Security Command Center API を使用してアセットを一覧表示する

非推奨: 2023 年 6 月 20 日の時点で、Security Command Center の次のアセット管理機能は非推奨になりました。

Security Command Center API とクライアントライブラリの Assets オブジェクト、関連するメソッドおよびフィールド
gcloud scc assets コマンド

組織で 2023 年 6 月 20 日以降に Security Command Center を有効にした場合、上記の機能は Security Command Center の有効化に含まれないため、このページに記載されているアセット機能は適用されません。

組織が 2023 年 6 月 20 日より前に Security Command Center を有効にした場合、2024 年 6 月 20 日までにアセット管理オペレーションを Security Command Center API と gcloud scc assets コマンドから Cloud Asset Inventory に移行するように計画します。これらの Security Command Center アセット管理機能は、2024 年 6 月 20 日以降にすべてのユーザーの Security Command Center から削除されます。

Cloud Asset Inventory を使用してアセットを一覧表示するには、アセットの一覧表示をご覧ください。

アセットとは、組織の Google Cloud リソース（Compute Engine インスタンスや Cloud Storage バケットなど）のことです。

このガイドでは、Security Command Center クライアントライブラリを使用して、Security Command Center がプロジェクトや組織内のアセットに対して保持している非推奨レコードにアクセスする方法について説明します。

Security Command Center では、Cloud Asset Inventory の一部のアセットのみのレコードを保持しています。環境内にあるアセットの一覧については、Cloud Asset Inventory を使用してアセットを一覧表示してください。

詳しくは以下をご覧ください。

IAM ロールの付与レベル

Security Command Center の IAM ロールは、組織レベル、フォルダレベル、またはプロジェクトレベルで付与できます。検出結果、アセット、セキュリティソースを表示、編集、作成、更新する権限は、アクセス権が付与されているレベルによって異なります。Security Command Center のロールの詳細については、アクセス制御をご覧ください。

始める前に

ソースを設定する前に、以下の手順を完了しておく必要があります。

Security Command Center API で認証する

ページサイズ

Security Command Center の list API は、すべてページ分けされます。各レスポンスでは、結果のページと次のページを返すためのトークンが戻されます。ページサイズは構成可能です。デフォルトの pageSize は 10 で、最小値の 1 から最大値の 1,000 まで設定できます。

リソースタイプ

Security Command Center の resourceType 属性では、Cloud Asset Inventory とは異なる命名規則を使用します。リソースタイプの形式の一覧については、Security Command Center でサポートされているアセットタイプをご覧ください。

すべてのアセットを一覧表示する

次の例は、すべてのアセットを一覧表示する方法を示しています。

gcloud

プロジェクト、フォルダ、または組織内のすべてのアセットを一覧表示するには、次のコマンドを実行します。

gcloud scc assets list PARENT_ID

PARENT_ID は次のいずれかの値に置き換えます。

次の形式の組織 ID: ORGANIZATION_ID（数値 ID のみ）
次の形式のフォルダ ID: folders/FOLDER_ID
次の形式のプロジェクト ID: projects/PROJECT_ID

他の例については、次のコマンドを実行します。

 gcloud scc assets list --help

ドキュメントの例については、gcloud scc アセットリストをご覧ください。

Python

from google.cloud import securitycenter

client = securitycenter.SecurityCenterClient()
# 'parent' must be in one of the following formats:
#   "organizations/{organization_id}"
#   "projects/{project_id}"
#   "folders/{folder_id}"
parent = f"organizations/{organization_id}"

# Call the API and print results.
asset_iterator = client.list_assets(request={"parent": parent})
for i, asset_result in enumerate(asset_iterator):
    print(i, asset_result)

Java

static ImmutableList<ListAssetsResult> listAssets(OrganizationName organizationName) {
  try (SecurityCenterClient client = SecurityCenterClient.create()) {
    // Start setting up a request to search for all assets in an organization, project, or folder.
    //
    // Parent must be in one of the following formats:
    //    OrganizationName organizationName = OrganizationName.of("organization-id");
    //    ProjectName projectName = ProjectName.of("project-id");
    //    FolderName folderName = FolderName.of("folder-id");
    ListAssetsRequest.Builder request =
        ListAssetsRequest.newBuilder().setParent(organizationName.toString());

    // Call the API.
    ListAssetsPagedResponse response = client.listAssets(request.build());

    // This creates one list for all assets.  If your organization has a large number of assets
    // this can cause out of memory issues.  You can process them incrementally by returning
    // the Iterable returned response.iterateAll() directly.
    ImmutableList<ListAssetsResult> results = ImmutableList.copyOf(response.iterateAll());
    System.out.println("All assets:");
    System.out.println(results);
    return results;
  } catch (IOException e) {
    throw new RuntimeException("Couldn't create client.", e);
  }
}

Go

import (
	"context"
	"fmt"
	"io"

	securitycenter "cloud.google.com/go/securitycenter/apiv1"
	"cloud.google.com/go/securitycenter/apiv1/securitycenterpb"
	"google.golang.org/api/iterator"
)

// listAllAssets prints every asset to w for orgID. orgID is the numeric
// Organization ID.
func listAllAssets(w io.Writer, orgID string) error {
	// orgID := "12321311"
	// Instantiate a context and a security service client to make API calls.
	ctx := context.Background()
	client, err := securitycenter.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("securitycenter.NewClient: %w", err)
	}
	defer client.Close() // Closing the client safely cleans up background resources.

	req := &securitycenterpb.ListAssetsRequest{
		// Parent must be in one of the following formats:
		//		"organizations/{orgId}"
		//		"projects/{projectId}"
		//		"folders/{folderId}"
		Parent: fmt.Sprintf("organizations/%s", orgID),
	}

	assetsFound := 0
	it := client.ListAssets(ctx, req)
	for {
		result, err := it.Next()
		if err == iterator.Done {
			break
		}
		if err != nil {
			return fmt.Errorf("ListAssets: %w", err)
		}
		asset := result.Asset
		properties := asset.SecurityCenterProperties
		fmt.Fprintf(w, "Asset Name: %s,", asset.Name)
		fmt.Fprintf(w, "Resource Name %s,", properties.ResourceName)
		fmt.Fprintf(w, "Resource Type %s\n", properties.ResourceType)
		assetsFound++
	}
	return nil
}

Node.js

// Imports the Google Cloud client library.
const {SecurityCenterClient} = require('@google-cloud/security-center');

// Creates a new client.
const client = new SecurityCenterClient();
//  organizationId is the numeric ID of the organization.
/*
 * TODO(developer): Uncomment the following lines
 */
// parent: must be in one of the following formats:
//    `organizations/${organization_id}`
//    `projects/${project_id}`
//    `folders/${folder_id}`
const parent = `organizations/${organizationId}`;
// Call the API with automatic pagination.
async function listAssets() {
  const [response] = await client.listAssets({parent: parent});
  let count = 0;
  Array.from(response).forEach(result =>
    console.log(
      `${++count} ${result.asset.name} ${
        result.asset.securityCenterProperties.resourceName
      }`
    )
  );
}

listAssets();

各アセットの出力は、次のような JSON オブジェクトになります。

asset:
  createTime: '2020-10-05T17:55:14.823Z'
  iamPolicy:
    policyBlob: '{"bindings":[{"role":"roles/owner","members":["serviceAccount:SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com","user:USER_EMAIL@gmail.com"]}]}'
  name: organizations/ORGANIZATION_ID/assets/ASSET_ID
  resourceProperties:
    createTime: '2020-10-05T17:36:17.915Z'
    lifecycleState: ACTIVE
    name: PROJECT_ID
    parent: '{"id":"ORGANIZATION_ID","type":"organization"}'
    projectId: PROJECT_ID
    projectNumber: 'PROJECT_NUMBER'
  securityCenterProperties:
    resourceDisplayName: PROJECT_ID
    resourceName: //cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER
    resourceOwners:
    - serviceAccount:SERVICE_ACCOUNT@PROJECT_ID.iam.gserviceaccount.com
    - user:USER_EMAIL@gmail.com
    resourceParent: //cloudresourcemanager.googleapis.com/organizations/ORGANIZATION_ID
    resourceParentDisplayName: ORGANIZATION_NAME
    resourceProject: //cloudresourcemanager.googleapis.com/projects/PROJECT_NUMBER
    resourceProjectDisplayName: PROJECT_ID
    resourceType: google.cloud.resourcemanager.Project
  securityMarks:
    name: organizations/ORGANIZATION_ID/assets/ASSET_ID/securityMarks
  updateTime: '2020-10-05T17:55:14.823Z'

アセットをフィルタする

プロジェクト、フォルダ、組織には、多くのアセットが含まれている可能性があります。上記の例ではフィルタを使用していないため、すべてのアセットが返されます。Security Command Center では、アセットフィルタを使用して、特定のアセットに関する情報を取得できます。フィルタは、SQL ステートメントの「WHERE」句に似ていますが、列の代わりに API によって返されるオブジェクトに適用されます。

上記の例の出力例では、アセットフィルタで使用できるフィールドとサブフィールド、それらのプロパティを示しています。Security Command Center では、潜在的なプロパティタイプとして完全な JSON 配列とオブジェクトもサポートされています。以下に基づいてフィルタできます。

配列要素
オブジェクト内で文字列が部分的に一致する完全な JSON オブジェクト
JSON オブジェクトのサブフィールド

サブフィールドは数値、文字列、またはブール値でなければなりません。また、フィルタ式では、次の比較演算子を使用する必要があります。

文字列:
- 完全に同等: =
- 部分文字列の一致: :
数字:
- 不等式 <、>、<=、>=
- 等式 =
ブール値:
- 等式 =

次の例では、アセットをフィルタします。

gcloud

次のコマンドを使用して、アセットをフィルタします。

gcloud scc assets list PARENT_ID --filter="FILTER"

以下を置き換えます。

FILTER は、使用するフィルタに置き換えます。たとえば、次のフィルタはプロジェクトリソースのみを返します。
```
--filter="security_center_properties.resource_type=\"google.cloud.resourcemanager.Project\""
```
PARENT_ID は次のいずれかの値に置き換えます。
- 次の形式の組織 ID: ORGANIZATION_ID（数値 ID のみ）
- 次の形式のフォルダ ID: folders/FOLDER_ID
- 次の形式のプロジェクト ID: projects/PROJECT_ID

他の例については、次のコマンドを実行します。

gcloud scc assets list --help

ドキュメントの例については、gcloud scc アセットリストをご覧ください。

Python

from google.cloud import securitycenter

client = securitycenter.SecurityCenterClient()

# 'parent' must be in one of the following formats:
#   "organizations/{organization_id}"
#   "projects/{project_id}"
#   "folders/{folder_id}"
parent = f"organizations/{organization_id}"

project_filter = (
    "security_center_properties.resource_type="
    + '"google.cloud.resourcemanager.Project"'
)
# Call the API and print results.
asset_iterator = client.list_assets(
    request={"parent": parent, "filter": project_filter}
)
for i, asset_result in enumerate(asset_iterator):
    print(i, asset_result)

Java

static ImmutableList<ListAssetsResult> listAssetsWithFilter(OrganizationName organizationName) {
  try (SecurityCenterClient client = SecurityCenterClient.create()) {
    // Start setting up a request to search for all assets in an organization, project, or folder.
    //
    // Parent must be in one of the following formats:
    //    OrganizationName organizationName = OrganizationName.of("organization-id");
    //    ProjectName projectName = ProjectName.of("project-id");
    //    FolderName folderName = FolderName.of("folder-id");
    ListAssetsRequest.Builder request =
        ListAssetsRequest.newBuilder()
            .setParent(organizationName.toString())
            .setFilter(
                "security_center_properties.resource_type=\"google.cloud.resourcemanager.Project\"");

    // Call the API.
    ListAssetsPagedResponse response = client.listAssets(request.build());

    // This creates one list for all assets.  If your organization has a large number of assets
    // this can cause out of memory issues.  You can process them incrementally by returning
    // the Iterable returned response.iterateAll() directly.
    ImmutableList<ListAssetsResult> results = ImmutableList.copyOf(response.iterateAll());
    System.out.println("Project assets:");
    System.out.println(results);
    return results;
  } catch (IOException e) {
    throw new RuntimeException("Couldn't create client.", e);
  }
}

Go

import (
	"context"
	"fmt"
	"io"

	securitycenter "cloud.google.com/go/securitycenter/apiv1"
	"cloud.google.com/go/securitycenter/apiv1/securitycenterpb"
	"google.golang.org/api/iterator"
)

// listAllProjectAssets lists all current GCP project assets in orgID and
// prints out results to w. orgID is the numeric organization ID of interest.
func listAllProjectAssets(w io.Writer, orgID string) error {
	// orgID := "12321311"
	// Instantiate a context and a security service client to make API calls.
	ctx := context.Background()
	client, err := securitycenter.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("securitycenter.NewClient: %w", err)
	}
	defer client.Close() // Closing the client safely cleans up background resources.
	req := &securitycenterpb.ListAssetsRequest{
		// Parent must be in one of the following formats:
		//		"organizations/{orgId}"
		//		"projects/{projectId}"
		//		"folders/{folderId}"
		Parent: fmt.Sprintf("organizations/%s", orgID),
		Filter: `security_center_properties.resource_type="google.cloud.resourcemanager.Project"`,
	}

	assetsFound := 0
	it := client.ListAssets(ctx, req)
	for {
		result, err := it.Next()
		if err == iterator.Done {
			break
		}
		if err != nil {
			return fmt.Errorf("ListAssets: %w", err)
		}
		asset := result.Asset
		properties := asset.SecurityCenterProperties
		fmt.Fprintf(w, "Asset Name: %s,", asset.Name)
		fmt.Fprintf(w, "Resource Name %s,", properties.ResourceName)
		fmt.Fprintf(w, "Resource Type %s\n", properties.ResourceType)
		assetsFound++
	}
	return nil
}

Node.js

// Imports the Google Cloud client library.
const {SecurityCenterClient} = require('@google-cloud/security-center');

// Creates a new client.
const client = new SecurityCenterClient();
//  organizationId is the numeric ID of the organization.
/*
 * TODO(developer): Uncomment the following lines
 */
// const organizationId = "1234567777";
const orgName = client.organizationPath(organizationId);

// Call the API with automatic pagination.
// You can also list assets in a project/ folder. To do so, modify the parent
// value and filter condition.
async function listFilteredAssets() {
  const [response] = await client.listAssets({
    parent: orgName,
    filter:
      'security_center_properties.resource_type="google.cloud.resourcemanager.Project"',
  });
  let count = 0;
  Array.from(response).forEach(result =>
    console.log(
      `${++count} ${result.asset.name} ${
        result.asset.securityCenterProperties.resourceName
      } ${result.stateChange}`
    )
  );
}

listFilteredAssets();

特定の時点で一覧表示する

上記の例は、現在のアセット一式を一覧表示する方法を示しています。Security Command Center では、アセットの履歴スナップショットを表示することもできます。次の例では、特定の時点におけるすべてのアセットの状態が返されます。Security Command Center はミリ秒単位の精度をサポートしています。

gcloud

特定の時点でのアセットを一覧表示するには、次のコマンドを使用します。

gcloud scc assets list PARENT_ID --read-time="READ_TIME"

以下を置き換えます。

READ_TIME は、アセットを一覧表示する時刻に置き換えます。YYYY-MM-DDThh:mm:ss.ffffffZ の形式を使用します。次に例を示します。
```
--read-time="2022-12-21T07:00:06.861Z"
```
PARENT_ID は次のいずれかの値に置き換えます。
- 次の形式の組織 ID: ORGANIZATION_ID（数値 ID のみ）
- 次の形式のプロジェクト ID: projects/PROJECT_ID
- 次の形式のフォルダ ID: folders/FOLDER_ID

他の例については、次のコマンドを実行します。

gcloud scc assets list --help

ドキュメントの例については、gcloud scc アセットリストをご覧ください。

Python

from datetime import datetime, timedelta, timezone

from google.cloud import securitycenter

client = securitycenter.SecurityCenterClient()

# 'parent' must be in one of the following formats:
#   "organizations/{organization_id}"
#   "projects/{project_id}"
#   "folders/{folder_id}"
parent = f"organizations/{organization_id}"

project_filter = (
    "security_center_properties.resource_type="
    + '"google.cloud.resourcemanager.Project"'
)

# Lists assets as of yesterday.
read_time = datetime.now(tz=timezone.utc) - timedelta(days=1)

# Call the API and print results.
asset_iterator = client.list_assets(
    request={"parent": parent, "filter": project_filter, "read_time": read_time}
)
for i, asset_result in enumerate(asset_iterator):
    print(i, asset_result)

Java

static ImmutableList<ListAssetsResult> listAssetsAsOfYesterday(
    OrganizationName organizationName, Instant asOf) {
  try (SecurityCenterClient client = SecurityCenterClient.create()) {
    // Start setting up a request to search for all assets in an organization, project, or folder.
    //
    // Parent must be in one of the following formats:
    //    OrganizationName organizationName = OrganizationName.of("organization-id");
    //    ProjectName projectName = ProjectName.of("project-id");
    //    FolderName folderName = FolderName.of("folder-id");
    // Initialize the builder with the parent and filter
    ListAssetsRequest.Builder request =
        ListAssetsRequest.newBuilder()
            .setParent(organizationName.toString())
            .setFilter(
                "security_center_properties.resource_type=\"google.cloud.resourcemanager.Project\"");

    // Set read time to either the instant passed in or one day ago.
    asOf = MoreObjects.firstNonNull(asOf, Instant.now().minus(Duration.ofDays(1)));
    request.getReadTimeBuilder().setSeconds(asOf.getEpochSecond()).setNanos(asOf.getNano());

    // Call the API.
    ListAssetsPagedResponse response = client.listAssets(request.build());

    // This creates one list for all assets.  If your organization has a large number of assets
    // this can cause out of memory issues.  You can process them incrementally by returning
    // the Iterable returned response.iterateAll() directly.
    ImmutableList<ListAssetsResult> results = ImmutableList.copyOf(response.iterateAll());
    System.out.println("Projects:");
    System.out.println(results);
    return results;
  } catch (IOException e) {
    throw new RuntimeException("Couldn't create client.", e);
  }
}

Go

import (
	"context"
	"fmt"
	"io"
	"time"

	securitycenter "cloud.google.com/go/securitycenter/apiv1"
	"cloud.google.com/go/securitycenter/apiv1/securitycenterpb"
	"github.com/golang/protobuf/ptypes"
	"google.golang.org/api/iterator"
)

// listAllProjectAssets lists all GCP Projects in orgID at asOf time and prints
// out results to w. orgID is the numeric organization ID of interest.
func listAllProjectAssetsAtTime(w io.Writer, orgID string, asOf time.Time) error {
	// orgID := "12321311"
	// Instantiate a context and a security service client to make API calls.
	ctx := context.Background()
	client, err := securitycenter.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("securitycenter.NewClient: %w", err)
	}
	defer client.Close() // Closing the client safely cleans up background resources.

	// Convert the time to a Timestamp protobuf
	readTime, err := ptypes.TimestampProto(asOf)
	if err != nil {
		return fmt.Errorf("TimestampProto(%v): %w", asOf, err)
	}

	// You can also list assets in a project/ folder. To do so, modify the parent and
	// filter condition.
	req := &securitycenterpb.ListAssetsRequest{
		// Parent must be in one of the following formats:
		//		"organizations/{orgId}"
		//		"projects/{projectId}"
		//		"folders/{folderId}"
		Parent:   fmt.Sprintf("organizations/%s", orgID),
		Filter:   `security_center_properties.resource_type="google.cloud.resourcemanager.Project"`,
		ReadTime: readTime,
	}

	assetsFound := 0
	it := client.ListAssets(ctx, req)
	for {
		result, err := it.Next()
		if err == iterator.Done {
			break
		}
		if err != nil {
			return fmt.Errorf("ListAssets: %w", err)
		}
		asset := result.Asset
		properties := asset.SecurityCenterProperties
		fmt.Fprintf(w, "Asset Name: %s,", asset.Name)
		fmt.Fprintf(w, "Resource Name %s,", properties.ResourceName)
		fmt.Fprintf(w, "Resource Type %s\n", properties.ResourceType)
		assetsFound++
	}
	return nil
}

Node.js

// Imports the Google Cloud client library.
const {SecurityCenterClient} = require('@google-cloud/security-center');

// Creates a new client.
const client = new SecurityCenterClient();
//  organizationId is the numeric ID of the organization.
/*
 * TODO(developer): Uncomment the following lines
 */
// parent: must be in one of the following formats:
//    `organizations/${organization_id}`
//    `projects/${project_id}`
//    `folders/${folder_id}`
const parent = `organizations/${organizationId}`;

const oneDayAgo = new Date();
oneDayAgo.setDate(oneDayAgo.getDate() - 1);

// Call the API with automatic pagination.
async function listAssetsAtTime() {
  const [response] = await client.listAssets({
    parent: parent,
    filter:
      'security_center_properties.resource_type="google.cloud.resourcemanager.Project"',
    // readTime must be in the form of a google.protobuf.Timestamp object
    // which takes seconds and nanoseconds.
    readTime: {
      seconds: Math.floor(oneDayAgo.getTime() / 1000),
      nanos: (oneDayAgo.getTime() % 1000) * 1e6,
    },
  });
  let count = 0;
  Array.from(response).forEach(result =>
    console.log(
      `${++count} ${result.asset.name} ${
        result.asset.securityCenterProperties.resourceName
      }`
    )
  );
}

listAssetsAtTime();

状態の変化とともにアセットを一覧表示する

Security Command Center では、1 つのアセットを 2 つの時点で比較して、指定した期間中に存在するかどうか、あるいは追加や削除があったどうかを確認できます。次の例では、READ_TIME の時点でのプロジェクトと COMPARE_DURATION で指定された過去の時点を比較します。COMPARE_DURATION の単位は秒で指定します。

COMPARE_DURATION を設定すると、アセットの一覧表示結果の stateChange 属性が次のいずれかの値で更新されます。

ADDED: アセットは compareDuration の開始時には存在していませんでしたが、readTime の時点では存在しています。
REMOVED: アセットは compareDuration の開始時に存在していましたが、readTime の時点では存在しません。
ACTIVE: アセットは、compareDuration と readTime で定義された期間の開始時間と終了時間のどちらでも存在していました。

gcloud

次のコマンドを使用して、2 つの時点のアセットの状態を比較します。

gcloud scc assets list PARENT_ID \
    --filter="FILTER" \
    --read-time=READ_TIME \
    --compare-duration=COMPARE_DURATION

以下を置き換えます。

COMPARE_DURATION: --read-time フラグで指定された時点より前の時点を定義する秒数。次に例を示します。
```
--compare-duration=84600s
```
FILTER は、使用するフィルタに置き換えます。たとえば、次のフィルタはプロジェクトリソースのみを返します。
```
--filter="security_center_properties.resource_type=\"google.cloud.resourcemanager.Project\""
```
PARENT_ID は次のいずれかの値に置き換えます。
- 次の形式の組織 ID: ORGANIZATION_ID（数値 ID のみ）
- 次の形式のプロジェクト ID: projects/PROJECT_ID
- 次の形式のフォルダ ID: folders/FOLDER_ID
READ_TIME は、アセットを一覧表示する時刻に置き換えます。形式は次のようにします: YYYY-MM-DDThh:mm:ss.ffffffZ。次に例を示します。
```
--read-time="2022-12-21T07:00:06.861Z"
```
他の例については、次のコマンドを実行します。

gcloud scc assets list --help

ドキュメントの例については、gcloud scc アセットリストをご覧ください。

Python

from datetime import timedelta

from google.cloud import securitycenter

client = securitycenter.SecurityCenterClient()

# 'parent' must be in one of the following formats:
#   "organizations/{organization_id}"
#   "projects/{project_id}"
#   "folders/{folder_id}"
parent = f"organizations/{organization_id}"
project_filter = (
    "security_center_properties.resource_type="
    + '"google.cloud.resourcemanager.Project"'
)

# List assets and their state change the last 30 days
compare_delta = timedelta(days=30)

# Call the API and print results.
asset_iterator = client.list_assets(
    request={
        "parent": parent,
        "filter": project_filter,
        "compare_duration": compare_delta,
    }
)
for i, asset in enumerate(asset_iterator):
    print(i, asset)

Java

static ImmutableList<ListAssetsResult> listAssetAndStatusChanges(
    OrganizationName organizationName, Duration timeSpan, Instant asOf) {
  try (SecurityCenterClient client = SecurityCenterClient.create()) {

    // Start setting up a request to search for all assets in an organization, project, or folder.
    //
    // Parent must be in one of the following formats:
    //    OrganizationName organizationName = OrganizationName.of("organization-id");
    //    ProjectName projectName = ProjectName.of("project-id");
    //    FolderName folderName = FolderName.of("folder-id");
    ListAssetsRequest.Builder request =
        ListAssetsRequest.newBuilder()
            .setParent(organizationName.toString())
            .setFilter(
                "security_center_properties.resource_type=\"google.cloud.resourcemanager.Project\"");
    request
        .getCompareDurationBuilder()
        .setSeconds(timeSpan.getSeconds())
        .setNanos(timeSpan.getNano());

    // Set read time to either the instant passed in or now.
    asOf = MoreObjects.firstNonNull(asOf, Instant.now());
    request.getReadTimeBuilder().setSeconds(asOf.getEpochSecond()).setNanos(asOf.getNano());

    // Call the API.
    ListAssetsPagedResponse response = client.listAssets(request.build());

    // This creates one list for all assets.  If your organization has a large number of assets
    // this can cause out of memory issues.  You can process them incrementally by returning
    // the Iterable returned response.iterateAll() directly.
    ImmutableList<ListAssetsResult> results = ImmutableList.copyOf(response.iterateAll());
    System.out.println("Projects:");
    System.out.println(results);
    return results;
  } catch (IOException e) {
    throw new RuntimeException("Couldn't create client.", e);
  }
}

Go

import (
	"context"
	"fmt"
	"io"
	"time"

	securitycenter "cloud.google.com/go/securitycenter/apiv1"
	"cloud.google.com/go/securitycenter/apiv1/securitycenterpb"
	"github.com/golang/protobuf/ptypes"
	"google.golang.org/api/iterator"
)

// listAllProjectAssetsAndStateChange lists all current GCP project assets in
// orgID and prints the projects and there change from a day ago out to w.
// orgID is the numeric // organization ID of interest.
func listAllProjectAssetsAndStateChanges(w io.Writer, orgID string) error {
	// orgID := "12321311"
	// Instantiate a context and a security service client to make API calls.
	ctx := context.Background()
	client, err := securitycenter.NewClient(ctx)
	if err != nil {
		return fmt.Errorf("securitycenter.NewClient: %w", err)
	}
	defer client.Close() // Closing the client safely cleans up background resources.

	req := &securitycenterpb.ListAssetsRequest{
		// Parent must be in one of the following formats:
		//		"organizations/{orgId}"
		//		"projects/{projectId}"
		//		"folders/{folderId}"
		Parent:          fmt.Sprintf("organizations/%s", orgID),
		Filter:          `security_center_properties.resource_type="google.cloud.resourcemanager.Project"`,
		CompareDuration: ptypes.DurationProto(24 * time.Hour),
	}

	assetsFound := 0
	it := client.ListAssets(ctx, req)
	for {
		result, err := it.Next()
		if err == iterator.Done {
			break
		}
		if err != nil {
			return fmt.Errorf("ListAssets: %w", err)
		}
		asset := result.Asset
		properties := asset.SecurityCenterProperties
		fmt.Fprintf(w, "Asset Name: %s,", asset.Name)
		fmt.Fprintf(w, "Resource Name %s,", properties.ResourceName)
		fmt.Fprintf(w, "Resource Type %s", properties.ResourceType)
		fmt.Fprintf(w, "State Change %s\n", result.StateChange)
		assetsFound++
	}
	return nil
}

Node.js

// Imports the Google Cloud client library.
const {SecurityCenterClient} = require('@google-cloud/security-center');

// Creates a new client.
const client = new SecurityCenterClient();
//  organizationId is the numeric ID of the organization.
/*
 * TODO(developer): Uncomment the following lines
 */
// parent: must be in one of the following formats:
//    `organizations/${organization_id}`
//    `projects/${project_id}`
//    `folders/${folder_id}`
const parent = `organizations/${organizationId}`;
// Call the API with automatic pagination.
async function listAssetsAndChanges() {
  const [response] = await client.listAssets({
    parent: parent,
    compareDuration: {seconds: 30 * /*Second in Day=*/ 86400, nanos: 0},
    filter:
      'security_center_properties.resource_type="google.cloud.resourcemanager.Project"',
  });
  let count = 0;
  Array.from(response).forEach(result =>
    console.log(
      `${++count} ${result.asset.name} ${
        result.asset.securityCenterProperties.resourceName
      } ${result.stateChange}`
    )
  );
}

listAssetsAndChanges();

フィルタの例

以下に、その他の便利なアセットフィルタを示します。フィルタで AND と OR を使用すると、パラメータを結合して、結果を拡大または絞り込むことができます。

特定のオーナーのプロジェクトアセットの検索

"security_center_properties.resource_type = \"google.cloud.resourcemanager.Project\" AND security_center_properties.resource_owners : \"$USER\""

通常、$USER の形式は user:someone@domain.com です。user の比較では部分文字列演算子 : が使用されます。完全一致の必要はありません。

オープンな HTTP ポートを持つファイアウォールルール

"security_center_properties.resource_type = \"google.compute.Firewall\" AND resource_properties.name =\"default-allow-http\""

特定のプロジェクトに属するリソース

"security_center_properties.resource_parent = \"$PROJECT_1_NAME\" OR security_center_properties.resource_parent = \"$PROJECT_2_NAME\""

$PROJECT_1_NAME と $PROJECT_2_NAME は //cloudresourcemanager.googleapis.com/projects/$PROJECT_ID 形式のリソース ID で、$PROJECT_ID はプロジェクト番号です。完全な例は //cloudresourcemanager.googleapis.com/projects/100090906 のようになります。

名前に特定の文字列が含まれる Compute Engine イメージの検索

このフィルタでは、部分文字列「Debia」が含まれる Compute Engine イメージが返されます。

"security_center_properties.resource_type = \"google.compute.Image\" AND resource_properties.name : \"Debia\""

プロパティに Key-Value ペアが含まれるリソース

このフィルタは、bucketPolicyOnly が無効になっている Cloud Storage バケットを返します。resourceProperties.iamConfiguration の値は文字列としてエンコードされます。\ 文字を使用して、文字列内の特殊文字（キー名と値の間の : 演算子など）をエスケープします。

"resourceProperties.iamConfiguration:"\"bucketPolicyOnly\"\:{\"enabled\"\:false""

特定の日時までに作成されたプロジェクトアセットの検索

これらのフィルタは、2019 年 7 月 18 日午後 8 時 26 分 21 分（GMT）以前に作成されたアセットと一致します。create_time フィルタを使用すると、次の形式とタイプを使用して時間を表すことができます。

整数リテラルとしての Unix 時間（ミリ秒単位）
```
"create_time <= 1563481581000"
```

文字列リテラルとしての RFC 3339

"create_time <= \"2019-07-18T20:26:21+00:00\""

結果からアセットを除外する

結果からアセットを除外するには、パラメータの前に - 文字を置いて否定構文を使用します。この操作は、SQL ステートメントで NOT 演算子を使用する場合と同様です。

このフィルタでは、Debia を除くすべてのプロジェクトリソースが返されます。

"security_center_properties.resource_type = \"google.cloud.resourcemanager.Project\" AND -resource_properties.projectId = \"Debia\""

次のステップ

クライアントライブラリを使用して Security Command Center にアクセスする方法の詳細を確認する。

Security Command Center API を使用してアセットを一覧表示する コレクションでコンテンツを整理 必要に応じて、コンテンツの保存と分類を行います。

IAM ロールの付与レベル

始める前に

ページサイズ

リソースタイプ

すべてのアセットを一覧表示する

gcloud

Python

Java

Go

Node.js

アセットをフィルタする

gcloud

Python

Java

Go

Node.js

特定の時点で一覧表示する

gcloud

Python

Java

Go

Node.js

状態の変化とともにアセットを一覧表示する

gcloud

Python

Java

Go

Node.js

フィルタの例

特定のオーナーのプロジェクト アセットの検索

オープンな HTTP ポートを持つファイアウォール ルール

特定のプロジェクトに属するリソース

名前に特定の文字列が含まれる Compute Engine イメージの検索

プロパティに Key-Value ペアが含まれるリソース

特定の日時までに作成されたプロジェクト アセットの検索

結果からアセットを除外する

次のステップ

Security Command Center API を使用してアセットを一覧表示する

特定のオーナーのプロジェクトアセットの検索

オープンな HTTP ポートを持つファイアウォールルール

特定の日時までに作成されたプロジェクトアセットの検索