Mengizinkan Event Threat Detection mengakses perimeter Kontrol Layanan VPC

Dokumen ini menjelaskan cara menambahkan aturan ingress untuk mengizinkan Event Threat Detection memantau aliran logging di Security Command Center dalam perimeter Kontrol Layanan VPC. Lakukan tugas ini jika organisasi Anda menggunakan Kontrol Layanan VPC untuk membatasi layanan di project yang ingin Anda pantau dengan Event Threat Detection. Untuk mengetahui informasi selengkapnya tentang Event Threat Detection, lihat Ringkasan Event Threat Detection.

Sebelum memulai

Pastikan Anda memiliki peran berikut di organisasi: Agen Layanan Cloud Asset (roles/cloudasset.serviceAgent).

Memeriksa peran

  1. Di Google Cloud konsol, buka halaman IAM.

    Buka IAM
  2. Pilih organisasi.

  3. Di kolom Akun utama, temukan semua baris yang mengidentifikasi Anda atau grup yang menyertakan Anda. Untuk mengetahui grup mana yang menyertakan Anda, hubungi administrator Anda.

  4. Untuk semua baris yang menentukan atau menyertakan Anda, periksa kolom Peran untuk melihat apakah daftar peran menyertakan peran yang diperlukan.

Memberikan peran

  1. Di Google Cloud konsol, buka halaman IAM.

    Buka IAM
  2. Pilih organisasi.
  3. Klik Grant access.

  4. Di kolom New principals, masukkan ID pengguna Anda. Biasanya, ini adalah alamat email untuk Akun Google.

  5. Klik Select a role, lalu telusuri peran.
  6. Untuk memberikan peran tambahan, klik Add another role , lalu tambahkan tiap peran tambahan.
  7. Klik Save.

Membuat aturan ingress

Untuk mengizinkan Event Threat Detection memantau aliran logging di Security Command Center dalam perimeter Kontrol Layanan VPC, tambahkan aturan ingress yang diperlukan di perimeter tersebut. Lakukan langkah-langkah ini untuk setiap perimeter yang ingin Anda pantau dengan Event Threat Detection.

Untuk mengetahui informasi selengkapnya, lihat Memperbarui kebijakan ingress dan egress untuk perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Konsol

  1. Di Google Cloud konsol, buka halaman VPC Service Controls.

    Buka Kontrol Layanan VPC

  2. Pilih organisasi Anda.

  3. Di daftar drop-down, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda berikan aksesnya.

    Perimeter layanan yang terkait dengan kebijakan akses akan muncul dalam daftar.

  4. Klik nama perimeter layanan yang ingin Anda perbarui.

    Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa log untuk entri yang menampilkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Di entri tersebut, periksa kolom servicePerimeterName: 

    accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
  5. Klik Edit.

Menambahkan aturan ingress

  1. Klik Kebijakan ingress.
  2. Klik Tambahkan aturan ingress.

  3. Di bagian Dari, tetapkan detail berikut:

    1. Untuk Identitas > Identitas, pilih Pilih identitas & grup.
    2. Klik Tambahkan identitas.

    3. Masukkan alamat email yang mengidentifikasi Cloud Security Command Center Agen Layanan. Alamat ini memiliki format berikut: 

      service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

      Ganti ORGANIZATION_ID dengan ID organisasi Anda.

    4. Pilih agen layanan atau tekan ENTER, lalu klik Tambahkan identitas.

  4. Di bagian Ke, tetapkan detail berikut:

    1. Untuk Resource > Project, pilih Semua project.
    2. Untuk Operasi atau peran IAM, pilih Pilih operasi.

    3. Klik Tambahkan operasi, lalu tambahkan operasi berikut:

      • Tambahkan layanan cloudasset.googleapis.com.
        1. Klik Semua metode.
        2. Klik Tambahkan semua metode.
  5. Klik Simpan.

gcloud

  1. Jika project kuota belum ditetapkan, tetapkan project kuota. Pilih project yang mengaktifkan Access Context Manager API. 

    gcloud config set billing/quota_project QUOTA_PROJECT_ID

    Ganti QUOTA_PROJECT_ID dengan ID project yang ingin Anda gunakan untuk penagihan dan kuota.

  2. Buat file bernama ingress-rule.yaml dengan konten berikut:

    - ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: cloudasset.googleapis.com
      methodSelectors:
      - method: '*'
    resources:
    - '*'

    Ganti ORGANIZATION_ID dengan ID organisasi Anda.

  3. Tambahkan aturan ingress ke perimeter:

    gcloud access-context-manager perimeters update PERIMETER_NAME \
    --set-ingress-policies=ingress-rule.yaml

    Ganti kode berikut:

    • PERIMETER_NAME: nama perimeter. Misalnya, accessPolicies/1234567890/servicePerimeters/example_perimeter.

      Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa log untuk entri yang menampilkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Di entri tersebut, periksa kolom servicePerimeterName: 

      accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

Untuk mengetahui informasi selengkapnya, lihat Aturan ingress dan egress.

Langkah berikutnya