Integra Cloud Asset Inventory con Google SecOps

Questo documento spiega come integrare Cloud Asset Inventory con Google Security Operations.

Nota: nella piattaforma Google SecOps, l'integrazione per Cloud Asset Inventory è chiamata Google Cloud Asset Inventory.

Casi d'uso

L'integrazione di Cloud Asset Inventory utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

• Arricchisci le risorse Google Cloud : recupera automaticamente i metadati dettagliati per le risorse cloud utilizzando i nomi completi delle risorse per fornire il contesto per gli avvisi di sicurezza.

• Recupera snapshot delle risorse: ottieni una visualizzazione temporale delle configurazioni e dello stato delle risorse per facilitare le indagini forensi e l'analisi delle modifiche.

• Controlla le account di servizio account: elenca i ruoli e le autorizzazioni univoche associati ai service account per identificare le identità con privilegi eccessivi e mantenere il principio del privilegio minimo.

• Inventaria gli asset multi-cloud: accedi ai dettagli delle risorse inGoogle Cloud e negli ambienti esterni connessi per centralizzare la visibilità degli asset all'interno delle indagini.

Prima di iniziare

Prima di configurare l'integrazione di Cloud Asset Inventory in Google SecOps, completa i seguenti passaggi preliminari:

Nota: per i nuovi deployment di cui è stato eseguito il provisioning a partire dal quarto trimestre del 2025, ti consigliamo di configurare tutti i service account nello stesso progetto della tua istanza Google SecOps.

1. Crea un account di servizio.

2. Crea un ruolo IAM personalizzato.

3. Concedi i ruoli necessari al service account.

4. Scegli e configura uno dei seguenti metodi di autenticazione:

   • Opzione 1: Workload Identity (consigliata): questo metodo utilizza token di accesso temporanei di breve durata utilizzando la simulazione dell'identità dei account di servizio, eliminando la necessità di archiviare secret.

   • Opzione 2: chiave JSON del service account. Questo metodo si basa su un file di chiave secret statico e di lunga durata. Utilizza questo metodo solo se Workload Identity non è disponibile nel tuo ambiente.

Crea un account di servizio

Per creare un account di servizio, completa i seguenti passaggi:

1. Nella console Google Cloud , vai a Credenziali.

   Vai a credenziali

2. Dal menu Crea credenziali, seleziona Service account.

3. Inserisci un nome nel campo Nome service account e fai clic su Crea e continua.

4. Salta le schermate facoltative di assegnazione dei ruoli e di accesso delle entità facendo clic su Continua > Fine.

5. Copia l'indirizzo email del account di servizio da utilizzare nei passaggi di configurazione.

Crea un ruolo IAM personalizzato

Per fornire all'integrazione le funzionalità di ricerca richieste, crea un ruolo personalizzato:

1. Nella console Google Cloud , vai a IAM e amministrazione > Ruoli.

   Vai a Ruoli.

2. Fai clic su Crea ruolo e fornisci un Titolo (ad esempio "SecOps Asset Searcher") e un ID univoco.

3. Imposta Fase di lancio del ruolo su Disponibilità generale.

4. Fai clic su Aggiungi autorizzazioni e aggiungi cloudasset.assets.searchAllResources.

5. Fai clic su Crea.

Concedi i ruoli al account di servizio

Per consentire all'integrazione di accedere alle tue risorse, concedi i seguenti ruoli al tuo account di servizio:

1. Nella console Google Cloud , vai a IAM e amministrazione > IAM.

2. Individua il tuo account di servizio e fai clic su editModifica entità.

3. Fai clic su Aggiungi un altro ruolo e seleziona quanto segue:

   • Il ruolo IAM personalizzato creato nel passaggio precedente.

   • Cloud Asset Viewer.

   • Service Usage Consumer (richiesto solo se utilizzi un Quota Project ID).

4. Fai clic su Salva.

Configura le credenziali di Workload Identity

Scegli questo metodo o il metodo della chiave JSON per autenticare l'integrazione. Workload Identity è l'approccio consigliato e più sicuro perché utilizza token di accesso temporanei di breve durata tramite la simulazione dell'identità dei account di servizio, eliminando la necessità di archiviare o ruotare secret di lunga durata.

Identifica l'identità univoca dell'istanza

Per eseguire l'autenticazione utilizzando Workload Identity, devi concedere alla tua istanza Google SecOps l'autorizzazione per impersonare il tuo service account. In questo modo l'istanza può accedere in modo sicuro alle risorse Google Cloud .

1. In Google SecOps, vai a Content Hub > Integrazioni di risposta.

2. Seleziona l'integrazione di Cloud Asset Inventory e inserisci l'indirizzo email del service account in Workload Identity Email.

3. Fai clic su Salva > Verifica. Il test dovrebbe non riuscire.

4. Fai clic su close_small a destra di Test e cerca nel messaggio di errore l'email dell'identità che inizia con gke-init-python@... o soar-python@....

5. Copia questo indirizzo email univoco.

Autorizza l'identità dell'istanza in Google Cloud

Dopo aver recuperato l'identità univoca per la tua istanza Google SecOps, devi autorizzarla ad accedere alle tue risorseGoogle Cloud . Questo passaggio consente la simulazione dell'identità dei account di servizio, permettendo alla piattaforma di generare token di breve durata e agire per tuo conto senza la necessità di chiavi statiche.

1. Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio.

   Vai a Service account

2. Seleziona il account di servizio di destinazione e vai a Autorizzazioni > Concedi l'accesso.

3. Incolla l'indirizzo email univoco nel campo Nuove entità e assegna il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

Concedi l'accesso al progetto di quota

Quando esegui l'autenticazione con Workload Identity, devi specificare un Quota Project ID nelle impostazioni di integrazione per monitorare l'utilizzo e la fatturazione dell'API.

Per autorizzare questa operazione, devi concedere al tuo account di servizio il seguente ruolo nel progetto di quota designato:

1. Nella console Google Cloud , vai a IAM e amministrazione > IAM e seleziona il tuo progetto.

   Vai a IAM

2. Individua il tuo account di servizio nell'elenco delle entità e fai clic su edit(Modifica entità) per quell'account.

3. Fai clic su Aggiungi un altro ruolo e seleziona il ruolo Service Usage Consumer (roles/serviceusage.serviceUsageConsumer).

4. Fai clic su Salva.

Configura una chiave JSON

Scegli questo metodo o il metodo Workload Identity per autenticare l'integrazione. Utilizza il metodo della chiave JSON solo se Workload Identity non è disponibile nel tuo ambiente. Workload Identity è l'approccio consigliato e più sicuro. Questo metodo si basa su un file di chiave secret statico e di lunga durata che richiede la gestione e la rotazione manuali.

Utilizza la seguente procedura per generare il file della chiave JSON richiesto per autenticare l'integrazione:

1. Nella console Google Cloud , vai a IAM e amministrazione > Account di servizio e seleziona l'account di servizio che hai creato.

   Vai a Service account

2. Vai alla scheda Chiavi.

3. Fai clic su Aggiungi chiave > Crea nuova chiave.

4. Seleziona JSON come tipo di chiave e fai clic su Crea. Il file JSON viene scaricato sul computer.

5. Copia l'intero contenuto di questo file e incollalo in User's Service Account durante la configurazione dell'integrazione.

Parametri di integrazione

L'integrazione di Cloud Asset Inventory richiede i seguenti parametri:

Parametro	Descrizione
API Root	Obbligatorio La radice dell'API dell'istanza Cloud Asset Inventory. Il valore predefinito è https://cloudasset.googleapis.com.
Organization ID	Optional L'ID organizzazione da utilizzare nell'integrazione di Cloud Asset Inventory.
Project ID	Optional L'ID progetto da utilizzare per l'integrazione di Cloud Asset Inventory. Se non viene fornito alcun valore, l'integrazione recupera l'ID progetto dai contenuti del file JSON forniti nel parametro User's Service Account.
User's Service Account	Obbligatorio Il contenuto completo del file della chiave JSON del account di servizio. Importante: per l'autenticazione, devi fornire questo campo o Workload Identity Email. Non compilare questo campo se intendi eseguire l'autenticazione utilizzando Workload Identity, perché fornire entrambi causa conflitti di autenticazione.
Quota Project ID	Optional L'ID progetto Google Cloud che utilizzi per le API Google Cloud e la fatturazione. Questo parametro richiede di concedere il ruolo Service Usage Consumer al account di servizio. Se non viene fornito alcun valore, l'integrazione recupera l'ID progetto dal tuo service account Google Cloud .
Workload Identity Email	Facoltativo. L'indirizzo email client del account di servizio utilizzato per la simulazione dell'identità di Workload Identity. Importante: non compilare questo campo se intendi eseguire l'autenticazione utilizzando una chiave JSON. Se li fornisci entrambi, si verificano conflitti di autenticazione. Per evitare errori Permission Denied, concedi il ruolo Creatore token account di servizio al service account dell'istanza Google SecOps per l'indirizzo email fornito in questo campo.
Verify SSL	Obbligatorio Se selezionata, l'integrazione convalida il certificato SSL durante la connessione al server Cloud Asset Inventory. Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configura le integrazioni.

Se necessario, puoi apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per saperne di più sulle azioni, consulta Rispondi alle azioni in attesa dalla scrivania di lavoro ed Esegui un'azione manuale nel tuo caso.

Arricchisci la risorsa

Utilizza l'azione Arricchisci risorsa per arricchire le informazioni su una risorsa Google Cloud utilizzando Cloud Asset Inventory.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Per configurare l'azione Arricchisci risorsa, utilizza i seguenti parametri:

Parametro	Descrizione
Resource Names	Obbligatorio Un elenco separato da virgole contenente i nomi delle risorse di cui recuperare i dettagli. Per configurare questo parametro, inserisci il nome completo della risorsa dei metadati nel seguente formato: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID.
Fields To Return	Optional Un elenco di campi da restituire, separati da virgole. Il valore predefinito è *. Di seguito sono riportati alcuni esempi di valori: assetType, project, folders, organization, displayName, description, location, labels, networkTags, kmsKeys, createTime, updateTime, state, additionalAttributes, parentFullResourceName, parentAssetType. L'azione restituisce sempre il campo displayName. È anche possibile configurare filtri avanzati. Ad esempio, per restituire una chiave specifica da additionalAttributes, inserisci additionalAttributes.{key}. Per escludere una chiave specifica da additionalAttributes, inserisci -additionalAttributes.{key}.

Output azione

L'azione Arricchisci risorsa fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando utilizzi l'azione Arricchisci risorsa:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT/keys/KEY_ID",
    "EntityResult": {
      "additionalAttributes": {
        "email": "[e-mail]",
        "uniqueId": 123456789
      },
      "name": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT/keys/KEY_ID",
      "assetType": "iam.googleapis.com/ServiceAccountKey",
      "project": "projects/PROJECT",
      "displayName": "projects/PROJECT/serviceAccounts/[e-mail]/keys/KEY_ID",
      "createTime": "2022-05-26T17:35:07Z",
      "versionedResources": [
        {
          "version": "v1",
          "resource": {
            "keyAlgorithm": "KEY_ALG_RSA_2048",
            "keyOrigin": "GOOGLE_PROVIDED",
            "keyType": "USER_MANAGED",
            "name": "projects/PROJECT/serviceAccounts/[e-mail]/keys/KEY_ID",
            "validAfterTime": "2022-05-26T17:35:07Z",
            "validBeforeTime": "9999-12-31T23:59:59Z"
          }
        }
      ],
      "organization": "organizations/ORGANIZATION",
      "parentFullResourceName": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/[e-mail]",
      "parentAssetType": "iam.googleapis.com/ServiceAccount"
    }
  }
]

Messaggi di output

L'azione Arricchisci risorsa può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully enriched the following resources using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER Action wasn't able to enrich the following resources using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER None of the provided resources were enriched.	L'azione è andata a buon fine.
Error executing action "Enrich resources". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Arricchisci risorsa:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni snapshot della risorsa

Utilizza l'azione Ottieni snapshot risorsa per ottenere informazioni sulla risorsa utilizzando Cloud Asset Inventory.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Per configurare l'azione Ottieni snapshot risorsa, utilizza i seguenti parametri:

Parametro	Descrizione
Resource Names	Obbligatorio Un elenco separato da virgole di risorse per cui recuperare i dettagli. Per configurare questo parametro, inserisci il nome completo della risorsa dei metadati nel seguente formato: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID.
Fields To Return	Optional Un elenco di campi da restituire, separati da virgole. Inserisci ogni campo nel seguente formato: assets.FIELD Ecco alcuni esempi di valori: assets.asset.name, assets.asset.assetType, assets.asset.resource.data. L'azione restituisce sempre il campo assets.asset.name. Il valore predefinito è *.

Output azione

L'azione Ottieni snapshot risorsa fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

I seguenti esempi mostrano gli output dei risultati JSON ricevuti quando utilizzi l'azione Ottieni snapshot della risorsa:

Risultato JSON per Google Cloud

    [
 {
   "Entity": "//compute.googleapis.com/projects/example-project/zones/us-central1-a/instances/example-instance",
   "EntityResult": {
     "window": {
       "startTime": "2023-08-14T19:43:41.805828Z",
       "endTime": "2262-04-11T23:47:16.854775807Z"
     },
     "asset": {
       "name": "//compute.googleapis.com/projects/example-project/zones/us-central1-a/instances/example-instance",
       "assetType": "compute.googleapis.com/Instance",
       "resource": {
         "version": "v1",
         "discoveryDocumentUri": "https://www.googleapis.com/discovery/v1/apis/compute/v1/rest",
         "discoveryName": "Instance",
         "parent": "//cloudresourcemanager.googleapis.com/projects/example-project-id",
         "data": {
           "description": "",
           "serviceAccounts": [
             {
               "email": "[e-mail]",
               "scopes": [
                 "https://www.googleapis.com/auth/devstorage.read_only",
                 "https://www.googleapis.com/auth/logging.write",
                 "https://www.googleapis.com/auth/monitoring.write",
                 "https://www.googleapis.com/auth/servicecontrol",
                 "https://www.googleapis.com/auth/service.management.readonly",
                 "https://www.googleapis.com/auth/trace.append"
               ]
             }
           ],
           "lastStartTimestamp": "2022-05-26T01:44:52.756-07:00",
           "deletionProtection": false,
           "name": "example-name",
           "keyRevocationActionType": "NONE_ON_KEY_REVOCATION",
           "canIpForward": false,
           "shieldedInstanceIntegrityPolicy": {
             "updateAutoLearnPolicy": true
           },
           "zone": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a",
           "resourceStatus": {},
           "scheduling": {
             "onHostMaintenance": "MIGRATE",
             "preemptible": false,
             "provisioningModel": "STANDARD",
             "automaticRestart": true
           },
           "machineType": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/machineTypes/e2-micro",
           "confidentialInstanceConfig": {
             "enableConfidentialCompute": false
           },
           "selfLink": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/instances/example-instance",
           "id": "example-id",
           "fingerprint": "example-fingerprint",
           "startRestricted": false,
           "networkInterfaces": [
             {
               "network": "https://www.googleapis.com/compute/v1/projects/example-project/global/networks/example-network",
               "stackType": "IPV4_ONLY",
               "name": "example",
               "subnetwork": "https://www.googleapis.com/compute/v1/projects/example-project/regions/us-central1/subnetworks/example-network-subnet",
               "accessConfigs": [
                 {
                   "type": "ONE_TO_ONE_NAT",
                   "name": "External NAT",
                   "natIP": "192.0.2.1",
                   "networkTier": "PREMIUM"
                 }
               ],
               "fingerprint": "example-fingerprint",
               "networkIP": "203.0.113.2"
             }
           ],
           "allocationAffinity": {
             "consumeAllocationType": "ANY_ALLOCATION"
           },
           "labelFingerprint": "example-label",
           "shieldedInstanceConfig": {
             "enableSecureBoot": false,
             "enableVtpm": true,
             "enableIntegrityMonitoring": true
           },
           "cpuPlatform": "Intel Broadwell",
           "creationTimestamp": "2022-05-26T01:44:40.323-07:00",
           "status": "RUNNING",
           "disks": [
             {
               "guestOsFeatures": [
                 {
                   "type": "VIRTIO_SCSI_MULTIQUEUE"
                 },
                 {
                   "type": "SEV_CAPABLE"
                 },
                 {
                   "type": "UEFI_COMPATIBLE"
                 },
                 {
                   "type": "GVNIC"
                 }
               ],
               "interface": "SCSI",
               "shieldedInstanceInitialState": {
                 "dbxs": [
                   {
                     "content": "2gcDBhMRFQAAAAAAAAAAABENAAAAAvEOndK",
                     "fileType": "BIN"
                   }
                 ],
                 "dbx": [
                   {
                     "fileType": "BIN",
                     "content": "2gcDBhMRFQAAAAAAAAAAABENAAAAAvEOndK"
                   }
                 ]
               },
               "diskSizeGb": "10",
               "deviceName": "example-device-name",
               "type": "PERSISTENT",
               "source": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/disks/example-instance",
               "boot": true,
               "licenses": [
                 "https://www.googleapis.com/compute/v1/projects/example-project/global/licenses"
               ],
               "index": 0,
               "autoDelete": true,
               "mode": "READ_WRITE"
             }
           ],
           "tags": {
             "items": [
               "http-server"
             ],
             "fingerprint": "example-fingerprint"
           },
           "displayDevice": {
             "enableDisplay": false
           },
           "reservationAffinity": {
             "consumeReservationType": "ANY_ALLOCATION"
           }
         },
         "location": "us-central1-a"
       },
       "ancestors": [
         "projects/example-project-id",
         "organizations/example-org-id"
       ],
       "updateTime": "2023-08-14T19:43:41.805828Z"
     }
   }
 },
 {
   "Entity": "//iam.googleapis.com/projects/example-project/serviceAccounts/example-account-id",
   "EntityResult": {
     "window": {
       "startTime": "2023-12-22T13:37:50Z",
       "endTime": "2262-04-11T23:47:16.854775807Z"
     },
     "asset": {
       "name": "//iam.googleapis.com/projects/example-project/serviceAccounts/example-account-id",
       "assetType": "iam.googleapis.com/ServiceAccount",
       "resource": {
         "version": "v1",
         "discoveryDocumentUri": "https://iam.googleapis.com/$discovery/rest",
         "discoveryName": "ServiceAccount",
         "parent": "//cloudresourcemanager.googleapis.com/projects/example-project-id",
         "data": {
           "name": "projects/example-project/serviceAccounts/[e-mail]",
           "projectId": "example-project",
           "email": "[e-mail]",
           "uniqueId": "example-account-id",
           "displayName": "Cloud Asset Inventory Automation",
           "oauth2ClientId": "example-account-id"
         }
       },
       "ancestors": [
         "projects/example-project-id",
         "organizations/example-org-id"
       ],
       "updateTime": "2023-12-22T13:37:50Z"
     }
   }
 }
]

Risultato JSON per AWS

[
   {
       "Entity": "//cloudasset.googleapis.com/organizations/example-org-id/otherCloudConnections/aws/arn:aws:s3:::aps-max-test-bucket",
       "EntityResult": {
           "assets": [
               {
                   "window": {
                       "startTime": "2024-01-24T17:51:03.412233028Z",
                       "endTime": "2262-04-11T23:47:16.854775807Z"
                   },
                   "asset": {
                       "name": "//cloudasset.googleapis.com/organizations/example-org-id/otherCloudConnections/aws/arn:aws:s3:::aps-max-test-bucket",
                       "assetType": "cloudasset.googleapis.com/AWS::S3::Bucket",
                       "resource": {
                           "version": "v1",
                           "discoveryDocumentUri": "n/a",
                           "discoveryName": "n/a",
                           "data": {
                               "dataSourceProvider": "AMAZON_WEB_SERVICES",
                               "supplementaryConfigurations": {
                                   "PublicAccessBlockConfiguration": {
                                       "BlockPublicPolicy": true,
                                       "RestrictPublicBuckets": true,
                                       "BlockPublicAcls": true,
                                       "IgnorePublicAcls": true
                                   },
                                   "TagSet": [
                                       {
                                           "Key": "my-key2",
                                           "Value": "my-value2"
                                       },
                                       {
                                           "Key": "my-key1",
                                           "Value": "my-value1"
                                       }
                                   ],
                                   "ServerSideEncryptionConfiguration": {
                                       "Rules": [
                                           {
                                               "ApplyServerSideEncryptionByDefault": {
                                                   "SSEAlgorithm": "AES256"
                                               },
                                               "BucketKeyEnabled": true
                                           }
                                       ]
                                   },
                                   "AccessControlPolicy": {
                                       "Grants": [
                                           {
                                               "Grantee": {
                                                   "DisplayName": "example",
                                                   "ID": "example-id",
                                                   "Type": "CanonicalUser"
                                               },
                                               "Permission": "FULL_CONTROL"
                                           }
                                       ],
                                       "Owner": {
                                           "DisplayName": "example",
                                           "ID": "example-id"
                                       }
                                   }
                               },
                               "configuration": {
                                   "Name": "aps-max-test-bucket",
                                   "CreationDate": "2023-12-04T15:29:50+00:00"
                               },
                               "tags": {
                                   "my-key2": "my-value2",
                                   "my-key1": "my-value1"
                               },
                               "originalResourceName": "arn:aws:s3:::aps-max-test-bucket",
                               "awsAccount": "arn:aws:organizations::example-id:account/example-account/example-account-id"
                           },
                           "location": "global"
                       },
                       "ancestors": [
                           "organizations/example-org-id"
                       ],
                       "updateTime": "2024-01-24T17:51:03.412233028Z"
                   }
               }
           ]
       }
   }
]

Messaggi di output

L'azione Ottieni snapshot risorsa può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully returned information about the following resources using Google Cloud Asset Inventory: ASSET_IDENTIFIER Action wasn't able to return information about the following resources using Google Cloud Asset Inventory: ASSET_IDENTIFIER. No information was found for the provided resources.	L'azione è andata a buon fine.
Error executing action "Get Resource Snapshot". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ottieni snapshot della risorsa:

Nome del risultato dello script	Valore
is_success	True o False

Elenca i ruoli dei service account

Utilizza l'azione Elenca i ruoli dei service account per elencare i ruoli correlati al service account Google Cloud utilizzando Cloud Asset Inventory.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Per configurare l'azione Elenca ruoli service account, utilizza i seguenti parametri:

Parametro	Descrizione
Service Accounts	Obbligatorio Un elenco separato da virgole di service account per i quali recuperare i dettagli.
Check Roles	Optional Un elenco separato da virgole di ruoli da controllare in relazione al account di servizio, ad esempio roles/cloudasset.owner.
Check Permissions	Optional Un elenco separato da virgole di autorizzazioni da controllare in relazione al account di servizio, ad esempio cloudasset.assets.listResource .
Expand Permissions	Optional Se selezionata, l'azione restituisce informazioni su tutte le autorizzazioni univoche relative alla risorsa. Non selezionato per impostazione predefinita.
Max Roles To Return	Obbligatorio Il numero di ruoli correlati al account di servizio da restituire. Il valore predefinito è 100.
Max Permissions To Return	Obbligatorio Il numero di autorizzazioni relative al service account da restituire.

Output azione

L'azione Elenca i ruoli dei service account fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Elenca i ruoli degli account di servizio:

{
   "roles": ["role1", "role2"],
   "unique_permissions": ["permission1", "permission2"]
}

Messaggi di output

L'azione Elenca i ruoli dei service account può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully enriched for the following service accounts using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER Action wasn't able to enrich the following service accounts using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER None of the service accounts were enriched.	L'azione è andata a buon fine.
Error executing action "List Service Account Roles". Reason: ERROR_REASON	L'azione non è andata a buon fine. Controlla la connessione al server, i parametri di input o le credenziali.

Dindin

Utilizza l'azione Ping per testare la connettività a Cloud Asset Inventory.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca richieste	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully connected to the Google Cloud Asset Inventory server with the provided connection parameters!	L'azione è andata a buon fine.
Failed to connect to the Google Cloud Asset Inventory server!	L'azione non è andata a buon fine.

Risultato dello script

La tabella seguente elenca il valore per l'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
is_success	True o False

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.