조직에 Security Command Center Standard 등급 활성화

Security Command Center Standard 등급을 사용하면 조직 전체의 취약점과 위험을 중앙에서 파악할 수 있습니다. Google Cloud 콘솔에서 조직 수준으로 등급을 활성화하면 조직의 애셋 전반에서 기준 보안 상황 및 규정 준수 기능에 액세스할 수 있습니다. 하지만 특정 취약점 평가 기능에는 구성이 필요합니다. 기능 세부정보는 Security Command Center 서비스 등급 및 Standard 등급과 Standard-legacy 등급의 차이점을 참고하세요.

다른 등급 또는 범위를 활성화하려면 조직에 Security Command Center 프리미엄 등급 활성화, Security Command Center Enterprise 활성화 또는 프로젝트에 Security Command Center 활성화를 참고하세요.

시작하기 전에

조직에 Security Command Center Standard를 활성화하기 전에 다음을 수행해야 합니다.

  • 특정 Identity and Access Management (IAM) 역할 및 권한을 획득합니다.
  • 선택사항: Security Center Management API를 사용 설정합니다.
  • 조직에 해당하는 경우 조직 정책을 검토합니다.
  • 데이터 상주를 사용 설정할 계획이라면 데이터 상주 계획을 검토하고 사용할 위치를 결정하세요.

  • 고객 관리 암호화 키 (CMEK)를 사용하려면 Security Command Center에 CMEK 사용 설정에 필요한 작업을 완료하세요.

    Security Command Center를 활성화할 때 데이터 레지던시 및 데이터 암호화를 구성할 수 있습니다. Security Command Center 표준 또는 프리미엄을 활성화한 후 이러한 설정을 변경하려면 데이터 상주 또는 데이터 암호화 구성 수정을 참고하세요.

필요한 역할

조직의 Security Command Center를 활성화하는 데 필요한 권한을 얻으려면 관리자에게 조직에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

Security Center Management API 사용 설정

Security Center Management API를 사용하려면 API를 호출할 프로젝트에서 이 API를 사용 설정하세요.

API 사용 설정에 필요한 역할

API를 사용 설정하려면 serviceusage.services.enable 권한이 필요합니다. 프로젝트를 만든 경우 소유자 역할 (roles/owner)을 통해 이 권한이 이미 있을 수 있습니다. 그렇지 않은 경우 서비스 사용량 관리자 역할 (roles/serviceusage.serviceUsageAdmin)을 통해 이 권한을 얻을 수 있습니다. 역할을 부여하는 방법 알아보기

API 사용 설정하기

조직 정책 검토

조직 정책이 도메인별로 ID 제한으로 설정된 경우 다음을 확인하세요.

  • 허용된 도메인에 있는 계정으로 Google Cloud 콘솔에 로그인해야 합니다.
  • 서비스 계정은 허용된 도메인에 있거나 도메인 내 그룹의 구성원이어야 합니다. 따라서 도메인 제한 공유가 사용 설정된 경우 @*.gserviceaccount.com 서비스 계정을 사용하는 서비스가 리소스에 액세스하도록 허용할 수 있습니다.

조직 정책이 리소스 사용량을 제한하도록 설정된 경우 다음 API가 정책에 의해 허용되는지 확인합니다.

  • securitycenter.googleapis.com
  • securitycentermanagement.googleapis.com

Security Command Center Standard 활성화

Google Cloud 콘솔을 통해 조직에 Security Command Center Standard를 활성화할 수 있습니다.

  1. Google Cloud 콘솔에서 Security Command Center 시작 페이지로 이동합니다.

    Security Command Center로 이동

  2. 데이터 레지던시를 사용 설정하려면 구성하려는 위치와 일치하는 URL을 사용하여 관할권 콘솔을 여세요.

    관할권 Google Cloud 콘솔에서 데이터 레지던시 제어를 사용하여 Security Command Center를 활성화하고 활성화 후 데이터 레지던시 구성을 수정해야 합니다. 자세한 내용은 관할권Google Cloud 콘솔 정보를 참고하세요.

  3. Security Command Center Standard를 사용 설정할 조직을 선택한 다음 Standard 받기를 클릭합니다.

  4. 시작 페이지에서 선택을 클릭합니다.

  5. 선택사항: 데이터 레지던시 구성을 확인하거나 데이터 암호화 구성을 변경하려면 더보기를 클릭합니다.

    • 관할 구역 콘솔을 사용하는 경우 데이터 레지던시 필드에 사용 설정이 표시되고 위치 필드에 관할 구역 콘솔과 동일한 위치가 표시됩니다. 위치를 변경하려면 구성하려는 위치와 일치하는 URL을 사용하여 콘솔을 여세요.
    • 기본 데이터 암호화 구성은 Google-owned and Google-managed encryption keys를 사용합니다. Cloud Key Management Service 키를 사용하려면 데이터 암호화 수정을 클릭한 후 다음 단계를 따르세요.
      1. Cloud KMS 키를 선택합니다.
      2. 프로젝트를 선택합니다.
      3. 키를 선택합니다. 다른 조직의 프로젝트를 포함한 모든 Google Cloud 프로젝트에서 키를 선택할 수 있습니다. 호환되는 위치의 키만 목록에 표시됩니다.

      Security Command Center와 호환되는 주요 위치를 알아보려면 주요 위치 확인을 참고하세요.

      조직에서 CMEK 조직 정책을 사용하는 경우 CMEK 또는 특정 키만 선택할 수 있습니다.

      활성화 프로세스 중에 Security Command Center는 Cloud KMS 키에 대한 Cloud KMS CryptoKey 암호화/복호화 (roles/cloudkms.cryptoKeyEncrypterDecrypter) 역할을 Cloud Security Command Center 서비스 에이전트에 부여합니다.

  6. 활성화를 클릭합니다.

결과가 제공되면 콘솔에 표시됩니다. 그런 다음 Google Cloud 콘솔을 사용하여 Google Cloud 보안 및 데이터 위험을 검토하고 해결할 수 있습니다.

Security Command Center는 24시간 이내에 첫 번째 전체 스캔을 완료합니다. 일부 서비스의 경우 스캔이 시작되려면 시간이 걸릴 수 있습니다. 자세한 내용은 Security Command Center에서 발견 항목이 표시되는 시점을 참고하세요.

Security Command Center Standard에서 프리미엄으로 업그레이드하면 문제, 위협, 프레임워크와 같은 기능의 스캔 진행 상황을 보여주는 차트에 액세스할 수 있습니다. 결과가 제공되면 기존 차트도 Premium 감지기의 검사 결과로 업데이트됩니다.

Security Command Center Standard 서비스

Security Command Center Standard를 활성화하면 특정 서비스가 자동으로 사용 설정되고 이러한 서비스가 사용자를 대신하여 작업을 실행할 수 있도록 서비스 에이전트가 생성됩니다.

Security Command Center는 감지 서비스를 사용하여 보안 문제를 감지합니다. Security Command Center 표준을 활성화하면 다음 서비스가 사용 설정됩니다.

사용 및 최적화 안내는 각 서비스의 문서를 참고하세요.

Security Command Center 서비스 구성의 단계에 따라 추가 서비스를 사용 설정할 수 있습니다.

Security Command Center 서비스 등급 수정

등급 관리에 대한 자세한 내용은 조직의 Security Command Center Standard 등급 수정을 참고하세요.

다음 단계