ניהול מסגרות

רמות השירות Standard,‏ Premium ו-Enterprise (הוצאה משימוש)

רמת השירות Security Command Center Enterprise תושבת ב-21 במאי 2027. אם הארגון שלכם משתמש ברמת השירות Enterprise, הוא יעבור אוטומטית לרמת השירות Premium ב-21 במאי 2027 או אחרי התאריך הזה. בכל שאלה, אפשר לפנות לאיש הקשר האחראי לחשבון או לGoogle Cloud מומחה מכירות.

המסגרות של Compliance Manager מורכבות מאמצעי בקרה בענן שעוזרים לכם לעמוד בדרישות האבטחה והרגולציה של ארגון או פרויקט בסביבות הענן שלכם. החלת מסגרת היא תהליך דו-שלבי. קודם כול, אתם צריכים לזהות את אמצעי הבקרה בענן שתואמים למחויבויות של העסק שלכם בנושאי אבטחה ותאימות. לאחר מכן, פורסים מסגרת שכוללת את אמצעי הבקרה האלה בענן בארגון, בתיקייה או בפרויקט המתאימים ב-Google Cloud. בדף הזה מוסבר איך לבצע את הפעולות הבאות:

1. בדקו איזו מסגרת מובנית הכי מתאימה לדרישות הרגולטוריות ודרישות האבטחה שלכם. אתם יכולים ליצור מסגרת מותאמת אישית משלכם, אבל מומלץ להתחיל עם מסגרת מובנית.

2. להחליט אילו אמצעי בקרה מובנים בענן מתאימים לדרישות העסקיות שלכם. (ברמות Premium ו-Enterprise בלבד) אם צריך, אתם יכולים ליצור אמצעי בקרה בהתאמה אישית בענן.

3. מחליטים אם לפרוס את המסגרת בארגון ב- Google Cloud, או בתיקיות ובפרויקטים ספציפיים. אפשר לפרוס רק מסגרת אחת בכל ארגון, תיקייה או פרויקט. אפשר להשתמש ב-Compliance Manager בתיקיות שמנוהלות באמצעות אפליקציה.

4. להעתיק מסגרת קיימת ולשנות אותה בהתאם לדרישות שלכם. אם צריך, אתם יכולים ליצור מסגרת מותאמת אישית.

   הערה: ברמת Standard יש תמיכה רק במסגרת Security Essentials. כדי להשתמש במסגרות מובנות אחרות, צריך מינוי ברמת Premium או Enterprise. מידע נוסף מופיע במאמר מסגרות ל-Google Cloud.

5. פורסים את ה-framework בארגון, בתיקייה או בפרויקט המתאימים.

לפני שמתחילים

השלימו את המשימות האלה לפני שתשלימו את שאר המשימות בדף הזה.

הגדרת ההרשאות

• כדי לקבל את ההרשאות שדרושות להחלת מסגרות, בקשו מהאדמין לתת לכם את התפקידים הבאים ב-IAM ברמת הארגון או הפרויקט:

  • אדמין ב-Compliance Manager (roles/cloudsecuritycompliance.admin)
  • כדי לראות את לוחות הבקרה של הממצאים: צפייה ב-Compliance Manager (roles/cloudsecuritycompliance.viewer)
  • כדי לפרוס מסגרות שכוללות אמצעי בקרה בענן שמבוססים על כללי מדיניות של הארגון, צריך אחד מהתפקידים הבאים:
    • אדמין של מדיניות הארגון (roles/orgpolicy.policyAdmin)
    • אדמין ב-Assured Workloads (roles/assuredworkloads.admin)
    • עריכה ב-Assured Workloads (roles/assuredworkloads.editor)
  • (ברמת הארגון בלבד) כדי ליצור תיקייה בזמן פריסת מסגרת, צריך אחת מהאפשרויות הבאות:
    • Folder Admin (roles/resourcemanager.folderAdmin)
    • יצירת תיקיות (roles/resourcemanager.folderCreator)
  • (ברמת הארגון בלבד) כדי ליצור פרויקט בזמן פריסת מסגרת, צריך את כל ההרשאות הבאות:
    • ניהול החיוב בפרויקט (roles/billing.projectManager)
    • יצירת פרויקטים (roles/resourcemanager.projectCreator)
    • Project Deleter (roles/resourcemanager.projectDeleter)
  • כדי להקצות מסגרות של Data Security Posture Management (DSPM) לאפליקציה ב-App Hub, צריך את כל התפקידים הבאים: צפייה ב-App Hub (roles/apphub.viewer)

  להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

  התפקידים לפריסת מסגרות עם מדיניות ארגונית מכילים את ההרשאות הנדרשות orgpolicy.policies.create,‏ orgpolicy.policies.update ו-orgpolicy.policies.get.

  בפריסות ברמת הארגון, התפקידים ליצירת תיקיות מכילים את ההרשאות הנדרשות resourcemanager.folders.get,‏ resourcemanager.folders.create ו-resourcemanager.folders.delete.

  בפריסות ברמת הארגון, התפקידים ליצירת פרויקטים מכילים את ההרשאות הנדרשות resourcemanager.projects.get,‏ resourcemanager.projects.create,‏ resourcemanager.projects.delete ו-resourcemanager.projects.createBillingAssignment.

  התפקידים להקצאת מסגרות DSPM לאפליקציות מכילים את ההרשאות הנדרשות apphub.locations.list,‏ apphub.applications.list ו-apphub.applications.get.

  יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הגדרת Google Cloud CLI

התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

gcloud init

כדי להגדיר את ה-CLI של gcloud כך שיבצע התחזות לחשבון שירות כדי לאמת ל-Google APIs, במקום להשתמש בפרטי הכניסה של המשתמש, מריצים את הפקודה הבאה:

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

מידע נוסף מופיע במאמר התחזות לחשבון שירות.

הצגת מסגרות

כדי לראות את ההגדרות של מסגרות מובְנות או של מסגרות אחרות שכבר יצרתם, פועלים לפי השלבים הבאים:

המסוף

1. נכנסים לדף Compliance במסוף Google Cloud .

   לתאימות

2. בוחרים את הארגון או הפרויקט.

3. כדי לראות את כל המסגרות הזמינות, לוחצים על הכרטיסייה Configure.

   בלוח הבקרה מוצגות המסגרות הזמינות, תיאור קצר, הפלטפורמות והרמות הנתמכות והמשאבים שהמסגרת הוחלה עליהם.

   הערה: אם אתם ברמת Standard, אתם יכולים לראות את המסגרות של Premium ו-Enterprise במרכז הבקרה, אבל אתם לא יכולים לפרוס אותן.

4. כדי לראות פרטים על מסגרת ספציפית, לוחצים על שם המסגרת.

CLI

אתם יכולים לראות מידע על מסגרת ספציפית או להציג את כל המסגרות בארגון.

הצגת פרטים על מסגרת

כדי לראות פרטים על מסגרת ספציפית, מריצים את הפקודה gcloud compliance-manager frameworks describe:

gcloud compliance-manager frameworks describe FRAMEWORK \
   --location=LOCATION \
   --organization=ORGANIZATION \
   [--major-revision-id=MAJOR_REVISION_ID]

מחליפים את מה שכתוב בשדות הבאים:

• ‫FRAMEWORK: שם המסגרת

• ‫ORGANIZATION: מזהה הארגון

• ‫LOCATION: האזור שבו מאוחסן ה-framework

• ‫MAJOR_REVISION_ID: דגל אופציונלי שמציין איזו גרסה של המסגרת להציג. אם לא כוללים את הדגל, מוחזרת הגרסה העדכנית.

לדוגמה, כדי להציג מסגרת בשם builtin-security-essentials ומספר הגרסה הראשית 12, מריצים את הפקודה הבאה:

gcloud compliance-manager frameworks describe \
   builtin-security-essentials \
   --organization=3589215982 \
   --location=global \
   --major-revision-id=12

מידע נוסף זמין במאמר gcloud compliance-manager frameworks describe.

קבלת רשימה של מסגרות

כדי לקבל את רשימת המסגרות בארגון, מריצים את הפקודה gcloud compliance-manager frameworks list:

gcloud compliance-manager frameworks list \
   --location=LOCATION \
   --organization=ORGANIZATION

מחליפים את הערכים הבאים:

• ‫ORGANIZATION: מזהה הארגון

• ‫LOCATION: האזור שבו מאוחסנים ה-frameworks

לדוגמה, כדי לראות את כל המסגרות בארגון 3589215982 שמאוחסנות במיקום הגלובלי, מריצים את הפקודה הבאה:

gcloud compliance-manager frameworks list \
   --organization=3589215982 \
   --location=global

למידע על דגלים אופציונליים, קראו את המאמר gcloud compliance-manager frameworks list.

יצירת מסגרת

אחרי שקובעים אילו אמצעי בקרה בענן חלים על המשאבים בארגון או בתיקייה או בפרויקט ספציפיים, אפשר ליצור מסגרת. אפשר ליצור מסגרת בהתאמה אישית או להעתיק מסגרת קיימת ולשנות אותה. כשמעתיקים מסגרת, היא כוללת את הגרסאות העדכניות ביותר של כל אמצעי הבקרה המובנים בענן.

המסוף

1. נכנסים לדף Compliance במסוף Google Cloud .

   לתאימות

2. בוחרים את הארגון או הפרויקט.

3. בכרטיסייה Configure, לוחצים על Create custom framework.

4. מבצעים אחת מהפעולות הבאות:

   • כדי להשתמש במסגרת קיימת, צריך לבצע את הפעולות הבאות:

     1. בוחרים באפשרות התחלה ממסגרת קיימת.

     2. בוחרים את המסגרת שרוצים להעתיק.

     3. לוחצים על הוספה.

   • כדי ליצור מסגרת מותאמת אישית, לוחצים על התחלת מסגרת חדשה.

   הערה: ברמה Standard אפשר להעתיק רק את המסגרת Security Essentials. ברמות Premium ו-Enterprise, אתם יכולים ליצור מסגרות בהתאמה אישית או להשתמש בכל מסגרת מובנית זמינה.

5. מזינים שם, מזהה ייחודי ותיאור למסגרת. לוחצים על המשך.

   אם אתם מעתיקים מסגרת קיימת, תוצג רשימת אמצעי הבקרה בענן שהיו חלק מהמסגרת הקיימת.

6. כדי להוסיף את אמצעי הבקרה בענן שאתם צריכים:

   • כדי להוסיף בקרת ענן קיימת, לוחצים על הוספת בקרות ענן. בוחרים את כל אמצעי הבקרה הנדרשים בענן ולוחצים על Add.

     כשמוסיפים אמצעי בקרה, צריך לוודא את סוג אמצעי הבקרה (זיהוי, מניעה או ביקורת). שימו לב שאמצעי הבקרה למניעה ולביקורת זמינים רק ברמות Premium ו-Enterprise. אל תכללו אמצעי בקרה לביקורת בלבד במסגרת שאתם רוצים להשתמש בה כדי לעקוב אחרי הסביבה שלכם ולזהות הפרות. אי אפשר לפרוס מסגרות שכוללות אמצעי בקרה לביקורת בלבד.

   • (ברמות Premium ו-Enterprise בלבד) כדי ליצור אמצעי בקרה בהתאמה אישית בענן, לוחצים על Create custom cloud control. להוראות, קראו את המאמר יצירת בקרת ענן בהתאמה אישית.

7. לוחצים על Continue.

8. מוסיפים את הפרמטרים הנוספים שנדרשים לבקרות בענן.

   לדוגמה, אם רוצים להפעיל אמצעי בקרה בענן של Data Security Posture Management (DSPM), כמו Restrict Access to Sensitive Data to Permitted Users, צריך לציין את המיקומים שבהם ישויות מורשות צריכות להשתמש. מידע נוסף על אמצעי הבקרה של Data Security Posture Management זמין במאמר אמצעי בקרה מתקדמים בענן למשילות מידע (data governance) ולאבטחה.

9. לוחצים על יצירה.

CLI

כדי ליצור מסגרת בהתאמה אישית, מריצים את הפקודה gcloud compliance-manager frameworks create:

gcloud compliance-manager frameworks create FRAMEWORK \
   --location=LOCATION \
   --organization=ORGANIZATION \
   --display-name=DISPLAY_NAME \
   [--description=DESCRIPTION] \
   [--category=[CATEGORY,...] \
   [--cloud-control-details=[majorRevisionId=MAJOR_REVISION_ID],[name=NAME],[parameters=PARAMETERS]]

מחליפים את הערכים הבאים:

• ‫FRAMEWORK: המזהה האלפאנומרי הייחודי של המסגרת

• ‫ORGANIZATION: מזהה הארגון

• ‫LOCATION: האזור שבו מאוחסן ה-framework

• ‫DISPLAY_NAME: שם קריא לאנשים של ה-framework

• ‫DESCRIPTION: תיאור אופציונלי של מטרת המסגרת

• ‫[CATEGORY,...]: פרמטר אופציונלי שמגדיר את הקטגוריות שהמסגרת שייכת אליהן. הערך המומלץ למסגרת המותאמת אישית הוא custom-framework.

• --cloud-control-details=`[majorRevisionId=MAJOR_REVISION_ID],[name=NAME],[parameters=PARAMETERS]'

  היא רשימה אופציונלית של אמצעי בקרה בענן שצריך לכלול במסגרת, בפורמט הבא:

  • ‫MAJOR_REVISION_ID: דגל אופציונלי שמציין איזו גרסה של בקרת הענן להציג. אם לא כוללים את הדגל, המערכת משתמשת בגרסה האחרונה.

  • ‫NAME: השם של בקרת הענן, בפורמט organizations/ORGANIZATION_ID/locations/LOCATION/cloudControls/NAME. ‫NAME הוא המזהה הייחודי של אמצעי הבקרה בענן. כדי למצוא את מזהה בקרת הענן, אפשר להשתמש בפקודה gcloud compliance-manager cloud-controls list.

  • ‫PARAMETERS: הפרמטרים האופציונליים שנדרשים לבקרות מסוימות בענן. לדוגמה, אם רוצים להפעיל בקרה בענן של Data Security Posture Management, כמו הגבלת הגישה לנתונים רגישים למשתמשים מורשים, צריך לציין את המיקומים שבהם ישויות מורשות צריכות להשתמש.

  אפשר גם לציין קובץ JSON או YAML שכולל רשימה של כל אמצעי הבקרה בענן. לדוגמה, --cloud-control-details=path_to_file.(yaml|json). כדי לראות קובצי JSON ו-YAML לדוגמה, הרחיבו את הקטע הבא.

  קובץ JSON לדוגמה

    [
      {
        "name": "organizations/3589215982/locations/global/cloudControls/restrict-bucket-region",
        "majorRevisionId": 1,
        "parameters": [
          {
            "name": "location",
            "parameterValue": {
              "stringValue": "us-west"
            }
          }
        ]
      },
      {
        "name": "organizations/3589215982/locations/global/cloudControls/enable-binary-authorization",
        "majorRevisionId": 2
      }
    ]
        

  קובץ YAML לדוגמה

    - name: organizations/3589215982/locations/global/cloudControls/restrict-bucket-region
      majorRevisionId: 1
      parameters:
      - name: location
        parameterValue:
          stringValue: us-west
    - name: organizations/3589215982/locations/global/cloudControls/enable-binary-authorization
      majorRevisionId: 2
        

  אם לא תציינו אמצעי בקרה בענן כשתצרו מסגרת, תוכלו להוסיף אותם מאוחר יותר באמצעות המסוף.

לדוגמה, כדי ליצור מסגרת בשם my-custom-framework, מריצים את הפקודה הבאה:

gcloud compliance-manager frameworks create \
   my-custom-framework \
   --organization=3589215982 \
   --location=global \
   --description="This framework is my custom framework" \
   --display-name="My framework name" \
   --cloud-control-details='[{"name":"organizations/3589215982/locations/global/cloudControls/restrict-bucket-region","majorRevisionId":1,"parameters":[{"name":"location","parameterValue":{"stringValue":"us-west"}}]},{"name":"organizations/3589215982/locations/global/cloudControls/enable-binary-authorization","majorRevisionId":2}]'

מידע נוסף זמין במאמר gcloud compliance-manager frameworks create.

Terraform

בדוגמה הבאה מוסבר איך יוצרים מסגרת באמצעות Terraform.

resource "google_cloud_security_compliance_framework" "example" {
  parent       = "organizations/123456789"
  location     = "global"
  framework_id = "example-framework"

  display_name = "Terraform Framework Name"
  description  = "An Terraform description for the framework"

  cloud_control_details {
		name              = "organizations/123456789/locations/global/cloudControls/builtin-assess-resource-availability"
		major_revision_id = "2"

    parameters {
      name = "location"
      parameter_value {
        string_value = "us-central1"
      }
    }
  }

    cloud_control_details {
		name              = "organizations/123456789/locations/global/cloudControls/builtin-cmek-key-in-use-for-bigquery-table"
		major_revision_id = "1"

    parameters {
      name = "location"
      parameter_value {
        string_list_value {
          values = ["us-central1", "us-west1"]
        }
      }
    }
  }

  cloud_control_details {
		name              = "organizations/123456789/locations/global/cloudControls/builtin-enable-automatic-backups-cloud-sql"
		major_revision_id = "3"

    parameters {
      name = "location"
      parameter_value {
        bool_value = true
      }
    }
  }

  cloud_control_details {
		name              = "organizations/123456789/locations/global/cloudControls/builtin-require-cmek-on-bigquery-datasets"
		major_revision_id = "2"

    parameters {
      name = "location"
      parameter_value {
        number_value = 1
      }
    }
  }


}

פריסת מסגרת

כדי לשלוט במשאבים ולעקוב אחריהם באמצעות אמצעי הבקרה בענן של המסגרת, אתם יכולים לפרוס מסגרת בארגון, בתיקייה או בפרויקט. אפשר לפרוס כמה מסגרות בכל ארגון, תיקייה או פרויקט. אם אתם פורסים מסגרת שכוללת רק את אמצעי הבקרה המתקדמים לאבטחת מידע בענן, אתם יכולים לפרוס את המסגרת באפליקציות של App Hub בתיקיות שמוגדרות לניהול אפליקציות.

תיקיות ופרויקטים יורשים מסגרות דרך היררכיית המשאבים של Google Cloud . לכן, אם פורסים מסגרות ברמת הארגון וברמת הפרויקט, כל אמצעי הבקרה בענן בשתי המסגרות חלים על המשאבים בפרויקט. אם יש הבדלים בהגדרות של אמצעי הבקרה בענן, המשאבים בפרויקט משתמשים באמצעי הבקרה בענן ברמה הנמוכה יותר. לדוגמה, אם כלל בקרת הענן מוגדר כ"אישור" ברמת הארגון וכ"דחייה" ברמת הפרויקט, ההגדרה "דחייה" ברמת הפרויקט חלה על המשאבים בפרויקט.

מומלץ לפרוס ברמת הארגון מסגרת שכוללת את אמצעי הבקרה בענן שאפשר להחיל על כל העסק. אחר כך תוכלו לפרוס מסגרות מחמירות יותר בתיקיות ובפרויקטים שבהם הן נדרשות.

הערה:

• אם תפרסו מסגרת בתיקייה או בפרויקט שבהם מופעל Security Health Analytics, יכול להיות שתקבלו ממצאים כפולים. ‫Compliance Manager משתמש במנוע הערכה שונה מזה של Security Health Analytics.

המסוף

1. נכנסים לדף Compliance במסוף Google Cloud .

   לתאימות

2. בוחרים את הארגון או הפרויקט.

3. בכרטיסייה Configure, לוחצים על More Actions > Apply to resources במסגרת שרוצים לפרוס.

4. בוחרים באפשרות מעקב או מעקב ומניעה כדי לעקוב אחרי חריגות בלבד.

5. בוחרים את המשאב שבו רוצים לפרוס את המסגרת. אתם יכולים לבחור ארגון, תיקייה או פרויקט קיימים. רק ב-DSPM, אתם יכולים לבחור אפליקציה כדי לפרוס בה מסגרת שכוללת רק אמצעי בקרה מתקדמים בענן של DSPM. אפשר גם ליצור תיקייה או פרויקט חדשים ולפרוס בהם את ה-framework.

6. מבצעים אחת מהפעולות הבאות:

   • אם בחרתם באפשרות מעקב, בצעו את הפעולות הבאות:

     1. מאמתים את המידע.
     2. אם בחרתם תיקייה שמוגדרת לניהול אפליקציות, והמסגרת שלכם כוללת רק אמצעי בקרה מתקדמים בענן של DSPM, בחרו את האפליקציה שאתם רוצים לעקוב אחריה.
     3. לוחצים על מעקב.

   • אם בחרתם באפשרות מעקב ומניעה, צריך לבצע את הפעולות הבאות:

     1. לוחצים על הבא. בודקים את אמצעי הבקרה והמצבים בענן.
     2. לוחצים על Continue.
     3. אם מוצג מידע נוסף שנדרש לחלק מהבקרות בענן, מאמתים אותו.
     4. לוחצים על הבא.
     5. בודקים את האפשרויות שנבחרו ולוחצים על אכיפה.

CLI

כדי לפרוס מסגרת בארגון, מריצים את הפקודה gcloud compliance-manager framework-deployments create. כדאי לשקול את השיטות המומלצות הבאות:

• יוצרים קובץ YAML או JSON נפרד למטא-נתונים של בקרת הענן.

• משתמשים בדגלי היעד המתאימים כדי לציין אם אתם מתכוונים לפרוס בארגון, בתיקייה או בפרויקט קיימים, או אם אתם מתכוונים ליצור פרויקט או תיקייה חדשים במקביל לפריסת ה-framework.

• אם אפשר, השתמשו רק במזהי משאבים במקום בשמות המלאים של המשאבים.

gcloud compliance-manager framework-deployments create \
   (FRAMEWORK_DEPLOYMENT : \
   --location=LOCATION \
   --organization=ORGANIZATION) \
   --cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE] \
   (--framework=FRAMEWORK : \
   --framework-major-revision-id=FRAMEWORK_MAJOR_REVISION_ID) \
   (--target-resource-config-existing=TARGET_RESOURCE_CONFIG_EXISTING     | \
   --target-resource-creation-config-folder-display-name=TARGET_RESOURCE_CREATION_CONFIG_FOLDER_DISPLAY_NAME \
   --target-resource-creation-config-folder-parent=TARGET_RESOURCE_CREATION_CONFIG_FOLDER_PARENT     | \
   --target-resource-creation-config-project-billing-account-id=TARGET_RESOURCE_CREATION_CONFIG_PROJECT_BILLING_ACCOUNT_ID \
   --target-resource-creation-config-project-display-name=TARGET_RESOURCE_CREATION_CONFIG_PROJECT_DISPLAY_NAME \
   --target-resource-creation-config-project-parent=TARGET_RESOURCE_CREATION_CONFIG_PROJECT_PARENT) \
   [--description=DESCRIPTION]

מחליפים את הערכים הבאים:

• ‫FRAMEWORK_DEPLOYMENT: מזהה הפריסה של המסגרת

• ‫ORGANIZATION: מזהה הארגון

• ‫LOCATION: האזור שבו מאוחסן פריסת ה-framework

• ‫cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE]: רשימת אמצעי הבקרה בענן במסגרת, עם השמות, הפרמטרים, מזהה הגרסה ומצב האכיפה שלהם, בפורמט הבא:

  • ‫CLOUD_CONTROL_DETAILS: אובייקט שכולל את רשימת השמות, הפרמטרים ומזהי הגרסאות של אמצעי הבקרה בענן. הפורמט הוא:

    • ‫name=NAME: שם המשאב המלא של אמצעי הבקרה בענן, בפורמט organizations/ORGANIZATION_ID/locations/LOCATION/cloudControls/CLOUD_CONTROL_NAME

    • ‫majorRevisionId=MAJOR_REVISION_ID: הגרסה הראשית של בקרת הענן

    • ‫parameters=PARAMETERS: הפרמטרים האופציונליים שנדרשים לאמצעי בקרה מסוימים בענן. לדוגמה, אם רוצים להפעיל אמצעי בקרה בענן של Data Security Posture Management, כמו Restrict Access to Sensitive Data to Permitted Users, צריך לציין את המיקומים שבהם ישויות מורשות צריכות להשתמש.

  • ‫ENFORCEMENT_MODE: אם אמצעי הבקרה הוא AUDIT,‏ DETECTIVE או PREVENTIVE

    אפשר גם לציין קובץ JSON או YAML שכולל את פרטי בקרת הענן ומצבי האכיפה. לדוגמה, --cloud-control-metadata=path_to_file.(yaml|json). כדי לראות דוגמאות לקובצי JSON ו-YAML, הרחיבו את הקטעים הבאים.

    קובץ JSON לדוגמה

      [
        {
          "cloudControlDetails": {
            "name": "organizations/3589215982/locations/global/cloudControls/restrict-bucket-region",
            "majorRevisionId": 1,
            "parameters": [
              {
                "name": "location",
                "parameterValue": {
                  "stringValue": "us-west"
                }
              }
            ]
          },
          "enforcementMode": "DETECTIVE"
        },
        {
          "cloudControlDetails": {
            "name": "organizations/3589215982/locations/global/cloudControls/enable-binary-authorization",
            "majorRevisionId": 2
          },
          "enforcementMode": "DETECTIVE"
        }
      ]
          

    קובץ YAML לדוגמה

      - cloudControlDetails:
          name: organizations/3589215982/locations/global/cloudControls/restrict-bucket-region
          majorRevisionId: 1
          parameters:
          - name: location
            parameterValue:
              stringValue: us-west
        enforcementMode: DETECTIVE
      - cloudControlDetails:
          name: organizations/3589215982/locations/global/cloudControls/enable-binary-authorization
          majorRevisionId: 2
        enforcementMode: DETECTIVE
          

  • ‫FRAMEWORK: השם של מסגרת קיימת שרוצים לפרוס, בפורמט organizations/ORGANIZATION_ID/locations/LOCATION/frameworks/FRAMEWORK_NAME

  • ‫FRAMEWORK_MAJOR_REVISION_ID: מספר הגרסה של ה-framework שרוצים לפרוס

  • ‫TARGET_RESOURCE_CONFIG_EXISTING : השם של ארגון, תיקייה או פרויקט קיימים שרוצים לפרוס בהם את ה-framework החדש, באחד מהפורמטים הבאים:

    • organizations/ORGANIZATION_ID
    • folders/FOLDER_ID
    • projects/PROJECT_ID

  • ‫TARGET_RESOURCE_CREATION_CONFIG_FOLDER_DISPLAY_NAME: שם התיקייה שרוצים ליצור ואז לפרוס בה את ה-framework

  • ‫TARGET_RESOURCE_CREATION_CONFIG_FOLDER_PARENT: השם של הארגון או התיקייה הקיימים שבהם רוצים ליצור את התיקייה החדשה. הפורמטים הנתמכים הם organizations/ORGANIZATION_ID ו-folders/FOLDER_ID.

  • ‫TARGET_RESOURCE_CREATION_CONFIG_PROJECT_BILLING_ACCOUNT_ID: מזהה החשבון לחיוב שרוצים להקצות לפרויקט החדש, אם יוצרים פרויקט חדש שרוצים לפרוס בו את ה-framework

  • ‫TARGET_RESOURCE_CREATION_CONFIG_PROJECT_DISPLAY_NAME: שם הפרויקט שרוצים ליצור ואז לפרוס בו את ה-framework

  • ‫TARGET_RESOURCE_CREATION_CONFIG_PROJECT_PARENT: השם של הארגון או התיקייה הקיימים שבהם רוצים ליצור את הפרויקט החדש. הפורמטים הנתמכים הם organizations/ORGANIZATION_ID ו-folders/FOLDER_ID.

  • ‫DESCRIPTION: תיאור אופציונלי לפריסת המסגרת

לדוגמה, כדי לפרוס את ה-framework שנקרא organizations/3589215982/locations/global/frameworks/builtin-aipp בתיקייה קיימת עם המזהה example-folder, מריצים את הפקודה הבאה:

gcloud compliance-manager framework-deployments create \
   example-framework-deployment \
   --organization=3589215982 \
   --location=global \
   --cloud-control-metadata='[{"cloudControlDetails": {"name": "organizations/3589215982/locations/global/cloudControls/restrict-bucket-region", "majorRevisionId": "1", "parameters": []}, "enforcementMode": "DETECTIVE"}, {"cloudControlDetails": {"name": "organizations/3589215982/locations/global/cloudControls/enable-binary-authorization", "majorRevisionId": 2}, "enforcementMode": "DETECTIVE"}]' \
   --framework="organizations/3589215982/locations/global/frameworks/builtin-aipp" \
   --framework-major-revision-id=6 \
   --target-resource-config-existing="folders/example-folder" \
   --description="Deployment for AI Platform into example-folder"

לדוגמה, כדי לפרוס מסגרת בשם organizations/3589215982/locations/global/frameworks/builtin-aipp וליצור פרויקט חדש בשם example-new-project בתיקייה קיימת עם מזהה התיקייה example-folder, מריצים את הפקודה הבאה:

gcloud compliance-manager framework-deployments create \
  example-framework-deployment \
   --organization=3589215982 \
   --location=global \
   --cloud-control-metadata=deploy-controls.yaml \
   --framework="organizations/3589215982/locations/global/frameworks/builtin-aipp" \
   --framework-major-revision-id=6 \
   --target-resource-creation-config-project-billing-account-id=012345-567890-ABCDEF \
   --target-resource-creation-config-project-display-name=example-new-project \
   --target-resource-creation-config-project-parent=folders/example-folder \
   --description="Deployment for AI Platform into a new example-new-project in example-folder"

מידע נוסף זמין במאמר gcloud compliance-manager framework-deployments create.

Terraform

בדוגמה הבאה אפשר לראות איך פורסים מסגרת באמצעות Terraform.

resource "google_cloud_security_compliance_cloud_control" "example" {
  parent           = "organizations/123456789"
  location         = "global"
  cloud_control_id = "example-cloudcontrol"

  display_name              = "TF test CloudControl Name"
  description               = "A test cloud control for security compliance"
  categories                = ["CC_CATEGORY_INFRASTRUCTURE"]
  severity                  = "HIGH"
  finding_category          = "SECURITY_POLICY"
  remediation_steps         = "Review and update the security configuration according to best practices."
  supported_cloud_providers = ["GCP"]

  rules {
    description       = "Ensure compute instances have secure boot enabled"
    rule_action_types = ["RULE_ACTION_TYPE_DETECTIVE"]

    cel_expression {
      expression = "resource.data.shieldedInstanceConfig.enableSecureBoot == true"
      resource_types_values {
        values = ["compute.googleapis.com/Instance"]
      }
    }
  }

  parameter_spec {
    name        = "enabled"
    value_type  = "BOOLEAN"
    is_required = true
  }

  parameter_spec {
    name        = "regions"
    value_type  = "STRINGLIST"
    is_required = true
  }

  parameter_spec {
    name        = "location"
    value_type  = "STRING"
    is_required = true
  }

  parameter_spec {
    name        = "oneof-parameter"
    value_type  = "ONEOF"
    is_required = true

    sub_parameters {
      name        = "test-oneof"
      value_type  = "STRING"
      is_required = true
    }

    sub_parameters {
      name        = "updated-test-oneof"
      value_type  = "STRING"
      is_required = true
    }
  }

  parameter_spec {
    name        = "bool-parameter"
    value_type  = "ONEOF"
    is_required = true

    sub_parameters {
      name        = "bool-oneof"
      value_type  = "BOOLEAN"
      is_required = true
    }

    sub_parameters {
      name        = "updated-bool-oneof"
      value_type  = "BOOLEAN"
      is_required = true
    }
  }

  parameter_spec {
    name        = "number-parameter"
    value_type  = "ONEOF"
    is_required = true

    sub_parameters {
      name        = "number-oneof"
      value_type  = "NUMBER"
      is_required = true
    }

    sub_parameters {
      name        = "updated-number-oneof"
      value_type  = "NUMBER"
      is_required = true
    }
  }

  parameter_spec {
    name        = "string-list-parameter"
    value_type  = "ONEOF"
    is_required = true

    sub_parameters {
      name        = "string-list-oneof"
      value_type  = "STRINGLIST"
      is_required = true
    }

    sub_parameters {
      name        = "updated-string-list-oneof"
      value_type  = "STRINGLIST"
      is_required = true
    }
  }
}

resource "google_cloud_security_compliance_framework" "example" {
  parent       = "organizations/123456789"
  location     = "global"
  framework_id = "example-framework"

  display_name = "Terraform Framework Name"
  description  = "An Terraform description for the framework"

  cloud_control_details {
    name              = google_cloud_security_compliance_cloud_control.example.name
    major_revision_id = "1"

    parameters {
      name = "enabled"
      parameter_value {
        bool_value = true
      }
    }
  }
}

resource "google_cloud_security_compliance_framework_deployment" "example" {
  parent                  = "organizations/123456789"
  location                = "global"
  framework_deployment_id = "example-deployment"
  description             = "A framework deployment for cloud security compliance"

  framework {
    framework         = google_cloud_security_compliance_framework.example.name
    major_revision_id = "1"
  }

  target_resource_config {
    existing_target_resource = "organizations/123456789"
  }

  cloud_control_metadata {
    enforcement_mode = "DETECTIVE"

    cloud_control_details {
      name              = google_cloud_security_compliance_cloud_control.example.name
      major_revision_id = "1"

      parameters {
        name = "enabled"
        parameter_value {
          bool_value = true
        }
      }

      parameters {
        name = "regions"
        parameter_value {
          string_list_value {
            values = ["us-central1", "us-west1", "us-east1"]
          }
        }
      }

      parameters {
        name = "location"
        parameter_value {
          string_value = "us-central1"
        }
      }

      parameters {
        name = "oneof-parameter"
        parameter_value {
          oneof_value {
            name = "test-oneof"
            parameter_value {
              string_value = "test-value"
            }
          }
        }
      }

      parameters {
        name = "bool-parameter"
        parameter_value {
          oneof_value {
            name = "bool-oneof"
            parameter_value {
              bool_value = true
            }
          }
        }
      }

      parameters {
        name = "number-parameter"
        parameter_value {
          oneof_value {
            name = "number-oneof"
            parameter_value {
              number_value = 123.45
            }
          }
        }
      }

      parameters {
        name = "string-list-parameter"
        parameter_value {
          oneof_value {
            name = "string-list-oneof"
            parameter_value {
              string_list_value {
                values = ["value1", "value2"]
              }
            }
          }
        }
      }
    }
  }
}

אחרי פריסת ה-framework, תוכלו לעקוב אחרי הסביבה שלכם כדי לזהות חריגות מאמצעי הבקרה שהגדרתם בענן. ב-Security Command Center, מקרים של חריגה מדווחים כממצאים שאפשר לבדוק, לסנן ולפתור. יכול להיות שיעברו כשש שעות מרגע פריסת ה-framework ועד שיופיעו ממצאים שקשורים לבקרות בענן.

עריכת מסגרת בהתאמה אישית

אחרי שיוצרים מסגרת, אפשר לשנות את השם והתיאור שלה, להוסיף או להסיר אמצעי בקרה בענן ולעדכן את הפרמטרים. אתם יכולים לערוך רק מסגרות שאתם יוצרים, ולא מסגרות מובנות. בנוסף, אפשר לערוך רק מסגרות שלא נפרסו.

1. נכנסים לדף Compliance במסוף Google Cloud .

   לתאימות

2. בוחרים את הארגון או הפרויקט.

3. בכרטיסייה Configure, לוחצים על המסגרת שרוצים לערוך.

4. בדף Framework details, מוודאים שהמסגרת לא מוקצית למשאב. אם צריך, מסירים את ההקצאות.

5. לוחצים על פעולות > עריכה.

6. בדף Update framework details, משנים את השם והתיאור לפי הצורך. לוחצים על Continue.

7. כדי לשנות את אמצעי הבקרה בענן שכלולים במסגרת:

   • כדי להוסיף בקרת ענן קיימת, לוחצים על הוספת בקרות ענן. בוחרים את כל אמצעי הבקרה הנדרשים בענן ולוחצים על Add.

   • כדי ליצור בקרת ענן בהתאמה אישית, לוחצים על Create custom cloud control. איך יוצרים בקרת ענן בהתאמה אישית

   • כדי להסיר בקרת ענן, בוחרים את בקרת הענן ולוחצים על הסרה.

8. לוחצים על Continue.

9. מוסיפים את הפרמטרים הנוספים שנדרשים לבקרות בענן.

10. לוחצים על Save.

הסרת מסגרת פרוסה ממשאב

אתם יכולים להסיר מסגרת מהארגון, מהתיקיות או מהפרויקטים שהקציתם להם את המסגרת. הסרת המסגרת פירושה ש-Compliance Manager לא יוצר יותר ממצאים לצומת הזה בהיררכיית המשאבים.

כשמסירים מסגרת, הסטטוס של רוב הממצאים שקשורים אליה משתנה ל-Inactive אחרי שבעה ימים. אם המסגרת כוללת את בקרת הענן Restrict Flow of Sensitive Data Across Geographic Jurisdictions, הממצאים משתנים ל-Inactive אחרי 90 יום. הסטטוסים של הממצאים שקשורים לאמצעי הבקרה בענן Restrict Flow of Sensitive Data Across Geographic Jurisdictions ולאמצעי הבקרה בענן Restrict Access to Sensitive Data to Permitted Users לא משתנים באופן אוטומטי.

המסוף

1. נכנסים לדף Compliance במסוף Google Cloud .

   לתאימות

2. בוחרים את הארגון או הפרויקט.

3. בכרטיסייה Configure, לוחצים על המסגרת שרוצים להסיר.

4. בדף Framework details, לוחצים על Actions > Manage resource assignments.

5. בטבלה Assigned resources, מוצאים את המשאב שרוצים להסיר ולוחצים על Delete.

6. קוראים את הודעת האישור ולוחצים על ביטול ההקצאה.

7. אופציונלי: משנים את המצב של הממצאים המשויכים ל-Inactive. איך משנים את הסטטוס של ממצא?

CLI

כדי להסיר פריסה של מסגרת מסוימת בארגון, מריצים את הפקודה gcloud compliance-manager framework-deployments delete:

gcloud compliance-manager framework-deployments delete \
   FRAMEWORK_DEPLOYMENT \
   --location=LOCATION \
   --organization=ORGANIZATION \
   --etag=ETAG_ID

מחליפים את הערכים הבאים:

• ‫FRAMEWORK_DEPLOYMENT: מזהה הפריסה של המסגרת

• ‫ORGANIZATION: מזהה הארגון

• ‫LOCATION: האזור שבו מאוחסן פריסת ה-framework

• ‫ETAG_ID: המזהה של הגרסה הנוכחית של פריסת ה-framework, שעוזר לוודא שאתם מוחקים את הגרסה הרצויה של פריסת ה-framework. אם המזהה לא תואם לגרסה הנוכחית, הבקשה תיכשל. אם לא תציינו את הערך הזה, Compliance Manager ימחק את פריסת המסגרת בלי תנאים.

לדוגמה, כדי להסיר את example-deployment מהארגון 3589215982 שמאוחסן במיקום הגלובלי, מריצים את הפקודה הבאה:

gcloud compliance-manager framework-deployments delete \
   example-deployment \
   --organization=3589215982 \
   --location=global \
   --etag=MTc3NDU4MjM4OTY0MzU5MjQ5OTI=

למידע על דגלים אופציונליים, ראו gcloud compliance-manager framework-deployments delete.

עדכון של מסגרת מובנית לגרסה חדשה יותר

‫Google מפרסמת עדכונים שוטפים למסגרות המובנות שלה, כשהשירותים פורסים תכונות חדשות או כשמופיעות שיטות מומלצות חדשות.

אתם יכולים לראות את הגרסאות של מסגרות מובנות בלוח הבקרה של המסגרות בכרטיסייה Configure או בדף הפרטים של המסגרת.

‫Google שולחת לכם התראות במסוף כשהעדכונים הבאים מתרחשים:

• אמצעי בקרה מובנים בענן נוספים למסגרת או מוסרים ממנה.
• אמצעי הבקרה המובנים בענן מתעדכנים.

כדי לעדכן מסגרת שפרסתם:

1. נכנסים לדף Compliance במסוף Google Cloud .

   לתאימות

2. בוחרים את הארגון או הפרויקט.

3. בכרטיסייה Configure, לוחצים על המסגרת שרוצים לעדכן.

4. בדף Framework details, בטבלה Assigned resources, בודקים את הסטטוס בעמודה Update status של כל ההקצאות שמופיע בהן הסטטוס Update available.

5. יוצרים רשימה של אמצעי הבקרה המעודכנים בענן, כולל המזהים, הפרמטרים ומזהי הגרסאות שלהם, שרוצים לכלול במסגרת המעודכנת או להסיר ממנה.

6. כדי להחיל את השינויים, צריך לבצע את הפעולות הבאות:

   המסוף

   כדי לעדכן את המסגרות באמצעות מסוף Google Cloud , צריך להסיר אותן ואז לפרוס אותן מחדש. אתם יכולים להשתמש ב-CLI של gcloud או ב-Cloud Security Compliance API בארכיטקטורת REST כדי לעדכן את המסגרות במקום, בלי להשפיע על לוח הבקרה של הממצאים ובלי להסיר ולפרוס מחדש את המסגרת.

   1. להסיר את הקצאת המשאבים.

      הערה: כשמסירים הקצאת משאב, Compliance Manager מפסיק להעריך את המשאב הזה באמצעות המסגרת הזו. לא נוצרים יותר ממצאים.

   2. פורסים מחדש את ה-framework במשאב כדי ש-Compliance Manager יוכל להמשיך להעריך את המשאב וליצור ממצאים.

   CLI

   כדי לעדכן פריסה של מסגרת, מריצים את הפקודה gcloud compliance-manager framework-deployments update. כדי לציין את אמצעי הבקרה בענן ואת מצבי האכיפה שחלים על המסגרת, אפשר להשתמש באחת מהאפשרויות הבאות:

   • מציינים את אמצעי הבקרה בענן ואת מצבי האכיפה בשורה באמצעות הדגל --cloud-control-metadata. אם משתמשים בדגל הזה, צריך לציין את כל אמצעי הבקרה בענן ומצבי האכיפה שחלים על המסגרת.
   • מציינים את אמצעי הבקרה בענן ואת מצבי האכיפה בקובץ JSON או YAML. אם משתמשים בקובץ, צריך לציין את כל אמצעי הבקרה בענן ומצבי האכיפה שחלים על המסגרת.
   • משתמשים בדגלים --add-cloud-control-metadata ו---remove-cloud-control-metadata כדי להוסיף או להסיר אמצעי בקרה נפרדים בענן.

   מריצים את הפקודה הבאה:

   gcloud compliance-manager framework-deployments update \
      FRAMEWORK_DEPLOYMENT \
      --location=LOCATION \
      (--organization=ORGANIZATION | --project=PROJECT_ID) \
      [--framework-major-revision-id=FRAMEWORK_MAJOR_REVISION_ID] \
      [--cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE] \
         | [--add-cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE]] \
           [--remove-cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE]]] \
      [--etag=ETAG_ID] \
      [--async]
   

   מחליפים את מה שכתוב בשדות הבאים:

   • ‫FRAMEWORK_DEPLOYMENT: מזהה הפריסה של המסגרת.

   • ‫LOCATION: האזור שבו מאוחסן פריסת ה-framework.

   • ‫ORGANIZATION או PROJECT_ID: מזהה הארגון או מזהה הפרויקט.

   • ‫FRAMEWORK_MAJOR_REVISION_ID: מזהה הגרסה הראשית של המסגרת שרוצים לעדכן. אם לא משתמשים בדגל הזה, Compliance Manager מעדכן את הפריסה לגרסה הראשית האחרונה של המסגרת. אי אפשר לשנמך לגרסה קודמת של מזהה גרסה ראשית.

   • אחת מהאפשרויות הבאות:

     • ‫--cloud-control-metadata=[cloudControlDetails=CLOUD_CONTROL_DETAILS],[enforcementMode=ENFORCEMENT_MODE]: רשימת אמצעי הבקרה בענן במסגרת, עם השמות, הפרמטרים, מזהה הגרסה ומצב האכיפה שלהם, בפורמט הבא:

     • ‫CLOUD_CONTROL_DETAILS: אובייקט שכולל את רשימת השמות, הפרמטרים ומזהי הגרסאות של אמצעי הבקרה בענן. הפורמט שלו הוא:

       • ‫name=NAME: שם המשאב המלא של בקרת הענן, בפורמט organizations/ORGANIZATION_ID/locations/LOCATION/cloudControls/CLOUD_CONTROL_NAME או projects/PROJECT_ID/locations/LOCATION/cloudControls/CLOUD_CONTROL_NAME.

       • ‫majorRevisionId=MAJOR_REVISION_ID: הגרסה הראשית של בקרת הענן.

       • ‫parameters=PARAMETERS: הפרמטרים האופציונליים שנדרשים לבקרות מסוימות בענן.

     • ‫ENFORCEMENT_MODE: אם אמצעי הבקרה הוא AUDIT,‏ DETECTIVE או PREVENTIVE.

     • ‫--cloud-control-metadata=PATH_TO_FILE: הנתיב לקובץ JSON או YAML שכולל את פרטי בקרת הענן ואת מצבי האכיפה. כדי לראות דוגמאות לקובצי JSON ו-YAML, הרחיבו את הקטעים הבאים.

       קובץ JSON לדוגמה

         [
           {
             "cloudControlDetails": {
               "name": "organizations/3589215982/locations/global/cloudControls/restrict-bucket-region",
               "majorRevisionId": 1,
               "parameters": [
                 {
                   "name": "location",
                   "parameterValue": {
                     "stringValue": "us-west"
                   }
                 }
               ]
             },
             "enforcementMode": "DETECTIVE"
           },
           {
             "cloudControlDetails": {
               "name": "organizations/3589215982/locations/global/cloudControls/enable-binary-authorization",
               "majorRevisionId": 2
             },
             "enforcementMode": "DETECTIVE"
           }
         ]
             

       קובץ YAML לדוגמה

         - cloudControlDetails:
             name: organizations/3589215982/locations/global/cloudControls/restrict-bucket-region
             majorRevisionId: 1
             parameters:
             - name: location
               parameterValue:
                 stringValue: us-west
           enforcementMode: DETECTIVE
         - cloudControlDetails:
             name: organizations/3589215982/locations/global/cloudControls/enable-binary-authorization
             majorRevisionId: 2
           enforcementMode: DETECTIVE
             

     • ‫--add-cloud-control-metadata או --remove-cloud-control-metadata: אמצעי הבקרה בענן שרוצים להוסיף לפריסת המסגרת או להסיר ממנה. אפשר להשתמש בשני הדגלים באותה פקודה. כדי לציין כמה אמצעי בקרה בענן שרוצים להוסיף או להסיר, אפשר להשתמש באחת מהאפשרויות הבאות:

       • חוזרים על הדגל לכל אמצעי בקרה.
       • כוללים את אמצעי הבקרה ברשימת JSON [ {...}, {...} ] בדגל אחד.
       • מציינים נתיב לקובץ JSON או YAML שכולל רשימה של אמצעי בקרה. משתמשים באותה סכימה כמו של הדגל --cloud-control-metadata. לדוגמה: --add-cloud-control-metadata=add-controls.yaml --remove-cloud-control-metadata=remove-controls.yaml.

   • ‫ETAG_ID: המזהה של הגרסה הנוכחית של פריסת ה-framework, שעוזר לוודא שאתם מעדכנים את הגרסה הרצויה של פריסת ה-framework. אם המזהה לא תואם לגרסה הנוכחית, הבקשה תיכשל. אם לא מציינים את הערך הזה, Compliance Manager מעדכן את פריסת המסגרת בלי תנאים.

   אפשר לכלול את הדגל --async כדי לחזור מיד בלי להמתין לסיום פעולת העדכון הארוכה.

   לדוגמה, כדי לעדכן את example-deployment שנפרס בארגון 3589215982 ומאוחסן במיקום global, מריצים את הפקודה הבאה:

   gcloud compliance-manager framework-deployments update \
      example-deployment \
      --organization=3589215982 \
      --location=global \
      --framework-major-revision-id=7 \
      --cloud-control-metadata=cloud-control-metadata.yaml \
      --etag=MTc3NDU4MjM4OTY0MzU5MjQ5OTI=
   

   למידע על דגלים אופציונליים, ראו gcloud compliance-manager framework-deployments update.

   REST

   כדי לעדכן פריסה של מסגרת, צריך להפעיל את ה-method‏ frameworkDeployments.patch (בארגונים או בפרויקטים). מציינים את מזהה הגרסה הראשית של היעד ואת כל אמצעי הבקרה בענן ומצבי האכיפה שחלים על ה-framework ב-cloudControlMetadata.

   לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

   • ‫RESOURCE_TYPE: סוג מאגר המשאבים הראשי לפריסת ה-framework: ‏organizations או projects.
   • ‫RESOURCE_ID: מזהה הארגון (מספרי) או מזהה הפרויקט. לדוגמה: 3589215982.
   • ‫LOCATION: המיקום של פריסת ה-framework. ערך נתמך: global.
   • ‫FRAMEWORK_DEPLOYMENT: המזהה של פריסת ה-framework שרוצים לעדכן. לדוגמה: example-deployment.
   • ‫UPDATE_MASK: רשימה אופציונלית מופרדת בפסיקים של שדות שצריך להחליף, ביחס למשאב FrameworkDeployment. לדוגמה: framework.majorRevisionId,cloudControlMetadata. אם משמיטים את השדה, כל השדות מוחלפים.
   • ‫FRAMEWORK_NAME: שם המשאב של המסגרת, בפורמט organizations/ORGANIZATION_ID/locations/LOCATION/frameworks/FRAMEWORK_ID או projects/PROJECT_ID/locations/LOCATION/frameworks/FRAMEWORK_ID. לדוגמה: organizations/3589215982/locations/global/frameworks/builtin-aipp.
   • ‫FRAMEWORK_MAJOR_REVISION_ID: מזהה הגרסה הראשית של המסגרת שרוצים לעדכן. אם לא מציינים גרסה, Compliance Manager מעדכן את הפריסה לגרסה הראשית האחרונה של המסגרת.
   • ‫CLOUD_CONTROL_NAME: שם המשאב המלא של אמצעי בקרה בענן במסגרת, בפורמט organizations/ORGANIZATION_ID/locations/LOCATION/cloudControls/CLOUD_CONTROL_ID.
   • ‫MAJOR_REVISION_ID: מזהה הגרסה הראשית של בקרת הענן.
   • ‫ENFORCEMENT_MODE: אם אמצעי הבקרה בענן הוא AUDIT,‏ DETECTIVE או PREVENTIVE.
   • ‫ETAG_ID: מזהה אופציונלי של הגרסה הנוכחית של פריסת ה-framework, כדי למנוע מצב שבו עדכונים שקורים במקביל יחליפו אחד את השני. לדוגמה: MTc3NDU4MjM4OTY0MzU5MjQ5OTI=.

   ה-method של ה-HTTP וכתובת ה-URL:

   PATCH https://cloudsecuritycompliance.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/LOCATION/frameworkDeployments/FRAMEWORK_DEPLOYMENT?updateMask=UPDATE_MASK

   גוף בקשת JSON:

   {
     "framework": {
       "framework": "FRAMEWORK_NAME",
       "majorRevisionId": "FRAMEWORK_MAJOR_REVISION_ID"
     },
     "cloudControlMetadata": [
       {
         "cloudControlDetails": {
           "name": "CLOUD_CONTROL_NAME",
           "majorRevisionId": "MAJOR_REVISION_ID",
           "parameters": []
         },
         "enforcementMode": "ENFORCEMENT_MODE"
       }
     ],
     "etag": "ETAG_ID"
   }
   

   כדי לשלוח את הבקשה עליכם לבחור אחת מהאפשרויות הבאות:

   curl

   הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login, או באמצעות Cloud Shell שמחבר אתכם אוטומטית ל-CLI של gcloud. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

   שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

   curl -X PATCH \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://cloudsecuritycompliance.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/LOCATION/frameworkDeployments/FRAMEWORK_DEPLOYMENT?updateMask=UPDATE_MASK"

   PowerShell

   הערה: הפקודה הבאה מבוססת על ההנחה שנכנסתם ל-CLI של gcloud באמצעות חשבון המשתמש שלכם, על ידי הרצת gcloud init או gcloud auth login. כדי לבדוק איזה חשבון פעיל, אפשר להריץ את הפקודה gcloud auth list.

   שומרים את גוף הבקשה בקובץ בשם request.json ומריצים את הפקודה הבאה:

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method PATCH `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://cloudsecuritycompliance.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/LOCATION/frameworkDeployments/FRAMEWORK_DEPLOYMENT?updateMask=UPDATE_MASK" | Select-Object -Expand Content

   אתם אמורים לקבל תגובת JSON שדומה לזו:

   {
     "name": "organizations/3589215982/locations/global/operations/operation-1726842525305-6228ddb4dca96-78a6db59-f9dd9a24",
     "done": false
   }
   

   התשובה כוללת את הפרטים הבאים:

   • ‫name: מזהה מחרוזת ייחודי לפעולת העדכון שנמשכת זמן רב, שבעזרתו אפשר לעקוב אחרי התקדמות העדכון.
   • ‫done: דגל בוליאני שמוגדר כ-false כשפעולת העדכון מתחילה, וכ-true כשהעדכון מסתיים.

מחיקת מסגרת בהתאמה אישית

למחוק מסגרת כשלא צריך אותה יותר. אתם יכולים למחוק רק מסגרות שאתם יצרתם, ולא מסגרות מובנות.

הערה: אי אפשר לשחזר מסגרת אחרי שמוחקים אותה.

המסוף

1. נכנסים לדף Compliance במסוף Google Cloud .

   לתאימות

2. בוחרים את הארגון או הפרויקט.

3. בכרטיסייה Configure, לוחצים על ה-framework שרוצים לבטל את הקצאת המשאבים אליו.

4. בדף Framework details, מוודאים שהמסגרת לא מוקצית למשאב. אם צריך, מסירים את ההקצאות.

5. לוחצים על פעולות > מחיקה.

6. בחלון מחיקה, קוראים את ההודעה. מקלידים Delete ולוחצים על Confirm.

CLI

כדי למחוק מסגרת מסוימת בארגון, מריצים את הפקודה gcloud compliance-manager frameworks delete:

gcloud compliance-manager frameworks delete \
   FRAMEWORK \
   --location=LOCATION \
   --organization=ORGANIZATION

מחליפים את הערכים הבאים:

• ‫FRAMEWORK: שם המסגרת

• ‫ORGANIZATION: מזהה הארגון

• ‫LOCATION: האזור שבו מאוחסן ה-framework

לדוגמה, כדי להסיר את example-framework מהארגון 3589215982 שמאוחסן במיקום הגלובלי, מריצים את הפקודה הבאה:

gcloud compliance-manager frameworks delete \
   example-framework \
   --organization=3589215982 \
   --location=global

למידע על דגלים אופציונליים, ראו gcloud compliance-manager frameworks delete.

המאמרים הבאים

• מעקב אחרי תאימות המסגרות.
• בודקים את הסביבה באמצעות Compliance Manager.
• בדיקה וניהול של הממצאים במסוף.