Mengintegrasikan Inventaris Aset Cloud dengan Google SecOps

Dokumen ini menjelaskan cara mengintegrasikan Inventaris Aset Cloud dengan Google Security Operations.

Kasus penggunaan

Integrasi Inventaris Aset Cloud menggunakan kemampuan Google SecOps untuk mendukung kasus penggunaan berikut:

  • Memperkaya Google Cloud resource: Mengambil metadata mendetail secara otomatis untuk resource cloud menggunakan nama resource lengkap guna memberikan konteks untuk pemberitahuan keamanan.

  • Mengambil snapshot resource: Dapatkan tampilan konfigurasi dan status resource pada waktu tertentu untuk membantu investigasi forensik dan analisis perubahan.

  • Mengaudit izin akun layanan: Buat daftar peran dan izin unik yang terkait dengan akun layanan untuk mengidentifikasi identitas dengan hak istimewa berlebih dan mempertahankan prinsip hak istimewa terendah.

  • Menginventarisasi aset multi-cloud: Akses detail resource di seluruh Google Cloud dan lingkungan eksternal yang terhubung untuk memusatkan visibilitas aset Anda dalam investigasi.

Sebelum memulai

Sebelum mengonfigurasi integrasi Inventaris Aset Cloud di Google SecOps, selesaikan langkah-langkah prasyarat berikut:

  1. Membuat akun layanan:

  2. Membuat peran IAM khusus.

  3. Berikan peran yang diperlukan ke akun layanan Anda.

  4. Pilih dan konfigurasi salah satu metode autentikasi berikut:

    • Opsi 1: Workload Identity (direkomendasikan): Metode ini menggunakan token akses sementara yang berumur pendek menggunakan peniruan akun layanan, sehingga tidak perlu menyimpan rahasia apa pun.

    • Opsi 2: Kunci JSON akun layanan: Metode ini mengandalkan file kunci rahasia statis yang berumur panjang. Gunakan metode ini hanya jika Workload Identity tidak tersedia di lingkungan Anda.

Membuat akun layanan

Untuk membuat akun layanan, selesaikan langkah-langkah berikut:

  1. Di konsol Google Cloud , buka Credentials.

    Buka Kredensial

  2. Dari menu Create credentials, pilih Service account.

  3. Masukkan nama di kolom Service account name, lalu klik Create and continue.

  4. Lewati layar penetapan peran opsional dan akses akun utama dengan mengklik Continue > Done.

  5. Salin alamat email akun layanan untuk digunakan dalam langkah-langkah konfigurasi.

Membuat peran IAM khusus

Untuk memberikan kemampuan penelusuran yang diperlukan kepada integrasi, buat peran khusus:

  1. Di konsol Google Cloud , buka IAM & Admin > Roles.

    Buka Peran

  2. Klik Create role dan berikan Title (seperti "SecOps Asset Searcher") dan ID yang unik.

  3. Tetapkan Role launch stage ke Ketersediaan Umum.

  4. Klik Add Permissions dan tambahkan cloudasset.assets.searchAllResources.

  5. Klik Create.

Memberikan peran ke akun layanan Anda

Untuk mengizinkan integrasi mengakses resource Anda, berikan peran berikut ke akun layanan Anda:

  1. Di konsol Google Cloud , buka IAM & Admin > IAM.

  2. Temukan akun layanan Anda, lalu klik editEdit principal.

  3. Klik Add another role, lalu pilih berikut ini:

    • Peran IAM khusus yang dibuat pada langkah sebelumnya.

    • Cloud Asset Viewer.

    • Service Usage Consumer (hanya diperlukan jika Anda menggunakan Quota Project ID).

  4. Klik Simpan.

Mengonfigurasi kredensial Workload Identity

Pilih metode ini atau metode kunci JSON untuk mengautentikasi integrasi. Workload Identity adalah pendekatan yang direkomendasikan dan lebih aman karena menggunakan token akses sementara berumur pendek menggunakan peniruan akun layanan, sehingga tidak perlu menyimpan atau merotasi secret berumur panjang.

Mengidentifikasi identitas instance yang unik

Untuk melakukan autentikasi menggunakan Workload Identity, Anda harus memberikan izin kepada instance Google SecOps untuk meniru identitas akun layanan Anda. Hal ini memungkinkan instance mengakses resource Google Cloud dengan aman.

  1. Di Google SecOps, buka Content Hub > Response Integrations.

  2. Pilih integrasi Inventaris Aset Cloud, dan masukkan email akun layanan Anda di Workload Identity Email.

  3. Klik Save > Test. Pengujian diperkirakan akan gagal.

  4. Klik close_small di sebelah kanan Test dan telusuri pesan error untuk email identitas yang diawali dengan gke-init-python@... atau soar-python@....

  5. Salin alamat email unik ini.

Mengizinkan identitas instance di Google Cloud

Setelah mengambil identitas unik untuk instance Google SecOps, Anda harus mengizinkannya untuk mengakses resourceGoogle Cloud Anda. Langkah ini mengaktifkan peniruan akun layanan, sehingga platform dapat membuat token berumur singkat dan bertindak atas nama Anda tanpa memerlukan kunci statis.

  1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts.

    Buka Akun Layanan

  2. Pilih akun layanan target dan buka Permissions > Grant Access.

  3. Tempelkan alamat email unik ke kolom New principals dan tetapkan peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

Memberikan akses project kuota

Saat melakukan autentikasi dengan Workload Identity, Anda harus menentukan Quota Project ID di setelan integrasi untuk melacak penggunaan dan penagihan API.

Untuk mengizinkan hal ini, Anda harus memberikan peran berikut kepada akun layanan Anda di project kuota yang ditetapkan:

  1. Di konsol Google Cloud , buka IAM & Admin > IAM dan pilih project Anda.

    Buka IAM

  2. Temukan akun layanan Anda dalam daftar akun utama, lalu klik edit(Edit principal) untuk akun tersebut.

  3. Klik Add another role, lalu pilih peran Service Usage Consumer (roles/serviceusage.serviceUsageConsumer).

  4. Klik Simpan.

Mengonfigurasi kunci JSON

Pilih metode ini atau metode Workload Identity untuk mengautentikasi integrasi. Gunakan metode kunci JSON hanya jika Workload Identity tidak tersedia di lingkungan Anda. Workload Identity adalah pendekatan yang direkomendasikan dan lebih aman. Metode ini mengandalkan file kunci rahasia statis yang berumur panjang, yang memerlukan pengelolaan dan rotasi manual.

Gunakan prosedur berikut untuk membuat file kunci JSON yang diperlukan untuk mengautentikasi integrasi:

  1. Di konsol Google Cloud , buka IAM & Admin > Service Accounts, lalu pilih akun layanan yang Anda buat.

    Buka Akun Layanan

  2. Buka tab Keys.

  3. Klik Add key > Create new key.

  4. Pilih JSON sebagai jenis kunci dan klik Create. File JSON akan didownload ke komputer Anda.

  5. Salin seluruh konten file ini dan tempelkan ke User's Service Account selama konfigurasi integrasi.

Parameter integrasi

Integrasi Inventaris Aset Cloud memerlukan parameter berikut:

Parameter Deskripsi
API Root Wajib

Root API instance Inventaris Aset Cloud.

Nilai defaultnya adalah https://cloudasset.googleapis.com.
Organization ID Opsional

ID organisasi yang akan digunakan dalam integrasi Inventaris Aset Cloud.
Project ID Opsional

Project ID yang akan digunakan untuk integrasi Inventaris Aset Cloud. Jika tidak ada nilai yang diberikan, integrasi akan mengambil project ID dari konten file JSON yang disediakan dalam parameter User's Service Account.
User's Service Account Wajib

Konten lengkap file kunci JSON akun layanan.
Quota Project ID Opsional

Project ID Google Cloud yang Anda gunakan untuk API dan penagihan Google Cloud . Parameter ini mengharuskan Anda memberikan peran Service Usage Consumer ke akun layanan Anda.

Jika tidak ada nilai yang diberikan, integrasi akan mengambil project ID dari akun layanan Google Cloud Anda.
Workload Identity Email Opsional.

Alamat email klien akun layanan yang digunakan untuk peniruan identitas Workload Identity.
Verify SSL Wajib

Jika dipilih, integrasi akan memvalidasi sertifikat SSL saat terhubung ke server Inventaris Aset Cloud.

Diaktifkan secara default.

Untuk mendapatkan petunjuk tentang cara mengonfigurasi integrasi di Google SecOps, lihat Mengonfigurasi integrasi.

Anda dapat melakukan perubahan pada tahap selanjutnya, jika diperlukan. Setelah mengonfigurasi instance integrasi, Anda dapat menggunakannya dalam playbook. Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi dan mendukung beberapa instance, lihat Mendukung beberapa instance.

Tindakan

Untuk mengetahui informasi selengkapnya tentang tindakan, lihat Merespons tindakan yang tertunda dari meja kerja Anda dan Menjalankan tindakan manual dalam kasus Anda.

Memperkaya Resource

Gunakan tindakan Enrich Resource untuk memperkaya informasi tentang resource Google Cloud menggunakan Inventaris Aset Cloud.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Untuk mengonfigurasi tindakan Enrich Resource, gunakan parameter berikut:

Parameter Deskripsi
Resource Names Wajib

Daftar yang dipisahkan koma yang berisi nama resource yang akan diambil detailnya.

Untuk mengonfigurasi parameter ini, masukkan nama resource metadata lengkap dalam format berikut: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID.
Fields To Return Opsional

Daftar kolom yang dipisahkan koma untuk ditampilkan.

Nilai defaultnya adalah *.

Contoh nilainya adalah sebagai berikut: assetType, project, folders, organization, displayName, description, location, labels, networkTags, kmsKeys, createTime, updateTime, state, additionalAttributes, parentFullResourceName, parentAssetType.

Tindakan ini selalu menampilkan kolom displayName.

Ada juga opsi untuk mengonfigurasi filter lanjutan. Misalnya, untuk menampilkan kunci tertentu dari additionalAttributes, masukkan additionalAttributes.{key}. Untuk mengecualikan kunci tertentu dari additionalAttributes, masukkan -additionalAttributes.{key}.

Output tindakan

Tindakan Enrich Resource memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Enrich Resource:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT/keys/KEY_ID",
    "EntityResult": {
      "additionalAttributes": {
        "email": "email@example.iam.gserviceaccount.com",
        "uniqueId": 123456789
      },
      "name": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT/keys/KEY_ID",
      "assetType": "iam.googleapis.com/ServiceAccountKey",
      "project": "projects/PROJECT",
      "displayName": "projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT@PROJECT.iam.gserviceaccount.com/keys/KEY_ID",
      "createTime": "2022-05-26T17:35:07Z",
      "versionedResources": [
        {
          "version": "v1",
          "resource": {
            "keyAlgorithm": "KEY_ALG_RSA_2048",
            "keyOrigin": "GOOGLE_PROVIDED",
            "keyType": "USER_MANAGED",
            "name": "projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT@PROJECT.iam.gserviceaccount.com/keys/KEY_ID",
            "validAfterTime": "2022-05-26T17:35:07Z",
            "validBeforeTime": "9999-12-31T23:59:59Z"
          }
        }
      ],
      "organization": "organizations/ORGANIZATION",
      "parentFullResourceName": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT@PROJECT.iam.gserviceaccount.com",
      "parentAssetType": "iam.googleapis.com/ServiceAccount"
    }
  }
]
Pesan output

Tindakan Enrich Resource dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched the following resources using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER

Action wasn't able to enrich the following resources using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER

None of the provided resources were enriched.

 Tindakan berhasil.
Error executing action "Enrich resources". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Enrich Resource:

Nama hasil skrip Nilai
is_success True atau False

Mendapatkan Snapshot Resource

Gunakan tindakan Get Resource Snapshot untuk mendapatkan informasi tentang resource menggunakan Inventaris Aset Cloud.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Untuk mengonfigurasi tindakan Get Resource Snapshot, gunakan parameter berikut:

Parameter Deskripsi
Resource Names Wajib

Daftar resource yang dipisahkan koma untuk mengambil detailnya.

Untuk mengonfigurasi parameter ini, masukkan nama resource metadata lengkap dalam format berikut: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID.
Fields To Return Opsional

Daftar kolom yang dipisahkan koma untuk ditampilkan.

Masukkan setiap kolom dalam format berikut:

assets.FIELD

Contoh nilainya adalah sebagai berikut: assets.asset.name, assets.asset.assetType, assets.asset.resource.data.

Tindakan ini selalu menampilkan kolom assets.asset.name.

Nilai defaultnya adalah *.

Output tindakan

Tindakan Get Resource Snapshot memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan Get Resource Snapshot:

Hasil JSON untuk Google Cloud
    [
 {
   "Entity": "//compute.googleapis.com/projects/example-project/zones/us-central1-a/instances/example-instance",
   "EntityResult": {
     "window": {
       "startTime": "2023-08-14T19:43:41.805828Z",
       "endTime": "2262-04-11T23:47:16.854775807Z"
     },
     "asset": {
       "name": "//compute.googleapis.com/projects/example-project/zones/us-central1-a/instances/example-instance",
       "assetType": "compute.googleapis.com/Instance",
       "resource": {
         "version": "v1",
         "discoveryDocumentUri": "https://www.googleapis.com/discovery/v1/apis/compute/v1/rest",
         "discoveryName": "Instance",
         "parent": "//cloudresourcemanager.googleapis.com/projects/example-project-id",
         "data": {
           "description": "",
           "serviceAccounts": [
             {
               "email": "user@example.com",
               "scopes": [
                 "https://www.googleapis.com/auth/devstorage.read_only",
                 "https://www.googleapis.com/auth/logging.write",
                 "https://www.googleapis.com/auth/monitoring.write",
                 "https://www.googleapis.com/auth/servicecontrol",
                 "https://www.googleapis.com/auth/service.management.readonly",
                 "https://www.googleapis.com/auth/trace.append"
               ]
             }
           ],
           "lastStartTimestamp": "2022-05-26T01:44:52.756-07:00",
           "deletionProtection": false,
           "name": "example-name",
           "keyRevocationActionType": "NONE_ON_KEY_REVOCATION",
           "canIpForward": false,
           "shieldedInstanceIntegrityPolicy": {
             "updateAutoLearnPolicy": true
           },
           "zone": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a",
           "resourceStatus": {},
           "scheduling": {
             "onHostMaintenance": "MIGRATE",
             "preemptible": false,
             "provisioningModel": "STANDARD",
             "automaticRestart": true
           },
           "machineType": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/machineTypes/e2-micro",
           "confidentialInstanceConfig": {
             "enableConfidentialCompute": false
           },
           "selfLink": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/instances/example-instance",
           "id": "example-id",
           "fingerprint": "example-fingerprint",
           "startRestricted": false,
           "networkInterfaces": [
             {
               "network": "https://www.googleapis.com/compute/v1/projects/example-project/global/networks/example-network",
               "stackType": "IPV4_ONLY",
               "name": "example",
               "subnetwork": "https://www.googleapis.com/compute/v1/projects/example-project/regions/us-central1/subnetworks/example-network-subnet",
               "accessConfigs": [
                 {
                   "type": "ONE_TO_ONE_NAT",
                   "name": "External NAT",
                   "natIP": "192.0.2.1",
                   "networkTier": "PREMIUM"
                 }
               ],
               "fingerprint": "example-fingerprint",
               "networkIP": "203.0.113.2"
             }
           ],
           "allocationAffinity": {
             "consumeAllocationType": "ANY_ALLOCATION"
           },
           "labelFingerprint": "example-label",
           "shieldedInstanceConfig": {
             "enableSecureBoot": false,
             "enableVtpm": true,
             "enableIntegrityMonitoring": true
           },
           "cpuPlatform": "Intel Broadwell",
           "creationTimestamp": "2022-05-26T01:44:40.323-07:00",
           "status": "RUNNING",
           "disks": [
             {
               "guestOsFeatures": [
                 {
                   "type": "VIRTIO_SCSI_MULTIQUEUE"
                 },
                 {
                   "type": "SEV_CAPABLE"
                 },
                 {
                   "type": "UEFI_COMPATIBLE"
                 },
                 {
                   "type": "GVNIC"
                 }
               ],
               "interface": "SCSI",
               "shieldedInstanceInitialState": {
                 "dbxs": [
                   {
                     "content": "2gcDBhMRFQAAAAAAAAAAABENAAAAAvEOndK",
                     "fileType": "BIN"
                   }
                 ],
                 "dbx": [
                   {
                     "fileType": "BIN",
                     "content": "2gcDBhMRFQAAAAAAAAAAABENAAAAAvEOndK"
                   }
                 ]
               },
               "diskSizeGb": "10",
               "deviceName": "example-device-name",
               "type": "PERSISTENT",
               "source": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/disks/example-instance",
               "boot": true,
               "licenses": [
                 "https://www.googleapis.com/compute/v1/projects/example-project/global/licenses"
               ],
               "index": 0,
               "autoDelete": true,
               "mode": "READ_WRITE"
             }
           ],
           "tags": {
             "items": [
               "http-server"
             ],
             "fingerprint": "example-fingerprint"
           },
           "displayDevice": {
             "enableDisplay": false
           },
           "reservationAffinity": {
             "consumeReservationType": "ANY_ALLOCATION"
           }
         },
         "location": "us-central1-a"
       },
       "ancestors": [
         "projects/example-project-id",
         "organizations/example-org-id"
       ],
       "updateTime": "2023-08-14T19:43:41.805828Z"
     }
   }
 },
 {
   "Entity": "//iam.googleapis.com/projects/example-project/serviceAccounts/example-account-id",
   "EntityResult": {
     "window": {
       "startTime": "2023-12-22T13:37:50Z",
       "endTime": "2262-04-11T23:47:16.854775807Z"
     },
     "asset": {
       "name": "//iam.googleapis.com/projects/example-project/serviceAccounts/example-account-id",
       "assetType": "iam.googleapis.com/ServiceAccount",
       "resource": {
         "version": "v1",
         "discoveryDocumentUri": "https://iam.googleapis.com/$discovery/rest",
         "discoveryName": "ServiceAccount",
         "parent": "//cloudresourcemanager.googleapis.com/projects/example-project-id",
         "data": {
           "name": "projects/example-project/serviceAccounts/cloud-asset-inventory-auto@example-project.iam.gserviceaccount.com",
           "projectId": "example-project",
           "email": "cloud-asset-inventory-auto@example-project.iam.gserviceaccount.com",
           "uniqueId": "example-account-id",
           "displayName": "Cloud Asset Inventory Automation",
           "oauth2ClientId": "example-account-id"
         }
       },
       "ancestors": [
         "projects/example-project-id",
         "organizations/example-org-id"
       ],
       "updateTime": "2023-12-22T13:37:50Z"
     }
   }
 }
]
Hasil JSON untuk AWS
[
   {
       "Entity": "//cloudasset.googleapis.com/organizations/example-org-id/otherCloudConnections/aws/arn:aws:s3:::aps-max-test-bucket",
       "EntityResult": {
           "assets": [
               {
                   "window": {
                       "startTime": "2024-01-24T17:51:03.412233028Z",
                       "endTime": "2262-04-11T23:47:16.854775807Z"
                   },
                   "asset": {
                       "name": "//cloudasset.googleapis.com/organizations/example-org-id/otherCloudConnections/aws/arn:aws:s3:::aps-max-test-bucket",
                       "assetType": "cloudasset.googleapis.com/AWS::S3::Bucket",
                       "resource": {
                           "version": "v1",
                           "discoveryDocumentUri": "n/a",
                           "discoveryName": "n/a",
                           "data": {
                               "dataSourceProvider": "AMAZON_WEB_SERVICES",
                               "supplementaryConfigurations": {
                                   "PublicAccessBlockConfiguration": {
                                       "BlockPublicPolicy": true,
                                       "RestrictPublicBuckets": true,
                                       "BlockPublicAcls": true,
                                       "IgnorePublicAcls": true
                                   },
                                   "TagSet": [
                                       {
                                           "Key": "my-key2",
                                           "Value": "my-value2"
                                       },
                                       {
                                           "Key": "my-key1",
                                           "Value": "my-value1"
                                       }
                                   ],
                                   "ServerSideEncryptionConfiguration": {
                                       "Rules": [
                                           {
                                               "ApplyServerSideEncryptionByDefault": {
                                                   "SSEAlgorithm": "AES256"
                                               },
                                               "BucketKeyEnabled": true
                                           }
                                       ]
                                   },
                                   "AccessControlPolicy": {
                                       "Grants": [
                                           {
                                               "Grantee": {
                                                   "DisplayName": "example",
                                                   "ID": "example-id",
                                                   "Type": "CanonicalUser"
                                               },
                                               "Permission": "FULL_CONTROL"
                                           }
                                       ],
                                       "Owner": {
                                           "DisplayName": "example",
                                           "ID": "example-id"
                                       }
                                   }
                               },
                               "configuration": {
                                   "Name": "aps-max-test-bucket",
                                   "CreationDate": "2023-12-04T15:29:50+00:00"
                               },
                               "tags": {
                                   "my-key2": "my-value2",
                                   "my-key1": "my-value1"
                               },
                               "originalResourceName": "arn:aws:s3:::aps-max-test-bucket",
                               "awsAccount": "arn:aws:organizations::example-id:account/example-account/example-account-id"
                           },
                           "location": "global"
                       },
                       "ancestors": [
                           "organizations/example-org-id"
                       ],
                       "updateTime": "2024-01-24T17:51:03.412233028Z"
                   }
               }
           ]
       }
   }
]
Pesan output

Tindakan Get Resource Snapshot dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan
Successfully returned information about the following resources using Google Cloud Asset Inventory: ASSET_IDENTIFIER

Action wasn't able to return information about the following resources using Google Cloud Asset Inventory: ASSET_IDENTIFIER.

No information was found for the provided resources.

 Tindakan berhasil.
Error executing action "Get Resource Snapshot". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Get Resource Snapshot:

Nama hasil skrip Nilai
is_success True atau False

Mencantumkan Peran Akun Layanan

Gunakan tindakan List Service Account Roles untuk mencantumkan peran yang terkait dengan akun layanan Google Cloud menggunakan Inventaris Aset Cloud.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Untuk mengonfigurasi tindakan List Service Account Roles, gunakan parameter berikut:

Parameter Deskripsi
Service Accounts Wajib

Daftar akun layanan yang dipisahkan koma untuk mengambil detailnya.
Check Roles Opsional

Daftar peran yang dipisahkan koma untuk diperiksa sehubungan dengan akun layanan, seperti roles/cloudasset.owner.
Check Permissions Opsional

Daftar izin yang dipisahkan koma untuk diperiksa sehubungan dengan akun layanan, seperti cloudasset.assets.listResource .
Expand Permissions Opsional

Jika dipilih, tindakan akan menampilkan informasi tentang semua izin unik yang terkait dengan resource.

Tidak dipilih secara default.
Max Roles To Return Wajib

Jumlah peran yang terkait dengan akun layanan yang akan ditampilkan.

Nilai defaultnya adalah 100.
Max Permissions To Return Wajib

Jumlah izin terkait akun layanan yang akan ditampilkan.

Output tindakan

Tindakan List Service Account Roles memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Hasil JSON

Contoh berikut menunjukkan output hasil JSON yang diterima saat menggunakan tindakan List Service Account Roles:

{
   "roles": ["role1", "role2"],
   "unique_permissions": ["permission1", "permission2"]
}
Pesan output

Tindakan List Service Account Roles dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan

Successfully enriched for the following service accounts using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER

Action wasn't able to enrich the following service accounts using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER

None of the service accounts were enriched.

 Tindakan berhasil.
Error executing action "List Service Account Roles". Reason: ERROR_REASON

Tindakan gagal.

Periksa koneksi ke server, parameter input, atau kredensial.

Ping

Gunakan tindakan Ping untuk menguji konektivitas ke Inventaris Aset Cloud.

Tindakan ini tidak berjalan di entity Google SecOps.

Input tindakan

Tidak ada.

Output tindakan

Tindakan Ping memberikan output berikut:

Jenis output tindakan Ketersediaan
Lampiran repositori kasus Tidak tersedia
Link repositori kasus Tidak tersedia
Tabel repositori kasus Tidak tersedia
Tabel pengayaan Tidak tersedia
Hasil JSON Tidak tersedia
Pesan output Tersedia
Hasil skrip Tersedia
Pesan output

Tindakan Ping dapat menampilkan pesan output berikut:

Pesan output Deskripsi pesan
Successfully connected to the Google Cloud Asset Inventory server with the provided connection parameters! Tindakan berhasil.
Failed to connect to the Google Cloud Asset Inventory server! Tindakan gagal.
Hasil skrip

Tabel berikut mencantumkan nilai untuk output hasil skrip saat menggunakan tindakan Ping:

Nama hasil skrip Nilai
is_success True atau False

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.