Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Frameworks verwalten

Compliance Manager-Frameworks bestehen aus Cloud-Kontrollen, mit denen Sie die Sicherheits- und regulatorischen Anforderungen für eine Organisation oder ein Projekt in Ihren Cloud-Umgebungen erfüllen können. Das Anwenden eines Frameworks erfolgt in zwei Schritten. Zuerst müssen Sie die Cloud-Kontrollen identifizieren, die den Sicherheits- und Compliance-Verpflichtungen Ihres Unternehmens entsprechen. Anschließend stellen Sie ein Framework mit diesen Cloud-Kontrollen in der entsprechenden Organisation, im entsprechenden Ordner oder im entsprechenden Projekt inGoogle Cloudbereit. Auf dieser Seite werden die folgenden Schritte beschrieben:

Prüfen Sie, welches integrierte Framework am besten zu Ihren regulatorischen und Sicherheitsanforderungen passt. Sie können ein eigenes benutzerdefiniertes Framework erstellen, wir empfehlen jedoch, mit einem integrierten Framework zu beginnen.
Bestimmen Sie, welche integrierten Cloud-Kontrollen Ihren Geschäftsanforderungen entsprechen. (Nur Premium- und Enterprise-Stufen) Sie können bei Bedarf benutzerdefinierte Cloud-Kontrollen erstellen.
Legen Sie fest, ob das Framework in Ihrer Google Cloud-Organisation oder in bestimmten Ordnern und Projekten bereitgestellt werden soll. Sie können nur ein Framework pro Organisation, Ordner oder Projekt bereitstellen. Compliance Manager unterstützt Ordner, die für die Anwendungsverwaltung konfiguriert sind.
Kopieren Sie ein vorhandenes Framework und passen Sie es an Ihre Anforderungen an. Bei Bedarf können Sie ein benutzerdefiniertes Framework erstellen.

Hinweis: Die Standard-Stufe unterstützt nur das Security Essentials-Framework. Andere integrierte Frameworks erfordern die Premium- oder Enterprise-Stufe. Weitere Informationen finden Sie unter Frameworks fürGoogle Cloud.
Stellen Sie das Framework in der entsprechenden Organisation, im entsprechenden Ordner oder im entsprechenden Projekt bereit.

Hinweis

Führen Sie diese Aufgaben aus, bevor Sie die verbleibenden Aufgaben auf dieser Seite erledigen.

Berechtigungen einrichten

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihre Organisation oder Ihr Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Anwenden von Frameworks benötigen:
- Compliance Manager-Administrator (roles/cloudsecuritycompliance.admin)
- So rufen Sie Dashboards mit Ergebnissen auf: Compliance Manager Viewer (roles/cloudsecuritycompliance.viewer)
- Zum Bereitstellen von Frameworks, die Cloud-Kontrollen basierend auf Organisationsrichtlinien enthalten, eine der folgenden Optionen:
  - Organization Policy Administrator (roles/orgpolicy.policyAdmin)
  - Assured Workloads-Administrator (roles/assuredworkloads.admin)
  - Assured Workloads-Bearbeiter (roles/assuredworkloads.editor)
- (Nur auf Organisationsebene) Zum Erstellen eines Ordners während der Bereitstellung eines Frameworks eine der folgenden Optionen:
  - Folder Admin (roles/resourcemanager.folderAdmin)
  - Ordner-Ersteller (roles/resourcemanager.folderCreator)
- (Nur auf Organisationsebene) Zum Erstellen eines Projekts während der Bereitstellung eines Frameworks müssen alle folgenden Voraussetzungen erfüllt sein:
  - Project Billing Manager (roles/billing.projectManager)
  - Projektersteller (roles/resourcemanager.projectCreator)
  - Project Deleter (roles/resourcemanager.projectDeleter)
- Um Frameworks für die Datensicherheitsstatus-Verwaltung (DSPM) einer App Hub-Anwendung zuzuweisen, benötigen Sie alle folgenden Berechtigungen: App Hub Viewer (roles/apphub.viewer)
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Die Rollen zum Bereitstellen von Frameworks mit Organisationsrichtlinien enthalten die erforderlichen Berechtigungen orgpolicy.policies.create, orgpolicy.policies.update und orgpolicy.policies.get.

Bei Bereitstellungen auf Organisationsebene enthalten die Rollen zum Erstellen von Ordnern die erforderlichen Berechtigungen resourcemanager.folders.get, resourcemanager.folders.create und resourcemanager.folders.delete.

Bei Bereitstellungen auf Organisationsebene enthalten die Rollen zum Erstellen von Projekten die erforderlichen Berechtigungen resourcemanager.projects.get, resourcemanager.projects.create, resourcemanager.projects.delete und resourcemanager.projects.createBillingAssignment.

Die Rollen zum Zuweisen von DSPM-Frameworks zu Anwendungen enthalten die erforderlichen Berechtigungen apphub.locations.list, apphub.applications.list und apphub.applications.get.
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Google Cloud CLI einrichten

Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit dem folgenden Befehl:

gcloud init

Führen Sie den folgenden Befehl aus, um die gcloud CLI so einzurichten, dass die Authentifizierung bei Google APIs über die Identitätsübernahme des Dienstkontos anstelle Ihrer Nutzeranmeldedaten erfolgt:

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

Weitere Informationen finden Sie unter Identitätsübernahme des Dienstkontos.

Frameworks ansehen

Führen Sie die folgenden Schritte aus, um die Konfiguration für integrierte Frameworks oder andere Frameworks aufzurufen, die Sie bereits erstellt haben.

Console

Rufen Sie in der Google Cloud Console die Seite Compliance auf.

Zu Compliance
Wählen Sie Ihre Organisation oder das Projekt aus.
Klicken Sie auf den Tab Konfigurieren, um alle verfügbaren Frameworks aufzurufen.

Im Dashboard werden die verfügbaren Frameworks, eine kurze Beschreibung, unterstützte Plattformen und Stufen sowie die Ressourcen angezeigt, auf die das Framework angewendet wurde.

Hinweis: Wenn Sie die Standardstufe verwenden, können Sie die Premium- und Enterprise-Frameworks in Ihrem Dashboard sehen, aber nicht bereitstellen.
Klicken Sie auf den Namen des Frameworks, um Details zu einem bestimmten Framework aufzurufen.

Befehlszeile

Sie können Informationen zu einem bestimmten Framework aufrufen oder alle Frameworks in Ihrer Organisation auflisten.

Details zu einem Framework ansehen

Führen Sie den Befehl gcloud compliance-manager frameworks describe aus, um Details zu einem bestimmten Framework aufzurufen:

gcloud compliance-manager frameworks describe FRAMEWORK \
   --location=LOCATION \
   --organization=ORGANIZATION \
   [--major-revision-id=MAJOR_REVISION_ID]

Ersetzen Sie Folgendes:

FRAMEWORK: der Name des Frameworks
ORGANIZATION: Ihre Organisations-ID.
LOCATION: die Region, in der das Framework gespeichert ist
MAJOR_REVISION_ID: ein optionales Flag, mit dem angegeben wird, welche Version des Frameworks angezeigt werden soll. Wenn Sie das Flag nicht angeben, wird die aktuelle Version zurückgegeben.

Wenn Sie beispielsweise ein Framework mit dem Namen builtin-security-essentials und der Hauptversionsnummer 12 aufrufen möchten, führen Sie Folgendes aus:

gcloud compliance-manager frameworks describe \
   builtin-security-essentials \
   --organization=3589215982 \
   --location=global \
   --major-revision-id=12

Weitere Informationen finden Sie unter gcloud compliance-manager frameworks describe.

Liste der Frameworks abrufen

Führen Sie den Befehl gcloud compliance-manager frameworks list aus, um die Liste der Frameworks in Ihrer Organisation abzurufen:

gcloud compliance-manager frameworks list \
   --location=LOCATION \
   --organization=ORGANIZATION

Ersetzen Sie die folgenden Werte:

ORGANIZATION: Ihre Organisations-ID.
LOCATION: die Region, in der die Frameworks gespeichert sind

Wenn Sie beispielsweise alle Frameworks in der Organisation 3589215982 aufrufen möchten, die am globalen Standort gespeichert sind, führen Sie folgenden Befehl aus:

gcloud compliance-manager frameworks list \
   --organization=3589215982 \
   --location=global

Informationen zu optionalen Flags finden Sie unter gcloud compliance-manager frameworks list.

Framework erstellen

Nachdem Sie festgelegt haben, welche Cloud-Kontrollen für Ressourcen in Ihrer Organisation oder in einem bestimmten Ordner oder Projekt gelten, können Sie ein Framework erstellen. Sie können ein benutzerdefiniertes Framework erstellen oder ein vorhandenes Framework kopieren und ändern. Wenn Sie ein Framework kopieren, enthält es die neuesten Releases aller integrierten Cloud-Kontrollen.

Console

Rufen Sie in der Google Cloud Console die Seite Compliance auf.

Zu Compliance
Wählen Sie Ihre Organisation oder das Projekt aus.
Klicken Sie auf dem Tab Konfigurieren auf Benutzerdefiniertes Framework erstellen.
Führen Sie einen dieser Schritte aus:
- So verwenden Sie ein vorhandenes Framework:
  1. Wählen Sie Mit einem vorhandenen Framework beginnen aus.
  2. Wählen Sie das Framework aus, das Sie kopieren möchten.
  3. Klicken Sie auf Hinzufügen.
- Wenn Sie ein benutzerdefiniertes Framework erstellen möchten, wählen Sie Neu erstellen aus.
Hinweis: In der Standard-Stufe können Sie nur das Framework Security Essentials kopieren. In den Premium- und Enterprise-Stufen können Sie benutzerdefinierte Frameworks erstellen oder alle verfügbaren integrierten Frameworks verwenden.
Geben Sie einen Namen, eine eindeutige Kennung und eine Beschreibung für Ihr Framework ein. Klicken Sie auf Weiter.

Wenn Sie ein vorhandenes Framework kopieren, wird die Liste der Cloud-Kontrollen angezeigt, die Teil des vorhandenen Frameworks waren.
So fügen Sie die erforderlichen Cloud-Kontrollen hinzu:
- Klicken Sie auf Cloud-Kontrollen hinzufügen, um eine vorhandene Cloud-Kontrolle hinzuzufügen. Wählen Sie alle erforderlichen Cloud-Kontrollen aus und klicken Sie dann auf Hinzufügen.
  
  Wenn Sie eine Kontrolle hinzufügen, prüfen Sie den Kontrolltyp (Erkennung, Vorbeugung oder Prüfung). Präventive und Audit-Kontrollen sind nur in den Premium- und Enterprise-Stufen verfügbar. Fügen Sie keine reinen Audit-Kontrollen in ein Framework ein, das Sie zum Überwachen Ihrer Umgebung und zum Erkennen von Verstößen verwenden möchten. Sie können keine Frameworks bereitstellen, die nur Kontrollen für Audits enthalten.
- (Nur Premium- und Enterprise-Stufen) Klicken Sie auf Benutzerdefinierte Cloud-Kontrolle erstellen, um eine benutzerdefinierte Cloud-Kontrolle zu erstellen. Eine Anleitung finden Sie unter Benutzerdefinierte Cloud-Steuerung erstellen.
Klicken Sie auf Weiter.
Fügen Sie alle zusätzlichen Parameter hinzu, die für die Cloud-Kontrollen erforderlich sind.

Wenn Sie beispielsweise eine Cloud-Einstellung für die Datensicherheitsstatus-Verwaltung (DSPM) wie Zugriff auf sensible Daten auf zulässige Nutzer beschränken aktivieren möchten, geben Sie die Standorte an, die Hauptkonten verwenden müssen. Weitere Informationen zu den Einstellungen für die Datensicherheitsstatus-Verwaltung finden Sie unter Erweiterte Cloud-Einstellungen für Data Governance und Sicherheit.
Klicken Sie auf Erstellen.

Befehlszeile

Führen Sie den Befehl gcloud compliance-manager frameworks create aus, um ein benutzerdefiniertes Framework zu erstellen:

gcloud compliance-manager frameworks create FRAMEWORK \
   --location=LOCATION \
   --organization=ORGANIZATION \
   --display-name=DISPLAY_NAME \
   [--description=DESCRIPTION] \
   [--category=[CATEGORY,...] \
   [--cloud-control-details=[majorRevisionId=MAJOR_REVISION_ID],[name=NAME],[parameters=PARAMETERS]]

Ersetzen Sie die folgenden Werte:

FRAMEWORK: die eindeutige alphanumerische Kennung für das Framework
ORGANIZATION: Ihre Organisations-ID.
LOCATION: die Region, in der das Framework gespeichert ist
DISPLAY_NAME: ein menschenlesbarer Name für das Framework
DESCRIPTION: eine optionale Beschreibung des Zwecks des Frameworks
[CATEGORY,...]: Ein optionaler Parameter, der die Kategorien definiert, zu denen das Framework gehört. Der empfohlene Wert für Ihr benutzerdefiniertes Framework ist custom-framework.
```
--cloud-control-details=`[majorRevisionId=MAJOR_REVISION_ID],[name=NAME],[parameters=PARAMETERS]'
```
ist die optionale Liste der Cloud-Kontrollen, die in Ihr Framework aufgenommen werden sollen, im folgenden Format:
- MAJOR_REVISION_ID: ein optionales Flag, das angibt, welche Version des Cloud-Steuerelements angezeigt werden soll. Wenn Sie das Flag nicht angeben, wird die aktuelle Version verwendet.
- NAME: der Name der Cloud-Steuerung im Format organizations/ORGANIZATION_ID/locations/LOCATION/cloudControls/NAME. NAME ist die eindeutige ID der Cloud-Kontrolle. Sie finden die Cloud-Steuerungs-ID mit dem Befehl gcloud compliance-manager cloud-controls list.
- PARAMETERS: die optionalen Parameter, die für bestimmte Cloud-Steuerelemente erforderlich sind. Wenn Sie beispielsweise ein Cloud-Steuerelement für die Datensicherheitsstatus-Verwaltung wie Zugriff auf sensible Daten auf zulässige Nutzer beschränken aktivieren möchten, geben Sie die Standorte an, die Hauptkonten verwenden müssen.
Alternativ können Sie eine JSON- oder YAML-Datei angeben, die eine Liste aller Cloud-Steuerelemente enthält. Beispiel: --cloud-control-details=path_to_file.(yaml|json) Erweitern Sie den folgenden Abschnitt, um JSON- und YAML-Beispieldateien anzusehen.
JSON-Beispieldatei
```
  [
    {
      "name": "organizations/3589215982/locations/global/cloudControls/restrict-bucket-region",
      "majorRevisionId": 1,
      "parameters": [
        {
          "name": "location",
          "parameterValue": {
            "stringValue": "us-west"
          }
        }
      ]
    },
    {
      "name": "organizations/3589215982/locations/global/cloudControls/enable-binary-authorization",
      "majorRevisionId": 2
    }
  ]
      
```
Beispiel für eine YAML-Datei
```
  - name: organizations/3589215982/locations/global/cloudControls/restrict-bucket-region
    majorRevisionId: 1
    parameters:
    - name: location
      parameterValue:
        stringValue: us-west
  - name: organizations/3589215982/locations/global/cloudControls/enable-binary-authorization
    majorRevisionId: 2
      
```
Wenn Sie beim Erstellen eines Frameworks keine Cloud-Steuerelemente angeben, können Sie sie später über die Console hinzufügen.

Führen Sie beispielsweise den folgenden Befehl aus, um ein Framework mit dem Namen my-custom-framework zu erstellen:

gcloud compliance-manager frameworks create \
   my-custom-framework \
   --organization=3589215982 \
   --location=global \
   --description="This framework is my custom framework" \
   --display-name="My framework name" \
   --cloud-control-details='[{"name":"organizations/3589215982/locations/global/cloudControls/restrict-bucket-region","majorRevisionId":1,"parameters":[{"name":"location","parameterValue":{"stringValue":"us-west"}}]},{"name":"organizations/3589215982/locations/global/cloudControls/enable-binary-authorization","majorRevisionId":2}]'

Weitere Informationen finden Sie unter gcloud compliance-manager frameworks create.

Terraform

Im folgenden Beispiel wird gezeigt, wie Sie ein Framework mit Terraform erstellen können.

resource "google_cloud_security_compliance_framework" "example" {
  parent       = "organizations/123456789"
  location     = "global"
  framework_id = "example-framework"

  display_name = "Terraform Framework Name"
  description  = "An Terraform description for the framework"

  cloud_control_details {
		name              = "organizations/123456789/locations/global/cloudControls/builtin-assess-resource-availability"
		major_revision_id = "2"

    parameters {
      name = "location"
      parameter_value {
        string_value = "us-central1"
      }
    }
  }

    cloud_control_details {
		name              = "organizations/123456789/locations/global/cloudControls/builtin-cmek-key-in-use-for-bigquery-table"
		major_revision_id = "1"

    parameters {
      name = "location"
      parameter_value {
        string_list_value {
          values = ["us-central1", "us-west1"]
        }
      }
    }
  }

  cloud_control_details {
		name              = "organizations/123456789/locations/global/cloudControls/builtin-enable-automatic-backups-cloud-sql"
		major_revision_id = "3"

    parameters {
      name = "location"
      parameter_value {
        bool_value = true
      }
    }
  }

  cloud_control_details {
		name              = "organizations/123456789/locations/global/cloudControls/builtin-require-cmek-on-bigquery-datasets"
		major_revision_id = "2"

    parameters {
      name = "location"
      parameter_value {
        number_value = 1
      }
    }
  }


}

Framework bereitstellen

Stellen Sie ein Framework in einer Organisation, einem Ordner oder einem Projekt bereit, damit Sie diese Ressourcen mit den Cloud-Steuerelementen des Frameworks steuern und überwachen können. Sie können mehrere Frameworks in jeder Organisation, jedem Ordner oder jedem Projekt bereitstellen. Wenn Sie ein Framework bereitstellen, das nur die erweiterten Cloud-Steuerelemente für die Datensicherheit enthält, können Sie das Framework in App Hub-Anwendungen in Ordnern bereitstellen, die für die Anwendungsverwaltung konfiguriert sind.

Ordner und Projekte übernehmen Frameworks über die Google Cloud Ressourcenhierarchie. Wenn Sie Frameworks auf Organisations- und Projektebene bereitstellen, gelten alle Cloud-Kontrollen in beiden Frameworks für die Ressourcen im Projekt. Wenn es Unterschiede bei den Definitionen der Cloud-Steuerung gibt, wird die untergeordnete Cloud-Steuerung von den Ressourcen im Projekt verwendet. Wenn eine Cloud-Kontrollregel beispielsweise auf Organisationsebene auf „Zulassen“ und auf Projektebene auf „Ablehnen“ festgelegt ist, wird die Einstellung „Ablehnen“ auf Projektebene auf die Ressourcen im Projekt angewendet.

Als Best Practice empfehlen wir, ein Framework auf Organisationsebene bereitzustellen, das die Cloud-Steuerelemente enthält, die für Ihr gesamtes Unternehmen gelten können. Anschließend können Sie strengere Frameworks für Ordner und Projekte bereitstellen, die diese erfordern.

Console

Rufen Sie in der Google Cloud Console die Seite Compliance auf.

Zu Compliance
Wählen Sie Ihre Organisation oder das Projekt aus.
Klicken Sie auf dem Tab Konfigurieren für das Framework, das Sie bereitstellen möchten, auf Weitere Aktionen > Auf Ressourcen anwenden.
Wählen Sie Überwachen oder Überwachen und verhindern aus, um nur auf Abweichungen zu überwachen.
Wählen Sie die Ressource aus, in der Sie das Framework bereitstellen möchten. Sie können eine vorhandene Organisation, einen vorhandenen Ordner oder ein vorhandenes Projekt auswählen. Nur für DSPM können Sie eine Anwendung auswählen, um ein Framework bereitzustellen, das nur erweiterte DSPM-Cloud-Steuerelemente für eine Anwendung enthält. Optional können Sie einen neuen Ordner oder ein neues Projekt erstellen und das Framework darin bereitstellen.
Führen Sie einen dieser Schritte aus:
- Wenn Sie Monitor ausgewählt haben, gehen Sie so vor:
  1. Überprüfen Sie die Informationen.
  2. Wenn Sie einen Ordner ausgewählt haben, der für die Anwendungsverwaltung konfiguriert ist, und Ihr Framework nur erweiterte DSPM-Cloud-Kontrollen enthält, wählen Sie die Anwendung aus, die Sie überwachen möchten.
  3. Klicken Sie auf Überwachen.
- Wenn Sie Überwachen und verhindern ausgewählt haben, gehen Sie so vor:
  1. Klicken Sie auf Weiter. Prüfen Sie die Cloud-Kontrollen und -Modi.
  2. Klicken Sie auf Weiter.
  3. Prüfen Sie gegebenenfalls die zusätzlichen Informationen, die für einige Cloud-Steuerelemente erforderlich sind.
  4. Klicken Sie auf Weiter.
  5. Prüfen Sie Ihre Auswahl und klicken Sie dann auf Erzwingen.

Befehlszeile

Führen Sie den Befehl gcloud compliance-manager framework-deployments create aus, um ein Framework in Ihrer Organisation bereitzustellen. Folgende Best Practices können dabei hilfreich sein:

Erstellen Sie eine separate YAML- oder JSON-Datei für die Metadaten Ihrer Cloud-Steuerung.
Verwenden Sie die entsprechenden Zielflags, um anzugeben, ob Sie die Bereitstellung in einer vorhandenen Organisation, einem vorhandenen Ordner oder einem vorhandenen Projekt vornehmen oder ob Sie gleichzeitig mit der Bereitstellung des Frameworks ein neues Projekt oder einen neuen Ordner erstellen möchten.
Verwenden Sie nach Möglichkeit nur Ressourcenkennungen anstelle von vollständig qualifizierten Ressourcennamen.

gcloud compliance-manager framework-deployments create \
   (FRAMEWORK_DEPLOYMENT : \
   --location=LOCATION \
   --organization=ORGANIZATION) \
   --cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE] \
   (--framework=FRAMEWORK : \
   --framework-major-revision-id=FRAMEWORK_MAJOR_REVISION_ID) \
   (--target-resource-config-existing=TARGET_RESOURCE_CONFIG_EXISTING     | \
   --target-resource-creation-config-folder-display-name=TARGET_RESOURCE_CREATION_CONFIG_FOLDER_DISPLAY_NAME \
   --target-resource-creation-config-folder-parent=TARGET_RESOURCE_CREATION_CONFIG_FOLDER_PARENT     | \
   --target-resource-creation-config-project-billing-account-id=TARGET_RESOURCE_CREATION_CONFIG_PROJECT_BILLING_ACCOUNT_ID \
   --target-resource-creation-config-project-display-name=TARGET_RESOURCE_CREATION_CONFIG_PROJECT_DISPLAY_NAME \
   --target-resource-creation-config-project-parent=TARGET_RESOURCE_CREATION_CONFIG_PROJECT_PARENT) \
   [--description=DESCRIPTION]

Ersetzen Sie die folgenden Werte:

FRAMEWORK_DEPLOYMENT: die ID der Framework-Bereitstellung
ORGANIZATION: Ihre Organisations-ID.
LOCATION: die Region, in der die Framework-Bereitstellung gespeichert ist
cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE]: die Liste der Cloud-Steuerelemente im Framework mit ihren Namen, Parametern, Revisions-IDs und Erzwingungsmodi im folgenden Format:
- CLOUD_CONTROL_DETAILS: ein Objekt, das die Liste der Cloud-Steuerungsnamen, Parameter und Überarbeitungs-IDs enthält. Es wird das folgende Format verwendet:
  - name=NAME: der vollständige Ressourcenname der Cloud-Steuerung im Format organizations/ORGANIZATION_ID/locations/LOCATION/cloudControls/CLOUD_CONTROL_NAME
  - majorRevisionId=MAJOR_REVISION_ID: die Hauptversion der Cloud-Steuerung
  - parameters=PARAMETERS: die optionalen Parameter, die für bestimmte Cloud-Steuerelemente erforderlich sind. Wenn Sie beispielsweise ein Cloud-Steuerelement für die Datensicherheitsstatus-Verwaltung wie Zugriff auf sensible Daten auf zulässige Nutzer beschränken aktivieren möchten, geben Sie die Standorte an, die Hauptkonten verwenden müssen.
- ENFORCEMENT_MODE: Gibt an, ob es sich um ein AUDIT-, DETECTIVE- oder PREVENTIVE-Steuerelement handelt.
  
  Alternativ können Sie eine JSON- oder YAML-Datei angeben, die die Cloud-Steuerungsdetails und Erzwingungsmodi enthält. Beispiel: --cloud-control-metadata=path_to_file.(yaml|json) Maximieren Sie die folgenden Abschnitte, um JSON- und YAML-Beispieldateien anzusehen.
  JSON-Beispieldatei
  [ { "cloudControlDetails": { "name": "organizations/3589215982/locations/global/cloudControls/restrict-bucket-region", "majorRevisionId": 1, "parameters": [ { "name": "location", "parameterValue": { "stringValue": "us-west" } } ] }, "enforcementMode": "DETECTIVE" }, { "cloudControlDetails": { "name": "organizations/3589215982/locations/global/cloudControls/enable-binary-authorization", "majorRevisionId": 2 }, "enforcementMode": "DETECTIVE" } ]
  Beispiel für eine YAML-Datei
  - cloudControlDetails: name: organizations/3589215982/locations/global/cloudControls/restrict-bucket-region majorRevisionId: 1 parameters: - name: location parameterValue: stringValue: us-west enforcementMode: DETECTIVE - cloudControlDetails: name: organizations/3589215982/locations/global/cloudControls/enable-binary-authorization majorRevisionId: 2 enforcementMode: DETECTIVE
- FRAMEWORK: der Name eines vorhandenen Frameworks, das Sie bereitstellen möchten, im Format organizations/ORGANIZATION_ID/locations/LOCATION/frameworks/FRAMEWORK_NAME
- FRAMEWORK_MAJOR_REVISION_ID: Die Versionsnummer des Frameworks, das Sie bereitstellen möchten
- TARGET_RESOURCE_CONFIG_EXISTING : der Name einer vorhandenen Organisation, eines vorhandenen Ordners oder eines vorhandenen Projekts, in dem Sie das neue Framework bereitstellen möchten, in einem der folgenden Formate:
  - organizations/ORGANIZATION_ID
  - folders/FOLDER_ID
  - projects/PROJECT_ID
- TARGET_RESOURCE_CREATION_CONFIG_FOLDER_DISPLAY_NAME: der Name des Ordners, den Sie erstellen und in dem Sie das Framework bereitstellen möchten
- TARGET_RESOURCE_CREATION_CONFIG_FOLDER_PARENT: Der Name der vorhandenen Organisation oder des vorhandenen Ordners, in der bzw. dem Sie den neuen Ordner erstellen möchten. Unterstützte Formate sind organizations/ORGANIZATION_ID und folders/FOLDER_ID.
- TARGET_RESOURCE_CREATION_CONFIG_PROJECT_BILLING_ACCOUNT_ID: Die Rechnungskonto-ID, die dem neuen Projekt zugewiesen werden soll, wenn Sie ein neues Projekt erstellen, in dem Sie das Framework bereitstellen möchten.
- TARGET_RESOURCE_CREATION_CONFIG_PROJECT_DISPLAY_NAME: der Name des Projekts, das Sie erstellen und in dem Sie das Framework bereitstellen möchten
- TARGET_RESOURCE_CREATION_CONFIG_PROJECT_PARENT: Der Name der vorhandenen Organisation oder des vorhandenen Ordners, in der bzw. dem Sie das neue Projekt erstellen möchten. Unterstützte Formate sind organizations/ORGANIZATION_ID und folders/FOLDER_ID.
- DESCRIPTION: eine optionale Beschreibung für die Framework-Bereitstellung

Wenn Sie beispielsweise ein Framework mit dem Namen organizations/3589215982/locations/global/frameworks/builtin-aipp in einem vorhandenen Ordner mit der Ordner-ID example-folder bereitstellen möchten, führen Sie Folgendes aus:

gcloud compliance-manager framework-deployments create \
   example-framework-deployment \
   --organization=3589215982 \
   --location=global \
   --cloud-control-metadata='[{"cloudControlDetails": {"name": "organizations/3589215982/locations/global/cloudControls/restrict-bucket-region", "majorRevisionId": "1", "parameters": []}, "enforcementMode": "DETECTIVE"}, {"cloudControlDetails": {"name": "organizations/3589215982/locations/global/cloudControls/enable-binary-authorization", "majorRevisionId": 2}, "enforcementMode": "DETECTIVE"}]' \
   --framework="organizations/3589215982/locations/global/frameworks/builtin-aipp" \
   --framework-major-revision-id=6 \
   --target-resource-config-existing="folders/example-folder" \
   --description="Deployment for AI Platform into example-folder"

Wenn Sie beispielsweise ein Framework mit dem Namen organizations/3589215982/locations/global/frameworks/builtin-aipp bereitstellen und ein neues Projekt mit dem Namen example-new-project in einem vorhandenen Ordner mit der Ordner-ID example-folder erstellen möchten, führen Sie Folgendes aus:

gcloud compliance-manager framework-deployments create \
  example-framework-deployment \
   --organization=3589215982 \
   --location=global \
   --cloud-control-metadata=deploy-controls.yaml \
   --framework="organizations/3589215982/locations/global/frameworks/builtin-aipp" \
   --framework-major-revision-id=6 \
   --target-resource-creation-config-project-billing-account-id=012345-567890-ABCDEF \
   --target-resource-creation-config-project-display-name=example-new-project \
   --target-resource-creation-config-project-parent=folders/example-folder \
   --description="Deployment for AI Platform into a new example-new-project in example-folder"

Weitere Informationen finden Sie unter gcloud compliance-manager framework-deployments create.

Terraform

Im folgenden Beispiel wird gezeigt, wie Sie ein Framework mit Terraform bereitstellen können.

resource "google_cloud_security_compliance_cloud_control" "example" {
  parent           = "organizations/123456789"
  location         = "global"
  cloud_control_id = "example-cloudcontrol"

  display_name              = "TF test CloudControl Name"
  description               = "A test cloud control for security compliance"
  categories                = ["CC_CATEGORY_INFRASTRUCTURE"]
  severity                  = "HIGH"
  finding_category          = "SECURITY_POLICY"
  remediation_steps         = "Review and update the security configuration according to best practices."
  supported_cloud_providers = ["GCP"]

  rules {
    description       = "Ensure compute instances have secure boot enabled"
    rule_action_types = ["RULE_ACTION_TYPE_DETECTIVE"]

    cel_expression {
      expression = "resource.data.shieldedInstanceConfig.enableSecureBoot == true"
      resource_types_values {
        values = ["compute.googleapis.com/Instance"]
      }
    }
  }

  parameter_spec {
    name        = "enabled"
    value_type  = "BOOLEAN"
    is_required = true
  }

  parameter_spec {
    name        = "regions"
    value_type  = "STRINGLIST"
    is_required = true
  }

  parameter_spec {
    name        = "location"
    value_type  = "STRING"
    is_required = true
  }

  parameter_spec {
    name        = "oneof-parameter"
    value_type  = "ONEOF"
    is_required = true

    sub_parameters {
      name        = "test-oneof"
      value_type  = "STRING"
      is_required = true
    }

    sub_parameters {
      name        = "updated-test-oneof"
      value_type  = "STRING"
      is_required = true
    }
  }

  parameter_spec {
    name        = "bool-parameter"
    value_type  = "ONEOF"
    is_required = true

    sub_parameters {
      name        = "bool-oneof"
      value_type  = "BOOLEAN"
      is_required = true
    }

    sub_parameters {
      name        = "updated-bool-oneof"
      value_type  = "BOOLEAN"
      is_required = true
    }
  }

  parameter_spec {
    name        = "number-parameter"
    value_type  = "ONEOF"
    is_required = true

    sub_parameters {
      name        = "number-oneof"
      value_type  = "NUMBER"
      is_required = true
    }

    sub_parameters {
      name        = "updated-number-oneof"
      value_type  = "NUMBER"
      is_required = true
    }
  }

  parameter_spec {
    name        = "string-list-parameter"
    value_type  = "ONEOF"
    is_required = true

    sub_parameters {
      name        = "string-list-oneof"
      value_type  = "STRINGLIST"
      is_required = true
    }

    sub_parameters {
      name        = "updated-string-list-oneof"
      value_type  = "STRINGLIST"
      is_required = true
    }
  }
}

resource "google_cloud_security_compliance_framework" "example" {
  parent       = "organizations/123456789"
  location     = "global"
  framework_id = "example-framework"

  display_name = "Terraform Framework Name"
  description  = "An Terraform description for the framework"

  cloud_control_details {
    name              = google_cloud_security_compliance_cloud_control.example.name
    major_revision_id = "1"

    parameters {
      name = "enabled"
      parameter_value {
        bool_value = true
      }
    }
  }
}

resource "google_cloud_security_compliance_framework_deployment" "example" {
  parent                  = "organizations/123456789"
  location                = "global"
  framework_deployment_id = "example-deployment"
  description             = "A framework deployment for cloud security compliance"

  framework {
    framework         = google_cloud_security_compliance_framework.example.name
    major_revision_id = "1"
  }

  target_resource_config {
    existing_target_resource = "organizations/123456789"
  }

  cloud_control_metadata {
    enforcement_mode = "DETECTIVE"

    cloud_control_details {
      name              = google_cloud_security_compliance_cloud_control.example.name
      major_revision_id = "1"

      parameters {
        name = "enabled"
        parameter_value {
          bool_value = true
        }
      }

      parameters {
        name = "regions"
        parameter_value {
          string_list_value {
            values = ["us-central1", "us-west1", "us-east1"]
          }
        }
      }

      parameters {
        name = "location"
        parameter_value {
          string_value = "us-central1"
        }
      }

      parameters {
        name = "oneof-parameter"
        parameter_value {
          oneof_value {
            name = "test-oneof"
            parameter_value {
              string_value = "test-value"
            }
          }
        }
      }

      parameters {
        name = "bool-parameter"
        parameter_value {
          oneof_value {
            name = "bool-oneof"
            parameter_value {
              bool_value = true
            }
          }
        }
      }

      parameters {
        name = "number-parameter"
        parameter_value {
          oneof_value {
            name = "number-oneof"
            parameter_value {
              number_value = 123.45
            }
          }
        }
      }

      parameters {
        name = "string-list-parameter"
        parameter_value {
          oneof_value {
            name = "string-list-oneof"
            parameter_value {
              string_list_value {
                values = ["value1", "value2"]
              }
            }
          }
        }
      }
    }
  }
}

Nachdem Sie das Framework bereitgestellt haben, können Sie Ihre Umgebung auf Abweichungen von den definierten Cloud-Kontrollen überwachen. Das Security Command Center meldet Instanzen von Abweichungen als Ergebnisse, die Sie prüfen, filtern und beheben können. Nach der Bereitstellung eines Frameworks kann es etwa sechs Stunden dauern, bis Ergebnisse zu Cloud-Kontrollen angezeigt werden.

Benutzerdefiniertes Framework bearbeiten

Nachdem Sie ein Framework erstellt haben, können Sie den Namen und die Beschreibung ändern, Cloud-Steuerelemente hinzufügen oder entfernen und Parameter aktualisieren. Sie können nur Frameworks bearbeiten, die Sie selbst erstellt haben. Integrierte Frameworks können nicht bearbeitet werden. Außerdem können Sie nur Frameworks bearbeiten, die nicht bereitgestellt sind.

Rufen Sie in der Google Cloud Console die Seite Compliance auf.

Zu Compliance
Wählen Sie Ihre Organisation oder das Projekt aus.
Klicken Sie auf dem Tab Konfigurieren auf das Framework, das Sie bearbeiten möchten.
Prüfen Sie auf der Seite Framework-Details, ob das Framework einer Ressource zugewiesen ist. Entfernen Sie die Zuweisungen, falls erforderlich.
Klicken Sie auf Aktionen > Bearbeiten.
Ändern Sie auf der Seite Framework-Details aktualisieren den Namen und die Beschreibung nach Bedarf. Klicken Sie auf Weiter.
So ändern Sie die Cloud-Steuerelemente, die im Framework enthalten sind:
- Klicken Sie auf Cloud-Kontrollen hinzufügen, um eine vorhandene Cloud-Kontrolle hinzuzufügen. Wählen Sie alle erforderlichen Cloud-Kontrollen aus und klicken Sie dann auf Hinzufügen.
- Klicken Sie auf Benutzerdefinierte Cloud-Kontrolle erstellen, um eine benutzerdefinierte Cloud-Kontrolle zu erstellen. Eine Anleitung finden Sie unter Benutzerdefinierte Cloud-Kontrolle erstellen.
- Wenn Sie eine Cloud-Kontrolle entfernen möchten, wählen Sie sie aus und klicken Sie auf Entfernen.
Klicken Sie auf Weiter.
Fügen Sie alle zusätzlichen Parameter hinzu, die für die Cloud-Kontrollen erforderlich sind.
Klicken Sie auf Speichern.

Bereitgestelltes Framework aus einer Ressource entfernen

Sie können ein Framework aus der Organisation, den Ordnern oder Projekten entfernen, denen Sie das Framework zugewiesen haben. Wenn Sie das Framework entfernen, generiert Compliance Manager keine Ergebnisse mehr für diesen Knoten Ihrer Ressourcenhierarchie.

Wenn Sie ein Framework entfernen, ändert sich der Status der meisten zugehörigen Ergebnisse nach sieben Tagen in Inactive. Wenn Ihr Framework die Cloud-Steuerung Fluss sensibler Daten über geografische Gerichtsbarkeiten hinweg einschränken enthält, ändern sich die Ergebnisse nach 90 Tagen in Inactive. Die Status für Ergebnisse, die sich auf die Cloud-Kontrolle Fluss sensibler Daten über geografische Gerichtsbarkeiten hinweg einschränken und die Cloud-Kontrolle Zugriff auf sensible Daten auf autorisierte Nutzer beschränken beziehen, werden nicht automatisch geändert.

Console

Rufen Sie in der Google Cloud Console die Seite Compliance auf.

Zu Compliance
Wählen Sie Ihre Organisation oder das Projekt aus.
Klicken Sie auf dem Tab Konfigurieren auf das Framework, das Sie entfernen möchten.
Klicken Sie auf der Seite Framework-Details auf Aktionen > Ressourcenzuweisungen verwalten.
Suchen Sie in der Tabelle Zugewiesene Ressourcen nach der Ressource, die Sie entfernen möchten, und klicken Sie auf Löschen.
Lesen Sie die Bestätigungsmeldung und klicken Sie auf Zuweisung aufheben.
Optional: Ändern Sie den Status der zugehörigen Ergebnisse in Inactive. Eine Anleitung finden Sie unter Status eines Ergebnisses ändern.

Befehlszeile

Führen Sie den Befehl gcloud compliance-manager framework-deployments delete aus, um ein bestimmtes Framework-Deployment in Ihrer Organisation zu entfernen:

gcloud compliance-manager framework-deployments delete \
   FRAMEWORK_DEPLOYMENT \
   --location=LOCATION \
   --organization=ORGANIZATION \
   --etag=ETAG_ID

Ersetzen Sie die folgenden Werte:

FRAMEWORK_DEPLOYMENT: die ID der Framework-Bereitstellung
ORGANIZATION: Ihre Organisations-ID.
LOCATION: die Region, in der die Framework-Bereitstellung gespeichert ist
ETAG_ID: die Kennung für die aktuelle Version des Framework-Deployments, mit der Sie sicherstellen können, dass Sie die gewünschte Version des Framework-Deployments löschen. Wenn die Kennung nicht mit der aktuellen Version übereinstimmt, schlägt die Anfrage fehl. Wenn Sie diesen Wert weglassen, löscht Compliance Manager die Framework-Bereitstellung bedingungslos.

Wenn Sie beispielsweise example-deployment aus der Organisation 3589215982 entfernen möchten, die am globalen Standort gespeichert ist, führen Sie folgenden Befehl aus:

gcloud compliance-manager framework-deployments delete \
   example-deployment \
   --organization=3589215982 \
   --location=global \
   --etag=MTc3NDU4MjM4OTY0MzU5MjQ5OTI=

Informationen zu optionalen Flags finden Sie unter gcloud compliance-manager framework-deployments delete.

Integriertes Framework auf eine neuere Version aktualisieren

Google veröffentlicht regelmäßig Updates für seine integrierten Frameworks, wenn Dienste neue Funktionen bereitstellen oder neue Best Practices entstehen.

Sie können die Releases der integrierten Frameworks im Framework-Dashboard auf dem Tab Konfigurieren oder auf der Framework-Detailseite aufrufen.

Google benachrichtigt Sie in der Console, wenn die folgenden Updates auftreten:

Integrierte Cloud-Kontrollen werden einem Framework hinzugefügt oder daraus entfernt.
Integrierte Cloud-Kontrollen werden aktualisiert.

So aktualisieren Sie ein bereitgestelltes Framework:

Rufen Sie in der Google Cloud Console die Seite Compliance auf.

Zu Compliance
Wählen Sie Ihre Organisation oder das Projekt aus.
Klicken Sie auf dem Tab Konfigurieren auf das Framework, das Sie aktualisieren möchten.
Prüfen Sie auf der Seite Framework-Details in der Tabelle Zugewiesene Ressourcen den Aktualisierungsstatus für alle Zuweisungen, die als Aktualisierung verfügbar gekennzeichnet sind.
Erstellen Sie eine Liste der aktualisierten Cloud-Kontrollen, einschließlich ihrer IDs, Parameter und Revisions-IDs, die Sie in das aktualisierte Framework aufnehmen oder daraus entfernen möchten.
So übernehmen Sie die Änderungen:
Console
Sie können Frameworks mit der Google Cloud Console aktualisieren, indem Sie das Framework entfernen und dann noch einmal bereitstellen. Verwenden Sie die gcloud CLI oder die Cloud Security Compliance REST API, um Frameworks direkt zu aktualisieren, ohne dass sich dies auf Ihr Dashboard für Ergebnisse auswirkt und ohne dass Sie das Framework entfernen und neu bereitstellen müssen.
1. Entfernen Sie die Ressourcenzuweisung.
  
  Hinweis: Wenn Sie eine Ressourcenzuweisung entfernen, wird diese Ressource vom Compliance Manager nicht mehr anhand dieses Frameworks bewertet. Es werden keine Ergebnisse mehr erstellt.
2. Stellen Sie das Framework noch einmal für Ihre Ressource bereit, damit der Compliance Manager die Ressource wieder bewerten und Ergebnisse erstellen kann.
Befehlszeile
Führen Sie den Befehl gcloud compliance-manager framework-deployments update aus, um ein Framework-Deployment direkt zu aktualisieren. Verwenden Sie eine der folgenden Optionen, um die Cloud-Steuerelemente und Erzwingungsmodi anzugeben, die für das Framework gelten:
- Geben Sie die Cloud-Steuerelemente und Erzwingungsmodi inline mit dem Flag --cloud-control-metadata an. Wenn Sie dieses Flag verwenden, müssen Sie alle Cloud-Kontrollen und Erzwingungsmodi angeben, die für das Framework gelten.
- Geben Sie die Cloud-Steuerelemente und Erzwingungsmodi in einer JSON- oder YAML-Datei an. Wenn Sie eine Datei verwenden, müssen Sie alle Cloud-Steuerelemente und Erzwingungsmodi angeben, die für das Framework gelten.
- Verwenden Sie die Flags --add-cloud-control-metadata und --remove-cloud-control-metadata, um einzelne Cloud-Steuerelemente hinzuzufügen oder zu entfernen.
Führen Sie dazu diesen Befehl aus:
gcloud compliance-manager framework-deployments update \ FRAMEWORK_DEPLOYMENT \ --location=LOCATION \ (--organization=ORGANIZATION | --project=PROJECT_ID) \ [--framework-major-revision-id=FRAMEWORK_MAJOR_REVISION_ID] \ [--cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE] \ | [--add-cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE]] \ [--remove-cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE]]] \ [--etag=ETAG_ID] \ [--async]
Ersetzen Sie Folgendes:
- FRAMEWORK_DEPLOYMENT: die ID der Framework-Bereitstellung.
- LOCATION: die Region, in der die Framework-Bereitstellung gespeichert ist.
- ORGANIZATION oder PROJECT_ID: Ihre Organisations-ID oder Projekt-ID.
- FRAMEWORK_MAJOR_REVISION_ID: die Hauptversions-ID des Frameworks, auf das Sie aktualisieren möchten. Wenn Sie dieses Flag weglassen, aktualisiert Compliance Manager die Bereitstellung auf die neueste Hauptversion des Frameworks. Sie können kein Downgrade auf eine frühere Hauptversions-ID durchführen.
- Eines der folgenden Betriebssysteme:
  
  --cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE]: Die Liste der Cloud-Steuerelemente im Framework mit ihren Namen, Parametern, Revisions-ID und Erzwingungsmodus im folgenden Format:
  
  CLOUD_CONTROL_DETAILS: ein Objekt, das die Liste der Cloud-Kontrollnamen, Parameter und Überarbeitungs-IDs enthält. Es hat das folgende Format:
  
  name=NAME: der vollständige Ressourcenname der Cloud-Steuerung im Format organizations/ORGANIZATION_ID/locations/LOCATION/cloudControls/CLOUD_CONTROL_NAME oder projects/PROJECT_ID/locations/LOCATION/cloudControls/CLOUD_CONTROL_NAME.
  
  majorRevisionId=MAJOR_REVISION_ID: die Hauptversion der Cloud-Steuerung.
  
  parameters=PARAMETERS: Die optionalen Parameter, die für bestimmte Cloud-Kontrollen erforderlich sind.
  
  ENFORCEMENT_MODE: Gibt an, ob das Steuerelement ein AUDIT-, DETECTIVE- oder PREVENTIVE-Steuerelement ist.
  
  --cloud-control-metadata=PATH_TO_FILE: der Pfad zu einer JSON- oder YAML-Datei, die die Details zur Cloud-Steuerung und die Erzwingungsmodi enthält. Maximieren Sie die folgenden Abschnitte, um JSON- und YAML-Beispieldateien anzusehen.
  
  JSON-Beispieldatei
  
  [ { "cloudControlDetails": { "name": "organizations/3589215982/locations/global/cloudControls/restrict-bucket-region", "majorRevisionId": 1, "parameters": [ { "name": "location", "parameterValue": { "stringValue": "us-west" } } ] }, "enforcementMode": "DETECTIVE" }, { "cloudControlDetails": { "name": "organizations/3589215982/locations/global/cloudControls/enable-binary-authorization", "majorRevisionId": 2 }, "enforcementMode": "DETECTIVE" } ]
  
  Beispiel für eine YAML-Datei
  
  - cloudControlDetails: name: organizations/3589215982/locations/global/cloudControls/restrict-bucket-region majorRevisionId: 1 parameters: - name: location parameterValue: stringValue: us-west enforcementMode: DETECTIVE - cloudControlDetails: name: organizations/3589215982/locations/global/cloudControls/enable-binary-authorization majorRevisionId: 2 enforcementMode: DETECTIVE
  
  --add-cloud-control-metadata oder --remove-cloud-control-metadata: Die Cloud-Kontrollen, die der Framework-Bereitstellung hinzugefügt oder daraus entfernt werden sollen. Sie können beide Flags im selben Befehl verwenden. Sie können eine der folgenden Optionen verwenden, um mehrere Cloud-Steuerelemente zum Hinzufügen oder Entfernen anzugeben:
  
  Wiederholen Sie das Flag für jede Einstellung.
  
  Fügen Sie die Kontrollen in einer JSON-Liste [ {...}, {...} ] in einem einzelnen Flag ein.
  
  Geben Sie einen Pfad zu einer JSON- oder YAML-Datei an, die eine Liste von Kontrollen enthält. Verwenden Sie dasselbe Schema wie das Flag --cloud-control-metadata. Beispiel: --add-cloud-control-metadata=add-controls.yaml --remove-cloud-control-metadata=remove-controls.yaml.
- ETAG_ID: die Kennung für die aktuelle Version der Framework-Bereitstellung, mit der Sie sicherstellen können, dass Sie die gewünschte Version der Framework-Bereitstellung aktualisieren. Wenn die Kennung nicht mit der aktuellen Version übereinstimmt, schlägt die Anfrage fehl. Wenn Sie diesen Wert weglassen, aktualisiert der Compliance Manager die Framework-Bereitstellung bedingungslos.
Optional können Sie das Flag --async einfügen, um sofort zurückzukehren, ohne auf den Abschluss des lang andauernden Aktualisierungsvorgangs zu warten.

Wenn Sie beispielsweise example-deployment aktualisieren möchten, das in der Organisation 3589215982 bereitgestellt und am Standort global gespeichert ist, führen Sie den folgenden Befehl aus:
gcloud compliance-manager framework-deployments update \ example-deployment \ --organization=3589215982 \ --location=global \ --framework-major-revision-id=7 \ --cloud-control-metadata=cloud-control-metadata.yaml \ --etag=MTc3NDU4MjM4OTY0MzU5MjQ5OTI=
Informationen zu optionalen Flags finden Sie unter gcloud compliance-manager framework-deployments update.
REST
Wenn Sie ein Framework-Deployment direkt aktualisieren möchten, rufen Sie die Methode frameworkDeployments.patch auf (für Organisationen oder Projekte). Geben Sie die ID der Hauptversion des Ziels und alle Cloud-Kontrollen und Erzwingungsmodi an, die für das Framework in cloudControlMetadata gelten.
Ersetzen Sie diese Werte in den folgenden Anfragedaten:

RESOURCE_TYPE: der übergeordnete Ressourcencontainertyp für die Framework-Bereitstellung: organizations oder projects.

RESOURCE_ID: die numerische Organisations-ID oder Projekt-ID. Beispiel: 3589215982

LOCATION: der Standort der Framework-Bereitstellung. Unterstützter Wert: global.

FRAMEWORK_DEPLOYMENT: die ID des Framework-Deployments, das Sie aktualisieren möchten. Beispiel: example-deployment

UPDATE_MASK: optionale, durch Kommas getrennte Liste von Feldern, die überschrieben werden sollen, relativ zur FrameworkDeployment-Ressource. Beispiel: framework.majorRevisionId,cloudControlMetadata. Wenn nichts angegeben ist, werden alle Felder überschrieben.

FRAMEWORK_NAME: der Ressourcenname des Frameworks im Format organizations/ORGANIZATION_ID/locations/LOCATION/frameworks/FRAMEWORK_ID oder projects/PROJECT_ID/locations/LOCATION/frameworks/FRAMEWORK_ID. Beispiel: organizations/3589215982/locations/global/frameworks/builtin-aipp.

FRAMEWORK_MAJOR_REVISION_ID: die Hauptversions-ID des Frameworks, auf das Sie aktualisieren möchten. Wenn Sie nichts angeben, aktualisiert Compliance Manager die Bereitstellung auf die neueste Hauptversion des Frameworks.

CLOUD_CONTROL_NAME: der vollständige Ressourcenname einer Cloud-Kontrolle im Framework im Format organizations/ORGANIZATION_ID/locations/LOCATION/cloudControls/CLOUD_CONTROL_ID.

MAJOR_REVISION_ID: die Hauptversions-ID der Cloud-Steuerung.

ENFORCEMENT_MODE: Gibt an, ob die Cloud-Kontrolle eine AUDIT-, DETECTIVE- oder PREVENTIVE-Kontrolle ist.

ETAG_ID: Optionale Kennung für die aktuelle Version der Framework-Bereitstellung, um zu verhindern, dass sich gleichzeitige Aktualisierungen gegenseitig überschreiben. Beispiel: MTc3NDU4MjM4OTY0MzU5MjQ5OTI=

HTTP-Methode und URL:

PATCH https://cloudsecuritycompliance.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/LOCATION/frameworkDeployments/FRAMEWORK_DEPLOYMENT?updateMask=UPDATE_MASK

JSON-Text der Anfrage:

{ "framework": { "framework": "FRAMEWORK_NAME", "majorRevisionId": "FRAMEWORK_MAJOR_REVISION_ID" }, "cloudControlMetadata": [ { "cloudControlDetails": { "name": "CLOUD_CONTROL_NAME", "majorRevisionId": "MAJOR_REVISION_ID", "parameters": [] }, "enforcementMode": "ENFORCEMENT_MODE" } ], "etag": "ETAG_ID" }

Wenn Sie die Anfrage senden möchten, wählen Sie eine der folgenden Optionen aus:

curl

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json; charset=utf-8" \
-d @request.json \
"https://cloudsecuritycompliance.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/LOCATION/frameworkDeployments/FRAMEWORK_DEPLOYMENT?updateMask=UPDATE_MASK"

PowerShell

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
-Method PATCH `
-Headers $headers `
-ContentType: "application/json; charset=utf-8" `
-InFile request.json `
-Uri "https://cloudsecuritycompliance.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/LOCATION/frameworkDeployments/FRAMEWORK_DEPLOYMENT?updateMask=UPDATE_MASK" | Select-Object -Expand Content

Sie sollten eine JSON-Antwort ähnlich wie diese erhalten:

{ "name": "organizations/3589215982/locations/global/operations/operation-1726842525305-6228ddb4dca96-78a6db59-f9dd9a24", "done": false }

Die Antwort enthält die folgenden Informationen:

name: Eine eindeutige String-ID für den lang andauernden Aktualisierungsvorgang, mit der Sie den Fortschritt der Aktualisierung verfolgen können.

done: ein boolesches Flag, das beim Start des Aktualisierungsvorgangs auf false und nach Abschluss der Aktualisierung auf true gesetzt wird.

Benutzerdefiniertes Framework löschen

Löschen Sie ein Framework, wenn es nicht mehr benötigt wird. Sie können nur von Ihnen erstellte Frameworks löschen. Integrierte Frameworks können nicht gelöscht werden.

Console

Rufen Sie in der Google Cloud Console die Seite Compliance auf.

Zu Compliance
Wählen Sie Ihre Organisation oder das Projekt aus.
Klicken Sie auf dem Tab Konfigurieren auf das Framework, dessen Ressourcenzuweisung Sie aufheben möchten.
Prüfen Sie auf der Seite Framework-Details, ob das Framework einer Ressource zugewiesen ist. Entfernen Sie die Zuweisungen, falls erforderlich.
Klicken Sie auf Aktionen > Löschen.
Lesen Sie die Nachricht im Fenster Löschen. Geben Sie Delete ein und klicken Sie auf Bestätigen.

Befehlszeile

Führen Sie den Befehl gcloud compliance-manager frameworks delete aus, um ein bestimmtes Framework in Ihrer Organisation zu löschen:

gcloud compliance-manager frameworks delete \
   FRAMEWORK \
   --location=LOCATION \
   --organization=ORGANIZATION

Ersetzen Sie die folgenden Werte:

FRAMEWORK: der Name des Frameworks
ORGANIZATION: Ihre Organisations-ID.
LOCATION: die Region, in der das Framework gespeichert ist

Wenn Sie beispielsweise example-framework aus der Organisation 3589215982 entfernen möchten, die am globalen Standort gespeichert ist, führen Sie folgenden Befehl aus:

gcloud compliance-manager frameworks delete \
   example-framework \
   --organization=3589215982 \
   --location=global

Informationen zu optionalen Flags finden Sie unter gcloud compliance-manager frameworks delete.

Frameworks verwalten Mit Sammlungen den Überblick behalten Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.

Hinweis

Berechtigungen einrichten

Google Cloud CLI einrichten

Frameworks ansehen

Console

Befehlszeile

Details zu einem Framework ansehen

Liste der Frameworks abrufen

Framework erstellen

Console

Befehlszeile

JSON-Beispieldatei

Beispiel für eine YAML-Datei

Terraform

Framework bereitstellen

Console

Befehlszeile

JSON-Beispieldatei

Beispiel für eine YAML-Datei

Terraform

Benutzerdefiniertes Framework bearbeiten

Bereitgestelltes Framework aus einer Ressource entfernen

Console

Befehlszeile

Integriertes Framework auf eine neuere Version aktualisieren

Console

Befehlszeile

JSON-Beispieldatei

Beispiel für eine YAML-Datei

REST

curl

PowerShell

Benutzerdefiniertes Framework löschen

Console

Befehlszeile

Nächste Schritte

Frameworks verwalten