Integra Cloud Asset Inventory con Google SecOps

Questo documento spiega come integrare Cloud Asset Inventory con Google Security Operations.

Nota: nella piattaforma Google SecOps, l'integrazione per Cloud Asset Inventory è denominata Google Cloud Asset Inventory.

Casi d'uso

L'integrazione di Cloud Asset Inventory utilizza le funzionalità di Google SecOps per supportare i seguenti casi d'uso:

• Arricchisci Google Cloud le risorse: recupera automaticamente i metadati dettagliati per le risorse cloud utilizzando i nomi completi delle risorse per fornire il contesto per gli avvisi di sicurezza.

• Recupera snapshot delle risorse: ottieni una visualizzazione puntuale delle configurazioni e dello stato delle risorse per facilitare le indagini forensi e l'analisi delle modifiche.

• Controlla le account di servizio account: elenca i ruoli e le autorizzazioni uniche associati ai service account per identificare le identità con privilegi eccessivi e mantenere il principio del privilegio minimo.

• Inventariare gli asset multicloud: accedi ai dettagli delle risorse in Google Cloud e negli ambienti esterni connessi per centralizzare la visibilità degli asset all'interno delle indagini.

Prima di iniziare

Prima di configurare l'integrazione di Cloud Asset Inventory in Google SecOps, completa i seguenti passaggi preliminari:

Nota: per i nuovi deployment di cui è stato eseguito il provisioning a partire dal quarto trimestre del 2025, consigliamo di configurare tutti i service account nello stesso progetto dell'istanza Google SecOps.

1. Crea un service account.

2. Crea un ruolo IAM personalizzato.

3. Concedi i ruoli necessari al service account.

4. Scegli e configura uno dei seguenti metodi di autenticazione:

   • Opzione 1: Workload Identity (consigliata): questo metodo utilizza token di accesso temporanei di breve durata tramite la rappresentazione dell'account di servizio, eliminando la necessità di archiviare segreti.

   • Opzione 2: chiave JSON dell'account di servizio: questo metodo si basa su un file di chiave segreta statica e di lunga durata. Utilizza questo metodo solo se Workload Identity non è disponibile nel tuo ambiente.

Crea un account di servizio

Per creare un account di servizio, completa i seguenti passaggi:

1. Nella console Google Cloud , vai a Credenziali.

   Vai a credenziali

2. Nel menu Crea credenziali, seleziona Service account.

3. Inserisci un nome nel campo Nome service account e fai clic su Crea e continua.

4. Salta le schermate facoltative di assegnazione dei ruoli e accesso alle entità facendo clic su Continua > Fine.

5. Copia l'indirizzo email del account di servizio da utilizzare nei passaggi di configurazione.

Creare un ruolo IAM personalizzato

Per fornire all'integrazione le funzionalità di ricerca richieste, crea un ruolo personalizzato:

1. Nella console Google Cloud , vai a IAM e amministrazione > Ruoli.

   Vai a Ruoli.

2. Fai clic su Crea ruolo e fornisci un titolo (ad esempio "Ricercatore di asset SecOps") e un ID univoco.

3. Imposta Fase di lancio del ruolo su Disponibilità generale.

4. Fai clic su Aggiungi autorizzazioni e aggiungi cloudasset.assets.searchAllResources.

5. Fai clic su Crea.

Concedi ruoli al account di servizio

Per consentire all'integrazione di accedere alle tue risorse, concedi i seguenti ruoli al tuo account di servizio:

1. Nella console Google Cloud , vai a IAM e amministrazione > IAM.

2. Individua il account di servizio e fai clic su ModificaModifica entità.

3. Fai clic su Aggiungi un altro ruolo e seleziona quanto segue:

   • Il ruolo IAM personalizzato creato nel passaggio precedente.

   • Cloud Asset Viewer.

   • Service Usage Consumer (obbligatorio solo se utilizzi un Quota Project ID).

4. Fai clic su Salva.

Configura le credenziali di Workload Identity

Scegli questo metodo o il metodo della chiave JSON per autenticare l'integrazione. Workload Identity è l'approccio consigliato e più sicuro perché utilizza token di accesso temporanei di breve durata tramite la simulazione dell'identità del account di servizio, eliminando la necessità di archiviare o ruotare i secret di lunga durata.

Identificare l'identità univoca dell'istanza

Per eseguire l'autenticazione utilizzando Workload Identity, devi concedere alla tua istanza Google SecOps l'autorizzazione ad assumere l'identità del tuo service account. In questo modo l'istanza può accedere in modo sicuro alle risorse Google Cloud .

1. In Google SecOps, vai a Content Hub > Integrazioni di risposta.

2. Seleziona l'integrazione Cloud Asset Inventory e inserisci l'email del tuo account di servizio in Workload Identity Email.

3. Fai clic su Salva > Test. Il test non dovrebbe riuscire.

4. Fai clic su close_small a destra di Test e cerca il messaggio di errore per l'email dell'identità che inizia con gke-init-python@... o soar-python@....

5. Copia questo indirizzo email univoco.

Autorizza l'identità dell'istanza in Google Cloud

Una volta recuperata l'identità univoca per la tua istanza Google SecOps, devi autorizzarla ad accedere alle tue risorseGoogle Cloud . Questo passaggio attiva la simulazione dell'identità del account di servizio, consentendo alla piattaforma di generare token di breve durata e agire per tuo conto senza la necessità di chiavi statiche.

1. Nella Google Cloud console, vai a IAM e amministrazione > Service Accounts.

   Vai a Service account

2. Seleziona il account di servizio di destinazione e vai a Autorizzazioni > Concedi accesso.

3. Incolla l'indirizzo email univoco nel campo Nuove entità e assegna il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator).

Concedi l'accesso al progetto di quota

Quando esegui l'autenticazione con una workload identity, devi specificare un Quota Project ID nelle impostazioni di integrazione per monitorare l'utilizzo e la fatturazione delle API.

Per autorizzare questa operazione, devi concedere al account di servizio il seguente ruolo nel progetto di quota designato:

1. Nella console Google Cloud , vai a IAM e amministrazione > IAM e seleziona il tuo progetto.

   Vai a IAM

2. Individua il tuo account di servizio nell'elenco delle entità e fai clic su Modifica(Modifica entità) per quell'account.

3. Fai clic su Aggiungi un altro ruolo e seleziona il ruolo Service Usage Consumer (roles/serviceusage.serviceUsageConsumer).

4. Fai clic su Salva.

Configurare una chiave JSON

Scegli questo metodo o quello di Workload Identity per autenticare l'integrazione. Utilizza il metodo della chiave JSON solo se Workload Identity non è disponibile nel tuo ambiente. Workload Identity è l'approccio consigliato e più sicuro. Questo metodo si basa su un file di chiavi segrete statico e di lunga durata che richiede la gestione e la rotazione manuali.

Utilizza la seguente procedura per generare il file della chiave JSON necessario per autenticare l'integrazione:

1. Nella console Google Cloud , vai a IAM e amministrazione > Service account e seleziona il account di servizio che hai creato.

   Vai a Service account

2. Vai alla scheda Chiavi.

3. Fai clic su Aggiungi chiave > Crea nuova chiave.

4. Seleziona JSON come tipo di chiave e fai clic su Crea. Il file JSON viene scaricato sul computer.

5. Copia l'intero contenuto di questo file e incollalo in User's Service Account durante la configurazione dell'integrazione.

Parametri di integrazione

L'integrazione di Cloud Asset Inventory richiede i seguenti parametri:

Parametro	Descrizione
API Root	Obbligatorio La radice dell'API dell'istanza Cloud Asset Inventory. Il valore predefinito è https://cloudasset.googleapis.com.
Organization ID	Optional L'ID organizzazione da utilizzare nell'integrazione di Cloud Asset Inventory.
Project ID	Optional L'ID progetto da utilizzare per l'integrazione di Cloud Asset Inventory. Se non viene fornito alcun valore, l'integrazione recupera l'ID progetto dai contenuti del file JSON forniti nel parametro User's Service Account.
User's Service Account	Obbligatorio L'intero contenuto del file JSON della chiave del account di servizio. Importante:per l'autenticazione, devi fornire questo campo o Workload Identity Email. Non compilare questo campo se intendi autenticarti utilizzando una Workload Identity, perché la fornitura di entrambi causa conflitti di autenticazione.
Quota Project ID	Optional L'ID progetto Google Cloud che utilizzi per Google Cloud API e fatturazione. Questo parametro richiede che tu conceda il ruolo Service Usage Consumer al tuo account di servizio. Se non viene fornito alcun valore, l'integrazione recupera l'ID progetto dal tuo service account Google Cloud .
Workload Identity Email	Facoltativo. L'indirizzo email client del account di servizio utilizzato per la simulazione dell'identità del carico di lavoro. Importante:non compilare questo campo se intendi autenticarti utilizzando una chiave JSON. Se fornisci entrambi, si verificano conflitti di autenticazione. Per evitare errori Permission Denied, concedi il ruolo Creatore token service account al account di servizio Google SecOps per l'indirizzo email fornito in questo campo.
Verify SSL	Obbligatorio Se selezionata, l'integrazione convalida il certificato SSL quando si connette al server Cloud Asset Inventory. Abilitato per impostazione predefinita.

Per istruzioni su come configurare un'integrazione in Google SecOps, consulta Configurare le integrazioni.

Se necessario, potrai apportare modifiche in un secondo momento. Dopo aver configurato un'istanza di integrazione, puoi utilizzarla nei playbook. Per saperne di più su come configurare e supportare più istanze, consulta Supporto di più istanze.

Azioni

Per ulteriori informazioni sulle azioni, vedi Rispondere alle azioni in attesa dalla tua scrivania e Eseguire un'azione manuale.

Arricchisci risorsa

Utilizza l'azione Arricchisci risorsa per arricchire le informazioni su una risorsa Google Cloud utilizzando Cloud Asset Inventory.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Per configurare l'azione Arricchisci risorsa, utilizza i seguenti parametri:

Parametro	Descrizione
Resource Names	Obbligatorio Un elenco separato da virgole contenente i nomi delle risorse per cui recuperare i dettagli. Per configurare questo parametro, inserisci il nome completo della risorsa di metadati nel seguente formato: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID.
Fields To Return	Optional Un elenco separato da virgole dei campi da restituire. Il valore predefinito è *. Di seguito sono riportati alcuni esempi di valori: assetType, project, folders, organization, displayName, description, location, labels, networkTags, kmsKeys, createTime, updateTime, state, additionalAttributes, parentFullResourceName, parentAssetType. L'azione restituisce sempre il campo displayName. Esiste anche un'opzione per configurare i filtri avanzati. Ad esempio, per restituire una chiave specifica da additionalAttributes, inserisci additionalAttributes.{key}. Per escludere una chiave specifica da additionalAttributes, inserisci -additionalAttributes.{key}.

Output azione

L'azione Arricchisci risorsa fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca casi	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Arricchisci risorsa:

[
  {
    "Entity": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT/keys/KEY_ID",
    "EntityResult": {
      "additionalAttributes": {
        "email": "[e-mail]",
        "uniqueId": 123456789
      },
      "name": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/SERVICE_ACCOUNT/keys/KEY_ID",
      "assetType": "iam.googleapis.com/ServiceAccountKey",
      "project": "projects/PROJECT",
      "displayName": "projects/PROJECT/serviceAccounts/[e-mail]/keys/KEY_ID",
      "createTime": "2022-05-26T17:35:07Z",
      "versionedResources": [
        {
          "version": "v1",
          "resource": {
            "keyAlgorithm": "KEY_ALG_RSA_2048",
            "keyOrigin": "GOOGLE_PROVIDED",
            "keyType": "USER_MANAGED",
            "name": "projects/PROJECT/serviceAccounts/[e-mail]/keys/KEY_ID",
            "validAfterTime": "2022-05-26T17:35:07Z",
            "validBeforeTime": "9999-12-31T23:59:59Z"
          }
        }
      ],
      "organization": "organizations/ORGANIZATION",
      "parentFullResourceName": "//iam.googleapis.com/projects/PROJECT/serviceAccounts/[e-mail]",
      "parentAssetType": "iam.googleapis.com/ServiceAccount"
    }
  }
]

Messaggi di output

L'azione Arricchisci risorsa può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully enriched the following resources using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER Action wasn't able to enrich the following resources using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER None of the provided resources were enriched.	L'azione è riuscita.
Error executing action "Enrich resources". Reason: ERROR_REASON	L'azione non è riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Arricchisci risorsa:

Nome del risultato dello script	Valore
is_success	True o False

Ottieni snapshot risorsa

Utilizza l'azione Ottieni snapshot risorsa per ottenere informazioni sulla risorsa utilizzando Cloud Asset Inventory.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Per configurare l'azione Ottieni snapshot risorsa, utilizza i seguenti parametri:

Parametro	Descrizione
Resource Names	Obbligatorio Un elenco separato da virgole di risorse per cui recuperare i dettagli. Per configurare questo parametro, inserisci il nome completo della risorsa di metadati nel seguente formato: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID.
Fields To Return	Optional Un elenco separato da virgole dei campi da restituire. Inserisci ogni campo nel seguente formato: assets.FIELD Ecco alcuni esempi di valori: assets.asset.name, assets.asset.assetType, assets.asset.resource.data. L'azione restituisce sempre il campo assets.asset.name. Il valore predefinito è *.

Output azione

L'azione Ottieni snapshot risorsa fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca casi	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

Gli esempi seguenti mostrano gli output dei risultati JSON ricevuti quando si utilizza l'azione Ottieni snapshot risorsa:

Risultato JSON per Google Cloud

    [
 {
   "Entity": "//compute.googleapis.com/projects/example-project/zones/us-central1-a/instances/example-instance",
   "EntityResult": {
     "window": {
       "startTime": "2023-08-14T19:43:41.805828Z",
       "endTime": "2262-04-11T23:47:16.854775807Z"
     },
     "asset": {
       "name": "//compute.googleapis.com/projects/example-project/zones/us-central1-a/instances/example-instance",
       "assetType": "compute.googleapis.com/Instance",
       "resource": {
         "version": "v1",
         "discoveryDocumentUri": "https://www.googleapis.com/discovery/v1/apis/compute/v1/rest",
         "discoveryName": "Instance",
         "parent": "//cloudresourcemanager.googleapis.com/projects/example-project-id",
         "data": {
           "description": "",
           "serviceAccounts": [
             {
               "email": "[e-mail]",
               "scopes": [
                 "https://www.googleapis.com/auth/devstorage.read_only",
                 "https://www.googleapis.com/auth/logging.write",
                 "https://www.googleapis.com/auth/monitoring.write",
                 "https://www.googleapis.com/auth/servicecontrol",
                 "https://www.googleapis.com/auth/service.management.readonly",
                 "https://www.googleapis.com/auth/trace.append"
               ]
             }
           ],
           "lastStartTimestamp": "2022-05-26T01:44:52.756-07:00",
           "deletionProtection": false,
           "name": "example-name",
           "keyRevocationActionType": "NONE_ON_KEY_REVOCATION",
           "canIpForward": false,
           "shieldedInstanceIntegrityPolicy": {
             "updateAutoLearnPolicy": true
           },
           "zone": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a",
           "resourceStatus": {},
           "scheduling": {
             "onHostMaintenance": "MIGRATE",
             "preemptible": false,
             "provisioningModel": "STANDARD",
             "automaticRestart": true
           },
           "machineType": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/machineTypes/e2-micro",
           "confidentialInstanceConfig": {
             "enableConfidentialCompute": false
           },
           "selfLink": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/instances/example-instance",
           "id": "example-id",
           "fingerprint": "example-fingerprint",
           "startRestricted": false,
           "networkInterfaces": [
             {
               "network": "https://www.googleapis.com/compute/v1/projects/example-project/global/networks/example-network",
               "stackType": "IPV4_ONLY",
               "name": "example",
               "subnetwork": "https://www.googleapis.com/compute/v1/projects/example-project/regions/us-central1/subnetworks/example-network-subnet",
               "accessConfigs": [
                 {
                   "type": "ONE_TO_ONE_NAT",
                   "name": "External NAT",
                   "natIP": "192.0.2.1",
                   "networkTier": "PREMIUM"
                 }
               ],
               "fingerprint": "example-fingerprint",
               "networkIP": "203.0.113.2"
             }
           ],
           "allocationAffinity": {
             "consumeAllocationType": "ANY_ALLOCATION"
           },
           "labelFingerprint": "example-label",
           "shieldedInstanceConfig": {
             "enableSecureBoot": false,
             "enableVtpm": true,
             "enableIntegrityMonitoring": true
           },
           "cpuPlatform": "Intel Broadwell",
           "creationTimestamp": "2022-05-26T01:44:40.323-07:00",
           "status": "RUNNING",
           "disks": [
             {
               "guestOsFeatures": [
                 {
                   "type": "VIRTIO_SCSI_MULTIQUEUE"
                 },
                 {
                   "type": "SEV_CAPABLE"
                 },
                 {
                   "type": "UEFI_COMPATIBLE"
                 },
                 {
                   "type": "GVNIC"
                 }
               ],
               "interface": "SCSI",
               "shieldedInstanceInitialState": {
                 "dbxs": [
                   {
                     "content": "2gcDBhMRFQAAAAAAAAAAABENAAAAAvEOndK",
                     "fileType": "BIN"
                   }
                 ],
                 "dbx": [
                   {
                     "fileType": "BIN",
                     "content": "2gcDBhMRFQAAAAAAAAAAABENAAAAAvEOndK"
                   }
                 ]
               },
               "diskSizeGb": "10",
               "deviceName": "example-device-name",
               "type": "PERSISTENT",
               "source": "https://www.googleapis.com/compute/v1/projects/example-project/zones/us-central1-a/disks/example-instance",
               "boot": true,
               "licenses": [
                 "https://www.googleapis.com/compute/v1/projects/example-project/global/licenses"
               ],
               "index": 0,
               "autoDelete": true,
               "mode": "READ_WRITE"
             }
           ],
           "tags": {
             "items": [
               "http-server"
             ],
             "fingerprint": "example-fingerprint"
           },
           "displayDevice": {
             "enableDisplay": false
           },
           "reservationAffinity": {
             "consumeReservationType": "ANY_ALLOCATION"
           }
         },
         "location": "us-central1-a"
       },
       "ancestors": [
         "projects/example-project-id",
         "organizations/example-org-id"
       ],
       "updateTime": "2023-08-14T19:43:41.805828Z"
     }
   }
 },
 {
   "Entity": "//iam.googleapis.com/projects/example-project/serviceAccounts/example-account-id",
   "EntityResult": {
     "window": {
       "startTime": "2023-12-22T13:37:50Z",
       "endTime": "2262-04-11T23:47:16.854775807Z"
     },
     "asset": {
       "name": "//iam.googleapis.com/projects/example-project/serviceAccounts/example-account-id",
       "assetType": "iam.googleapis.com/ServiceAccount",
       "resource": {
         "version": "v1",
         "discoveryDocumentUri": "https://iam.googleapis.com/$discovery/rest",
         "discoveryName": "ServiceAccount",
         "parent": "//cloudresourcemanager.googleapis.com/projects/example-project-id",
         "data": {
           "name": "projects/example-project/serviceAccounts/[e-mail]",
           "projectId": "example-project",
           "email": "[e-mail]",
           "uniqueId": "example-account-id",
           "displayName": "Cloud Asset Inventory Automation",
           "oauth2ClientId": "example-account-id"
         }
       },
       "ancestors": [
         "projects/example-project-id",
         "organizations/example-org-id"
       ],
       "updateTime": "2023-12-22T13:37:50Z"
     }
   }
 }
]

Risultato JSON per AWS

[
   {
       "Entity": "//cloudasset.googleapis.com/organizations/example-org-id/otherCloudConnections/aws/arn:aws:s3:::aps-max-test-bucket",
       "EntityResult": {
           "assets": [
               {
                   "window": {
                       "startTime": "2024-01-24T17:51:03.412233028Z",
                       "endTime": "2262-04-11T23:47:16.854775807Z"
                   },
                   "asset": {
                       "name": "//cloudasset.googleapis.com/organizations/example-org-id/otherCloudConnections/aws/arn:aws:s3:::aps-max-test-bucket",
                       "assetType": "cloudasset.googleapis.com/AWS::S3::Bucket",
                       "resource": {
                           "version": "v1",
                           "discoveryDocumentUri": "n/a",
                           "discoveryName": "n/a",
                           "data": {
                               "dataSourceProvider": "AMAZON_WEB_SERVICES",
                               "supplementaryConfigurations": {
                                   "PublicAccessBlockConfiguration": {
                                       "BlockPublicPolicy": true,
                                       "RestrictPublicBuckets": true,
                                       "BlockPublicAcls": true,
                                       "IgnorePublicAcls": true
                                   },
                                   "TagSet": [
                                       {
                                           "Key": "my-key2",
                                           "Value": "my-value2"
                                       },
                                       {
                                           "Key": "my-key1",
                                           "Value": "my-value1"
                                       }
                                   ],
                                   "ServerSideEncryptionConfiguration": {
                                       "Rules": [
                                           {
                                               "ApplyServerSideEncryptionByDefault": {
                                                   "SSEAlgorithm": "AES256"
                                               },
                                               "BucketKeyEnabled": true
                                           }
                                       ]
                                   },
                                   "AccessControlPolicy": {
                                       "Grants": [
                                           {
                                               "Grantee": {
                                                   "DisplayName": "example",
                                                   "ID": "example-id",
                                                   "Type": "CanonicalUser"
                                               },
                                               "Permission": "FULL_CONTROL"
                                           }
                                       ],
                                       "Owner": {
                                           "DisplayName": "example",
                                           "ID": "example-id"
                                       }
                                   }
                               },
                               "configuration": {
                                   "Name": "aps-max-test-bucket",
                                   "CreationDate": "2023-12-04T15:29:50+00:00"
                               },
                               "tags": {
                                   "my-key2": "my-value2",
                                   "my-key1": "my-value1"
                               },
                               "originalResourceName": "arn:aws:s3:::aps-max-test-bucket",
                               "awsAccount": "arn:aws:organizations::example-id:account/example-account/example-account-id"
                           },
                           "location": "global"
                       },
                       "ancestors": [
                           "organizations/example-org-id"
                       ],
                       "updateTime": "2024-01-24T17:51:03.412233028Z"
                   }
               }
           ]
       }
   }
]

Messaggi di output

L'azione Ottieni snapshot risorsa può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully returned information about the following resources using Google Cloud Asset Inventory: ASSET_IDENTIFIER Action wasn't able to return information about the following resources using Google Cloud Asset Inventory: ASSET_IDENTIFIER. No information was found for the provided resources.	L'azione è riuscita.
Error executing action "Get Resource Snapshot". Reason: ERROR_REASON	L'azione non è riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ottieni snapshot risorsa:

Nome del risultato dello script	Valore
is_success	True o False

Elenca i ruoli del service account

Utilizza l'azione Elenca ruoli service account per elencare i ruoli correlati al service account Google Cloud utilizzando Cloud Asset Inventory.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Per configurare l'azione Elenca ruoli service account, utilizza i seguenti parametri:

Parametro	Descrizione
Service Accounts	Obbligatorio Un elenco separato da virgole di service account per cui recuperare i dettagli.
Check Roles	Optional Un elenco separato da virgole di ruoli da controllare in relazione alaccount di serviziot, ad esempio roles/cloudasset.owner.
Check Permissions	Optional Un elenco separato da virgole di autorizzazioni da controllare in relazione al account di servizio, ad esempio cloudasset.assets.listResource .
Expand Permissions	Optional Se selezionata, l'azione restituisce informazioni su tutte le autorizzazioni uniche relative alla risorsa. Non selezionato per impostazione predefinita.
Max Roles To Return	Obbligatorio Il numero di ruoli correlati al account di servizio da restituire. Il valore predefinito è 100.
Max Permissions To Return	Obbligatorio Il numero di autorizzazioni relative al service account da restituire.

Output azione

L'azione Elenca ruoli service account fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca casi	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Risultato JSON

L'esempio seguente mostra l'output del risultato JSON ricevuto quando si utilizza l'azione Elenca ruoli account di servizio:

{
   "roles": ["role1", "role2"],
   "unique_permissions": ["permission1", "permission2"]
}

Messaggi di output

L'azione Elenca ruoli service account può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully enriched for the following service accounts using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER Action wasn't able to enrich the following service accounts using information from Google Cloud Asset Inventory: ASSET_IDENTIFIER None of the service accounts were enriched.	L'azione è riuscita.
Error executing action "List Service Account Roles". Reason: ERROR_REASON	L'azione non è riuscita. Controlla la connessione al server, i parametri di input o le credenziali.

Dindin

Utilizza l'azione Ping per testare la connettività a Cloud Asset Inventory.

Questa azione non viene eseguita sulle entità Google SecOps.

Input azione

Nessuno.

Output azione

L'azione Ping fornisce i seguenti output:

Tipo di output dell'azione	Disponibilità
Allegato della bacheca casi	Non disponibile
Link alla bacheca casi	Non disponibile
Tabella della bacheca casi	Non disponibile
Tabella di arricchimento	Non disponibile
Risultato JSON	Non disponibile
Messaggi di output	Disponibile
Risultato dello script	Disponibile

Messaggi di output

L'azione Ping può restituire i seguenti messaggi di output:

Messaggio di output	Descrizione del messaggio
Successfully connected to the Google Cloud Asset Inventory server with the provided connection parameters!	L'azione è riuscita.
Failed to connect to the Google Cloud Asset Inventory server!	L'azione non è riuscita.

Risultato dello script

La tabella seguente elenca il valore dell'output del risultato dello script quando utilizzi l'azione Ping:

Nome del risultato dello script	Valore
is_success	True o False

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.