Event Threat Detection den Zugriff auf VPC Service Controls-Perimeter erlauben

In diesem Dokument wird beschrieben, wie Sie Regeln für eingehenden Traffic hinzufügen, damit Event Threat Detection Logging-Streams in Security Command Center innerhalb von VPC Service Controls-Perimetern überwachen kann. Führen Sie diese Aufgabe aus, wenn Ihre Organisation VPC Service Controls verwendet, um Dienste in Projekten einzuschränken, die von Event Threat Detection überwacht werden sollen. Weitere Informationen zu Event Threat Detection finden Sie unter Übersicht über Event Threat Detection.

Hinweis

Sie benötigen die folgende Rolle in der Organisation: Cloud Asset Service Agent (roles/cloudasset.serviceAgent).

Rollen prüfen

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen
  2. Wählen Sie die Organisation aus.

  3. Suchen Sie in der Spalte Hauptkonto alle Zeilen, in denen Sie oder eine Gruppe, der Sie angehören, identifiziert werden. Wenden Sie sich an Ihren Administrator, um herauszufinden, welchen Gruppen Sie angehören.

  4. Prüfen Sie in allen Zeilen, in denen Sie angegeben sind oder in denen Sie enthalten sind, in der Rolle-Spalte, ob die Liste der Rollen die erforderlichen Rollen enthält.

Rollen zuweisen

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen
  2. Wählen Sie die Organisation aus.
  3. Klicken Sie auf „“ Zugriffsrechte erteilen.

  4. Geben Sie im Feld Neue Hauptkonten Ihre Nutzer-ID ein. Das ist in der Regel die E‑Mail-Adresse eines Google-Kontos.

  5. Klicken Sie auf Rolle auswählen und suchen Sie nach der Rolle.
  6. Klicken Sie auf Add another role, wenn Sie weitere Rollen zuweisen möchten.
  7. Klicken Sie auf Speichern.

Regeln für eingehenden Traffic erstellen

Damit Event Threat Detection Logging-Streams in Security Command Center innerhalb von VPC Service Controls-Perimetern überwachen kann, fügen Sie in diesen Perimetern die erforderlichen Regeln für eingehenden Traffic hinzu. Führen Sie diese Schritte für jeden Perimeter aus, der von Event Threat Detection überwacht werden soll.

Weitere Informationen finden Sie unter Richtlinien für ein- und ausgehenden Traffic für einen Dienstperimeter aktualisieren in der Dokumentation zu VPC Service Controls.

Console

  1. Wechseln Sie in der Google Cloud Console zur Seite VPC Service Controls.

    Zu „VPC Service Controls“

  2. Wählen Sie Ihre Organisation aus.

  3. Wählen Sie in der Drop-down-Liste die Zugriffsrichtlinie aus, die den Dienstperimeter auf den Sie Zugriff gewähren möchten.

    Die mit der Zugriffsrichtlinie verknüpften Dienstperimeter werden in der Liste angezeigt.

  4. Klicken Sie auf den Namen des Dienstperimeters, den Sie aktualisieren möchten.

    Um den Dienstperimeter zu finden, den Sie ändern müssen, können Sie Ihre Logs auf Einträge prüfen, die RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER Verstöße enthalten. Prüfen Sie in diesen Einträgen das servicePerimeterName Feld: 

    accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
  5. Klicken Sie auf Bearbeiten.

Regel für eingehenden Traffic hinzufügen

  1. Klicken Sie auf Richtlinie für eingehenden Traffic.
  2. Klicken Sie auf Regel für eingehenden Traffic hinzufügen.

  3. Legen Sie im Abschnitt Von die folgenden Details fest:

    1. Wählen Sie unter Identitäten > Identität die Option Identitäten und Gruppen auswählen aus.
    2. Klicken Sie auf Identitäten hinzufügen.

    3. Geben Sie die E‑Mail-Adresse ein, die den Cloud Security Command Center Service Agent identifiziert. Diese Adresse hat das folgende Format: 

      service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

      Ersetzen Sie ORGANIZATION_ID durch Ihre Organisations-ID.

    4. Wählen Sie den Dienst-Agent aus oder drücken Sie die EINGABETASTE und klicken Sie dann auf Identitäten hinzufügen.

  4. Legen Sie im Abschnitt An die folgenden Details fest:

    1. Wählen Sie unter Ressourcen > Projekte die Option Alle Projekte aus.
    2. Wählen Sie unter Vorgänge oder IAM-Rollen die Option Vorgänge auswählen aus.

    3. Klicken Sie auf Vorgänge hinzufügen und fügen Sie dann die folgenden Vorgänge hinzu:

      • Fügen Sie den Dienst cloudasset.googleapis.com hinzu.
        1. Klicken Sie auf Alle Methoden.
        2. Klicken Sie auf Alle Methoden hinzufügen.
  5. Klicken Sie auf Speichern.

gcloud

  1. Wenn noch kein Kontingentprojekt festgelegt ist, legen Sie es fest. Wählen Sie ein Projekt aus, für das die Access Context Manager API aktiviert ist. 

    gcloud config set billing/quota_project QUOTA_PROJECT_ID

    Ersetzen Sie QUOTA_PROJECT_ID durch die ID des Projekts, das Sie für die Abrechnung und das Kontingent verwenden möchten.

  2. Erstellen Sie eine Datei mit dem Namen ingress-rule.yaml und dem folgenden Inhalt:

    - ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: '*'
    resources:
    - '*'

    Ersetzen Sie ORGANIZATION_ID durch Ihre Organisations-ID.

  3. Fügen Sie dem Perimeter die Regel für eingehenden Traffic hinzu:

    gcloud access-context-manager perimeters update PERIMETER_NAME \
    --set-ingress-policies=ingress-rule.yaml

    Ersetzen Sie Folgendes:

    • PERIMETER_NAME: der Name des Perimeters. Beispiel: accessPolicies/1234567890/servicePerimeters/example_perimeter.

      Um den Dienstperimeter zu finden, den Sie ändern müssen, können Sie Ihre Logs auf Einträge prüfen, die RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER Verstöße enthalten. Prüfen Sie in diesen Einträgen das Feld servicePerimeterName: 

      accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

Weitere Informationen finden Sie unter Regeln für eingehenden und ausgehenden Traffic.

Nächste Schritte