為機構啟用 Security Command Center Standard 級別

透過 Security Command Center Standard 級別，您可以集中掌握整個機構的安全性弱點和風險。在 Google Cloud 控制台中啟用組織層級的方案，即可在整個組織的資產中存取基本安全防護態勢和法規遵循功能。不過，您必須設定特定安全漏洞評估功能，如需功能詳細資料，請參閱「Security Command Center 服務層級」和「Standard 與 Standard-legacy 層級的差異」。

如要啟用其他層級或範圍，請參閱「為機構啟用 Security Command Center 進階方案」、「啟用 Security Command Center Enterprise」或「為專案啟用 Security Command Center」。

事前準備

為機構啟用 Security Command Center Standard 前，請先完成下列事項：

  • 取得特定的 Identity and Access Management (IAM) 角色和權限。
  • 選用：啟用 Security Center Management API。
  • 查看貴機構的組織政策 (如適用)。
  • 如要啟用資料落地設定，請參閱「規劃資料落地設定」，並決定要使用的位置。

  • 如要使用客戶自行管理的加密金鑰 (CMEK)，請完成為 Security Command Center 啟用 CMEK 的必要工作。

    啟用 Security Command Center 時，您可以設定資料落地和資料加密。如要在啟用 Security Command Center Standard 或 Premium 之後變更這些設定，請參閱「修改資料落地或資料加密設定」。

必要的角色

如要取得為組織啟用 Security Command Center 所需的權限，請要求管理員授予您組織的下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

啟用 Security Center Management API

如要使用 Security Center Management API，請在您打算呼叫該 API 的專案中啟用：

啟用 API 時所需的角色

如要啟用 API，您必須具備 serviceusage.services.enable 權限。如果您建立了專案，可能已透過「擁有者」角色 (roles/owner) 取得這項權限。否則，您可以透過「服務使用管理員」角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

啟用 API

查看組織政策

如果貴機構政策設為依網域限制身分，請確認下列事項：

  • 您必須在允許的網域中，以帳戶登入 Google Cloud 控制台。
  • 服務帳戶必須位於允許的網域中，或是網域內群組的成員。啟用網域限制分享功能後，您必須符合這項規定，才能允許使用 @*.gserviceaccount.com 服務帳戶的服務存取資源。

如果貴機構的組織政策設為限制資源用量，請確認下列 API符合政策規定：

  • securitycenter.googleapis.com
  • securitycentermanagement.googleapis.com

啟用 Security Command Center Standard

您可以透過Google Cloud 控制台，為機構啟用 Security Command Center Standard。

  1. 前往 Google Cloud 控制台的 Security Command Center 歡迎頁面。

    前往 Security Command Center

  2. 如要啟用資料落地控管機制，請使用與您要設定的位置相符的網址，開啟管轄區控制台。

    您必須使用管轄區 Google Cloud 控制台啟用 Security Command Center 及其資料落地控管機制，並在啟用後修改資料落地設定。詳情請參閱「 管轄區Google Cloud 控制台簡介」。

  3. 選取要啟用 Security Command Center Standard 的機構，然後按一下「取得 Standard」。

  4. 在歡迎頁面中，按一下「選取」。

  5. 選用：如要確認資料落地設定或變更資料加密設定，請按一下「顯示更多」。

    • 如果您使用管轄區控制台，「資料落地設定」欄位會顯示「啟用」，而「位置」欄位會顯示與管轄區控制台相同的位置。如要變更位置，請使用與要設定的位置相符的網址開啟控制台。
    • 預設資料加密設定會使用 Google-owned and Google-managed encryption keys。 如要使用 Cloud Key Management Service 金鑰，請按一下「編輯資料加密」，然後執行下列操作：
      1. 選取「Cloud KMS key」(Cloud KMS 金鑰)。
      2. 選取專案。
      3. 選取金鑰。您可以從任何 Google Cloud 專案選取金鑰，包括其他機構的專案。清單中只會顯示相容位置的鑰匙。

      如要瞭解哪些主要位置與 Security Command Center 相容，請參閱「判斷主要位置」。

      如果貴機構使用 CMEK 組織政策，您可能只能選擇 CMEK 或特定金鑰。

      在啟用程序期間，Security Command Center 會將 Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) 角色授予 Cloud KMS 金鑰的Cloud Security Command Center 服務代理程式。

  6. 點按「Activate」(啟用)。

結果會顯示在控制台中。然後使用 Google Cloud 控制台，查看並修正 Google Cloud 安全性與資料風險。

Security Command Center 會在 24 小時內完成首次完整掃描。部分服務可能要過一段時間才會開始掃描。詳情請參閱「何時會在 Security Command Center 中看到發現項目」。

如果從 Security Command Center Standard 升級至 Premium，即可存取圖表，查看問題、威脅和架構等功能的掃描進度。現有圖表也會在掃描結果出爐後，一併更新進階偵測器的結果。

Security Command Center Standard 服務

啟用 Security Command Center Standard 後，系統會自動啟用特定服務，並建立服務代理程式，以便這些服務代表您執行動作。

Security Command Center 會使用偵測服務偵測安全性問題。啟用 Security Command Center Standard 時，系統會啟用下列服務：

如需使用和最佳化操作說明，請參閱各項服務的說明文件。

如要啟用其他服務，請按照「設定 Security Command Center 服務」一文中的步驟操作。

修改 Security Command Center 服務層級

如要進一步瞭解層級管理，請參閱「為機構修改 Security Command Center Standard 層級」。

後續步驟