Monitorar violações nas pastas do Assured Workloads

O Assured Workloads monitora ativamente as pastas do Assured Workloads em busca de violações de compliance. Para isso, ele compara os requisitos do pacote de controle de uma pasta com os seguintes detalhes:

• Política da organização: cada pasta do Assured Workloads é configurada com configurações específicas de restrição de políticas da organização que ajudam a garantir a conformidade. Quando essas configurações são alteradas de forma não compatível, ocorre uma violação. Consulte a seção Violações de políticas da organização monitoradas para mais informações.
• Recursos: dependendo das configurações da política da organização da pasta do Assured Workloads, os recursos abaixo da pasta podem ser restritos, como o tipo e o local. Consulte a seção Violações de recursos monitorados para mais informações. Se algum recurso não estiver em conformidade, ocorrerá uma violação.

Quando ocorre uma violação, é possível resolvê-la ou criar exceções para elas quando apropriado. Uma violação pode ter um dos três status a seguir:

• Não resolvida: a violação não foi resolvida.
• Resolvida: a violação foi resolvida seguindo as etapas para corrigir o problema.
• Exceção: uma exceção foi concedida à violação, e uma justificativa comercial foi informada.

O monitoramento do Assured Workloads é ativado automaticamente quando você cria uma pasta do Assured Workloads.

Antes de começar

Permissões e papéis do IAM obrigatórios

Para visualizar violações de recursos ou da política da organização, você precisa receber um papel do IAM na pasta do Assured Workloads com as seguintes permissões:

• assuredworkloads.violations.get
• assuredworkloads.violations.list

Essas permissões estão incluídas nos seguintes papéis de IAM do Assured Workloads:

• Administrador do Assured Workloads (roles/assuredworkloads.admin)
• Editor do Assured Workloads (roles/assuredworkloads.editor)
• Leitor do Assured Workloads (roles/assuredworkloads.reader)

Para ativar o monitoramento de violações de recursos, você precisa receber um papel do IAM na pasta do Assured Workloads que contenha as seguintes permissões:

• assuredworkloads.workload.update: essa permissão está incluída nos seguintes papéis:

  • Administrador do Assured Workloads (roles/assuredworkloads.admin)
  • Editor do Assured Workloads (roles/assuredworkloads.editor)

• resourcemanager.folders.setIamPolicy: essa permissão está incluída em papéis administrativos, como os seguintes:

  • Administrador da organização (roles/resourcemanager.organizationAdmin)
  • Administrador de segurança (roles/iam.securityAdmin)

Para fornecer exceções para violações de conformidade, você precisa receber um papel do IAM na pasta do Assured Workloads que contenha a seguinte permissão:

• assuredworkloads.violations.update: essa permissão está incluída nos seguintes papéis:

  • Administrador do Assured Workloads (roles/assuredworkloads.admin)
  • Editor do Assured Workloads (roles/assuredworkloads.editor)

Além disso, para resolver violações da política da organização e visualizar registros de auditoria, os seguintes papéis do IAM precisam ser concedidos:

• Administrador de políticas da organização (roles/orgpolicy.policyAdmin)
• Visualizador de registros (roles/logging.viewer)

Observação :ao conceder um papel no console do Google Cloud, o papel de Administrador de políticas da organização só fica visível se você mudar para uma organização primeiro ou clicar em Gerenciar papéis.

Configurar notificações por e-mail de violação

Observação :as notificações por e-mail não estão disponíveis para violações de recursos.

Quando ocorre ou é resolvida uma violação de conformidade da organização ou quando uma exceção é concedida, os membros da categoria Jurídico nos contatos essenciais são enviados por padrão. Esse comportamento é necessário porque sua equipe jurídica precisa estar atualizada sobre qualquer problema de conformidade regulatória.

A equipe que gerencia as violações, seja uma equipe de segurança ou outros, também precisa ser adicionada à categoria Jurídico como contatos. Isso garante que eles recebam notificações por e-mail à medida que as alterações ocorrerem.

Ativar ou desativar notificações

Para ativar ou desativar notificações de uma pasta específica do Assured Workloads:

1. Acesse a página Assured Workloads no console do Google Cloud:

   Acesse o Assured Workloads

2. Na coluna Nome, clique no nome da pasta do Assured Workloads com as configurações de notificação que você quer mudar.

3. No card Monitoramento do Assured Workloads, desmarque a caixa de seleção Ativar notificações para desativá-las ou selecione-a para ativar as notificações da pasta.

Na página Pastas do Assured Workloads, as pastas com notificações desativadas mostram Monitoramento de notificações por e-mail desativadas.

Acessar violações na sua organização

É possível conferir as violações em toda a organização no console do Google Cloud e na CLI gcloud.

Console

É possível ver quantas violações há em toda a organização na página Assured Workloads da seção Compliance do console do Google Cloud ou na página Monitoring na seção Compliance.

Página do Assured Workloads

Acesse a página Assured Workloads para conferir um resumo das violações:

Acesse o Assured Workloads

Na parte superior da página, é exibido um resumo das violações de políticas da organização e de recursos. Clique no link Visualizar para acessar a página do Monitoramento.

Para cada pasta do Assured Workloads na lista, todas as violações são mostradas nas colunas Violações da política da organização e Violações de recursos. Violações não resolvidas têm o ícone ativo, e as exceções têm o ícone ativo. Selecione uma violação ou exceção para ver mais detalhes.

Se o monitoramento de violações de recursos não estiver ativado em uma pasta, o ícone ficará ativo na coluna Atualizações com um link Ativar monitoramento de violação de recursos. Clique no link para ativar o recurso. Também é possível ativá-lo clicando no botão Ativar na página de detalhes da pasta do Assured Workloads.

Observação :você vai receber uma mensagem de erro se não tiver as permissões necessárias para ativar o monitoramento de violações de recursos. Conceda um papel que tenha as permissões necessárias e tente novamente.

Página de monitoramento

Acesse a página Monitoramento para mais detalhes das violações:

Acessar Monitoring

Duas guias são exibidas: Violações da política da organização e Violações de recursos. Se houver mais de uma violação não resolvida, o ícone vai ficar ativo na guia.

Em qualquer uma das guias, as violações não resolvidas aparecem por padrão. Consulte a seção Mais detalhes da violação abaixo para mais informações.

CLI da gcloud

Para listar as violações de compliance atuais na sua organização, execute o seguinte comando:

gcloud assured workloads violations list --location=LOCATION --organization=ORGANIZATION_ID --workload=WORKLOAD_ID

Em que:

• LOCATION é o local da pasta do Assured Workloads.

• ORGANIZATION_ID é o ID da organização a ser consultado.

• WORKLOAD_ID é o ID da carga de trabalho mãe, que pode ser encontrado listando suas cargas de trabalho.

A resposta inclui as seguintes informações para cada violação:

• Um link do registro de auditoria da violação.
• A primeira vez que ocorreu a violação.
• O tipo de violação.
• Uma descrição da violação.
• Nome da violação, que pode ser usado para recuperar mais detalhes.
• A política da organização afetada e a restrição da política relacionada.
• O estado atual da violação. Os valores válidos são "não resolvido", "resolvido" ou "exceção".

Para sinalizações opcionais, consulte a documentação do SDK Cloud.

Mostrar detalhes da violação

Para acessar violações de compliance específicas e os detalhes delas, siga estas etapas:

Console

1. No Console do Google Cloud, acesse a página Monitoring.

   Acessar Monitoring

   Na página Monitoramento, a guia Violações da política da organização é selecionada por padrão. Essa guia exibe todas as violações de política da organização não resolvidas nas pastas do Assured Workloads na organização.

   A guia Violações de recursos mostra todas as violações não resolvidas associadas ao recurso em todas as pastas do Assured Workloads na organização.

2. Em qualquer uma das guias, use as opções de Filtros rápidos para filtrar por status, tipo de violação, tipo de pacote de controle, tipo de violação, pastas específicas, restrições da política da organização ou tipos de recursos específicos.

3. Em qualquer uma das guias, se houver violações, clique no ID de uma violação para ver informações mais detalhadas.

Na página Detalhes da violação, é possível realizar as seguintes tarefas:

• Copie o ID da violação.

• Veja a pasta do Assured Workloads em que a violação aconteceu e a hora em que ela ocorreu pela primeira vez.

• Confira o registro de auditoria, que inclui:

  • Quando ocorreu a violação.

  • Qual política foi modificada para causar a violação e qual usuário fez essa modificação.

  • Se uma exceção foi concedida, qual usuário a concedeu.

  • Quando aplicável, confira o recurso específico em que a violação ocorreu.

• Confira a política da organização afetada.

• Confira e adicione exceções de violação de compliance.

• Siga as etapas de correção para resolver a exceção.

Para violações da política da organização, você também pode conferir o seguinte:

• Política da organização afetada: para conferir a política específica associada à violação de compliance, clique em Ver política.
• Violações de recursos filhos: violações de políticas da organização baseadas em recursos podem causar violações de recursos filhos. Para conferir ou resolver violações de recursos filhos, clique em ID da violação.

Para violações de recursos, você também pode ver o seguinte:

• Violações da política da organização mãe: quando as violações da política da organização mãe são a causa de uma violação de recurso filho, elas precisam ser resolvidas no nível pai. Para consultar os detalhes da violação mãe, clique em Ver violação.
• Outras violações no recurso específico que estão causando a violação de recurso também ficam visíveis.

CLI da gcloud

Para acessar os detalhes de uma violação de compliance, execute o seguinte comando:

gcloud assured workloads violations describe VIOLATION_PATH

Em que VIOLATION_PATH está no seguinte formato:

ORGANIZATION_ID/locations/LOCATION/workloads/WORKLOAD_ID/violations/VIOLATION_ID

O VIOLATION_PATH é retornado no campo name da resposta da lista para cada violação.

A resposta inclui as seguintes informações:

• Um link do registro de auditoria da violação.

• A primeira vez que ocorreu a violação.

• O tipo de violação.

• Uma descrição da violação.

• A política da organização afetada e a restrição da política relacionada.

• Etapas de correção para resolver a violação.

• O estado atual da violação. Os valores válidos são unresolved, resolved ou exception.

Para acessar sinalizações opcionais, consulte a documentação do SDK do Cloud.

Resolver violações

Para corrigir uma violação, siga estas etapas:

Console

1. No Console do Google Cloud, acesse a página Monitoring.

   Acessar Monitoring

2. Clique no ID da violação para acessar informações mais detalhadas.

3. Na seção Corrigir, siga as instruções do console do Google Cloud ou da CLI para resolver o problema.

CLI da gcloud

1. Acesse os detalhes da violação usando a CLI gcloud.

2. Siga as etapas de correção na resposta para resolver a violação.

Adicionar exceções de violação

Às vezes, uma violação é válida para uma situação específica. Para adicionar uma ou mais exceções a uma violação, siga estas etapas:

Console

1. No Console do Google Cloud, acesse a página Monitoring.

   Acessar Monitoring

2. Na coluna ID da violação, clique na violação a que você quer adicionar a exceção.

3. Na seção Exceções, clique em Adicionar novo.

4. Insira uma justificativa comercial para a exceção. Para que a exceção se aplique a todos os recursos filhos, marque a caixa de seleção Aplicar a todas as violações de recursos filhos atuais e clique em Enviar.

5. Para adicionar outras exceções, conforme necessário, repita essas etapas e clique em Adicionar novo.

Agora o status da violação está definido como Exceção.

CLI da gcloud

Para adicionar uma exceção a uma violação, execute o seguinte comando:

gcloud assured workloads violations acknowledge VIOLATION_PATH --comment="BUSINESS_JUSTIFICATION"

Em que BUSINESS_JUSTIFICATION é o motivo da exceção e VIOLATION_PATH está no seguinte formato:

ORGANIZATION_ID/locations/LOCATION/workloads/WORKLOAD_ID/violations/VIOLATION_ID

O VIOLATION_PATH é retornado no campo name da resposta da lista para cada violação.

Depois de enviar o comando, o status da violação é definido como Exceção.

Monitorou violações da política da organização

O Assured Workloads monitora diferentes violações de restrição da política da organização, dependendo do pacote de controle aplicado à sua pasta do Assured Workloads. Use a lista a seguir para filtrar violações pelo pacote de controle afetado.

Mostrar tudo FedRAMP de nível médio FedRAMP de nível alto CJIS HIPAA (pré-lançamento) HITRUST (pré-lançamento) IL4 IL5 ITAR Regiões da Austrália com Suporte Assured Regiões e suporte do Canadá Canadá protegido B Regiões e suporte da UE Regiões e suporte da UE com controles de soberania Suporte e regiões de Israel Regiões do Japão Regiões e suporte dos EUA Mostrar todos os pacotes de controle

Restrição da política da organização	Tipo de violação	Descrição	Pacotes de controle afetados
Acesso sem compliance aos dados do Cloud SQL	Acesso	Ocorre quando o acesso a dados de diagnóstico do Cloud SQL não compatível é permitido. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição sql.restrictNoncompliantDiagnosticDataAccess .	Regiões e suporte da UE com controles de soberania
Acesso sem compliance aos dados do Compute Engine	Acesso	Ocorre quando o acesso não compatível a dados de instâncias do Compute Engine é permitido. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição compute.disableInstanceDataAccessApis.	CJIS Regiões e suporte da UE com controles de soberania ITAR
Tipos de autenticação do Cloud Storage não compatíveis	Acesso	Ocorre quando tipos de autenticação não compatíveis são permitidos para uso com o Cloud Storage. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição storage.restrictAuthTypes.	Regiões e suporte da UE com controles de soberania
Acesso sem compliance aos buckets do Cloud Storage	Acesso	Ocorre quando o acesso não uniforme no nível do bucket não compatível ao Cloud Storage é permitido. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição storage.uniformBucketLevelAccess.	Regiões e suporte da UE com controles de soberania
Acesso sem compliance aos dados do GKE	Acesso	Ocorre quando o acesso a dados de diagnóstico do GKE sem conformidade é permitido. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição container.restrictNoncompliantDiagnosticDataAccess.	Regiões e suporte da UE com controles de soberania IL4 IL5 ITAR
Recursos de diagnóstico do Compute Engine não compatíveis	Configuração	Ocorre quando recursos de diagnóstico do Compute Engine não compatíveis são ativados. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição compute.enableComplianceMemoryProtection.	Regiões e suporte da UE com controles de soberania ITAR
Configuração de balanceamento de carga global do Compute Engine não compatível	Configuração	Ocorre quando um valor incompatível é definido para a configuração de balanceamento de carga global no Compute Engine. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição compute.disableGlobalLoadBalancing.	ITAR
Configuração de FIPS do Compute Engine não compatível	Configuração	Ocorre quando um valor incompatível é definido para a configuração do FIPS no Compute Engine. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição compute.disableNonFIPSMachineTypes.	ITAR
Configuração de SSL do Compute Engine sem compliance	Configuração	Ocorre quando um valor incompatível é definido para certificados globais autogerenciados. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição compute.disableGlobalSelfManagedSslCertificate.	ITAR
SSH do Compute Engine sem compliance na configuração do navegador	Configuração	Ocorre quando um valor incompatível é definido para o recurso SSH no navegador do Compute Engine. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição compute.disableSshInBrowser.	Regiões e suporte da UE com controles de soberania
Criação de recursos do Cloud SQL sem compliance	Configuração	Ocorre quando a criação de recursos do Cloud SQL não compatível é permitida. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição sql.restrictNoncompliantResourceCreation.	Regiões e suporte da UE com controles de soberania
Restrição de chave do Cloud KMS ausente	Criptografia	Ocorre quando nenhum projeto é especificado para fornecer chaves de criptografia à CMEK . Essa violação é causada pela mudança do valor em conformidade do pacote de controle para a restrição gcp.restrictCmekCryptoKeyProjects, o que ajuda a impedir que pastas ou projetos não aprovados forneçam chaves de criptografia.	Regiões e suporte da UE com controles de soberania ITAR CJIS
Serviço de CMEK não ativado sem compliance	Criptografia	Ocorre quando um serviço incompatível com a CMEK é ativado para a carga de trabalho. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição gcp.restrictNonCmekServices.	Regiões e suporte da UE com controles de soberania ITAR CJIS
Níveis de proteção do Cloud KMS sem compliance	Criptografia	Ocorre quando níveis de proteção incompatíveis são especificados para uso com o Cloud Key Management Service (Cloud KMS). Consulte a referência do Cloud KMS para mais informações. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição cloudkms.allowedProtectionLevels.	Regiões e suporte da UE com controles de soberania
Locais dos recursos que não estão em conformidade	Local do recurso	Ocorre quando os recursos de serviços com suporte para um determinado pacote de controle do Assured Workloads são criados fora da região permitida para a carga de trabalho ou movidos de um local permitido para um não permitido. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição gcp.resourceLocations .	Regiões australianas com Suporte Assured Canadá protegido B Regiões e suporte do Canadá CJIS Regiões e suporte da UE Regiões e suporte da UE com controles de soberania FedRAMP de nível médio FedRAMP de nível alto HIPAA (pré-lançamento) HITRUST (pré-lançamento) IL4 IL5 Suporte e regiões de Israel ITAR Regiões do Japão Regiões e suporte dos EUA
Serviços que não estão em compliance	Service Usage	Ocorre quando um usuário ativa um serviço não compatível com um determinado pacote de controle do Assured Workloads em uma pasta do Assured Workloads. Essa violação é causada pela mudança do valor de conformidade do pacote de controle para a restrição gcp.restrictServiceUsage.	Regiões australianas com Suporte Assured Canadá protegido B Regiões e suporte do Canadá CJIS Regiões e suporte da UE Regiões e suporte da UE com controles de soberania FedRAMP de nível médio FedRAMP de nível alto HIPAA (pré-lançamento) HITRUST (pré-lançamento) IL4 IL5 Suporte e regiões de Israel ITAR Regiões do Japão Regiões e suporte dos EUA

Violações de recursos monitoradas

O Assured Workloads monitora diferentes violações de recursos, dependendo do pacote de controle aplicado à sua pasta do Assured Workloads. Use a lista a seguir para filtrar violações pelo pacote de controle afetado:

Mostrar tudo FedRAMP de nível médio FedRAMP de nível alto CJIS HIPAA (pré-lançamento) HITRUST (pré-lançamento) IL4 IL5 ITAR Regiões da Austrália com Suporte Assured Regiões e suporte do Canadá Canadá protegido B Regiões e suporte da UE Regiões e suporte da UE com controles de soberania Suporte e regiões de Israel Regiões do Japão Regiões e suporte dos EUA Mostrar todos os pacotes de controle

Restrição da política da organização	Descrição	Pacotes de controle afetados
Local do recurso sem compliance	Ocorre quando a localização de um recurso está em uma região sem compliance. Essa violação é causada pela restrição gcp.resourceLocations .	Regiões australianas com Suporte Assured Canadá protegido B Regiões e suporte do Canadá CJIS Regiões e suporte da UE Regiões e suporte da UE com controles de soberania FedRAMP de nível médio FedRAMP de nível alto HIPAA (pré-lançamento) HITRUST (pré-lançamento) IL4 IL5 Suporte e regiões de Israel ITAR Regiões do Japão Regiões e suporte dos EUA
Recursos não compatíveis na pasta	Ocorre quando um recurso de um serviço sem suporte é criado na pasta do Assured Workloads. Essa violação é causada pela restrição gcp.restrictServiceUsage .	Regiões australianas com Suporte Assured Canadá protegido B Regiões e suporte do Canadá CJIS Regiões e suporte da UE Regiões e suporte da UE com controles de soberania FedRAMP de nível médio FedRAMP de nível alto HIPAA (pré-lançamento) HITRUST (pré-lançamento) IL4 IL5 Suporte e regiões de Israel ITAR Regiões do Japão Regiões e suporte dos EUA

A seguir

• Entenda os pacotes de controle do Assured Workloads.
• Saiba quais produtos são compatíveis com cada pacote de controle.