Gestire i framework in Assured Workloads

Anteprima

Questo prodotto o funzionalità sono soggetti ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Applicabile solo ai framework Assured Workloads

I framework Assured Workloads sono costituiti da controlli cloud che ti aiutano a soddisfare i requisiti di sicurezza e normativi per una cartella o un progetto nei tuoi ambienti cloud. Assured Workloads fornisce molti framework integrati, come i limiti dei dati, ma puoi anche modificare i framework esistenti o crearne di tuoi. Per creare il tuo framework, inizia identificando o creando i controlli cloud in linea con gli obblighi di sicurezza e conformità della tua attività. Poi, esegui il deployment di un framework che includa questi controlli cloud nella cartella o nel progetto selezionato.

Questa pagina ti aiuta a completare i seguenti passaggi:

1. Valuta quale framework integrato è più in linea con i tuoi requisiti normativi e di sicurezza. Puoi creare il tuo framework personalizzato, ma ti consigliamo di iniziare con un framework integrato.

2. Determina quali controlli cloud integrati corrispondono ai requisiti della tua attività. Se necessario, puoi creare controlli cloud personalizzati.

3. Determina la cartella o il progetto in cui eseguire il deployment del framework. Puoi eseguire il deployment dei framework nei seguenti modi:

   • Una singola risorsa, che sia una cartella o un progetto, può avere un solo framework preventivo integrato, come un limite dei dati, di cui è stato eseguito il deployment.
   • Una singola risorsa, che sia una cartella o un progetto, può avere più framework di rilevamento di cui è stato eseguito il deployment.
   • Più risorse possono avere lo stesso framework preventivo o di rilevamento di cui è stato eseguito il deployment. Ad esempio, una cartella principale può avere lo stesso framework preventivo o di rilevamento di cui è stato eseguito il deployment dei progetti secondari.

4. Copia un framework esistente e modificalo in base ai tuoi requisiti. Se necessario, puoi creare un framework personalizzato.

5. Esegui il deployment del framework nella cartella o nel progetto selezionato.

Prima di iniziare

• Per ottenere le autorizzazioni necessarie per applicare i framework, chiedi all'amministratore di concederti i seguenti ruoli IAM nella tua organizzazione o nel tuo progetto:

  • Amministratore di Compliance Manager (roles/cloudsecuritycompliance.admin)
  • Per eseguire il deployment dei framework che includono controlli cloud basati su policy dell'organizzazione, uno dei:
    • Amministratore delle policy dell'organizzazione (roles/orgpolicy.policyAdmin)
    • Amministratore di Assured Workloads (roles/assuredworkloads.admin)
    • Editor di Assured Workloads (roles/assuredworkloads.editor)

  Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

  Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Visualizzare i framework

Completa i seguenti passaggi per visualizzare la configurazione dei framework integrati o di altri framework che hai già creato.

1. Nella Google Cloud console, vai alla pagina Framework.

   Vai a Framework

2. Se richiesto, seleziona la tua organizzazione.

3. La dashboard mostra i framework disponibili, una breve descrizione, le piattaforme e i livelli supportati e le risorse a cui è stato assegnato il framework.

4. Per visualizzare i dettagli di un framework specifico, fai clic sul nome del framework.

Creare un framework

Dopo aver determinato quali controlli cloud si applicano alle risorse all'interno della tua organizzazione o di una cartella o di un progetto specifico, puoi creare un framework. Puoi creare un framework personalizzato o copiare un framework esistente e modificarlo. Quando copi un framework, questo include le release più recenti di tutti i controlli cloud integrati.

1. Nella Google Cloud console, vai alla pagina Framework.

   Vai a Framework

2. Se richiesto, seleziona la tua organizzazione.

3. Fai clic su Crea framework personalizzato.

4. Completa una delle seguenti operazioni:

   • Per utilizzare un framework esistente, procedi nel seguente modo:

     1. Seleziona Inizia da un framework esistente.

     2. Seleziona il framework che vuoi copiare.

   • Per creare un framework personalizzato, seleziona Inizia nuovo.

5. Inserisci un nome, un identificatore univoco e una descrizione per il framework. Fai clic su Continua.

6. Nel passaggio Imposta una località per il framework, seleziona una regione specifica o una multi-regione. Per saperne di più sulle regioni disponibili, consulta Località di Assured Workloads. Fai clic su Continua.

   Se stai copiando un framework esistente, viene visualizzato l'elenco dei controlli cloud che facevano parte del framework esistente.

7. Per aggiungere i controlli cloud di cui hai bisogno, procedi nel seguente modo:

   • Per aggiungere un controllo cloud esistente, fai clic su Aggiungi controlli cloud. Seleziona tutti i controlli cloud di cui hai bisogno e poi fai clic su Aggiungi.

     Quando aggiungi un controllo, verifica il tipo di controllo (di rilevamento, preventivo o di audit). Non includere i controlli di solo audit in un framework che vuoi utilizzare per monitorare il tuo ambiente e rilevare le violazioni. Non puoi eseguire il deployment dei framework che includono controlli di solo audit.

   • Per creare un controllo cloud personalizzato, fai clic su Crea controllo cloud personalizzato. Per istruzioni, consulta Creare un controllo cloud personalizzato.

8. Fai clic su Continua.

9. Aggiungi eventuali parametri aggiuntivi richiesti dai controlli cloud.

   Ad esempio, puoi impostare le località per le località di archiviazione di Cloud Logging, le località delle risorse e modificare gli endpoint di servizio consentiti.

10. Fai clic su Crea.

Eseguire il deployment di un framework

Nota: prima di eseguire il deployment dei framework Assured Workloads, devi essere aggiunto a una lista consentita. Richiedi l'accesso alla lista consentita compilando il modulo di registrazione.

Esegui il deployment di un framework in una cartella o in un progetto in modo da poter controllare e monitorare queste risorse utilizzando i controlli cloud del framework. Puoi eseguire il deployment dei framework nei seguenti modi:

• Una singola risorsa, che sia una cartella o un progetto, può avere un solo framework preventivo integrato, come un limite dei dati, di cui è stato eseguito il deployment.
• Una singola risorsa, che sia una cartella o un progetto, può avere più framework di rilevamento di cui è stato eseguito il deployment.
• Più risorse possono avere lo stesso framework preventivo o di rilevamento di cui è stato eseguito il deployment. Ad esempio, una cartella principale può avere lo stesso framework preventivo o di rilevamento di cui è stato eseguito il deployment dei progetti secondari.

Le cartelle e i progetti ereditano i framework tramite la Google Cloud gerarchia delle risorse. Pertanto, se esegui il deployment dei framework a livello di cartella e di progetto, tutti i controlli cloud all'interno di entrambi i framework si applicano alle risorse del progetto. Se ci sono differenze nelle definizioni dei controlli cloud, le risorse del progetto utilizzano il controllo cloud di livello inferiore. Ad esempio, se una regola di controllo cloud è impostata su Consenti a livello di cartella e su Nega a livello di progetto, l'impostazione Nega a livello di progetto viene applicata alle risorse del progetto.

Come best practice, ti consigliamo di eseguire il deployment di un framework a livello di cartella che includa i controlli cloud che possono essere applicati a tutti i progetti. Puoi quindi eseguire il deployment di framework più rigorosi nei singoli progetti che li richiedono.

Se scegli di nidificare i deployment dei framework, ad esempio eseguendo il deployment di un framework in una cartella principale e poi di framework diversi nei progetti secondari, è tua responsabilità risolvere eventuali violazioni della conformità che potrebbero verificarsi nelle risorse principali e secondarie.

1. Nella Google Cloud console, vai alla pagina Framework.

   Vai a Framework

2. Se richiesto, seleziona la tua organizzazione.

3. Per il framework di cui vuoi eseguire il deployment, fai clic su Altre azioni > Applica alle risorse.

4. Scegli una delle seguenti opzioni:

   • Per monitorare solo la deriva, scegli Monitora.

   • Per monitorare la deriva e impedire attivamente le violazioni, scegli Monitora e impedisci.

     Nota: se scegli di impedire le violazioni delle risorse esistenti, ovvero le risorse create prima del deployment di un framework nella risorsa o nella risorsa principale, potresti riscontrare violazioni impreviste di queste risorse. Ti consigliamo di scegliere Monitora per le risorse esistenti o di applicare i framework a nuove cartelle o progetti e alle relative risorse.

5. Seleziona la risorsa in cui vuoi eseguire il deployment del framework. Puoi scegliere una cartella o un progetto esistente. Se hai scelto di impedire attivamente le violazioni, puoi creare una nuova cartella o un nuovo progetto ed eseguire il deployment del framework. Se il framework richiede dettagli aggiuntivi, come un progetto CMEK o altri dettagli di configurazione, devi fornirli.

6. Completa una delle seguenti operazioni:

   • Se hai selezionato Monitora, procedi nel seguente modo:

     1. Verifica le informazioni.
     2. Fai clic su Monitora.

   • Se hai selezionato Monitora e impedisci, procedi nel seguente modo:

     1. Fai clic su Avanti. Esamina i controlli cloud e le modalità.
     2. Fai clic su Continua.
     3. Se visualizzate, verifica le informazioni aggiuntive richieste per alcuni controlli cloud.
     4. Fai clic su Avanti.
     5. Controlla le selezioni e fai clic su Applica.

Dopo aver eseguito il deployment del framework, puoi monitorare l'ambiente per rilevare eventuali derive dai controlli cloud definiti. Il monitoraggio di Assured Workloads segnala le istanze di deriva come violazioni che puoi esaminare, filtrare e risolvere. Potrebbero essere necessarie circa sei ore prima che vengano visualizzate le violazioni dopo il deployment di un framework.

Modificare un framework personalizzato

Dopo aver creato un framework, puoi modificarne il nome e la descrizione, aggiungere o rimuovere controlli cloud e aggiornare i parametri. Puoi modificare solo i framework che crei; non puoi modificare i framework integrati.

1. Nella Google Cloud console, vai alla pagina Framework.

   Vai a Framework

2. Se richiesto, seleziona la tua organizzazione.

3. Fai clic sul framework che vuoi modificare.

4. Nella pagina Dettagli framework, verifica che il framework non sia assegnato a una risorsa. Se necessario, rimuovi le assegnazioni.

5. Fai clic su Azioni > Modifica.

6. Nella pagina Aggiorna dettagli framework, modifica il nome e la descrizione in base alle esigenze. Fai clic su Continua.

7. Per modificare i controlli cloud inclusi nel framework, procedi nel seguente modo:

   • Per aggiungere un controllo cloud esistente, fai clic su Aggiungi controlli cloud. Seleziona tutti i controlli cloud di cui hai bisogno e poi fai clic su Aggiungi.

   • Per creare un controllo cloud personalizzato, fai clic su Crea controllo cloud personalizzato. Per istruzioni, consulta Creare un controllo cloud personalizzato.

   • Per rimuovere un controllo cloud, selezionalo e fai clic su Rimuovi.

8. Fai clic su Continua.

9. Aggiungi eventuali parametri aggiuntivi richiesti dai controlli cloud.

10. Fai clic su Salva.

Rimuovere le risorse da un framework di cui è stato eseguito il deployment

Puoi rimuovere le cartelle o i progetti che hai assegnato a un framework di cui è stato eseguito il deployment. La rimozione delle risorse significa che il framework non genera più violazioni per quel nodo della gerarchia delle risorse.

1. Nella Google Cloud console, vai alla pagina Framework.

   Vai a Framework

2. Se richiesto, seleziona la tua organizzazione.

3. Fai clic sul framework da cui vuoi annullare l'assegnazione delle risorse.

4. Nella pagina Dettagli framework, fai clic su Azioni > Gestisci assegnazioni risorse.

5. Nella tabella Risorse assegnate, individua la risorsa che vuoi rimuovere e fai clic su Elimina.

6. Esamina il messaggio di conferma e fai clic su Annulla assegnazione.

Aggiornare un framework a una release più recente

Google pubblica regolarmente aggiornamenti dei framework integrati quando i servizi eseguono il deployment di nuove funzionalità o quando emergono nuove best practice. Puoi visualizzare le release dei framework integrati nella dashboard dei framework nella scheda Configura o nella pagina dei dettagli del framework.

Google ti invia una notifica nella console e nelle note di release quando si verificano i seguenti aggiornamenti:

• I controlli cloud integrati vengono aggiunti o rimossi da un framework
• I controlli cloud integrati vengono aggiornati

Per aggiornare un framework, procedi nel seguente modo:

1. Nella Google Cloud console, vai alla pagina Framework.

   Vai a Framework

2. Se richiesto, seleziona la tua organizzazione.

3. Fai clic sul framework che vuoi aggiornare.

4. Nella pagina Dettagli framework, nella tabella Risorse assegnate , esamina lo Stato aggiornamento per le assegnazioni identificate come Aggiornamento disponibile.

5. Per applicare le modifiche:

   1. Rimuovi l'assegnazione della risorsa.

      Nota: quando rimuovi un'assegnazione di risorse, i framework Assured Workloads non valutano più la risorsa utilizzando quel framework. Eventuali violazioni esistenti vengono disattivate e non vengono create nuove violazioni.

   2. Esegui di nuovo il deployment del framework nella risorsa in modo che i framework Assured Workloads possano riprendere a monitorare la risorsa e a creare violazioni.

Eliminare un framework personalizzato

Elimina un framework quando non è più necessario. Puoi eliminare solo i framework che crei; non puoi eliminare i framework integrati.

Nota: non puoi recuperare un framework dopo averlo eliminato.

1. Nella Google Cloud console, vai alla pagina Framework.

   Vai a Framework

2. Se richiesto, seleziona la tua organizzazione.

3. Fai clic sul framework da cui vuoi annullare l'assegnazione delle risorse.

4. Nella pagina Dettagli framework, verifica che il framework non sia assegnato a una risorsa. Se necessario, rimuovi le assegnazioni.

5. Fai clic su Azioni > Elimina.

6. Nella finestra Elimina, esamina il messaggio. Digita Delete e fai clic su Conferma.

Passaggi successivi

• Scopri di più su i framework Assured Workloads.
• Scopri come gestire i controlli cloud.