データ所在地またはデータ暗号化の構成を変更する

組織で Security Command Center を有効にした後、スタンダード ティアとプレミアム ティアで組織の データ所在地と データ暗号化 の構成を変更できます。具体的には、次のことができます。

  • データ所在地の有効化または無効化、データ ロケーションの変更。
  • Google 管理の暗号鍵または Cloud Key Management Service 鍵を使用するようにデータ暗号化の構成を変更する。
  • Cloud KMS 鍵を変更する。

制限事項

この機能には次の制限があります。

  • データ移行は週に 1 回のみ実行できます。データ ロケーションまたはデータ暗号化を複数回変更する場合は、変更の間隔を 1 週間以上空けてください。

  • Security Command Center がプロジェクト レベルでのみ有効になっている場合、この機能は対象外です。

  • データ移行中、notificationConfigs リソースは v1 構造 から v2 構造に更新されます。

    v2 API では source_properties フィールドはサポートされていません。必要に応じて、Pub/Sub とBigQueryのエクスポート構成を更新します。

    詳細については、 Security Command Center API の v2 に移行するをご覧ください。

始める前に

構成を変更する前に、次の操作を行います。

  1. 変更を計画する。
  2. 必要なロールが付与されていることを確認する。
  3. データ ロケーションまたは鍵を変更する場合は、Cloud Key Management Service 鍵を作成するか、見つける。
  4. データ ロケーションを変更する場合は、ミュートルールとエクスポート構成を準備する。

変更を計画する

デフォルトの global データ ロケーションから移行する場合は、 データ所在地の計画を 読んで、Security Command Center がデータ所在地をどのようにサポートしているかを確認してください。

データ暗号化を Google 管理の 暗号鍵から Cloud KMS 鍵に変更する場合は、 Security Command Center の CMEK を有効にするを読んで、 Security Command Center で顧客管理の暗号鍵（CMEK）を使用する方法を確認してください。

一括エクスポートを実行していないときに構成の変更を計画します。一括エクスポートを開始した場合は、そのプロセスが完了するまで待ちます。

構成を変更した後、検出結果の量に応じて、データ移行プロセスに 4 時間から 24 時間かかることがあります。この 間、Security Command Center と 有効になっている組み込みの検出サービス は一時的に一時停止します。

  • Security Command Center は検出結果を生成または更新しません。 統合サービスまたはサードパーティ サービスから Security Command Center に送信された検出結果は受信されません。
  • Security Command Center から他のリソースへのデータ エクスポートは一時停止します。
  • コンソールの Security Command Center ページにアクセスできません。

  • 次の Security Command Center API は使用できません。

    • securitycenter.googleapis.com
    • securitycentermanagement.googleapis.com

    移行中に API メソッドが呼び出されると、 FAILED_PRECONDITION エラーが API access is temporarily unavailable due to an ongoing data migration というメッセージとともに返されます。

移行が完了すると、Security Command Center と組み込みサービスが自動的に再起動します。

Security Command Center が他のプロダクトと統合されている場合、移行中にこれらの接続が中断される可能性があります。

データ所在地の構成を変更すると、特定のフィールドが新しいロケーション識別子（global から us など）で更新されます。これは次のリソースに影響します。

  • 検出結果: name と canonicalNames の値。
  • ミュートルール: name の MuteConfig 値。

これらのフィールド値に依存する検出結果の検索クエリ、外部システム、スクリプトを更新することを計画します。

組織がデータ所在地のプレビュー プログラムに登録されていて、 初めて構成を更新する場合は、 プレビュー設定の更新時の考慮事項 をご覧ください。

必要なロール

Security Command Center のデータ ロケーションまたはデータ暗号化を移行するために必要な権限を取得するには、組織に対するSecurity Center 管理者 （roles/securitycenter.admin）IAM ロールを付与するよう管理者に依頼してください。ロールの付与については、プロジェクト、フォルダ、組織に対するアクセス権の管理をご覧ください。

必要な権限は、カスタム ロールや他の事前定義 ロールから取得することもできます。

Cloud Key Management Service 鍵を作成するか、見つける

次のいずれかに該当する場合は、鍵プロジェクトと Cloud Key Management Service 鍵を作成します。

  • Cloud Key Management Service 鍵を変更する予定がある。

  • Cloud Key Management Service 鍵を使用しているときに、データ所在地の構成を変更する予定がある。この場合は、Cloud Key Management Service 鍵を再度選択する必要があります。

詳細については、Security Command Center の CMEK を有効にするをご覧ください。

ミュートルールとエクスポート構成を準備する

データ ロケーションを変更する場合は、ロケーション識別子を含むフィールド値に依存する次の構成を更新します。

  • 検出結果のミュートルール
  • Pub/Sub の継続的エクスポート

フィールド値を変更して、新しいロケーション識別子（global から us など）を使用します。

プレビュー設定の更新時の考慮事項

この機能を初めて使用する場合は、データ所在地の構成を一般提供版の構成に更新する必要があります。データ所在地の構成を更新せずに、データ暗号化のみを変更するためにこの機能を初めて使用することはできません。

更新中、データはマルチリージョン構成から選択した単一のロケーションに移行されます。

データの移行後、次のことが起こる可能性があります。

  • 経時的にデータを表示するダッシュボード パネルに、移行前の日付の集計指標が正しく表示されないことがあります。一部のデータがマッピングされず、単一のロケーションに統合されないことがあります。

  • 移行プロセスで、リージョン間でデータを統合するときに重複する検出結果が特定された場合、最も新しい eventTime を持つ検出結果バージョンのみが移行されます。

構成を変更して移行を開始する

グローバル コンソールまたは管轄 Google Cloud コンソールを使用して、 データ所在地またはデータ暗号化の構成を変更できます。コンソールを選択する際は、次の点に注意してください。

  • CMEK 鍵の選択: [Cloud KMS] 鍵メニューには、コンソールと同じ管轄区域にある鍵のみが表示されます 。global コンソールを使用すると、メニューにすべての鍵が表示されます。
  • 通知の取得: Google Cloud コンソール通知 通知は、データ所在地の移行を開始したユーザーにのみ表示され、設定の構成に使用した 同じコンソール（グローバルまたは管轄）でのみ表示されます。

データ所在地の構成、データ暗号化の構成、またはその両方を変更できます。

  1. コンソールで、[設定] > [設定の詳細] に移動します。 Google Cloud

    [設定の詳細] に移動

  2. Security Command Center が有効になっている組織を選択します。

  3. [データ所在地と暗号化を管理] をクリックします。

  4. [**データ所在地の管理**] で、データ所在地を有効または無効にします。 データ所在地を有効にする場合は、データ ロケーション を選択します。既存の選択を変更しない場合、データ移行プロセスでは、検出結果とリソースのフィールド値のロケーション識別子は変更されません。

  5. [続行] をクリックします。

  6. [データ暗号化の管理] で、[暗号化] 構成を選択します。

    • [Google 管理の暗号鍵] または [Cloud KMS 鍵] を選択します。

    • [Cloud KMS 鍵] を選択した場合は、次の操作を行います。

      • [参照] をクリックして、鍵が保存されているプロジェクトを選択します。
      • 顧客管理の暗号鍵 を選択します。

    組織で Cloud KMS 鍵を使用しており、データ所在地の構成を変更した場合は、鍵プロジェクトと Cloud Key Management Service 鍵を再度選択する必要があります。

  7. 変更内容を確認し、[移行を開始] をクリックします。[キャンセル] をクリックして戻り、選択を変更します。

  8. [データ移行を開始] ダイアログで、組織 ID を入力して確認し、[データ移行を確認] をクリックします。

  9. データ移行のステータス ページが表示され、移行が進行中であることが示されます。

    データ移行が進行中の間は、Security Command Center ページにアクセスできません。移行中に Security Command Center にアクセスしようとすると、移行ステータス ページが表示されます。

  10. 移行が完了すると、ステータス ページに、新しく構成されたロケーションでコンソールを開くリンクが表示されます。

データ移行後に機能を確認する

移行が完了したら、Security Command Center、関連サービス、統合が想定どおりに動作することを確認します。

  • Security Command Center が使用可能で、以前に有効にしたサービスが有効になっていることを確認します。

  • データ エクスポート構成で正しいリソースが指定されていることを確認します。

    • BigQuery エクスポート構成で正しいデータセットが指定されていることを確認します。 BigQuery へのストリーミング エクスポートをご覧ください。

    • Pub/Sub エクスポート構成で正しいトピックが定義されていることを確認します。Pub/Sub の検出結果の通知をご覧ください。

  • データ所在地の構成を変更した場合は、次の点を更新します。

    • ミュートルール: 検出結果の name または canonicalName に依存するルールを更新します。

    • 検出結果の name または canonicalName に依存するフィルタと検出結果クエリを更新して、新しいロケーションを指定します。

    • 検出結果クエリが想定どおりに動作することを確認します。

  • Cloud Hub、App Design Center、GKE セキュリティ ポスチャー ダッシュボード、Google SecOps データの取り込みなど、他の Google Cloud サービスとの統合が想定どおりに動作していることを確認します。

次のステップ