Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengelola kontrol cloud

Compliance Manager menyertakan banyak kontrol cloud bawaan yang dapat Anda tambahkan ke framework dan deploy di lingkungan Anda. Jika diperlukan, Anda dapat membuat dan mengelola kontrol cloud kustom Anda sendiri dan memperbarui kontrol cloud bawaan.

Sebelum memulai

Selesaikan tugas ini sebelum Anda menyelesaikan tugas lainnya di halaman ini.

Menyiapkan izin

Untuk mendapatkan izin yang Anda perlukan untuk mengelola framework kontrol cloud, minta administrator untuk memberi Anda peran IAM berikut di organisasi atau project Anda:
- Compliance Manager Admin (roles/cloudsecuritycompliance.admin)
- Untuk membuat atau mengubah kontrol cloud yang didasarkan pada kebijakan organisasi, salah satu dari:
  - Organization Policy Administrator (roles/orgpolicy.policyAdmin)
  - Assured Workloads Administrator (roles/assuredworkloads.admin)
  - Assured Workloads Editor (roles/assuredworkloads.editor)
- Untuk membuat atau mengubah kontrol cloud yang didasarkan pada kebijakan project: Project IAM Admin (roles/resourcemanager.projectIamAdmin)
Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Anda mungkin juga bisa mendapatkan izin yang diperlukan melalui peran khusus atau peran bawaan lainnya.

Menyiapkan Google Cloud CLI

Instal Google Cloud CLI, lalu login ke gcloud CLI dengan identitas gabungan Anda. Setelah login, inisialisasi Google Cloud CLI dengan menjalankan perintah berikut:

gcloud init

Untuk menyiapkan gcloud CLI agar menggunakan peniruan akun layanan untuk mengautentikasi ke Google API, alih-alih kredensial pengguna Anda, jalankan perintah berikut:

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

Untuk informasi selengkapnya, lihat Peniruan akun layanan.

Melihat kontrol cloud

Selesaikan langkah-langkah berikut untuk melihat kontrol cloud bawaan dan kontrol cloud kustom yang telah Anda buat.

Konsol

Di konsol Google Cloud , buka halaman Compliance.

Buka Kepatuhan
Pilih organisasi atau project Anda.
Di tab Configure, klik Cloud Controls. Kontrol cloud yang tersedia akan ditampilkan.

Dasbor ini mencakup informasi tentang framework mana yang menyertakan kontrol cloud dan jumlah resource (organisasi, folder, dan project) yang menerapkan kontrol cloud.
Untuk melihat detail tentang kontrol cloud, klik nama kontrol.

CLI

Anda dapat melihat informasi tentang kontrol cloud tertentu atau mencantumkan semua kontrol cloud di organisasi Anda.

Melihat detail tentang kontrol cloud

Untuk melihat detail tentang kontrol cloud tertentu, jalankan perintah gcloud compliance-manager cloud-controls describe:

gcloud compliance-manager cloud-controls describe CLOUD_CONTROL \
   --location=LOCATION \
   --organization=ORGANIZATION \
   [--major-revision-id=MAJOR_REVISION_ID]

Ganti nilai berikut:

CLOUD_CONTROL: nama kontrol cloud
ORGANIZATION: ID organisasi Anda
LOCATION: region tempat kontrol cloud disimpan
MAJOR_REVISION_ID adalah flag opsional yang menentukan versi kontrol cloud yang akan dilihat. Jika Anda tidak menyertakan flag, versi terbaru akan ditampilkan.

Misalnya, untuk melihat kontrol cloud dengan nama builtin-block-external-ip-addresses-for-vm-access dan nomor revisi utama 1, jalankan perintah berikut:

gcloud compliance-manager cloud-controls describe \
   builtin-block-external-ip-addresses-for-vm-access \
   --organization=3589215982 \
   --location=global \
   --major-revision-id=1

Untuk mengetahui informasi selengkapnya, lihat gcloud compliance-manager cloud-controls describe.

Mendapatkan daftar kontrol cloud

Untuk mendapatkan daftar kontrol cloud di organisasi Anda, jalankan perintah gcloud compliance-manager cloud-controls list:

gcloud compliance-manager cloud-controls list \
   --location=LOCATION \
   --organization=ORGANIZATION

Ganti nilai berikut:

ORGANIZATION: ID organisasi Anda
LOCATION: region tempat kontrol cloud disimpan

Misalnya, untuk melihat semua kontrol cloud dalam organisasi 3589215982 dan disimpan di lokasi global, jalankan perintah berikut:

gcloud compliance-manager cloud-controls list \
   --organization=3589215982 \
   --location=global

Untuk mengetahui informasi tentang flag opsional, lihat gcloud compliance-manager cloud-controls list.

Membuat kontrol cloud kustom

Saat membuat kontrol cloud kustom, Anda menerapkan aturan ke jenis resource Inventaris Aset Cloud.

Konsol

Saat menggunakan konsol, Anda dapat membuat kontrol cloud kustom dengan satu aturan yang berlaku untuk satu jenis resource Inventaris Aset Cloud.

Di konsol Google Cloud , buka halaman Compliance.

Buka Kepatuhan
Pilih organisasi atau project Anda.
Di tab Configure, klik Cloud Controls. Daftar kontrol cloud yang tersedia akan ditampilkan.
Buat kontrol cloud, baik dengan Gemini atau secara manual:

Gunakan Gemini

Minta Gemini membuat kontrol cloud untuk Anda. Berdasarkan perintah Anda, Gemini memberikan ID unik, nama, logika deteksi terkait, dan kemungkinan langkah-langkah perbaikan.
Tinjau rekomendasi dan lakukan perubahan yang diperlukan.
Simpan kontrol cloud kustom Anda.

Buat secara manual

Di Cloud control ID, berikan ID unik untuk kontrol Anda.
Masukkan nama dan deskripsi untuk membantu pengguna di organisasi Anda memahami tujuan kontrol cloud kustom.
Opsional: Pilih kategori untuk kontrol. Klik Lanjutkan.
Pilih jenis resource yang tersedia untuk kontrol cloud kustom Anda. Compliance Manager mendukung semua jenis resource. Untuk menemukan nama resource, lihat Jenis aset.
Berikan logika deteksi untuk kontrol cloud Anda, dalam format Common Expression Language (CEL).

Ekspresi CEL memungkinkan Anda menentukan cara mengevaluasi properti resource. Untuk mengetahui informasi dan contoh selengkapnya, lihat Menulis aturan untuk kontrol cloud kustom. Klik Continue.

Jika aturan evaluasi Anda tidak valid, error akan ditampilkan.
Pilih tingkat keparahan temuan yang sesuai.
Tulis petunjuk perbaikan Anda agar petugas respons insiden dan administrator di organisasi Anda dapat menyelesaikan temuan apa pun untuk kontrol cloud. Klik Lanjutkan.
Tinjau entri Anda, lalu klik Create.

CLI

Saat menggunakan gcloud CLI, Anda dapat membuat kontrol cloud kustom dengan maksimum tiga aturan. Setiap aturan hanya dapat diterapkan ke satu jenis resource.

Untuk membuat kontrol cloud kustom, jalankan perintah gcloud compliance-manager cloud-controls create:

gcloud compliance-manager cloud-controls create CLOUD_CONTROL \
   --location=LOCATION \
   --organization=ORGANIZATION \
   [--display-name=DISPLAY_NAME] \
   [--description=DESCRIPTION] \
   [--categories=[CATEGORIES,...]] \
   [--finding-category=FINDING_CATEGORY] \
   [--parameter-spec=[defaultValue=DEFAULTVALUE],[description=DESCRIPTION],[displayName=DISPLAYNAME],[isRequired=ISREQUIRED],[name=NAME],[substitutionRules=SUBSTITUTIONRULES],[validation=VALIDATION],[valueType=VALUETYPE]] \
   [--remediation-steps=REMEDIATION_STEPS] \
   [--rules=[celExpression=CELEXPRESSION],[description=DESCRIPTION],[ruleActionTypes=RULEACTIONTYPES]] \
   [--severity=SEVERITY] \
   [--supported-cloud-providers=[SUPPORTED_CLOUD_PROVIDERS,…]] \
   [--supported-target-resource-types=[SUPPORTED_TARGET_RESOURCE_TYPES,…]]

Ganti nilai berikut:

CLOUD_CONTROL: nama alfanumerik unik untuk kontrol cloud
ORGANIZATION: ID organisasi Anda
LOCATION: region tempat kontrol cloud disimpan
DISPLAY_NAME: nama yang dapat dibaca manusia untuk kontrol cloud
DESCRIPTION: deskripsi opsional tentang tujuan kontrol cloud
CATEGORIES,…: parameter opsional yang menentukan kategori yang mencakup kontrol cloud. Untuk mengetahui daftar kategori yang diizinkan, lihat gcloud compliance-manager cloud-controls create.
FINDING_CATEGORY: nilai yang ditampilkan di dasbor temuan Security Command Center saat kontrol cloud menghasilkan temuan
```
--parameter-spec=[defaultValue=DEFAULTVALUE], \
 [description=DESCRIPTION], \
 [displayName= DISPLAYNAME], \
 [isRequired=ISREQUIRED], \
 [name=NAME], \
 [substitutionRules=SUBSTITUTIONRULES], \
 [validation=VALIDATION], \
 [valueType=VALUETYPE]...]
```
adalah informasi parameter opsional untuk kontrol cloud, dalam format berikut:
- DEFAULTVALUE: data yang diterapkan jika pengguna tidak menyesuaikan parameter saat men-deploy framework. Jenis nilai yang didukung adalah boolValue, numberValue, stringListValue, atau stringValue.
- DESCRIPTION: deskripsi opsional untuk kontrol
- ISREQUIRED: true jika kontrol memerlukan parameter untuk ditetapkan
- NAME: nama parameter
- SUBSTITUTIONRULES: cara dan tempat Compliance Manager memasukkan nilai kustom untuk parameter. Tentukan jalur yang ditargetkan di dalam aturan menggunakan notasi titik proto (misalnya, rules[0].org_policy_constraint...). Pilih salah satu opsi berikut:
  - attributeSubstitutionRule saat Anda ingin memasukkan nilai parameter langsung ke kolom struktural aturan (misalnya, mengisi daftar nilai yang dibatasi di dalam template aturan batasan kebijakan organisasi).
  - placeholderSubstitutionRule saat aturan Anda menggunakan string teks (atau ekspresi CEL). String harus berisi variabel placeholder yang diawali dengan $ (misalnya, $deniedServices), dan aturan ini memberi tahu compiler untuk memetakan parameter ke placeholder tersebut.
  Contoh berikut membuat parameter daftar bernama deniedServices dengan jenis STRINGLIST. Skrip ini menggunakan attributeSubstitutionRule untuk menambahkan nama layanan yang disediakan pengguna (seperti compute.googleapis.com) langsung ke aturan kebijakan organisasi kustom struktural (denied_values) saat di-deploy:
```
--parameter-spec='name=deniedServices,isRequired=true,valueType=STRINGLIST,substitutionRules=[{attributeSubstitutionRule={attribute="rules[0].org_policy_constraint.policy_rules[0].values.denied_values"}}]'
```
- VALIDATION adalah kumpulan nilai yang diizinkan. Pilih salah satu opsi berikut:
  - Gunakan allowedValues untuk menerapkan daftar yang diizinkan statis—misalnya, batasi parameter lokasi ke kolom string tertentu: validation={allowedValues={values=[{stringValue=us-central1},{stringValue=us-west1}]}}
  - Gunakan intRange untuk menerapkan batas numerik pada bilangan bulat—misalnya, tetapkan periode retensi antara 1 dan 365: validation={intRange={min=1,max=365}}
  - Gunakan regexpPattern untuk menerapkan pencocokan ekspresi reguler pada teks string—misalnya, mewajibkan penamaan alfanumerik yang ketat: validation={regexpPattern={pattern="^[a-z][-a-z0-9]*$"}}
- VALUETYPE: jenis data atau format nilai yang diberikan pengguna untuk parameter ini. Jenis nilai yang didukung adalah STRING, BOOLEAN, STRINGLIST, NUMBER, dan ONEOF.
Atau, Anda dapat menentukan file JSON atau YAML yang menentukan parameter. Misalnya, --parameter-spec=path_to_file.(yaml|json). Luaskan bagian berikut untuk melihat contoh file JSON dan YAML.
Contoh file JSON
```
  [
    {
      "name": "deniedServices",
      "displayName": "Services Requiring CMEK",
      "description": "List of service names that must use Customer-Managed Encryption Keys.",
      "isRequired": true,
      "valueType": "STRINGLIST",
      "substitutionRules": [
        {
          "attributeSubstitutionRule": {
            "attribute": "rules[0].org_policy_constraint.policy_rules[0].values.denied_values"
          }
        }
      ]
    }
  ]
      
```
Contoh file YAML
```
  - name: deniedServices
    displayName: "Services Requiring CMEK"
    description: "List of service names that must use Customer-Managed Encryption Keys."
    isRequired: true
    valueType: STRINGLIST
    substitutionRules:
    - attributeSubstitutionRule:
        attribute: "rules[0].org_policy_constraint.policy_rules[0].values.denied_values"
      
```
REMEDIATION_STEPS: langkah-langkah yang diperlukan untuk menyelesaikan temuan apa pun. String ini dibatasi hingga 400 karakter.

--rules=[celExpression=CELEXPRESSION],[description=DESCRIPTION],[ruleActionTypes=RULEACTIONTYPES] adalah aturan yang ingin Anda terapkan, dalam format berikut:

CELEXPRESSION: ekspresi common expression language (CEL) dari aturan. Untuk mengetahui informasi tentang cara menulis ekspresi CEL, lihat Menulis aturan untuk kontrol cloud kustom. Sertakan hal berikut:
- expression: ekspresi CEL, dengan maksimum 1.000 karakter
- resourceTypesValues: nama resource, dalam format SERVICE_NAME/type. Gunakan array values untuk mencantumkan semua jenis resource yang ingin Anda terapkan aturannya—misalnya, values=[compute.googleapis.com/Instance].
DESCRIPTION: deskripsi aturan
RULEACTIONTYPES: tindakan yang dilakukan aturan. Nilai yang didukung adalah rule-action-type-detective, rule-action-type-preventive, dan rule-action-type-audit.

Misalnya, untuk memeriksa periode rotasi kunci Cloud Key Management Service, masukkan berikut:

--rules="[
  {
    \"celExpression\": {
      \"expression\": \"has(resource.data.rotationPeriod) && resource.data.rotationPeriod < duration('60h')\",
      \"resourceTypesValues\": {
        \"values\": [
          \"cloudkms.googleapis.com/CryptoKey\"
        ]
      }
    },
    \"description\": \"Check KMS key rotation period\",
    \"ruleActionTypes\": [
      \"rule-action-type-detective\"
    ]
  }
]"

Atau, Anda dapat menentukan file JSON atau YAML yang menentukan aturan. Misalnya, --rules=path_to_file.(yaml|json). Luaskan bagian berikut untuk melihat contoh file JSON dan YAML.

Contoh file JSON

  [
    {
      "celExpression": {
        "expression": "has(resource.data.rotationPeriod) && resource.data.rotationPeriod < duration('60h')",
        "resourceTypesValues": {
          "values": [
            "cloudkms.googleapis.com/CryptoKey"
          ]
        }
      },
      "description": "Check KMS key rotation period to ensure it is under 60 hours.",
      "ruleActionTypes": [
        "rule-action-type-detective"
      ]
    }
  ]

Contoh file YAML

  - celExpression:
      expression: "has(resource.data.rotationPeriod) && resource.data.rotationPeriod < duration('60h')"
      resourceTypesValues:
        values:
        - cloudkms.googleapis.com/CryptoKey
    description: "Check KMS key rotation period to ensure it is under 60 hours."
    ruleActionTypes:
    - rule-action-type-detective

SEVERITY: tingkat kekritisan untuk kontrol cloud. Nilai yang didukung adalah critical, high, medium, dan low.
SUPPORTED_CLOUD_PROVIDERS,…: penyedia cloud yang menerapkan kontrol cloud ini. Satu-satunya nilai yang didukung adalah gcp.
SUPPORTED_TARGET_RESOURCE_TYPES,…: jenis resource (organisasi, folder, project, atau folder khusus aplikasi di App Hub) yang didukung oleh kontrol cloud. Nilai yang didukung adalah target-resource-crm-type-folder, target-resource-crm-type-org, target-resource-crm-type-project, dan target-resource-type-application.

Misalnya, untuk membuat kontrol cloud yang menerapkan lokasi resource, jalankan perintah berikut:

  gcloud compliance-manager cloud-controls create \
     restrict-resource-locations \
     --organization=3589215982 \
     --location=global \
     --display-name="Restrict Resource Locations" \
     --description="Enforces checks to ensure resources are only deployed in approved cloud regions." \
     --severity=high \
     --finding-category="LOCATION_VIOLATION" \
     --supported-cloud-providers="gcp" \
     --supported-target-resource-types="target-resource-crm-type-project" \
     --parameter-spec='name=allowedLocations,isRequired=true,valueType=STRINGLIST,substitutionRules=[{placeholderSubstitutionRule={attribute="rules[0].cel_expression.expression"}}]' \
     --rules="[{\"celExpression\": {\"expression\": \"resource.location in \$allowedLocations\", \"resourceTypesValues\": {\"values\": [\"compute.googleapis.com/Instance\"]}}, \"description\": \"Check Compute Engine instance locations\", \"ruleActionTypes\": [\"rule-action-type-detective\"]}]"

Untuk membuat kontrol yang sama, tetapi menggunakan file YAML untuk menentukan parameter dan aturan, jalankan:

     gcloud compliance-manager cloud-controls create \
     restrict-resource-locations \
     --organization=3589215982 \
     --location=global \
     --display-name="Restrict Resource Locations" \
     --description="Enforces checks to ensure resources are only deployed in approved cloud regions." \
     --severity=high \
     --finding-category="LOCATION_VIOLATION" \
     --supported-cloud-providers="gcp" \
     --supported-target-resource-types="target-resource-crm-type-project" \
     --parameter-spec=parameters.yaml \
     --rules=rules.yaml

Untuk mengetahui informasi selengkapnya, lihat gcloud compliance-manager cloud-controls create.

Terraform

Saat menggunakan Terraform, Anda dapat membuat kontrol cloud kustom dengan maksimum tiga aturan. Setiap aturan hanya dapat diterapkan ke satu jenis resource.

Contoh berikut menunjukkan cara membuat kontrol cloud kustom menggunakan Terraform.

resource "google_cloud_security_compliance_cloud_control" "example" {
  parent              = "organizations/123456789"
  location            = "global"
  cloud_control_id    = "example-cloudcontrol"

  display_name      = "TF test CloudControl Name"
  description       = "A test cloud control for security compliance"
  categories        = ["CC_CATEGORY_INFRASTRUCTURE"]
  severity          = "HIGH"
  finding_category  = "SECURITY_POLICY"
  remediation_steps = "Review and update the security configuration according to best practices."

  supported_cloud_providers        = ["GCP"]

  rules {
    description         = "Ensure compute instances have secure boot enabled"
    rule_action_types   = ["RULE_ACTION_TYPE_DETECTIVE"]

    cel_expression {
      expression = "resource.data.shieldedInstanceConfig.enableSecureBoot == true"
      resource_types_values {
        values = ["compute.googleapis.com/Instance"]
      }
    }
  }

  parameter_spec {
    name         = "location"
    display_name = "Resource Location"
    description  = "The location where the resource should be deployed"
    value_type   = "STRING"
    is_required  = true

    default_value {
      string_value = "us-central1"
    }

    validation {
      regexp_pattern {
        pattern = "^[a-z]+-[a-z]+[0-9]$"
      }
    }
  }

  parameter_spec {
    name         = "enable_secure_boot"
    display_name = "Enable Secure Boot"
    description  = "Whether to enable secure boot for instances"
    value_type   = "BOOLEAN"
    is_required  = true

    default_value {
      bool_value = true
    }

    substitution_rules {
      attribute_substitution_rule {
        attribute = "rules[0].cel_expression.expression"
      }
    }

    validation {
      allowed_values {
        values {
          bool_value = true
        }
      }
    }
  }

  parameter_spec {
    name         = "max_instances"
    display_name = "Maximum Instances"
    description  = "Maximum number of instances allowed"
    value_type   = "NUMBER"
    is_required  = false

    default_value {
      number_value = 10
    }

    substitution_rules {
      placeholder_substitution_rule {
        attribute = "rules[0].description"
      }
    }

    validation {
      int_range {
        min = "1"
        max = "100"
      }
    }
  }

  parameter_spec {
    name         = "allowed_regions"
    display_name = "Allowed Regions"
    description  = "List of regions where resources can be deployed"
    value_type   = "STRINGLIST"
    is_required  = true

    default_value {
      string_list_value {
        values = ["us-central1", "us-east1", "us-west1"]
      }
    }

    validation {
      allowed_values {
        values {
          string_list_value {
            values = ["us-central1", "us-east1"]
          }
        }
        values {
          string_list_value {
            values = ["us-west1", "us-west2"]
          }
        }
      }
    }
  }

  parameter_spec {
    name         = "environment_type"
    display_name = "Environment Type"
    description  = "The type of environment"
    value_type   = "STRING"
    is_required  = true

    default_value {
      string_value = "production"
    }

    validation {
      allowed_values {
        values {
          string_value = "production"
        }
        values {
          string_value = "staging"
        }
        values {
          number_value = 1
        }
      }
    }
  }
}

Mengedit kontrol cloud kustom

Setelah membuat kontrol cloud, Anda dapat mengubah nama, deskripsi, aturan, langkah-langkah perbaikan, dan tingkat keparahannya. Anda tidak dapat mengubah kategori kontrol cloud.

Di konsol Google Cloud , buka halaman Compliance.

Buka Kepatuhan
Pilih organisasi atau project Anda.
Di tab Configure, klik Cloud Controls. Daftar kontrol cloud yang tersedia akan ditampilkan.
Klik kontrol cloud yang ingin Anda edit.
Di halaman Cloud controls details, pastikan kontrol cloud tidak disertakan dalam framework. Jika diperlukan, edit framework untuk menghapus kontrol cloud.
Klik Edit.
Di halaman Edit custom cloud control, ubah nama dan deskripsi sesuai kebutuhan. Klik Continue.
Perbarui aturan, tingkat keseriusan temuan, dan langkah-langkah perbaikan. Klik Lanjutkan.
Tinjau perubahan Anda, lalu klik Simpan.

Mengupdate kontrol cloud bawaan ke rilis yang lebih baru

Google memublikasikan update rutin untuk kontrol cloud bawaannya saat layanan men-deploy fitur baru atau saat praktik terbaik baru muncul. Update dapat mencakup kontrol baru atau perubahan pada kontrol yang ada.

Anda dapat melihat rilis kontrol cloud bawaan di dasbor kontrol cloud di tab Configure atau di halaman detail kontrol cloud.

Untuk mengupdate kontrol cloud setelah menerima notifikasi, Anda harus mengupdate framework yang di-deploy yang menyertakan kontrol cloud. Untuk mengetahui petunjuknya, lihat Mengupdate framework bawaan ke rilis yang lebih baru.

Menghapus kontrol cloud kustom

Menghapus kontrol cloud jika tidak lagi diperlukan. Anda hanya dapat menghapus kontrol cloud yang Anda buat. Anda tidak dapat menghapus kontrol cloud bawaan.

Konsol

Di konsol Google Cloud , buka halaman Compliance.

Buka Kepatuhan
Pilih organisasi atau project Anda.
Di tab Configure, klik Cloud Controls. Daftar kontrol cloud yang tersedia akan ditampilkan.
Klik kontrol cloud yang ingin Anda hapus.
Di halaman Cloud controls details, pastikan kontrol cloud tidak disertakan dalam framework. Jika diperlukan, edit framework untuk menghapus kontrol cloud.
Klik Hapus.
Di jendela Delete, tinjau pesannya. Ketik Delete dan klik Confirm.

CLI

Untuk menghapus kontrol cloud kustom, jalankan perintah gcloud compliance-manager cloud-controls delete:

gcloud compliance-manager cloud-controls delete CLOUD_CONTROL \
   --location=LOCATION \
   --organization=ORGANIZATION

Ganti nilai berikut:

CLOUD_CONTROL: nama kontrol cloud
ORGANIZATION: ID organisasi Anda
LOCATION: region tempat kontrol cloud disimpan

Misalnya, untuk menghapus kontrol cloud dengan nama restrict-resource-locations, jalankan perintah berikut:

gcloud compliance-manager cloud-controls delete \
   restrict-resource-locations \
   --organization=3589215982 \
   --location=global

Untuk mengetahui informasi selengkapnya, lihat gcloud compliance-manager cloud-controls delete.

Pemetaan detektor Security Health Analytics ke kontrol cloud

Tabel berikut menunjukkan cara kontrol cloud Compliance Manager dipetakan ke detektor Security Health Analytics.

Alamat

Kategori temuan di Security Health Analytics	Nama kontrol cloud di Compliance Manager
`ACCESS_TRANSPARENCY_DISABLED`	Mengaktifkan Transparansi Akses
`ADMIN_SERVICE_ACCOUNT`	Memblokir Peran Administrator dari Akun Layanan
`ALLOWED_INGRESS_ORG_POLICY`	Mengonfigurasi Batasan Kebijakan Organisasi Setelan Ingress yang Diizinkan untuk Cloud Run
`ALLOWED_VPC_EGRESS_ORG_POLICY`	Mengonfigurasi Batasan Kebijakan Organisasi Setelan Egress VPC yang Diizinkan untuk Cloud Run
`ALLOYDB_AUTO_BACKUP_DISABLED`	Mengaktifkan Pencadangan Otomatis AlloyDB di Cluster
`ALLOYDB_BACKUPS_DISABLED`	Mengaktifkan Cadangan AlloyDB di Cluster
`ALLOYDB_CMEK_DISABLED`	Mengaktifkan CMEK untuk Cluster AlloyDB
`ALLOYDB_LOG_ERROR_VERBOSITY`	Menetapkan Flag Panjang Respons Error Log untuk Instance AlloyDB
`ALLOYDB_LOG_MIN_ERROR_STATEMENT_SEVERITY`	Menetapkan Flag Log Min Error Statement untuk Instance AlloyDB
`ALLOYDB_LOG_MIN_MESSAGES`	Menetapkan Flag Log Min Messages untuk Instance AlloyDB
`ALLOYDB_PUBLIC_IP`	Memblokir Alamat IP Publik untuk Instance Cluster AlloyDB
`ALLOYDB_SSL_NOT_ENFORCED`	Mengaktifkan Enkripsi SSL di Instance AlloyDB
`ALPHA_CLUSTER_ENABLED`	Menonaktifkan Fitur Alfa di Cluster GKE
`API_KEY_APIS_UNRESTRICTED`	Membatasi Kunci API Hanya untuk API yang Diperlukan
`API_KEY_APPS_UNRESTRICTED`	Menetapkan Pembatasan Aplikasi pada Kunci API
`API_KEY_EXISTS`	Require API Key Exists
`API_KEY_NOT_ROTATED`	Mewajibkan Rotasi Kunci API
`AUDIT_CONFIG_NOT_MONITORED`	Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Logging Audit
`AUDIT_LOGGING_DISABLED`	Menerapkan Logging Peristiwa untuk Layanan Google Cloud
`AUTO_BACKUP_DISABLED`	Mengaktifkan Pencadangan Otomatis untuk Database Cloud SQL
`AUTO_REPAIR_DISABLED`	Mengaktifkan Perbaikan Otomatis untuk Cluster GKE
`AUTO_UPGRADE_DISABLED`	Mengaktifkan Upgrade Otomatis di Cluster GKE
`BIGQUERY_TABLE_CMEK_DISABLED`	Mengaktifkan CMEK untuk Tabel BigQuery
`BINARY_AUTHORIZATION_DISABLED`	Mewajibkan Otorisasi Biner di Cluster
`BUCKET_CMEK_DISABLED`	Mengaktifkan CMEK untuk Bucket Cloud Storage
`BUCKET_IAM_NOT_MONITORED`	Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Kebijakan IAM Cloud Storage
`BUCKET_LOGGING_DISABLED`	Mewajibkan Logging Bucket Cloud Storage
`BUCKET_POLICY_ONLY_DISABLED`	Mengaktifkan Akses Level Bucket yang Seragam di Bucket Cloud Storage
`CLOUD_ASSET_API_DISABLED`	Mengaktifkan Layanan Inventaris Aset Cloud
`CLUSTER_LOGGING_DISABLED`	Mengaktifkan Cloud Logging di Cluster GKE
`CLUSTER_MONITORING_DISABLED`	Mengaktifkan Cloud Monitoring di Cluster GKE
`CLUSTER_PRIVATE_GOOGLE_ACCESS_DISABLED`	Mengaktifkan Akses Google Pribadi di instance
`CLUSTER_SECRETS_ENCRYPTION_DISABLED`	Mengaktifkan Enkripsi di Cluster GKE
`CLUSTER_SHIELDED_NODES_DISABLED`	Mengaktifkan Shielded GKE Node di Cluster
`COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED`	Memblokir Kunci SSH Project-Wide di Instance Compute Engine
`COMPUTE_SECURE_BOOT_DISABLED`	Mengaktifkan Booting Aman di Instance Compute Engine
`COMPUTE_SERIAL_PORTS_ENABLED`	Memblokir Port Serial untuk Instance Compute Engine
`CONFIDENTIAL_COMPUTING_DISABLED`	Mengaktifkan Confidential Computing untuk Instance Compute Engine
`COS_NOT_USED`	Mewajibkan Container-Optimized OS untuk Cluster GKE
`CUSTOM_ORG_POLICY_VIOLATION`	Menerapkan Kebijakan Organisasi Kustom
`CUSTOM_ROLE_NOT_MONITORED`	Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Peran Kustom
`DATAPROC_CMEK_DISABLED`	Mewajibkan CMEK di Cluster Dataproc
`DATAPROC_IMAGE_OUTDATED`	Menggunakan Versi Image Terbaru di Cluster Dataproc
`DATASET_CMEK_DISABLED`	Mengaktifkan CMEK untuk Set Data BigQuery
`DEFAULT_NETWORK`	Menggunakan Jaringan dengan Aturan Firewall Kustom
`DEFAULT_SERVICE_ACCOUNT_USED`	Menggunakan Akun Layanan Kustom untuk Instance Compute Engine
`DISABLE_VPC_EXTERNAL_IP_V6_ORG_POLICY`	Mengonfigurasi Kebijakan Organisasi Disable VPC External IPv6 Usage
`DISABLE_VPC_INTERNAL_IP_V6_ORG_POLICY`	Mengonfigurasi Kebijakan Organisasi Disable VPC External IPv6 Usage
`DISABLED_SERIAL_PORT_ACCESS_ORG_POLICY`	Mengonfigurasi Kebijakan Organisasi Disable VM Serial Port Logging to Stackdriver
`DISK_CMEK_DISABLED`	Mengaktifkan CMEK di Persistent Disk Compute Engine
`DISK_CSEK_DISABLED`	Mengaktifkan CSEK di Persistent Disk Compute Engine
`DNS_LOGGING_DISABLED`	Mengaktifkan Pemantauan Log Cloud DNS
`DNSSEC_DISABLED`	Mengaktifkan DNSSEC untuk Cloud DNS
`EGRESS_DENY_RULE_NOT_SET`	Menerapkan Aturan Firewall Tolak Semua Traffic Keluar
`ESSENTIAL_CONTACTS_NOT_CONFIGURED`	Menentukan Kontak Penting
`FIREWALL_NOT_MONITORED`	Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Firewall Jaringan VPC
`FIREWALL_RULE_LOGGING_DISABLED`	Mengaktifkan Logging Aturan Firewall
`FLOW_LOGS_DISABLED`	Mengaktifkan Log Aliran Subnet
`FULL_API_ACCESS`	Membatasi Akses API ke Google Cloud API untuk Instance Compute Engine
`HTTP_LOAD_BALANCER`	Menerapkan Traffic Khusus HTTPS
`INSTANCE_OS_LOGIN_DISABLED`	Mewajibkan Login OS di Instance Compute Engine
`INTEGRITY_MONITORING_DISABLED`	Mengaktifkan Pemantauan Integritas di Cluster GKE
`INTRANODE_VISIBILITY_DISABLED`	Mengaktifkan Visibilitas Intranode untuk Cluster GKE
`IP_ALIAS_DISABLED`	Mengaktifkan Rentang Alias IP untuk Cluster GKE
`IP_FORWARDING_ENABLED`	Mencegah Penerusan IP di Instance Compute Engine
`KMS_KEY_NOT_ROTATED`	Menentukan Periode Rotasi untuk Kunci Cloud KMS
`KMS_PROJECT_HAS_OWNER`	Tidak tersedia
`KMS_PUBLIC_KEY`	Memblokir Akses Publik ke Kunci Cloud KMS
`KMS_ROLE_SEPARATION`	Menerapkan Pemisahan Tugas
`LEGACY_AUTHORIZATION_ENABLED`	Memblokir Otorisasi Lama di Cluster GKE
`LEGACY_METADATA_ENABLED`	Menonaktifkan Endpoint Server Metadata Lama di Compute Engine
`LEGACY_NETWORK`	Jangan Gunakan Jaringan Lama
`LOAD_BALANCER_LOGGING_DISABLED`	Mengaktifkan Logging Load Balancer
`LOCKED_RETENTION_POLICY_NOT_SET`	Mengunci Kebijakan Retensi Bucket Penyimpanan
`LOG_NOT_EXPORTED`	Mengonfigurasi Sink Log
`MASTER_AUTHORIZED_NETWORKS_DISABLED`	Mengaktifkan Jaringan yang Diizinkan Bidang Kontrol di Cluster GKE
`MFA_NOT_ENFORCED`	Menerapkan Verifikasi 2 Langkah
`NETWORK_NOT_MONITORED`	Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Jaringan VPC
`NETWORK_POLICY_DISABLED`	Mengaktifkan Kebijakan Jaringan di Cluster GKE
`NODEPOOL_BOOT_CMEK_DISABLED`	Mengaktifkan CMEK di Boot Disk Node Pool GKE
`NODEPOOL_SECURE_BOOT_DISABLED`	Mengaktifkan Booting Aman untuk Shielded GKE Node
`NON_ORG_IAM_MEMBER`	Memblokir Izin IAM untuk Pengguna Eksternal
`OBJECT_VERSIONING_DISABLED`	Mengaktifkan Pembuatan Versi Objek di Bucket
`OPEN_CASSANDRA_PORT`	Memblokir Akses Umum ke Port Cassandra
`OPEN_CISCOSECURE_WEBSM_PORT`	Memblokir Akses Generik ke Port CiscoSecure/WebSM
`OPEN_DIRECTORY_SERVICES_PORT`	Memblokir Akses Generik ke Port Layanan Direktori
`OPEN_DNS_PORT`	Memblokir Akses Generik ke Port DNS dari Semua Alamat IP
`OPEN_ELASTICSEARCH_PORT`	Memblokir Akses Generik ke Port Elasticsearch dari Semua Alamat IP
`OPEN_FIREWALL`	Memblokir Aturan Firewall yang Terlalu Permisif
`OPEN_FTP_PORT`	Memblokir Akses Generik ke Port FTP
`OPEN_GROUP_IAM_MEMBER`	Membatasi Akun Grup Google Terbuka
`OPEN_HTTP_PORT`	Memblokir Akses Generik ke Port HTTP
`OPEN_LDAP_PORT`	Memblokir Akses Generik ke Port LDAP
`OPEN_MEMCACHED_PORT`	Memblokir Akses Generik ke Port Memcached
`OPEN_MONGODB_PORT`	Memblokir Akses Generik ke Port MongoDB
`OPEN_MYSQL_PORT`	Memblokir Akses Generik ke Port MySQL
`OPEN_NETBIOS_PORT`	Memblokir Akses Generik ke Port NetBIOS dari Semua Alamat IP
`OPEN_ORACLEDB_PORT`	Memblokir Akses Generik ke Port Database Oracle
`OPEN_POP3_PORT`	Memblokir Akses Generik ke Port Server POP3
`OPEN_POSTGRESQL_PORT`	Memblokir Akses Generik ke Port Server PostgreSQL dari Semua Alamat IP
`OPEN_RDP_PORT`	Memblokir Akses Generik ke Port RDP
`OPEN_REDIS_PORT`	Memblokir Akses Generik ke Port Server Redis dari Semua Alamat IP
`OPEN_SMTP_PORT`	Memblokir Akses Generik ke Port Server SMTP
`OPEN_SSH_PORT`	Memblokir Akses Generik ke Port SSH
`OPEN_TELNET_PORT`	Memblokir Akses Generik ke Port Server Telnet
`ORG_POLICY_CONFIDENTIAL_VM_POLICY`	Mengaktifkan Batasan Kebijakan Organisasi Confidential VM
`ORG_POLICY_LOCATION_RESTRICTION`	Terapkan Pembatasan Lokasi
`OS_LOGIN_DISABLED`	Mengaktifkan Login OS untuk Semua Instance di Level Project
`OVER_PRIVILEGED_ACCOUNT`	Menggunakan Akun Layanan dengan Hak Istimewa Terendah untuk Cluster GKE
`OVER_PRIVILEGED_SCOPES`	Membuat Cluster GKE dengan Hak Istimewa Terbatas
`OVER_PRIVILEGED_SERVICE_ACCOUNT_USER`	Memblokir Peran Administrator dari Akun Layanan
`OWNER_NOT_MONITORED`	Mengonfigurasi Metrik Log dan Pemberitahuan untuk Penetapan dan Perubahan Peran Project Owner
`POD_SECURITY_POLICY_DISABLED`	Mengaktifkan PodSecurityPolicies untuk Cluster GKE
`PRIMITIVE_ROLES_USED`	Membatasi Peran IAM Lama
`PRIVATE_CLUSTER_DISABLED`	Mengaktifkan Cluster Pribadi untuk GKE
`PRIVATE_GOOGLE_ACCESS_DISABLED`	Mengaktifkan Akses Google Pribadi untuk Subnet VPC
`PUBLIC_BUCKET_ACL`	Membatasi Akses Publik ke Bucket Cloud Storage
`PUBLIC_COMPUTE_IMAGE`	Membatasi Akses Publik ke Image Compute
`PUBLIC_DATASET`	Membatasi Akses Publik ke Set Data BigQuery
`PUBLIC_IP_ADDRESS`	Membatasi Alamat IP Publik ke Instance Compute Engine
`PUBLIC_LOG_BUCKET`	Membatasi Akses Publik ke Bucket Cloud Storage
`PUBLIC_SQL_INSTANCE`	Membatasi Akses Publik ke Instance Database Cloud SQL
`PUBSUB_CMEK_DISABLED`	Mengenkripsi topik Pub/Sub dengan CMEK
`REDIS_ROLE_USED_ON_ORG`	Menetapkan Peran Redis di Tingkat Project
`RELEASE_CHANNEL_DISABLED`	Mendaftarkan Cluster GKE ke Saluran Rilis
`REQUIRE_OS_LOGIN_ORG_POLICY`	Mengaktifkan Login OS
`REQUIRE_VPC_CONNECTOR_ORG_POLICY`	Menentukan Egress Konektor VPC untuk Cloud Run Functions
`RESTRICT_AUTHORIZED_NETWORKS_ORG_POLICY`	Mengaktifkan Batasan Kebijakan Organisasi untuk Membatasi Jaringan yang Diizinkan di Instance Cloud SQL
`ROUTE_NOT_MONITORED`	Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Rute VPC
`RSASHA1_FOR_SIGNING`	Menghindari RSASHA1 untuk Penandatanganan DNSSEC
`S3_BUCKET_ACCESS_LOGGING_ENABLED_CLOUDTRAIL_S3_BUCKET`	Tidak tersedia
`S3_BUCKETS_CONFIGURED_BLOCK_PUBLIC_ACCESS_BUCKET_AND_ACCOUNT_SETTINGS`	Tidak tersedia
`SERVICE_ACCOUNT_KEY_NOT_ROTATED`	Mewajibkan Rotasi Kunci Akun Layanan
`SERVICE_ACCOUNT_ROLE_SEPARATION`	Menerapkan Pemisahan Tugas
`SHIELDED_VM_DISABLED`	Mengaktifkan Shielded VM untuk Instance Compute Engine
`SKIP_DEFAULT_NETWORK_CREATION_ORG_POLICY`	Membatasi Pembuatan Jaringan Default untuk Instance Compute Engine
`SQL_CMEK_DISABLED`	Mengaktifkan CMEK untuk Database Cloud SQL
`SQL_CONTAINED_DATABASE_AUTHENTICATION`	Menonaktifkan Flag Contained Database Authentication untuk SQL Server
`SQL_CROSS_DB_OWNERSHIP_CHAINING`	Menonaktifkan Flag Cross Database Ownership Chaining untuk SQL Server
`SQL_EXTERNAL_SCRIPTS_ENABLED`	Menonaktifkan Flag Skrip Eksternal untuk SQL Server
`SQL_INSTANCE_NOT_MONITORED`	Mengonfigurasi Metrik Log dan Pemberitahuan untuk Perubahan Konfigurasi Cloud SQL
`SQL_LOCAL_INFILE`	Menonaktifkan Flag Local Infile untuk MySQL
`SQL_LOG_CHECKPOINTS_DISABLED`	Mengaktifkan Flag Log Checkpoints untuk PostgreSQL
`SQL_LOG_CONNECTIONS_DISABLED`	Mengaktifkan Flag Log Connections untuk PostgreSQL
`SQL_LOG_DISCONNECTIONS_DISABLED`	Mengaktifkan Flag Log Disconnections untuk PostgreSQL
`SQL_LOG_DURATION_DISABLED`	Mengaktifkan Flag Durasi Log untuk instance PostgreSQL
`SQL_LOG_ERROR_VERBOSITY`	Mengaktifkan Flag Log Error Verbosity untuk PostgreSQL
`SQL_LOG_EXECUTOR_STATS_ENABLED`	Menonaktifkan Flag Log Executor Stats untuk PostgreSQL
`SQL_LOG_HOSTNAME_ENABLED`	Menonaktifkan Flag Log Hostname untuk PostgreSQL
`SQL_LOG_LOCK_WAITS_DISABLED`	Mengaktifkan Flag Log Locks Wait untuk instance PostgreSQL
`SQL_LOG_MIN_DURATION_STATEMENT_ENABLED`	Menonaktifkan Flag Log Min Duration Statement untuk PostgreSQL
`SQL_LOG_MIN_ERROR_STATEMENT`	Mengaktifkan Flag Log Min Error Statement untuk PostgreSQL
`SQL_LOG_MIN_ERROR_STATEMENT_SEVERITY`	Mengaktifkan Flag Log Min Error Statement untuk PostgreSQL
`SQL_LOG_MIN_MESSAGE`	Mengaktifkan Flag Log Min Messages untuk PostgreSQL
`SQL_LOG_PARSER_STATS_ENABLED`	Menonaktifkan Flag Statistik Parser Log untuk PostgreSQL
`SQL_LOG_PLANNER_STATS_ENABLED`	Menonaktifkan Flag Log Planner Stats untuk PostgreSQL
`SQL_LOG_STATEMENT`	Mengaktifkan Flag Log Statement untuk PostgreSQL
`SQL_LOG_STATEMENT_STATS_ENABLED`	Menonaktifkan Flag Log Statement Stats untuk PostgreSQL
`SQL_LOG_TEMP_FILES`	Mengaktifkan Flag Log Temp Files untuk instance PostgreSQL
`SQL_NO_ROOT_PASSWORD`	Menerapkan Sandi untuk Database MySQL
`SQL_PUBLIC_IP`	Memblokir Alamat IP Publik untuk Instance Cloud SQL
`SQL_REMOTE_ACCESS_ENABLED`	Menonaktifkan Flag Akses Jarak Jauh untuk SQL Server
`SQL_SKIP_SHOW_DATABASE_DISABLED`	Mengaktifkan Flag Skip Show Database untuk MySQL
`SQL_TRACE_FLAG_3625`	Mengaktifkan Flag Database Trace 3625 untuk SQL Server
`SQL_USER_CONNECTIONS_CONFIGURED`	Jangan Gunakan Flag User Connections untuk SQL Server
`SQL_USER_OPTIONS_CONFIGURED`	Jangan Gunakan Flag User Options untuk SQL Server
`SQL_WEAK_ROOT_PASSWORD`	Menerapkan Sandi Kuat untuk Instance Cloud SQL
`SSL_NOT_ENFORCED`	Menerapkan SSL untuk semua Koneksi Database Masuk
`TOO_MANY_KMS_USERS`	Membatasi Pengguna Kunci Kripto KMS Menjadi Tiga
`UNIFORM_BUCKET_LEVEL_ACCESS_ORG_POLICY`	Menetapkan Akses Level Bucket yang Seragam untuk Bucket Cloud Storage
`USER_MANAGED_SERVICE_ACCOUNT_KEY`	Membatasi Kunci Akun Layanan yang Dikelola Pengguna
`VPC_FLOW_LOGS_SETTINGS_NOT_RECOMMENDED`	Mengaktifkan Log Aliran untuk Subnet VPC
`WEAK_SSL_POLICY`	Membatasi Kebijakan SSL yang Tidak Aman untuk Instance Compute Engine
`WEB_UI_ENABLED`	Jangan Gunakan UI Web Kubernetes
`WORKLOAD_IDENTITY_DISABLED`	Mengaktifkan Workload Identity Federation for GKE di cluster

Langkah berikutnya

Tulis aturan untuk kontrol cloud kustom.

Mengelola kontrol cloud Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.

Sebelum memulai

Menyiapkan izin

Menyiapkan Google Cloud CLI

Melihat kontrol cloud

Konsol

CLI

Melihat detail tentang kontrol cloud

Mendapatkan daftar kontrol cloud

Membuat kontrol cloud kustom

Konsol

Gunakan Gemini

Buat secara manual

CLI

Contoh file JSON

Contoh file YAML

Contoh file JSON

Contoh file YAML

Terraform

Mengedit kontrol cloud kustom

Mengupdate kontrol cloud bawaan ke rilis yang lebih baru

Menghapus kontrol cloud kustom

Konsol

CLI

Pemetaan detektor Security Health Analytics ke kontrol cloud

Langkah berikutnya

Mengelola kontrol cloud