Compliance Manager include molti controlli cloud integrati che puoi aggiungere ai framework e implementare nel tuo ambiente. Se necessario, puoi creare e gestire i tuoi controlli cloud personalizzati e aggiornare quelli integrati.
Prima di iniziare
-
Per ottenere le autorizzazioni necessarie per gestire i framework di controlli cloud, chiedi all'amministratore di concederti i seguenti ruoli IAM nella tua organizzazione:
-
Compliance Manager Admin (
roles/cloudsecuritycompliance.admin) -
Per creare o modificare controlli cloud basati su policy dell'organizzazione, una delle seguenti opzioni:
-
Amministratore delle policy dell'organizzazione (
roles/orgpolicy.policyAdmin) -
Amministratore Assured Workloads (
roles/assuredworkloads.admin) -
Assured Workloads Editor (
roles/assuredworkloads.editor)
-
Amministratore delle policy dell'organizzazione (
Per ulteriori informazioni sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.
Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.
-
Compliance Manager Admin (
Visualizza controlli cloud
Completa i seguenti passaggi per visualizzare i controlli cloud integrati e quelli personalizzati che hai già creato.
Nella console Google Cloud , vai alla pagina Conformità.
Seleziona la tua organizzazione.
Nella scheda Configura, fai clic su Controlli cloud. Vengono visualizzati i controlli cloud disponibili.
La dashboard include informazioni sui framework che includono il controllo cloud e il numero di risorse (organizzazione, cartelle e progetti) a cui viene applicato il controllo cloud.
Per visualizzare i dettagli di un controllo cloud, fai clic sul nome del controllo.
Crea un controllo cloud personalizzato
Un controllo cloud personalizzato si applica a un solo tipo di risorsa. L'unico tipo di dati supportato sono le risorse Cloud Asset Inventory. I controlli cloud personalizzati non supportano i parametri.
Nella console Google Cloud , vai alla pagina Conformità.
Seleziona la tua organizzazione.
Nella scheda Configura, fai clic su Controlli cloud. Viene visualizzato l'elenco dei controlli cloud disponibili.
Crea un controllo cloud, con Gemini o manualmente:
Usa Gemini
Chiedi a Gemini di generare un controllo cloud per te. In base al tuo prompt, Gemini fornisce un identificatore univoco, un nome, una logica di rilevamento associata e possibili passaggi di correzione.
Esamina i consigli e apporta le modifiche necessarie.
Salva il controllo cloud personalizzato.
Crea manualmente
In ID controllo cloud, fornisci un identificatore univoco per il controllo.
Inserisci un nome e una descrizione per aiutare gli utenti della tua organizzazione a comprendere lo scopo del controllo cloud personalizzato.
(Facoltativo) Seleziona le categorie per il controllo. Fai clic su Continua.
Seleziona un tipo di risorsa disponibile per il controllo cloud personalizzato. Compliance Manager supporta tutti i tipi di risorse. Per trovare il nome di una risorsa, consulta Tipi di asset.
Fornisci la logica di rilevamento per il controllo cloud nel formato Common Expression Language (CEL).
Le espressioni CEL ti consentono di definire come valutare le proprietà di una risorsa. Per ulteriori informazioni ed esempi, vedi Scrivere regole per i controlli cloud personalizzati. Fai clic su Continua.
Se la regola di valutazione non è valida, viene visualizzato un errore.
Seleziona una gravità appropriata per i risultati.
Scrivi le istruzioni di correzione in modo che i responsabili della risposta agli incidenti e gli amministratori della tua organizzazione possano risolvere i problemi relativi al controllo cloud. Fai clic su Continua.
Esamina le voci e fai clic su Crea.
Modificare un controllo cloud personalizzato
Dopo aver creato un controllo cloud, puoi modificarne il nome, la descrizione, le regole, i passaggi di correzione e il livello di gravità. Non puoi modificare la categoria del controllo cloud.
Nella console Google Cloud , vai alla pagina Conformità.
Seleziona la tua organizzazione.
Nella scheda Configura, fai clic su Controlli cloud. Viene visualizzato l'elenco dei controlli cloud disponibili.
Fai clic sul controllo cloud che vuoi modificare.
Nella pagina Dettagli dei controlli cloud, verifica che il controllo cloud non sia incluso in un framework. Se necessario, modifica il framework per rimuovere il controllo cloud.
Fai clic su Modifica.
Nella pagina Modifica controllo cloud personalizzato, modifica il nome e la descrizione in base alle tue esigenze. Fai clic su Continua.
Aggiorna le regole, la gravità del risultato e i passaggi di correzione. Fai clic su Continua.
Rivedi le modifiche e fai clic su Salva.
Aggiorna un controllo cloud integrato a una release più recente
Google pubblica aggiornamenti regolari dei controlli cloud integrati man mano che i servizi implementano nuove funzionalità o emergono nuove best practice. Gli aggiornamenti possono includere nuovi controlli o modifiche a quelli esistenti.
Puoi visualizzare le release dei controlli cloud integrati nella dashboard dei controlli cloud nella scheda Configura o nella pagina dei dettagli del controllo cloud.
Google ti avvisa nelle note di rilascio quando vengono aggiornati i seguenti elementi:
- Nome controllo cloud
- Categoria risultati
- Modifica della logica di rilevamento o preventiva in una regola
- Logica sottostante di una regola
Per aggiornare un controllo cloud dopo aver ricevuto una notifica, devi annullare l'assegnazione e ridistribuire i framework che includono il controllo cloud. Per istruzioni, vedi Aggiornare un framework a una versione più recente.
Eliminare un controllo cloud personalizzato
Elimina un controllo cloud quando non è più necessario. Puoi eliminare solo i controlli cloud che crei. Non puoi eliminare i controlli cloud integrati.
Nella console Google Cloud , vai alla pagina Conformità.
Seleziona la tua organizzazione.
Nella scheda Configura, fai clic su Controlli cloud. Viene visualizzato l'elenco dei controlli cloud disponibili.
Fai clic sul controllo cloud che vuoi eliminare.
Nella pagina Dettagli dei controlli cloud, verifica che il controllo cloud non sia incluso in un framework. Se necessario, modifica il framework per rimuovere il controllo cloud.
Fai clic su Elimina.
Nella finestra Elimina, controlla il messaggio. Digita
Deletee fai clic su Conferma.
Mappatura dei rilevatori di Security Health Analytics ai controlli cloud
La tabella seguente mostra come i controlli cloud di Compliance Manager vengono mappati ai rilevatori di Security Health Analytics.
| Categoria del risultato in Security Health Analytics | Nome del controllo cloud in Compliance Manager |
|---|---|
|
Attiva Access Transparency |
|
Bloccare i ruoli amministratore dagli account di servizio |
|
Configura il vincolo Impostazioni di traffico in entrata consentite per il criterio dell'organizzazione Cloud Run |
|
Configura il vincolo dei criteri dell'organizzazione per le impostazioni di traffico VPC in uscita consentite per Cloud Run |
|
Abilita i backup automatici di AlloyDB sul cluster |
|
Abilita i backup di AlloyDB sul cluster |
|
Abilita CMEK per i cluster AlloyDB |
|
Imposta il flag di livello di dettaglio degli errori di log per le istanze AlloyDB |
|
Imposta il flag Istruzione di errore minimo di log per le istanze AlloyDB |
|
Imposta il flag Livello minimo messaggi di log per le istanze AlloyDB |
|
Blocca gli indirizzi IP pubblici per le istanze del cluster AlloyDB |
|
Disabilita le funzionalità alpha sui cluster GKE |
|
Limita le chiavi API solo alle API richieste |
|
Non disponibile |
|
Richiedi rotazione della chiave API |
|
Configura metriche di log e avvisi per le modifiche all'audit logging |
|
Implementare la registrazione degli eventi per i servizi Google Cloud |
|
Abilitare i backup automatici per i database Cloud SQL |
|
Abilita la riparazione automatica per i cluster GKE |
|
Abilitare l'upgrade automatico sui cluster GKE |
|
Abilita CMEK per le tabelle BigQuery |
|
Richiedere l'autorizzazione binaria su un cluster |
|
Abilita CMEK per i bucket Cloud Storage |
|
Configura metriche di log e avvisi per le modifiche ai criteri IAM di Cloud Storage |
|
Richiedi il logging del bucket Cloud Storage |
|
Abilitare l'accesso uniforme a livello di bucket nei bucket Cloud Storage |
|
Attiva il servizio Cloud Asset Inventory |
|
Abilita Cloud Logging sui cluster GKE |
|
Abilita Cloud Monitoring sui cluster GKE |
|
Abilitare l'accesso privato Google su un'istanza |
|
Abilita la crittografia sui cluster GKE |
|
Abilitare Shielded GKE Nodes su un cluster |
|
Blocca le chiavi SSH a livello di progetto sulle istanze Compute Engine |
|
Abilitare l'avvio protetto sulle istanze Compute Engine |
|
Blocca le porte seriali per le istanze di Compute Engine |
|
Abilita Confidential Computing per le istanze di Compute Engine |
|
Richiedere Container-Optimized OS per un cluster GKE |
|
Non disponibile |
|
Configurare metriche di log e avvisi per le modifiche ai ruoli personalizzati |
|
Richiedere CMEK sui cluster Dataproc |
|
Utilizzare le versioni immagine più recenti sui cluster Dataproc |
|
Abilita CMEK per i set di dati BigQuery |
|
Utilizzare reti con regole firewall personalizzate |
|
Utilizzare service account personalizzati per le istanze Compute Engine |
|
Configura il criterio dell'organizzazione Disabilita l'utilizzo di IPv6 all'esterno di VPC |
|
Configura il criterio dell'organizzazione Disabilita l'utilizzo di IPv6 all'esterno di VPC |
|
Configura il criterio dell'organizzazione Disabilita il logging delle porte seriali delle VM in Stackdriver |
|
Abilita CMEK sui dischi permanenti di Compute Engine |
|
Abilita CSEK sui dischi permanenti di Compute Engine |
|
Abilita il monitoraggio dei log di Cloud DNS |
|
Attivare DNSSEC per Cloud DNS |
|
Applica la regola firewall in uscita Nega tutto |
|
Definisci i contatti fondamentali |
|
Configura metriche di log e avvisi per le modifiche al firewall di rete VPC |
|
Abilita il logging delle regole firewall |
|
Abilita i log di flusso per la subnet VPC |
|
Limita l'accesso alle API Google Cloud per le istanze Compute Engine |
|
Applica solo il traffico HTTPS |
|
Definisci i perimetri di servizio nei Controlli di servizio VPC |
|
Attiva OS Login |
|
Abilita il monitoraggio dell'integrità sui cluster GKE |
|
Abilita la visibilità tra nodi per i cluster GKE |
|
Abilita l'intervallo IP alias per i cluster GKE |
|
Impedisci l'inoltro IP sulle istanze Compute Engine |
|
Definisci il periodo di rotazione per le chiavi Cloud KMS |
|
Non disponibile |
|
Non disponibile |
|
Applica la separazione dei compiti |
|
Blocca l'autorizzazione legacy sui cluster GKE |
|
Disattiva gli endpoint del server di metadati legacy su Compute Engine |
|
Non utilizzare reti precedenti |
|
Abilita il logging del bilanciatore del carico |
|
Bloccare i criteri di conservazione del bucket di archiviazione |
|
Configura i sink di log |
|
Abilita le reti autorizzate del control plane sui cluster GKE |
|
Non disponibile |
|
Configura metriche di log e avvisi per le modifiche alla rete VPC |
|
Abilita il criterio di rete sui cluster GKE |
|
Abilita CMEK sui dischi di avvio del node pool GKE |
|
Abilita l'avvio protetto per Shielded GKE Nodes |
|
Non disponibile |
|
Abilitare il controllo delle versioni degli oggetti nei bucket |
|
Blocca le connessioni alle porte Cassandra da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte CiscoSecure/WebSM da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte dei servizi di directory da tutti gli indirizzi IP |
|
Bloccare le connessioni alle porte DNS da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte Elasticsearch da tutti gli indirizzi IP |
|
Non disponibile |
|
Blocca le connessioni alle porte FTP da tutti gli indirizzi IP |
|
Non disponibile |
|
Bloccare le connessioni alle porte HTTP da tutti gli indirizzi IP |
|
Bloccare le connessioni alle porte LDAP da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte Memcached da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte MongoDB da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte MySQL da tutti gli indirizzi IP |
|
Bloccare le connessioni alle porte NetBIOS da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte del database Oracle da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte del server POP3 da tutti gli indirizzi IP |
|
Blocca le connessioni alle porte del server PostgreSQL da tutti gli indirizzi IP |
|
Blocca l'accesso alla porta RDP |
|
Blocca le connessioni alle porte del server Redis da tutti gli indirizzi IP |
|
Bloccare le connessioni alle porte del server SMTP da tutti gli indirizzi IP |
|
Blocca l'accesso alla porta SSH |
|
Bloccare le connessioni alle porte del server Telnet da tutti gli indirizzi IP |
|
Attiva il vincolo dei criteri dell'organizzazione Confidential VM |
|
Attiva OS Login per tutte le istanze a livello di progetto |
|
Utilizzare service account con privilegi minimi per i cluster GKE |
|
Crea cluster GKE con ambiti di accesso al service account limitati |
|
Bloccare i ruoli amministratore dagli account di servizio |
|
Non disponibile |
|
Non disponibile |
|
Limita i ruoli IAM legacy |
|
Abilita i cluster privati per GKE |
|
Abilitare l'accesso privato Google per le subnet VPC |
|
Limitare l'accesso pubblico ai bucket Cloud Storage |
|
Limitare l'accesso pubblico alle immagini di Compute |
|
Limitare l'accesso pubblico ai set di dati BigQuery |
|
Limita gli indirizzi IP pubblici alle istanze Compute Engine |
|
Limitare l'accesso pubblico ai bucket Cloud Storage |
|
Limitare l'accesso pubblico alle istanze di database Cloud SQL |
|
Criptare l'argomento Pub/Sub con CMEK |
|
Abilita il flag Log Statement per PostgreSQL |
|
Non disponibile |
|
Iscrivi un cluster GKE a un canale di rilascio |
|
Attiva OS Login |
|
Definisci il traffico in uscita del connettore VPC per le funzioni Cloud Run |
|
Abilita il vincolo del criterio dell'organizzazione Limita reti autorizzate nelle istanze Cloud SQL |
|
Configura metriche di log e avvisi per le modifiche alle route VPC |
|
Evita RSASHA1 per la firma DNSSEC |
|
Non disponibile |
|
Non disponibile |
|
Richiedi la rotazione della chiave del service account |
|
Applica la separazione dei compiti |
|
Abilitare Shielded VM per le istanze Compute Engine |
|
Limita la creazione della rete predefinita per le istanze Compute Engine |
|
Abilita CMEK per i database Cloud SQL |
|
Disattiva il flag di autenticazione del database indipendente per SQL Server |
|
Disattiva il flag di concatenamento della proprietà tra database per SQL Server |
|
Disattiva il flag External Scripts per SQL Server |
|
Configura le metriche di log e gli avvisi per le modifiche alla configurazione di Cloud SQL |
|
Disattivare il flag local_infile per MySQL |
|
Abilita il flag di checkpoint di log per PostgreSQL |
|
Abilita il flag Log Connections per PostgreSQL |
|
Abilita il flag Log Disconnections per PostgreSQL |
|
Abilita il flag di durata del log per l'istanza PostgreSQL |
|
Abilita il flag di verbosità degli errori di log per PostgreSQL |
|
Disattivare il flag delle statistiche dello strumento di esecuzione dei log per PostgreSQL |
|
Disattivare il flag Nome host log per PostgreSQL |
|
Abilita il flag di attesa dei blocchi dei log per l'istanza PostgreSQL |
|
Disattiva il flag Istruzione durata minima di log per PostgreSQL |
|
Abilita il flag Istruzione di errore minimo di log per PostgreSQL |
|
Non disponibile |
|
Abilita il flag Log Min Messages per PostgreSQL |
|
Disattiva il flag Statistiche del parser di log per PostgreSQL |
|
Disattiva il flag Statistiche dello strumento di pianificazione dei log per PostgreSQL |
|
Abilita il flag Log Statement per PostgreSQL |
|
Abilita il flag Log Temp Files per l'istanza PostgreSQL |
|
Non disponibile |
|
Blocca gli indirizzi IP pubblici per le istanze Cloud SQL |
|
Disattivare il flag di accesso remoto per SQL Server |
|
Attiva la crittografia SSL sulle istanze AlloyDB |
|
Abilitare il flag Salta visualizzazione database per MySQL |
|
Abilita il flag di database di traccia 3625 per SQL Server |
|
Non utilizzare il flag user connections per SQL Server |
|
Non utilizzare il flag user options per SQL Server |
|
Non disponibile |
|
Applica SSL per tutte le connessioni in entrata al database |
|
Limitare a tre gli utenti delle chiavi di crittografia KMS |
|
Abilitare l'accesso uniforme a livello di bucket nei bucket Cloud Storage |
|
Limita le chiavi service account gestite dall'utente |
|
Non disponibile |
|
Limita le norme SSL non sicure per le istanze Compute Engine |
|
Non utilizzare la UI web di Kubernetes |
|
Abilita Workload Identity Federation for GKE sui cluster |