la migrazione è in corso.

    Le pagine di Security Command Center non sono accessibili durante la migrazione dei dati. Se tenti di accedere a Security Command Center durante la migrazione, vedrai la pagina dello stato della migrazione.

  10. Al termine della migrazione, nella pagina dello stato viene visualizzato un link per aprire la console nella località appena configurata.

Verificare le funzionalità dopo la migrazione dei dati

Al termine della migrazione, assicurati che Security Command Center, i servizi correlati e le integrazioni funzionino come previsto.

  • Verifica che Security Command Center sia disponibile e che i servizi abilitati in precedenza siano abilitati.

  • Esamina e verifica che le configurazioni di esportazione dei dati specifichino le risorse corrette:

  • Se hai modificato la configurazione della residenza dei dati, aggiorna quanto segue:

    • Regole di disattivazione: aggiorna le regole che dipendono dal risultato name o canonicalName.

    • Aggiorna i filtri e le query dei risultati che dipendono da name o canonicalName del risultato per specificare la nuova località.

    • Verifica che le query dei risultati funzionino come previsto.

  • Verifica che le integrazioni con altri Google Cloud servizi, come Cloud Hub, App Design Center, la dashboard della security posture GKE o importazione dati Google SecOps, funzionino come previsto.

Passaggi successivi