Intégrer l'inventaire des éléments cloud à Google SecOps

Ce document explique comment intégrer l'inventaire des éléments cloud à Google Security Operations.

Cas d'utilisation

L'intégration de l'inventaire des éléments cloud utilise les fonctionnalités de Google SecOps pour prendre en charge les cas d'utilisation suivants :

  • Enrichir les ressources Google Cloud  : récupérez automatiquement des métadonnées détaillées pour les ressources cloud à l'aide de noms de ressources complets afin de fournir du contexte pour les alertes de sécurité.

  • Récupérer des instantanés de ressources : obtenez une vue ponctuelle des configurations et de l'état des ressources pour faciliter les enquêtes d'analyse d'incidents et l'analyse des modifications.

  • Auditer les autorisations des comptes de service : listez les rôles et les autorisations uniques associés aux comptes de service pour identifier les identités disposant de privilèges excessifs et respecter le principe du moindre privilège.

  • Inventaire des assets multicloud : accédez aux détails des ressources dansGoogle Cloud et les environnements externes connectés pour centraliser la visibilité de vos assets dans les investigations.

Avant de commencer

Avant de configurer l'intégration de l'inventaire des éléments cloud dans Google SecOps, effectuez les étapes préalables suivantes :

  1. Créez un compte de service.

  2. Créez un rôle IAM personnalisé.

  3. Attribuez les rôles nécessaires à votre compte de service.

  4. Choisissez et configurez l'une des méthodes d'authentification suivantes :

    • Option 1 : Workload Identity (recommandé) : cette méthode utilise des jetons d'accès temporaires de courte durée en empruntant l'identité d'un compte de service, ce qui élimine le besoin de stocker des secrets.

    • Option 2 : Clé JSON du compte de service : cette méthode repose sur un fichier de clé secrète statique et de longue durée. N'utilisez cette méthode que si Workload Identity n'est pas disponible dans votre environnement.

Créer un compte de service

Pour créer un compte de service, procédez comme suit :

  1. Dans la console Google Cloud , accédez à Identifiants.

    Accéder à "Identifiants"

  2. Dans le menu Créer des identifiants, sélectionnez Compte de service.

  3. Saisissez un nom dans le champ Nom du compte de service, puis cliquez sur Créer et continuer.

  4. Ignorez les écrans facultatifs d'attribution de rôle et d'accès du compte principal en cliquant sur Continuer > OK.

  5. Copiez l'adresse e-mail du compte de service pour l'utiliser lors des étapes de configuration.

Créer un rôle IAM personnalisé

Pour fournir à l'intégration les fonctionnalités de recherche requises, créez un rôle personnalisé :

  1. Dans la console Google Cloud , accédez à IAM et administration > Rôles.

    Accéder à la page "Rôles"

  2. Cliquez sur Créer un rôle, puis indiquez un titre (par exemple, "SecOps Asset Searcher") et un ID unique.

  3. Définissez l'étape de lancement du rôle sur Disponibilité générale.

  4. Cliquez sur Ajouter des autorisations, puis ajoutez cloudasset.assets.searchAllResources.

  5. Cliquez sur Créer.

Attribuer des rôles à votre compte de service

Pour permettre à l'intégration d'accéder à vos ressources, attribuez les rôles suivants à votre compte de service :

  1. Dans la console Google Cloud , accédez à IAM et administration > IAM.

  2. Recherchez votre compte de service, puis cliquez sur editModifier le compte principal.

  3. Cliquez sur Ajouter un autre rôle et sélectionnez les éléments suivants :

    • Le rôle IAM personnalisé créé à l'étape précédente.

    • Lecteur d'éléments Cloud.

    • Consommateur Service Usage (requis uniquement si vous utilisez un Quota Project ID).

  4. Cliquez sur Enregistrer.

Configurer les identifiants Workload Identity

Choisissez cette méthode ou la méthode de clé JSON pour authentifier l'intégration. Workload Identity est l'approche recommandée et la plus sécurisée, car elle utilise des jetons d'accès temporaires de courte durée en empruntant l'identité d'un compte de service. Cela évite d'avoir à stocker des secrets de longue durée ou à effectuer une rotation de ces secrets.

Identifier l'identité unique de l'instance

Pour vous authentifier à l'aide de Workload Identity, vous devez autoriser votre instance Google SecOps à emprunter l'identité de votre compte de service. Cela permet à l'instance d'accéder de manière sécurisée aux ressources Google Cloud .

  1. Dans Google SecOps, accédez à Content Hub > Intégrations de réponse.

  2. Sélectionnez l'intégration Inventaire des éléments cloud, puis saisissez l'adresse e-mail de votre compte de service dans Workload Identity Email.

  3. Cliquez sur Enregistrer > Tester. Le test devrait échouer.

  4. Cliquez sur close_small à droite de Test et recherchez dans le message d'erreur l'adresse e-mail d'identité commençant par gke-init-python@... ou soar-python@....

  5. Copiez cette adresse e-mail unique.

Autoriser l'identité de l'instance dans Google Cloud

Une fois que vous avez récupéré l'identité unique de votre instance Google SecOps, vous devez l'autoriser à accéder à vos ressourcesGoogle Cloud . Cette étape permet d'emprunter l'identité d'un compte de service, ce qui permet à la plate-forme de générer des jetons de courte durée et d'agir en votre nom sans avoir besoin de clés statiques.

  1. Dans la console Google Cloud , accédez à IAM et administration > Comptes de service.

    Accéder à la page "Comptes de service"

  2. Sélectionnez le compte de service cible, puis accédez à Autorisations > Accorder l'accès.

  3. Collez l'adresse e-mail unique dans le champ Nouveaux comptes principaux et attribuez le rôle Créateur de jetons du compte de service (roles/iam.serviceAccountTokenCreator).

Accorder l'accès au projet de quota

Lorsque vous vous authentifiez avec une Workload Identity, vous devez spécifier un Quota Project ID dans les paramètres d'intégration pour suivre l'utilisation de l'API et la facturation.

Pour ce faire, vous devez attribuer à votre compte de service le rôle suivant sur le projet de quota désigné :

  1. Dans la console Google Cloud , accédez à IAM et administration > IAM, puis sélectionnez votre projet.

    Accéder à IAM

  2. Recherchez votre compte de service dans la liste des comptes principaux, puis cliquez sur edit(Modifier le compte principal) pour ce compte.

  3. Cliquez sur Ajouter un autre rôle, puis sélectionnez le rôle Consommateur Service Usage (roles/serviceusage.serviceUsageConsumer).

  4. Cliquez sur Enregistrer.

Configurer une clé JSON

Choisissez cette méthode ou la méthode Workload Identity pour authentifier l'intégration. N'utilisez la méthode de clé JSON que si Workload Identity n'est pas disponible dans votre environnement. Workload Identity est l'approche recommandée et la plus sécurisée. Cette méthode repose sur un fichier de clé secrète statique et de longue durée qui nécessite une gestion et une rotation manuelles.

Suivez la procédure ci-dessous pour générer le fichier de clé JSON requis pour authentifier l'intégration :

  1. Dans la console Google Cloud , accédez à IAM et administration > Comptes de service, puis sélectionnez le compte de service que vous avez créé.

    Accéder à la page "Comptes de service"

  2. Accédez à l'onglet Clés.

  3. Cliquez sur Ajouter une clé > Créer une clé.

  4. Sélectionnez JSON comme type de clé, puis cliquez sur Créer. Le fichier JSON est téléchargé sur votre ordinateur.

  5. Copiez l'intégralité du contenu de ce fichier et collez-le dans User's Service Account lors de la configuration de l'intégration.

Paramètres d'intégration

L'intégration de l'inventaire des éléments cloud nécessite les paramètres suivants :

Paramètre Description
API Root Obligatoire

Racine de l'API de l'instance d'inventaire des éléments cloud.

La valeur par défaut est https://cloudasset.googleapis.com.
Organization ID Optional

ID d'organisation à utiliser dans l'intégration de l'inventaire des éléments cloud.
Project ID Optional

ID du projet à utiliser pour l'intégration de l'inventaire des éléments cloud. Si aucune valeur n'est fournie, l'intégration récupère l'ID du projet à partir du contenu du fichier JSON fourni dans le paramètre User's Service Account.
User's Service Account Obligatoire

Contenu complet du fichier de clé JSON du compte de service.
Quota Project ID Optional

L'ID de projet Google Cloud que vous utilisez pour les API et la facturation Google Cloud . Ce paramètre nécessite que vous accordiez le rôle Service Usage Consumer à votre compte de service.

Si aucune valeur n'est fournie, l'intégration récupère l'ID du projet à partir de votre compte de service Google Cloud .
Workload Identity Email Facultatif.

Adresse e-mail du client du compte de service utilisé pour l'emprunt d'identité Workload Identity.
Verify SSL Obligatoire

Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur inventaire des éléments cloud.

Cette option est activée par défaut.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Enrichir la ressource

Utilisez l'action Enrichir la ressource pour enrichir les informations sur une ressource Google Cloudà l'aide de l'inventaire des éléments cloud.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Pour configurer l'action Enrichir la ressource, utilisez les paramètres suivants :

Paramètre Description
Resource Names Obligatoire

Liste de noms de ressources dont vous souhaitez récupérer les détails, séparés par une virgule.

Pour configurer ce paramètre, saisissez le nom complet de la ressource de métadonnées au format suivant : //cloudresourcemanager.googleapis.com/projects/PROJECT_ID.
Fields To Return Optional

Liste de champs à renvoyer, séparés par une virgule.

La valeur par défaut est *.

Voici quelques exemples de valeurs : assetType, project, folders, organization, displayName, description, location, labels, networkTags, kmsKeys, createTime, updateTime, state, additionalAttributes, parentFullResourceName, parentAssetType.

L'action renvoie toujours le champ displayName.

Vous pouvez également configurer des filtres avancés. Par exemple, pour renvoyer une clé spécifique à partir de additionalAttributes, saisissez additionalAttributes.{key}. Pour exclure une clé spécifique de additionalAttributes, saisissez -additionalAttributes.{key}.

Sorties de l'action

L'action Enrichir la ressource fournit les résultats suivants :

Type de sortie de l'action Disponibilité
Pièce jointe du mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Table d'enrichissement Non disponible
Résultat JSON Disponible
Messages de sortie Disponible
Résultat du script Disponible
Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Enrichir la ressource :

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT/keys/KEY_ID",
    "EntityResult": {
      "additionalAttributes": {
        "email": "email@example.iam.gserviceaccount.com",
        "uniqueId": 123456789
      },
      "name": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT/keys/KEY_ID",
      "assetType": "iam.googleapis.com/ServiceAccountKey",
      "project": "projects/PROJECT",
      "displayName": "projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT@PROJECT.iam.gserviceaccount.com/keys/KEY_ID",
      "createTime": "2022-05-26T17:35:07Z",
      "versionedResources": [
        {
          "version": "v1",
          "resource": {
            "keyAlgorithm": "KEY_ALG_RSA_2048",
            "keyOrigin": "GOOGLE_PROVIDED",
            "keyType": "USER_MANAGED",
            "name": "projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT@PROJECT.iam.gserviceaccount.com/keys/KEY_ID",
            "validAfterTime": "2022-05-26T17:35:07Z",
            "validBeforeTime": "9999-12-31T23:59:59Z"
          }
        }
      ],
      "organization": "organizations/ORGANIZATION",
      "parentFullResourceName": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT@PROJECT.iam.gserviceaccount.com",
      "parentAssetType": "iam.googleapis.com/ServiceAccount"
    }
  }
]
Messages de sortie

L'action Enrichir la ressource peut renvoyer les messages de sortie suivants :

Message de sortie Description du message

Successfully enriched the following resources using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER

Action wasn't able to enrich the following resources using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER

None of the provided resources were enriched.

 L'action a réussi.
Error executing action "Enrich resources". Reason: ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Enrichir la ressource :

Nom du résultat du script Valeur
is_success True ou False

Obtenir un instantané de ressource

Utilisez l'action Obtenir un instantané de ressource pour obtenir des informations sur la ressource à l'aide de l'inventaire des éléments cloud.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Pour configurer l'action Obtenir un instantané de ressource, utilisez les paramètres suivants :

Paramètre Description
Resource Names Obligatoire

Liste de ressources séparées par une virgule pour lesquelles récupérer des détails.

Pour configurer ce paramètre, saisissez le nom complet de la ressource de métadonnées au format suivant : //cloudresourcemanager.googleapis.com/projects/PROJECT_ID.
Fields To Return Optional

Liste de champs à renvoyer, séparés par une virgule.

Saisissez chaque champ au format suivant :

assets.FIELD

Exemples de valeurs : assets.asset.name, assets.asset.assetType, assets.asset.resource.data.

L'action renvoie toujours le champ assets.asset.name.

La valeur par défaut est *.

Sorties de l'action

L'action Obtenir un instantané de ressource fournit les résultats suivants :

Type de sortie de l'action Disponibilité
Pièce jointe du mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Table d'enrichissement Non disponible
Résultat JSON Disponible
Messages de sortie Disponible
Résultat du script Disponible
Résultat JSON

Les exemples suivants montrent les résultats JSON reçus lors de l'utilisation de l'action Obtenir un instantané de ressource :

Résultat JSON pour Google Cloud
    [
 {
   "Entity": "//compute.googleapis.com/projects/example-project/zones/us-central1-a/instances/example-instance",
   "EntityResult": {
     "window": {
       "startTime": "2023-08-14T19:43:41.805828Z",
       "endTime": "2262-04-11T23:47:16.854775807Z"
     },
     "asset": {
       "name": "//compute.googleapis.com/projects/example-project/zones/us-central1-a/instances/example-instance",
       "assetType": "compute.googleapis.com/Instance",
       "resource": {
         "version": "v1",
         "discoveryDocumentUri": "https://www.googleapis.com/discovery/v1/apis/compute/v1/rest",
         "discoveryName": "Instance",
         "parent": "//cloudresourcemanager.googleapis.com/projects/example-project-id",
         "data": {
           "description": "",
           "serviceAccounts": [
             {
               "email": "user@example.com",
               "scopes": [
                 "https://www.googleapis.com/auth/devstorage.read_only",
                 "https://www.googleapis.com/auth/logging.write",
                 "https://www.googleapis.com/auth/monitoring.write",
                 "https://www.googleapis.com/auth/servicecontrol",
                 "https://www.googleapis.com/auth/service.management.readonly",
                 "https://www.googleapis.com/auth/trace.append"
               ]
             }
           ],
           "lastStartTimestamp": "2022-05-26T01:44:52.756-07:00",
           "deletionProtection": false,
           "name": "example-name",
           "keyRevocationActionType": "NONE_ON_KEY_REVOCATION",
           "canIpForward": false,
           "shieldedInstanceIntegrityPolicy": {
             "updateAutoLearnPolicy": true
           },
           "zone": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a",
           "resourceStatus": {},
           "scheduling": {
             "onHostMaintenance": "MIGRATE",
             "preemptible": false,
             "provisioningModel": "STANDARD",
             "automaticRestart": true
           },
           "machineType": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/machineTypes/e2-micro",
           "confidentialInstanceConfig": {
             "enableConfidentialCompute": false
           },
           "selfLink": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/instances/example-instance",
           "id": "example-id",
           "fingerprint": "example-fingerprint",
           "startRestricted": false,
           "networkInterfaces": [
             {
               "network": "https://www.googleapis.com/compute/v1/projects/example-project/global/networks/example-network",
               "stackType": "IPV4_ONLY",
               "name": "example",
               "subnetwork": "https://www.googleapis.com/compute/v1/projects/example-project/regions/us-central1/subnetworks/example-network-subnet",
               "accessConfigs": [
                 {
                   "type": "ONE_TO_ONE_NAT",
                   "name": "External NAT",
                   "natIP": "192.0.2.1",
                   "networkTier": "PREMIUM"
                 }
               ],
               "fingerprint": "example-fingerprint",
               "networkIP": "203.0.113.2"
             }
           ],
           "allocationAffinity": {
             "consumeAllocationType": "ANY_ALLOCATION"
           },
           "labelFingerprint": "example-label",
           "shieldedInstanceConfig": {
             "enableSecureBoot": false,
             "enableVtpm": true,
             "enableIntegrityMonitoring": true
           },
           "cpuPlatform": "Intel Broadwell",
           "creationTimestamp": "2022-05-26T01:44:40.323-07:00",
           "status": "RUNNING",
           "disks": [
             {
               "guestOsFeatures": [
                 {
                   "type": "VIRTIO_SCSI_MULTIQUEUE"
                 },
                 {
                   "type": "SEV_CAPABLE"
                 },
                 {
                   "type": "UEFI_COMPATIBLE"
                 },
                 {
                   "type": "GVNIC"
                 }
               ],
               "interface": "SCSI",
               "shieldedInstanceInitialState": {
                 "dbxs": [
                   {
                     "content": "2gcDBhMRFQAAAAAAAAAAABENAAAAAvEOndK",
                     "fileType": "BIN"
                   }
                 ],
                 "dbx": [
                   {
                     "fileType": "BIN",
                     "content": "2gcDBhMRFQAAAAAAAAAAABENAAAAAvEOndK"
                   }
                 ]
               },
               "diskSizeGb": "10",
               "deviceName": "example-device-name",
               "type": "PERSISTENT",
               "source": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/disks/example-instance",
               "boot": true,
               "licenses": [
                 "https://www.googleapis.com/compute/v1/projects/example-project/global/licenses"
               ],
               "index": 0,
               "autoDelete": true,
               "mode": "READ_WRITE"
             }
           ],
           "tags": {
             "items": [
               "http-server"
             ],
             "fingerprint": "example-fingerprint"
           },
           "displayDevice": {
             "enableDisplay": false
           },
           "reservationAffinity": {
             "consumeReservationType": "ANY_ALLOCATION"
           }
         },
         "location": "us-central1-a"
       },
       "ancestors": [
         "projects/example-project-id",
         "organizations/example-org-id"
       ],
       "updateTime": "2023-08-14T19:43:41.805828Z"
     }
   }
 },
 {
   "Entity": "//iam.googleapis.com/projects/example-project/serviceAccounts/example-account-id",
   "EntityResult": {
     "window": {
       "startTime": "2023-12-22T13:37:50Z",
       "endTime": "2262-04-11T23:47:16.854775807Z"
     },
     "asset": {
       "name": "//iam.googleapis.com/projects/example-project/serviceAccounts/example-account-id",
       "assetType": "iam.googleapis.com/ServiceAccount",
       "resource": {
         "version": "v1",
         "discoveryDocumentUri": "https://iam.googleapis.com/$discovery/rest",
         "discoveryName": "ServiceAccount",
         "parent": "//cloudresourcemanager.googleapis.com/projects/example-project-id",
         "data": {
           "name": "projects/example-project/serviceAccounts/cloud-asset-inventory-auto@example-project.iam.gserviceaccount.com",
           "projectId": "example-project",
           "email": "cloud-asset-inventory-auto@example-project.iam.gserviceaccount.com",
           "uniqueId": "example-account-id",
           "displayName": "Cloud Asset Inventory Automation",
           "oauth2ClientId": "example-account-id"
         }
       },
       "ancestors": [
         "projects/example-project-id",
         "organizations/example-org-id"
       ],
       "updateTime": "2023-12-22T13:37:50Z"
     }
   }
 }
]
Résultat JSON pour AWS
[
   {
       "Entity": "//cloudasset.googleapis.com/organizations/example-org-id/otherCloudConnections/aws/arn:aws:s3:::aps-max-test-bucket",
       "EntityResult": {
           "assets": [
               {
                   "window": {
                       "startTime": "2024-01-24T17:51:03.412233028Z",
                       "endTime": "2262-04-11T23:47:16.854775807Z"
                   },
                   "asset": {
                       "name": "//cloudasset.googleapis.com/organizations/example-org-id/otherCloudConnections/aws/arn:aws:s3:::aps-max-test-bucket",
                       "assetType": "cloudasset.googleapis.com/AWS::S3::Bucket",
                       "resource": {
                           "version": "v1",
                           "discoveryDocumentUri": "n/a",
                           "discoveryName": "n/a",
                           "data": {
                               "dataSourceProvider": "AMAZON_WEB_SERVICES",
                               "supplementaryConfigurations": {
                                   "PublicAccessBlockConfiguration": {
                                       "BlockPublicPolicy": true,
                                       "RestrictPublicBuckets": true,
                                       "BlockPublicAcls": true,
                                       "IgnorePublicAcls": true
                                   },
                                   "TagSet": [
                                       {
                                           "Key": "my-key2",
                                           "Value": "my-value2"
                                       },
                                       {
                                           "Key": "my-key1",
                                           "Value": "my-value1"
                                       }
                                   ],
                                   "ServerSideEncryptionConfiguration": {
                                       "Rules": [
                                           {
                                               "ApplyServerSideEncryptionByDefault": {
                                                   "SSEAlgorithm": "AES256"
                                               },
                                               "BucketKeyEnabled": true
                                           }
                                       ]
                                   },
                                   "AccessControlPolicy": {
                                       "Grants": [
                                           {
                                               "Grantee": {
                                                   "DisplayName": "example",
                                                   "ID": "example-id",
                                                   "Type": "CanonicalUser"
                                               },
                                               "Permission": "FULL_CONTROL"
                                           }
                                       ],
                                       "Owner": {
                                           "DisplayName": "example",
                                           "ID": "example-id"
                                       }
                                   }
                               },
                               "configuration": {
                                   "Name": "aps-max-test-bucket",
                                   "CreationDate": "2023-12-04T15:29:50+00:00"
                               },
                               "tags": {
                                   "my-key2": "my-value2",
                                   "my-key1": "my-value1"
                               },
                               "originalResourceName": "arn:aws:s3:::aps-max-test-bucket",
                               "awsAccount": "arn:aws:organizations::example-id:account/example-account/example-account-id"
                           },
                           "location": "global"
                       },
                       "ancestors": [
                           "organizations/example-org-id"
                       ],
                       "updateTime": "2024-01-24T17:51:03.412233028Z"
                   }
               }
           ]
       }
   }
]
Messages de sortie

L'action Obtenir un instantané de ressource peut renvoyer les messages de sortie suivants :

Message de sortie Description du message
Successfully returned information about the following resources using Google Cloud Asset Inventory: ASSET_IDENTIFIER

Action wasn't able to return information about the following resources using Google Cloud Asset Inventory: ASSET_IDENTIFIER.

No information was found for the provided resources.

 L'action a réussi.
Error executing action "Get Resource Snapshot". Reason: ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir un instantané de ressource :

Nom du résultat du script Valeur
is_success True ou False

Lister les rôles de compte de service

Utilisez l'action Répertorier les rôles de compte de service pour répertorier les rôles associés au compte de service Google Cloud à l'aide de l'inventaire des éléments cloud.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Pour configurer l'action Lister les rôles du compte de service, utilisez les paramètres suivants :

Paramètre Description
Service Accounts Obligatoire

Liste d'éléments séparés par une virgule des comptes de service pour lesquels récupérer des détails.
Check Roles Optional

Liste de rôles séparés par une virgule à vérifier par rapport au compte de service, par exemple roles/cloudasset.owner.
Check Permissions Optional

Liste d'autorisations séparées par une virgule à vérifier par rapport au compte de service, par exemple cloudasset.assets.listResource .
Expand Permissions Optional

Si cette option est sélectionnée, l'action renvoie des informations sur toutes les autorisations uniques liées à la ressource.

Non sélectionné par défaut.
Max Roles To Return Obligatoire

Nombre de rôles liés au compte de service à renvoyer.

La valeur par défaut est 100.
Max Permissions To Return Obligatoire

Nombre d'autorisations liées au compte de service à renvoyer.

Sorties de l'action

L'action Lister les rôles de compte de service fournit les résultats suivants :

Type de sortie de l'action Disponibilité
Pièce jointe du mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Table d'enrichissement Non disponible
Résultat JSON Disponible
Messages de sortie Disponible
Résultat du script Disponible
Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Lister les rôles de compte de service :

{
   "roles": ["role1", "role2"],
   "unique_permissions": ["permission1", "permission2"]
}
Messages de sortie

L'action Lister les rôles de compte de service peut renvoyer les messages de sortie suivants :

Message de sortie Description du message

Successfully enriched for the following service accounts using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER

Action wasn't able to enrich the following service accounts using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER

None of the service accounts were enriched.

 L'action a réussi.
Error executing action "List Service Account Roles". Reason: ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.

Ping

Utilisez l'action Ping pour tester la connectivité à l'inventaire des éléments cloud.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action Disponibilité
Pièce jointe du mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Table d'enrichissement Non disponible
Résultat JSON Non disponible
Messages de sortie Disponible
Résultat du script Disponible
Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie Description du message
Successfully connected to the Google Cloud Asset Inventory server with the provided connection parameters! L'action a réussi.
Failed to connect to the Google Cloud Asset Inventory server! Échec de l'action.
Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script Valeur
is_success True ou False

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.