Sicherheitsstatus verwalten

Auf dieser Seite wird beschrieben, wie Sie den Sicherheitsstatus-Dienst konfigurieren und verwenden, nachdem Sie Security Command Center aktiviert haben. Zuerst müssen Sie einen Status erstellen, der Ihre Richtlinien enthält, die in Richtliniensätzen organisiert sind. Anschließend müssen Sie den Status mithilfe einer Statusbereitstellung bereitstellen. Nachdem eine Posture bereitgestellt wurde, können Sie auf Abweichungen prüfen und die Posture im Laufe der Zeit weiter optimieren.

Sie können das Sicherheitsstatusmanagement nicht mit Aktivierungen auf Projektebene verwenden. Weitere Informationen finden Sie unter Featureverfügbarkeit mit Aktivierungen auf Projektebene.

Hinweis

Führen Sie diese Aufgaben aus, bevor Sie die verbleibenden Aufgaben auf dieser Seite erledigen.

Security Command Center aktivieren

Prüfen Sie, ob Sie Security Command Center auf Organisationsebene aktiviert haben.

Wenn Sie Security Health Analytics-Detektoren als Richtlinien verwenden möchten, wählen Sie während der Aktivierung den Security Health Analytics-Dienst aus.

Berechtigungen einrichten

Berechtigungen zum Verwalten von Status

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Sicherheitsstatus-Administrator (roles/securityposture.admin) zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Verwenden des Status benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Sie können die erforderlichen Berechtigungen auch über benutzerdefinierte Rollen oder andere vordefinierte Rollen erhalten.

Weitere Informationen zu Rollen und Berechtigungen für den Sicherheitsstatus finden Sie unter IAM für Aktivierungen auf Organisationsebene.

Berechtigungen zum Verwalten von Security Health Analytics-Detektoren

Zum Aktivieren oder Deaktivieren eines Dienstes benötigen Sie die folgende IAM-Berechtigung. Diese Berechtigung kann auf Organisations-, Ordner- oder Projektebene zugewiesen werden.

securitycentermanagement.securityCenterServices.update

Bitten Sie Ihren Administrator, Ihnen eine der folgenden Rollen mit dieser Berechtigung zuzuweisen oder die Berechtigung der benutzerdefinierten Rolle hinzuzufügen (wenn Ihre Organisation benutzerdefinierte Rollen verwendet).

Google Cloud CLI einrichten

Installieren Sie die Google Cloud CLI und melden Sie sich dann mit Ihrer föderierten Identität in der gcloud CLI an. Nach der Anmeldung initialisieren Sie die Google Cloud CLI mit dem folgenden Befehl: 

gcloud init

Führen Sie den folgenden Befehl aus, um die gcloud CLI so einzurichten, dass die Authentifizierung bei Google APIs über die Identitätsübernahme des Dienstkontos anstelle Ihrer Nutzeranmeldedaten erfolgt: 

gcloud config set auth/impersonate_service_account SERVICE_ACCT_EMAIL

Weitere Informationen finden Sie unter Identitätsübernahme des Dienstkontos.

APIs aktivieren

Aktivieren Sie die APIs für den Organisationsrichtliniendienst und den Sicherheitsstatusdienst:

gcloud services enable orgpolicy.googleapis.com  securityposture.googleapis.com

Verbindung zu AWS konfigurieren

Wenn Sie integrierte Security Health Analytics-Detektoren verwenden möchten, die für AWS spezifisch sind, müssen Sie eine Verbindung zu AWS herstellen, um Konfigurations- und Ressourcendaten zu erfassen.

Status erstellen und bereitstellen

Damit Sie einen Sicherheitsstatus verwenden können, müssen Sie Folgendes tun:

  • Erstellen Sie eine YAML-Datei für den Status, in der die Richtlinien definiert sind, die für Ihren Sicherheitsstatus gelten.
  • Erstellen Sie in Google Cloud eine Statusrichtlinie, die auf der YAML-Datei für die Statusrichtlinie basiert.
  • Stellen Sie den Sicherheitsstatus bereit.

In den folgenden Abschnitten finden Sie eine detaillierte Anleitung.

YAML-Datei für den Status erstellen

Eine Status besteht aus einem oder mehreren Richtliniensätzen, die Sie zusammen bereitstellen. Diese Richtliniensätze enthalten alle Schutz- und Aufdeckungsrichtlinien, die Sie in Ihren Status aufnehmen möchten.

So erstellen Sie eine Status:

Details zu den Feldern, die Sie in einer Statusrichtlinie verwenden können, finden Sie in der Referenz zu Posture und der Referenz zu PolicySet.

Sicherheitsstatusdatei aus einer vordefinierten Sicherheitsstatusvorlage erstellen

Sie können eine vordefinierte Sicherheitsstatusvorlage verwenden, um eine Sicherheitsstatusdatei zu erstellen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf dem Tab Vorlagen auf die Vorlage, die Sie verwenden möchten.

  4. Klicken Sie auf der Seite Vorlagendetails auf Status erstellen.

  5. Geben Sie einen eindeutigen Namen für die Posture an und klicken Sie auf Erstellen. Die Seite Statusdetails wird geöffnet.

  6. Führen Sie einen der folgenden Schritte aus:

    • Wenn Sie den Status ohne Änderungen verwenden können (z. B. wenn Sie eine der _essentials-Vorlagen verwendet haben), können Sie den Status bereitstellen. Eine Anleitung finden Sie unter Status bereitstellen.
    • Wenn Sie einen der Richtliniensätze oder eine der Richtlinien ändern müssen (z. B. wenn Sie eine der _enhanced-Vorlagen verwendet haben), führen Sie die Schritte unter YAML-Datei für Status ändern aus und setzen Sie den Status auf ACTIVE.

gcloud

  1. Prüfen Sie die vordefinierten Sicherheitsstatusvorlagen, um festzustellen, welche für Ihre Umgebung geeignet sind. Einige davon können Sie ohne Änderungen anwenden, andere müssen Sie an Ihre Umgebung anpassen.

  2. Verwenden Sie eine der folgenden Methoden, um die YAML-Dateien in Ihren eigenen Texteditor zu kopieren:

    gcloud scc posture-templates describe \
    organizations/ORGANIZATION_ID/locations/global/postureTemplates/POSTURE_TEMPLATE \
    --revision-id=REVISION_ID

    Ersetzen Sie die folgenden Werte:

    • ORGANIZATION_ID ist die Organisation, in der Sie Security Command Center aktiviert haben.
    • POSTURE_TEMPLATE ist der Vorlagenname der vordefinierten Sicherheitsstatusvorlage, wie unter Vordefinierte Sicherheitsstatusvorlagen beschrieben.
    • REVISION_ID ist die Versionsnummer der vordefinierten Sicherheitsstatusvorlage. Wenn Sie die Revisions-ID nicht angeben, wird die aktuelle Version der vordefinierten Sicherheitsstatusvorlage angezeigt.

    Wenn Sie beispielsweise die vordefinierte Sicherheitsstatusvorlage „Secure AI, Essentials“ unter der Organisation 3589215982 aufrufen möchten, führen Sie Folgendes aus:

    gcloud scc posture-templates describe \
    organizations/3589215982/locations/global/postureTemplates/secure_ai_essential \
    --revision-id=v.1.0

  3. Führen Sie einen der folgenden Schritte aus:

    • Wenn Sie den Status ohne Änderungen verwenden können (z. B. wenn Sie eine der _essentials-Vorlagen verwendet haben), können Sie den Status erstellen. Eine Anleitung finden Sie unter Status erstellen.
    • Wenn Sie Richtliniensätze oder Richtlinien ändern müssen, führen Sie die Schritte unter YAML-Datei für Status ändern aus.

Statusdatei durch Extrahieren von Richtlinien aus einer vorhandenen Umgebung erstellen

Sie können die Richtlinien (Organisationsrichtlinien, einschließlich benutzerdefinierter Richtlinien und aller Security Health Analytics-Detektoren, einschließlich benutzerdefinierter Detektoren), die Sie in einem vorhandenen Projekt, Ordner oder einer vorhandenen Organisation konfiguriert haben, extrahieren, um eine Statusdatei zu erstellen. Sie können keine Richtlinien aus einer Organisation, einem Ordner oder einem Projekt extrahieren, auf die bereits ein Status angewendet wurde.

Mit diesem Befehl werden nur die Richtlinien extrahiert, die Sie zuvor für die Organisation, den Ordner oder das Projekt konfiguriert haben. Richtlinien aus übergeordneten Ordnern oder der Organisation werden nicht extrahiert.

Wenn Sie eine Verbindung zu AWS hergestellt haben, werden mit diesem Befehl auch die AWS-spezifischen Detektoren extrahiert (Vorschau).

  1. Führen Sie den Befehl gcloud scc postures extract aus, um die vorhandenen Organisationsrichtlinien und Security Health Analytics-Detektoren in Ihrer Umgebung zu extrahieren.

    gcloud scc postures extract POSTURE_NAME \
    --workload=WORKLOAD

    Ersetzen Sie die folgenden Werte:

    • POSTURE_NAME ist der relative Ressourcenname des Status. Beispiel: organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID

      • POSTURE_ID ist ein alphanumerischer Name für Ihren Status, der für Ihre Organisation eindeutig ist. POSTURE_ID ist auf 63 Zeichen beschränkt.

    • WORKLOAD ist das Projekt, der Ordner oder die Organisation, aus dem bzw. der Sie die Richtlinien extrahieren. Die Arbeitslast ist eine der folgenden:

    • projects/PROJECT_NUMBER

    • folder/FOLDER_ID

    • organizations/ORGANIZATION_ID

    Wenn Sie beispielsweise Richtlinien aus dem Ordner 3589215982 unter der Organisation 6589215984 extrahieren möchten, führen Sie Folgendes aus:

    gcloud scc postures extract \
  organizations/6589215984/locations/global/postures/myStagingPosture \
  workload=folder/3589215982 > posture.yaml

  2. Öffnen Sie die resultierende posture.yaml-Datei zur Bearbeitung.

  3. Führen Sie einen der folgenden Schritte aus:

    • Wenn Sie den Status ohne Änderungen verwenden können (z. B. wenn Sie eine der _essentials-Vorlagen verwendet haben), können Sie den Status erstellen. Eine Anleitung finden Sie unter Status erstellen.
    • Wenn Sie Richtliniensätze oder Richtlinien ändern müssen, führen Sie die Schritte unter YAML-Datei für Status ändern aus.

Terraform-Ressource mit Richtliniendefinitionen erstellen

Sie können eine Terraform-Konfiguration erstellen, um eine Statusressource zu erstellen.

Sie können beispielsweise eine Statusressource erstellen, die integrierte und benutzerdefinierte Einschränkungen für Organisationsrichtlinien sowie integrierte und benutzerdefinierte Security Health Analytics-Detektoren enthält. Die Unterstützung des Statusmanagements für integrierte Security Health Analytics-Detektoren, die AWS-spezifisch sind, befindet sich in der Vorschau.

resource "google_securityposture_posture" "posture1"{
  posture_id  = "posture_example"
  parent      = "organizations/123456789"
  location    = "global"
  state       = "ACTIVE"
  description = "a new posture"
  policy_sets {
    policy_set_id = "list_constraint_policy_set"
    description   = "set of org policies with a list constraint"
    policies {
      policy_id = "resource_locations_policy"
      constraint {
        org_policy_constraint {
          canned_constraint_id = "gcp.resourceLocations"
          policy_rules {
            values {
              allowed_values = ["in:us-locations"]
            }
          }
        }
      }
    }
  }
  policy_sets {
    policy_set_id = "org_policy_set"
    description   = "set of org policies"
    policies {
      policy_id = "canned_org_policy"
      constraint {
        org_policy_constraint {
          canned_constraint_id = "storage.uniformBucketLevelAccess"
          policy_rules {
            enforce = true
            condition {
            	description = "condition description"
            	expression  = "resource.matchTag('org_id/tag_key_short_name,'tag_value_short_name')"
            	title       = "a CEL condition"
            }
          }
        }
      }
    }
    policies {
      policy_id = "custom_org_policy"
      constraint {
        org_policy_constraint_custom {
          custom_constraint {
            name           = "organizations/123456789/customConstraints/custom.disableGkeAutoUpgrade"
            display_name   = "Disable GKE auto upgrade"
            description    = "Only allow GKE NodePool resource to be created or updated if AutoUpgrade is not enabled where this custom constraint is enforced."
            action_type    = "ALLOW"
            condition      = "resource.management.autoUpgrade == false"
            method_types   = ["CREATE", "UPDATE"]
            resource_types = ["container.googleapis.com/NodePool"]
          }
          policy_rules {
            enforce = true
            condition {
            	description = "condition description"
            	expression = "resource.matchTagId('tagKeys/key_id','tagValues/value_id')"
            	title = "a CEL condition"
            }
          }
        }
      }
    }
  }
  policy_sets {
    policy_set_id = "sha_policy_set"
    description   = "set of sha policies"
    policies {
      policy_id = "sha_builtin_module"
      constraint {
        security_health_analytics_module {
          module_name             = "BIGQUERY_TABLE_CMEK_DISABLED"
          module_enablement_state = "ENABLED"
        }
      }
      description = "enable BIGQUERY_TABLE_CMEK_DISABLED"
    }
    policies {
      policy_id = "sha_custom_module"
      constraint {
        security_health_analytics_custom_module {
          display_name = "custom_SHA_policy"
          config {
            predicate {
              expression = "resource.rotationPeriod > duration('2592000s')"
            }
            custom_output {
              properties {
                name = "duration"
                value_expression {
                  expression = "resource.rotationPeriod"
                }
              }
            }
            resource_selector {
              resource_types = ["cloudkms.googleapis.com/CryptoKey"]
            }
            severity       = "LOW"
            description    = "Custom Module"
            recommendation = "Testing custom modules"
          }
          module_enablement_state = "ENABLED"
        }
      }
    }
  }

}

Weitere Informationen finden Sie unter google_securityposture_posture.

YAML-Datei für Status ändern

Führen Sie die folgenden Schritte aus, um eine YAML-Datei für den Status zu ändern:

  1. Öffnen Sie die YAML-Datei für den Status in einem Texteditor.

  2. Prüfen Sie die name, description und state am Anfang der Datei.

    name: organizations/ORGANIZATION_ID/locations/global/posture/POSTURE_ID
description: DESCRIPTION
state: STATE

    Weitere Informationen zu diesen Feldern finden Sie in der Referenz zu Posture.

    Beispiel:

    name: organizations/3589215982/locations/global/posture/stagingAIPosture
description: This posture applies to staging environments for Vertex AI.
state: ACTIVE

  3. Passen Sie die Richtlinien in der Datei an Ihre Anforderungen an.

    Weitere Informationen zu den Feldern, die Sie verwenden können, finden Sie in der Referenz zu PolicySet.

    1. Prüfen Sie die vorhandenen Richtlinien und ihre Werte. Legen Sie für Richtlinien, die Informationen zu Ihrer Umgebung erfordern, die entsprechenden Werte fest. Fügen Sie beispielsweise für die Richtlinie ainotebooks.accessMode im vordefinierten Status „Sichere KI, erweitert“ die zulässigen Zugriffsmodi unter policyRules hinzu:

      - policyId: Define access mode for Vertex AI Workbench notebooks and instances
  complianceStandards:
  - standard: NIST SP 800-53
    control: AC-3(3)
  - standard: NIST SP 800-53
    control: AC-6(1)
  constraint:
    orgPolicyConstraint:
      cannedConstraintId: ainotebooks.accessMode
      policyRules:
      - values:
          allowedValues: service-account
  description: This list constraint defines the modes of access allowed to Vertex AI Workbench notebooks and instances where enforced. The allow or deny list can specify multiple users with the service-account mode or single-user access with the single-user mode. The access mode to be allowed or denied must be listed explicitly.

    2. Fügen Sie zusätzliche Einschränkungen für Organisationsrichtlinien hinzu, wie unter Einschränkungen für Organisationsrichtlinien beschrieben. Wenn Sie eine benutzerdefinierte Organisationsrichtlinie definieren, muss die YAML-Datei die Definition der benutzerdefinierten Einschränkung enthalten. Sie können keine benutzerdefinierte Einschränkung verwenden, die Sie mit anderen Methoden erstellt haben (z. B. mit derGoogle Cloud Console).

      Sie können beispielsweise die Einschränkung compute.trustedImageProjects festlegen, um Projekte zu definieren, die für die Image-Speicherung und Laufwerksinstanziierung verwendet werden können. Wenn Sie dieses Beispiel kopieren, ersetzen Sie allowedValues durch eine geeignete Liste von Projekten:

      - policyId: Define projects with trusted images.
  complianceStandards:
  - standard:
    control:
  constraint:
    orgPolicyConstraint:
      cannedConstraintId: compute.trustedImageProjects
      policyRules:
      - values:
          allowedValues:
          - project1
          - project2
          - projectN
  description: This is a complete list of projects from which images can be used.

    3. Fügen Sie zusätzliche Security Health Analytics-Detektoren hinzu, z. B. die unter Security Health Analytics-Ergebnisse dokumentierten. Fügen Sie beispielsweise einen Security Health Analytics-Detektor hinzu, um ein Ergebnis zu erstellen, wenn ein Projekt keinen API-Schlüssel für die Authentifizierung verwendet:

      - policyId: API Key Exists
  constraint:
    securityHealthAnalyticsModule:
      moduleEnablementState: ENABLED
      moduleName: API_KEY_EXISTS

      Ein weiteres Beispiel: Fügen Sie ein benutzerdefiniertes Security Health Analytics-Modul hinzu, um zu erkennen, ob Gemini Enterprise Agent Platform-Datasets verschlüsselt sind:

      - policyId: CMEK key is used for Vertex AI DataSet
  complianceStandards:
  - standard: NIST SP 800-53
    control: SC-12
  - standard: NIST SP 800-53
    control: SC-13
  constraint:
    securityHealthAnalyticsCustomModule:
      displayName: "vertexAIDatasetCMEKDisabled"
      config:
        customOutput: {}
        predicate:
          expression: "!has(resource.encryptionSpec)"
        resourceSelector:
          resourceTypes:
          - aiplatform.googleapis.com/Dataset
        severity: CRITICAL
        description: "When enforced, this detector finds whether a dataset is not encrypted using CMEK."
        recommendation: "Restore the SHA module. See https://cloud.google.com/security-command-center/docs/custom-modules-sha-overview."
      moduleEnablementState: ENABLED

      Ein weiteres Beispiel: Fügen Sie für die Dienststufe „Enterprise (eingestellt)“ einen Security Health Analytics-Detektor hinzu, der für AWS spezifisch ist (Vorabversion):

      - policySetId: AWS policy set
  description:  Policy set containing AWS built-in SHA modules for securing S3 buckets.
  policies:
  - policyId: S3 bucket replication enabled
    complianceStandards:
    - standard: NIST 800-53 R5
      control: SI-13(5)
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: S3_BUCKET_REPLICATION_ENABLED
    description: This control checks whether an Amazon S3 bucket has Cross-Region Replication enabled. The control fails if the bucket does not have Cross-Region Replication enabled or if Same-Region Replication is also enabled.

  - policyId: S3 bucket logging enabled
    complianceStandards:
    - standard: NIST 800-53 R5
      control: SI-7(8)
    - standard: PCI DSS 3.2.1
      control: 10.3.1
    constraint:
      securityHealthAnalyticsModule:
        moduleEnablementState: ENABLED
        moduleName: S3_BUCKET_LOGGING_ENABLED
    description: The AWS S3 Server Access Logging feature records access requests to storage buckets which is useful for security audits. By default, server access logging is not enabled for S3 buckets.

      Wenn Sie einen Detektor hinzufügen, der spezifisch für AWS ist, müssen Sie die Sicherheitsstatus auf Organisationsebene bereitstellen.

  4. Laden Sie Ihre Statusdatei in ein versionsverwaltetes Quell-Repository hoch, damit Sie die im Laufe der Zeit vorgenommenen Änderungen nachverfolgen können.

Sicherheitsstatus erstellen

Führen Sie diese Aufgabe aus, um eine Statusressource im Security Command Center zu erstellen, die Sie bereitstellen können. Wenn Sie in der Google Cloud Console eine Sicherheitsstatusvorlage aus einer vordefinierten Sicherheitsstatusvorlage erstellt haben, wird die Sicherheitsstatusressource automatisch für Sie erstellt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf Status erstellen. Sie können eine Statusrichtlinie erstellen, indem Sie mit einer vorhandenen Statusrichtlinie oder Vorlage beginnen oder die auf eine Ressource angewendeten Richtlinien verwenden.

    Sicherheitsstatus mit einem vorhandenen Sicherheitsstatus oder einer Vorlage erstellen

    1. Wählen Sie Mit vorhandenem Status oder vorhandener Vorlage beginnen (Status durchsuchen) aus.
    2. Geben Sie Statusdetails wie Statusname und Beschreibung an.
    3. Klicken Sie auf Status auswählen. Sie können eine Status auf Basis eines vorhandenen Status oder einer Vorlage erstellen.
      • Wählen Sie Status aus, um einen Status anhand eines vorhandenen Status zu erstellen. Wählen Sie einen Status aus der Liste der angezeigten Status aus und wählen Sie dann eine oder mehrere Versionen aus der Liste der verfügbaren Versionen für den ausgewählten Status aus.
      • Wählen Sie Vorlage aus, um einen Status mithilfe einer Vorlage zu erstellen, und wählen Sie dann eine oder mehrere Vorlagen aus der Liste der angezeigten Vorlagen aus.
    4. Klicken Sie auf Speichern. Im Abschnitt Richtliniensätze finden Sie eine Liste der Richtliniensätze, die mit dem ausgewählten Status verknüpft sind.
    5. Wählen Sie die Richtlinien aus der Liste der Richtliniensätze aus. Sie können die Richtlinie auch bearbeiten und auf dieser Seite in eine andere Richtliniengruppe verschieben. Sie können keine Status mit zwei Richtlinien mit demselben Namen innerhalb desselben Richtliniensatzes erstellen.
    6. Klicken Sie auf Erstellen.

    Status mithilfe der auf eine Ressource angewendeten Richtlinien erstellen

    1. Wählen Sie Mit Status beginnen, der auf eine Ressource angewendet wurde (Ressourcen durchsuchen) aus.
    2. Geben Sie Statusdetails wie Statusname und Beschreibung an.
    3. Klicken Sie auf Ressourcen auswählen.
    4. Wählen Sie eine Ressource aus der Liste der angezeigten Ressourcen aus und klicken Sie auf Erstellen.

    Sie werden zur Seite Statusdetails weitergeleitet, auf der Informationen zum erstellten Status angezeigt werden. Sie können die Richtliniensätze sehen, die mit dieser Statusbeschreibung verknüpft sind.

gcloud

  1. Führen Sie den Befehl gcloud scc postures create aus, um eine Statuslinie mit der Datei posture.yaml zu erstellen.

    gcloud scc postures create POSTURE_NAME \
    --posture-from-file=POSTURE_FROM_FILE

    Ersetzen Sie die folgenden Werte:

    • POSTURE_NAME ist der relative Ressourcenname des Status. Beispiel: organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID

      • POSTURE_ID ist ein alphanumerischer Name für Ihren Status, der für Ihre Organisation eindeutig ist. POSTURE_ID ist auf 63 Zeichen beschränkt.

    Führen Sie beispielsweise den folgenden Befehl aus, um eine Status mit der ID posture-example-1 unter der Organisation organizations/3589215982 zu erstellen:

    gcloud scc postures create \
    organizations/3589215982/locations/global/postures/posture-example-1 \
    --posture-from-file=posture.yaml

    Wenn die Erstellung der Statuslinie fehlschlägt, löschen Sie die Statuslinie, beheben Sie den Fehler und versuchen Sie es noch einmal.

  2. Informationen dazu, wie Sie prüfen, ob der Status erfolgreich erstellt wurde, finden Sie unter Status ansehen.

Wenn Sie diese Statusform auf Ihre Umgebung anwenden möchten, müssen Sie die Statusform bereitstellen.

Terraform

Wenn Sie eine Terraform-Konfiguration für die Statusressource erstellt haben, müssen Sie sie über Ihre Infrastructure-as-Code-Pipeline bereitstellen.

Weitere Informationen finden Sie unter Terraform in Google Cloud.

Sicherheitsstatus bereitstellen

Nachdem Sie eine Posture erstellt haben, stellen Sie sie in einem Projekt, Ordner oder einer Organisation bereit, damit Sie die Richtlinien und ihre Definitionen auf bestimmte Ressourcen in Ihrer Organisation anwenden und auf Abweichungen überwachen können. Sie können nur eine Statusrichtlinie für ein Projekt, einen Ordner oder eine Organisation bereitstellen.

Prüfen Sie, ob der Status des Posture ACTIVE ist.

Wenn Sie die Statusprüfung bereitstellen, geschieht Folgendes:

  • Die Definitionen für Organisationsrichtlinien und Security Health Analytics-Detektoren werden angewendet.
  • Für jede benutzerdefinierte Organisationsrichtlinie, die im Status definiert ist, wird eine neue benutzerdefinierte Einschränkung erstellt. Das gilt auch dann, wenn Sie den Status aus einer Vorlage oder aus extrahierten Richtlinien erstellt und diese Richtlinien unverändert gelassen haben. Die Einschränkungs-ID enthält die Versions-ID der Sicherheitsstatus-Richtlinie als Suffix. Wenn alle Bereitstellungen des Status gelöscht werden, wird das Suffix durch eine zufällige UUID ersetzt.
  • Für jeden benutzerdefinierten Security Health Analytics-Detektor, der in der Posture definiert ist, wird eine neue benutzerdefinierte Einschränkung erstellt. Das gilt auch dann, wenn Sie den Status aus einer Vorlage oder aus extrahierten Richtlinien erstellt und diese Richtlinien unverändert gelassen haben.

  • Der Standardstatus für die benutzerdefinierten Module ist auf Aktiviert festgelegt.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf dem Tab Status auf den Status, den Sie bereitstellen möchten.

  4. Wählen Sie auf der Seite Statusdetails die Version des Status aus. Die ausgewählte Statusversionsversion muss den Status „Aktiv“ haben.

  5. Klicken Sie auf Auf Ressourcen anwenden.

  6. Klicken Sie auf Auswählen, um die Organisation, den Ordner oder das Projekt auszuwählen, in dem Sie den Status bereitstellen möchten.

  7. Klicken Sie auf Status anwenden.

gcloud

Führen Sie den Befehl gcloud scc posture-deployments create aus, um einen Status in einem Projekt, Ordner oder einer Organisation bereitzustellen.

gcloud scc posture-deployments create POSTURE_DEPLOYMENT_NAME \
    --posture-name=POSTURE_NAME \
    --posture-revision-id=POSTURE_REVISION_ID \
    --target-resource=TARGET_RESOURCE

Ersetzen Sie die folgenden Werte:

  • POSTURE_DEPLOYMENT_NAME ist der relative Ressourcenname für die Posture-Bereitstellung. Das Format ist organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • LOCATION ist global.

  • POSTURE_ID ist ein alphanumerischer Name für Ihren Status, der für Ihre Organisation eindeutig ist.

  • --posture-name=POSTURE_NAME ist der Name des Status, den Sie bereitstellen. Das Format ist organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID.

Wenn Ihr Status einen AWS-spezifischen Detektor enthält, müssen Sie den Status auf Organisationsebene bereitstellen (Vorschau).

Führen Sie beispielsweise den folgenden Befehl aus, um eine Statusform bereitzustellen:

gcloud scc posture-deployments create \
  organizations/3589215982/locations/global/postureDeployments/postureDeployment123 \
  --posture-name=organizations/3589215982/locations/global/postures/StagingAIPosture \
  --posture-revision-id=version1 \
  --target-resource=projects/4589215982

Sie können Statusinformationen sehen, während der Befehl ausgeführt wird. Wenn die Erstellung der Posture-Bereitstellung fehlschlägt, löschen Sie die Bereitstellung, beheben Sie den Fehler und versuchen Sie es noch einmal.

Terraform

Sie können eine Terraform-Ressource erstellen, um einen Status bereitzustellen.

resource "google_securityposture_posture_deployment" "posture_deployment_example" {
  posture_deployment_id          = "<POSTURE_DEPLOYMENT_ID>"
  parent = "organizations/<ORGANIZATION_ID>"
  location = "global"
  description = "a new posture deployment"
  target_resource = "<TARGET_RESOURCE>"
  posture_id = "<POSTURE_NAME>"
  posture_revision_id = "<POSTURE_REVISION_ID>"
}

Weitere Informationen finden Sie unter google_securityposture_posture_deployment.

Informationen zum Sicherheitsstatus und zur Bereitstellung des Sicherheitsstatus ansehen

Sie können Informationen zu Status und Statusbereitstellung aufrufen, z. B.:

  • Welche Sicherheitsstatus bereitgestellt werden und wo in der Ressourcenhierarchie (Organisationen, Projekte und Ordner) sie angewendet werden
  • Versionen und Status von Statuswerten
  • Die operativen Details einer Statusbereitstellung

Sicherheitsstatus ansehen

Sie können Informationen zu einer Posture aufrufen, z. B. den Status und die Richtliniendefinitionen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf dem Tab Status auf den Status, den Sie sich ansehen möchten. Die Statusdetails werden angezeigt.

gcloud

Führen Sie den Befehl gcloud scc postures describe aus, um eine von Ihnen erstellte Statuslinie aufzurufen.

gcloud scc postures describe POSTURE_NAME \
    --revision-id=REVISION_ID

Ersetzen Sie die folgenden Werte:

  • POSTURE_NAME ist der relative Ressourcenname des Status. Beispiel: organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID

  • POSTURE_ID ist ein alphanumerischer Name für Ihren Status, der für Ihre Organisation eindeutig ist.

  • revision-id=REVISION_ID ist ein optionales Flag, mit dem angegeben wird, welche Version des Status angezeigt werden soll. Wenn Sie das Flag nicht angeben, wird die aktuelle Version zurückgegeben.

Wenn Sie beispielsweise eine Posture mit dem Namen organizations/3589215982/locations/global/postures/posture-example-1 und der Versions-ID abcdefgh aufrufen möchten, führen Sie folgenden Befehl aus:

gcloud scc postures describe \
    organizations/3589215982/locations/global/postures/posture-example-1 \
    --revision-id=abcdefgh

Informationen zu einem Vorgang zur Bereitstellung eines Sicherheitsstatus aufrufen

Führen Sie den Befehl gcloud scc posture-operations describe aus, um die Vorgangsdetails für einen Vorgang zur Bereitstellung einer Statusrichtlinie aufzurufen.

gcloud scc posture-operations describe OPERATION_NAME

Dabei ist OPERATION_NAME der relative Ressourcenname für den Vorgang. Das Format ist organizations/ORGANIZATION_ID/locations/global/operations/OPERATION_ID. Sie können die OPERATION_ID abrufen, indem Sie das Argument --async verwenden, wenn Sie den Befehl „posture“ ausführen.

Führen Sie beispielsweise Folgendes aus, um einen Scanvorgang mit dem Namen organizations/3589215982/locations/global/operations/operation-1694515698847-605272e4bcd7c-f93dade6-067467ae aufzurufen:

gcloud scc posture-operations describe \
    organizations/3589215982/locations/global/operations/operation-1694515698847-605272e4bcd7c-f93dade6-067467ae

Informationen zu einer Statusbereitstellung ansehen

Sie können sehen, wo eine Statusrichtlinie bereitgestellt ist, und den Bereitstellungsstatus abrufen.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf dem Tab Status auf den Status, den Sie bereitgestellt haben.

  4. Rufen Sie den Tab Ressourcen auf, um die Projekte, Ordner und die Organisation, in der der Status bereitgestellt wird, sowie den Bereitstellungsstatus aufzurufen.

gcloud

Führen Sie den Befehl gcloud scc posture-deployments describe aus, um Informationen zu einem bereitgestellten Status aufzurufen.

gcloud scc posture-deployments describe POSTURE_DEPLOYMENT_NAME

Dabei ist POSTURE_DEPLOYMENT_NAME der relative Ressourcenname für das Posture-Deployment. Das Format ist organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • LOCATION ist global.
  • POSTURE_DEPLOYMENT_ID ist ein eindeutiger Name für die Statusbereitstellung.

Führen Sie beispielsweise den folgenden Befehl aus, um die Details für eine Statusbereitstellung mit dem Namen organizations/3589215982/locations/global/postureDeployments/Posture-deployment-example-1 aufzurufen:

gcloud scc posture-deployments describe \
    organizations/3589215982/locations/global/postureDeployments/Posture-deployment-example-1

Status und Statusbereitstellung aktualisieren

Sie können Folgendes aktualisieren:

  • Der Status des Status.
  • Die Richtliniendefinitionen in einer Statusbeschreibung.
  • Die Organisation, die Ordner oder die Projekte, in denen eine Statusrichtlinie bereitgestellt wird.

Richtliniendefinitionen in einem Status aktualisieren

Möglicherweise müssen Sie eine Statusform aktualisieren, wenn Sie weitere Google Cloud -Dienste aktivieren, zusätzliche Ressourcen bereitstellen oder zusätzliche Richtlinien benötigen, um neue oder sich ändernde Compliance-Anforderungen zu erfüllen. Wenn Sie eine bereitgestellte Statusversion aktualisieren, wird mit dieser Aufgabe eine neue Statusversion erstellt. Andernfalls wird die Statusversion aktualisiert, die Sie beim Ausführen des Aktualisierungsbefehls angeben.

  1. Öffnen Sie eine YAML-Datei in einem Texteditor. Fügen Sie die Felder, die Sie aktualisieren möchten, zusammen mit ihren Werten hinzu. Wenn Sie Richtliniensätze aktualisieren, muss Ihre Datei alle Richtliniensätze enthalten, die Sie in den Status aufnehmen möchten, einschließlich der bereits vorhandenen Richtliniensätze. Eine Anleitung finden Sie unter YAML-Datei für Status ändern.

  2. Führen Sie den Befehl gcloud scc postures update aus, um den Status zu aktualisieren.

    gcloud scc postures update POSTURE_NAME \
    --posture-from-file=POSTURE_FROM_FILE \
    --revision-id=POSTURE_REVISION_ID \
    --update-mask=UPDATE_MASK

    Ersetzen Sie die folgenden Werte:

    • POSTURE_NAME ist der relative Ressourcenname des Status. Beispiel: organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID

      • POSTURE_ID ist ein alphanumerischer Name für Ihren Status, der für Ihre Organisation eindeutig ist.

    • POSTURE_FROM_FILE ist der relative oder absolute Pfad zur Datei posture.yaml, die Ihre Änderungen enthält.

      • POSTURE_ID ist ein alphanumerischer Name für Ihren Status, der für Ihre Organisation eindeutig ist.

    • POSTURE_FROM_FILE ist der relative oder absolute Pfad zur Datei posture.yaml, die Ihre Änderungen enthält.

    • --revision-id=REVISION_ID ist die Statusversion, die Sie bereitstellen möchten. Wenn der Sicherheitsstatus bereits bereitgestellt ist, erstellt der Sicherheitsstatusdienst automatisch eine neue Version des Sicherheitsstatus mit einer anderen Überarbeitungs-ID und fügt die Überarbeitungs-ID in die Ausgabe ein.

    • --update-mask=UPDATE_MASK ist die Liste der Felder, die Sie aktualisieren möchten, im kommagetrennten Format. Dieses Argument ist optional. Sie können UPDATE_MASK auf einen der folgenden Werte festlegen:

      • * oder nicht angegeben: Die Änderungen, die Sie an den Richtliniensätzen und der Statusbeschreibung vorgenommen haben, werden angewendet.
      • policy_sets: Nur die Änderungen an den Richtliniensätzen werden angewendet.
      • description: Die Änderungen, die Sie an der Statusbeschreibung vorgenommen haben, werden nur angewendet.
      • policy_sets, description: Übernehmen Sie die Änderungen, die Sie an den Richtliniensätzen und der Statusbeschreibung vorgenommen haben.
      • state: Nur die Statusänderung wird angewendet.

    Wenn Sie beispielsweise eine Posture mit dem Namen posture-example-1 in der Organisation organizations/3589215982/locations/global und der Versions-ID abcd1234 aktualisieren möchten, führen Sie Folgendes aus:

    gcloud scc postures update \
    organizations/3589215982/locations/global/posture-example-1 \
    --posture-from-file=posture.yaml --revision-id=abcd1234 --update-mask=policy_sets

    Wenn die Aktualisierung der Sicherheitsstatusrichtlinie fehlschlägt, beheben Sie den Fehler und versuchen Sie es noch einmal.

  3. Informationen dazu, wie Sie prüfen, ob der Sicherheitsstatus erfolgreich aktualisiert wurde, finden Sie unter Sicherheitsstatus ansehen.

Status einer Posture ändern

Der Status einer Statusprüfung bestimmt, ob sie für die Bereitstellung in einem Projekt, einem Ordner oder einer Organisation verfügbar ist.

Eine Status kann folgende Status haben:

  • DRAFT: Die Statusversion ist nicht bereit für die Bereitstellung. Sie können keine Statusversion bereitstellen, die sich im Status DRAFT befindet.
  • ACTIVE: Die Statusversion ist für die Bereitstellung verfügbar. Sie können den Status von ACTIVE in DRAFT oder DEPRECATED ändern.

  • DEPRECATED: Eine DEPRECATED-Statusversion kann nicht auf einer Ressource bereitgestellt werden. Sie müssen alle vorhandenen Posture-Deployments der Posture löschen, bevor Sie eine Posture-Version einstellen können. Wenn Sie eine verworfene Statusversion noch einmal bereitstellen möchten, müssen Sie ihren Status in ACTIVE ändern.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf dem Tab Status auf den Status, den Sie aktualisieren möchten.

  4. Klicken Sie auf der Seite Statusdetails auf Bearbeiten.

  5. Wählen Sie den Status aus und klicken Sie auf Speichern.

gcloud

Führen Sie den Befehl gcloud scc postures update aus, um den Status einer Posture zu ändern. Sie können den Status des Status nicht gleichzeitig mit anderen Feldern aktualisieren. Eine Anleitung zum Ausführen des Befehls gcloud scc postures update finden Sie unter YAML-Datei für Status ändern.

Statusbereitstellung aktualisieren

Aktualisieren Sie ein Status-Deployment für ein Projekt, einen Ordner oder eine Organisation, um einen neuen Status oder eine neue Version eines Status bereitzustellen.

Wenn die zu aktualisierende Posture-Version eine benutzerdefinierte Organisationseinschränkung enthält, die über die Google Cloud Konsole gelöscht wurde, können Sie das Posture-Deployment nicht mit derselben Posture-ID aktualisieren. Der Organisationsrichtliniendienst verhindert das Erstellen benutzerdefinierter Organisationseinschränkungen mit demselben Namen. Stattdessen müssen Sie eine neue Version des Status erstellen oder eine andere Status-ID verwenden.

Außerdem werden Ergebnisse für die Richtlinienbereitstellungen deaktiviert, die im Rahmen des Aktualisierungsvorgangs gelöscht wurden.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf dem Tab Status auf den Status, den Sie aktualisieren möchten.

  4. Wählen Sie auf der Seite Statusdetails die Version des Status aus.

  5. Klicken Sie auf Auf Ressourcen anwenden.

  6. Klicken Sie auf Auswählen, um die Organisation, den Ordner oder das Projekt auszuwählen, in dem Sie den Status bereitstellen möchten. Wenn Sie eine Meldung sehen, dass die Bereitstellung bereits vorhanden ist, löschen Sie die Bereitstellung, bevor Sie es noch einmal versuchen.

gcloud

Führen Sie den Befehl gcloud scc posture-deployments update aus, um eine Statusrichtlinie bereitzustellen.

gcloud scc posture-deployments update POSTURE_DEPLOYMENT_NAME \
    --description=DESCRIPTION \
    --update-mask=UPDATE_MASK \
    --posture-id=POSTURE_ID \
    --posture-revision-id=POSTURE_REVISION_ID

Ersetzen Sie die folgenden Werte:

  • POSTURE_DEPLOYMENT_NAME ist der relative Ressourcenname für die Posture-Bereitstellung. Das Format ist organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

    • POSTURE_DEPLOYMENT_ID ist ein eindeutiger Name für die Statusbereitstellung.

  • --description=DESCRIPTION ist die optionale Beschreibung für den bereitgestellten Status.

  • --posture-id=POSTURE_ID ist der Name für Ihren Status, der für Ihre Organisation eindeutig ist. Das Format dafür lautet organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_NAME.

  • --posture-revision-id=POSTURE_REVISION_ID ist die Statusversion, die Sie bereitstellen möchten. Sie finden sie in der Antwort, die Sie erhalten, wenn Sie die Sicherheitsstatus erstellen oder den Sicherheitsstatus aufrufen.

  • --update-mask=UPDATE_MASK ist die Liste der Felder, die Sie aktualisieren möchten, im kommagetrennten Format. Dieses Argument ist optional.

Beispiel: Sie möchten ein Status-Deployment mit den folgenden Kriterien aktualisieren:

  • Organisation: organizations/3589215982/locations/global
  • Bereitstellungs-ID des Sicherheitsstatus: postureDeploymentexample
  • Sicherheitsstatus-ID: StagingAIPosture
  • Version: version2

Führen Sie dazu diesen Befehl aus:

gcloud scc posture-deployments update \
    organizations/3589215982/locations/global/postureDeployments/postureDeploymentexample \
    --posture-id=organizations/3589215982/locations/global/postures/StagingAIPosture \
    --posture-revision-id=version2

Sie können Statusinformationen sehen, während der Befehl ausgeführt wird. Wenn die Aktualisierung der Posture-Bereitstellung fehlschlägt, löschen Sie die Bereitstellung, beheben Sie den Fehler und versuchen Sie es noch einmal.

Statusabweichung überwachen

Sie können einen bereitgestellten Sicherheitsstatus auf Abweichungen von Ihren definierten Richtlinien im Sicherheitsstatus überwachen. Eine Abweichung ist eine Änderung an einer Richtlinie, die außerhalb einer Posture erfolgt. Eine Abweichung tritt beispielsweise auf, wenn ein Administrator eine Richtliniendefinition in der Console ändert, anstatt das Status-Deployment zu aktualisieren.

Der Sicherheitsstatus-Dienst erstellt Ergebnisse, die Sie in der Google Cloud Console oder der gcloud CLI aufrufen können, wenn eine Abweichung auftritt.

Console

Für alle Status können Sie Abweichungen auf der Seite Ergebnisse überwachen.

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Verwenden Sie die folgenden Filteroptionen, um Status-Ergebnisse zu untersuchen:

    • Wählen Sie im Bereich Schnellfilter das Ergebnis Verstoß gegen Posture aus. Sie können auch den folgenden Filter in die Abfragevorschau eingeben:

      state="ACTIVE" AND NOT mute="MUTED" AND finding_class="POSTURE_VIOLATION"

    • Wenn Sie Ergebnisse zu benutzerdefinierten Security Health Analytics-Modulen aufrufen möchten, die speziell für Gemini Enterprise Agent Platform-Arbeitslasten gelten, führen Sie die folgende Filterabfrage aus:

      state="ACTIVE" AND NOT mute="MUTED" AND resource.type:"aiplatform"

    • Wenn Sie Ergebnisse im Zusammenhang mit Abweichungen von Organisationsrichtlinien der Gemini Enterprise Agent Platform sehen möchten, die Sie in einem Status angewendet haben, führen Sie die folgende Filterabfrage aus:

        state="ACTIVE" AND NOT mute="MUTED" AND
  (category="SECURITY_POSTURE_POLICY_DRIFT" OR
  category="SECURITY_POSTURE_POLICY_DELETE" OR
  category="SECURITY_POSTURE_DETECTOR_DRIFT" OR
  category="SECURITY_POSTURE_DETECTOR_DELETE")
  AND contains(risks, risk_category = "AI_WORKLOAD_AT_RISK")

  4. Klicken Sie auf ein Ergebnis, um die Details aufzurufen.

gcloud

Führen Sie in der gcloud CLI den folgenden Befehl aus, um Abweichungsergebnisse aufzurufen:

gcloud scc findings list ORGANIZATION_ID \
    --filter="category=\"SECURITY_POSTURE_DRIFT\""

Dabei ist ORGANIZATION_ID die ID der Organisation.

Sie können diese Ergebnisse auf dieselbe Weise exportieren wie alle anderen Ergebnisse aus dem Security Command Center. Weitere Informationen finden Sie unter Security Command Center-Daten exportieren.

Sicherheitsstatusergebnisse beheben

Informationen zum Beheben der einzelnen Ergebnisse finden Sie unter Ergebnisse des Sicherheitsstatusdienstes. Sie können die Statusbereitstellung auch mit derselben Status-ID und Statusversion aktualisieren.

Drift-Ergebnis für Testzwecke generieren

Nachdem Sie eine Statusrichtlinie bereitgestellt haben, können Sie auf Abweichungen von Ihren Richtlinien prüfen. So sehen Sie sich Abweichungsergebnisse in einer Testumgebung an:

  1. Wechseln Sie in der Console zur Seite Organisationsrichtlinien.

    Zu „Organisationsrichtlinie“

  2. Wählen Sie eine Organisation aus.

  3. Bearbeiten Sie eine der Richtlinien, die Sie im bereitgestellten Status definiert haben. Wenn Sie beispielsweise einen vordefinierten sicheren KI-Status verwenden, können Sie die Richtlinie Zugriff über öffentliche IP-Adressen auf neue Vertex AI Workbench-Notebooks und ‑Instanzen einschränken bearbeiten.

  4. Klicken Sie nach dem Ändern der Richtlinie auf Richtlinie festlegen.

  5. Rufen Sie die Seite Ergebnisse auf.

    Zu Ergebnissen

  6. Wählen Sie eine Organisation aus.

  7. Wählen Sie im Bereich Schnellfilter im Abschnitt Anzeigename der Quelle die Option Sicherheitsstatus aus. Innerhalb von fünf Minuten sollte ein Ergebnis zu Ihrer Änderung angezeigt werden.

  8. Klicken Sie auf das Ergebnis, um die Details aufzurufen.

Status-Deployment löschen

Sie können eine Statusbereitstellung löschen, wenn sie nicht ordnungsgemäß bereitgestellt wurde, Sie einen bestimmten Status nicht mehr benötigen oder Sie einen bestimmten Status nicht mehr einem Projekt, Ordner oder einer Organisation zuweisen möchten. Damit ein Status-Deployment gelöscht werden kann, muss es einen der folgenden Status haben:

  • ACTIVE
  • CREATE_FAILED
  • UPDATE_FAILED
  • DELETE_FAILED

Informationen zum Prüfen des Status einer Posture-Bereitstellung finden Sie unter Informationen zu einer Posture-Bereitstellung ansehen.

Wenn Sie ein Status-Deployment löschen, entfernen Sie den Status von der Ressource (Ihrer Organisation, Ihrem Ordner oder Ihrem Projekt), der Sie ihn zugewiesen haben. Außerdem werden die zugehörigen Ergebnisse deaktiviert.

Die Ausgabe für verschiedene Richtlinientypen sieht so aus:

  • Wenn Sie ein Sicherheitsstatus-Deployment löschen, das benutzerdefinierte Organisationsrichtlinien enthält, werden die benutzerdefinierten Organisationsrichtlinien gelöscht. Die benutzerdefinierte Einschränkung bleibt jedoch bestehen.

  • Wenn Sie ein Status-Deployment löschen, das integrierte Security Health Analytics-Detektoren enthält, hängt der endgültige Status der Security Health Analytics-Module von der Organisation, dem Ordner oder dem Projekt ab, in dem das Deployment vorhanden war.

    • Wenn Sie eine Sicherheitsstatus-Richtlinie für einen Ordner oder ein Projekt bereitgestellt haben, übernehmen die integrierten Security Health Analytics-Detektoren ihren Status von der übergeordneten Organisation oder dem übergeordneten Ordner.
    • Wenn Sie eine Sicherheitsstatus auf Organisationsebene bereitgestellt haben, werden die integrierten Security Health Analytics-Detektoren auf den Standardstatus zurückgesetzt. Eine Beschreibung der Standardstatus finden Sie unter Detektoren aktivieren und deaktivieren.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf dem Tab Status auf den Status, den Sie von der Ressource entfernen möchten, der er zugewiesen ist.

  4. Wählen Sie auf der Seite Statusdetails die Version des Status aus und rufen Sie Ressourcen auf.

  5. Klicken Sie in der Liste der Ressourcen, auf denen die aktuelle aktive Statusversion bereitgestellt ist, auf Entfernen.

gcloud

Führen Sie den Befehl gcloud scc posture-deployments delete aus, um eine Statusbereitstellung zu löschen.

gcloud scc posture-deployments delete POSTURE_DEPLOYMENT_NAME

POSTURE_DEPLOYMENT_NAME ist der relative Ressourcenname für die Posture-Bereitstellung. Das Format ist organizations/ORGANIZATION_ID/locations/global/postureDeployments/POSTURE_DEPLOYMENT_ID.

  • POSTURE_DEPLOYMENT_ID ist der eindeutige Name für die Statusbereitstellung.

Wenn Sie beispielsweise ein Status-Deployment mit dem Namen organizations/3589215982/locations/global/postureDeployments/posture-deployment-example-1 löschen möchten, führen Sie Folgendes aus:

gcloud scc posture-deployments delete \
    organizations/3589215982/locations/global/postureDeployments/posture-deployment-example-1

Status löschen

Wenn Sie einen Status löschen, werden auch alle Versionen gelöscht. Sie können eine Statusform nicht löschen, wenn eine ihrer Überarbeitungen bereitgestellt ist. Sie müssen alle Statusbereitstellungen löschen, bevor Sie diese Aufgabe ausführen können.

Console

  1. Rufen Sie in der Google Cloud Console die Seite Posture Management auf.

    Zur Statusverwaltung

  2. Wählen Sie eine Organisation aus.

  3. Klicken Sie auf dem Tab Status auf den Status, den Sie löschen möchten.

  4. Klicken Sie auf der Seite Statusdetails auf Löschen.

gcloud

Führen Sie den Befehl gcloud scc postures delete aus, um eine Status zu löschen.

 gcloud scc postures delete POSTURE_NAME

POSTURE_NAME ist der relative Ressourcenname der Status.

Beispiel: organizations/ORGANIZATION_ID/locations/global/postures/POSTURE_ID. Die Status-ID ist ein alphanumerischer Name für Ihren Status, der für Ihre Organisation eindeutig ist.

Wenn Sie beispielsweise eine Statusrichtlinie mit dem Namen organizations/3589215982/locations/global/postures/posture-example-1 löschen möchten, führen Sie den folgenden Befehl aus:

 gcloud scc postures delete \
     organizations/3589215982/locations/global/postures/posture-example-1

Nächste Schritte