Corriger les erreurs Security Command Center

Niveaux de service Standard (ancienne version), Standard, Premium et Enterprise (obsolète)

Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027.

Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après. Contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud si vous avez des questions.

Cette page fournit une liste de guides de référence et de techniques permettant de corriger les erreurs SCC.

Avant de commencer

Vous devez disposer des rôles IAM (Identity and Access Management) appropriés pour afficher ou modifier les résultats, et pour accéder aux ressources Google Cloud ou les modifier. Si vous rencontrez des erreurs d'autorisation lorsque vous accédez à Security Command Center dans la consoleGoogle Cloud , demandez de l'aide à votre administrateur. Pour en savoir plus sur les rôles, consultez la page Contrôle des accès. Pour résoudre les erreurs de ressources, consultez la documentation des produits concernés.

Examiner les résultats dans la console Google Cloud

Les erreurs SCC sont des erreurs de configuration qui empêchent Security Command Center de fonctionner comme prévu. La source Security Command Center génère ces résultats.

Tant que Security Command Center est configuré pour votre organisation ou votre projet, il génère des résultats dès qu'il détecte des erreurs. Vous pouvez afficher les erreurs SCC dans la console Google Cloud .

Suivez la procédure ci-dessous pour examiner les résultats dans la console Google Cloud  :

1. Dans la console Google Cloud , accédez à la page Résultats de Security Command Center.

   Accéder aux résultats

2. Sélectionnez votre projet ou votre organisation Google Cloud .
3. Dans la section Filtres rapides de la sous-section Nom à afficher de la source, sélectionnez Security Command Center. Les résultats de la requête sont mis à jour pour n'afficher que les résultats provenant de cette source.
4. Pour afficher les détails d'un résultat spécifique, cliquez sur son nom dans la colonne Catégorie. Le panneau de détails du résultat s'ouvre et affiche l'onglet Résumé.
5. Dans l'onglet Résumé, examinez les détails du résultat, y compris les informations sur ce qui a été détecté, la ressource concernée et, le cas échéant, les étapes à suivre pour corriger le résultat.
6. Facultatif : Pour afficher la définition JSON complète du résultat, cliquez sur l'onglet JSON.

Désactivation des erreurs SCC après correction

Une fois que vous avez corrigé un résultat SCC error, Security Command Center définit automatiquement l'état du résultat sur INACTIVE lors de la prochaine analyse. Le temps nécessaire à Security Command Center pour définir l'état d'un résultat corrigé sur INACTIVE dépend du moment où vous corrigez le résultat et du calendrier de l'analyse qui détecte l'erreur.

Pour en savoir plus sur la fréquence d'analyse d'un résultat SCC error, consultez le résumé du résultat dans Détecteurs d'erreurs.

Résoudre les erreurs SCC

Cette section fournit des instructions de résolution pour toutes les erreurs SCC.

Attention : Si vous ne le faites pas correctement, la modification de la configuration de vos ressources peut affecter votre environnement de production. En outre, l'activation de certains services Google Cloud suggérés peut augmenter vos coûts liés au cloud. Comprenez l'impact de toutes les mesures correctives avant d'apporter des modifications.

API disabled

Nom de la catégorie dans l'API : API_DISABLED

L'un des services suivants est désactivé pour le projet :

• Container Threat Detection
• Web Security Scanner

Le service désactivé ne peut pas générer de résultats.

Pour corriger ce résultat, procédez comme suit :

1. Examinez le résultat pour déterminer quelle API est désactivée.

2. Activez l'API :

   • Activez l'API Container Threat Detection.

     Activer l'API

   • Activez l'API Web Security Scanner.

     Activer l'API

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

APS no resource value configs match any resources

Nom de la catégorie dans l'API : APS_NO_RESOURCE_VALUE_CONFIGS_MATCH_ANY_RESOURCES

Des configurations de valeurs de ressources sont définies pour les simulations de chemins d'attaque, mais elles ne correspondent à aucune instance de ressource dans votre environnement. À la place, les simulations utilisent l'ensemble de ressources à forte valeur par défaut.

Il est possible que les configurations de valeurs de ressources ne correspondent à aucune ressource pour les raisons suivantes, qui sont identifiées dans la description du résultat dans la consoleGoogle Cloud  :

• Aucune des configurations de valeurs de ressources ne correspond à une instance de ressource.
• Une ou plusieurs configurations de valeurs de ressources définies sur NONE remplacent toutes les autres configurations valides.
• Toutes les configurations de valeurs de ressources sont définies sur NONE.

Pour corriger ce résultat, procédez comme suit :

1. Accédez à la page Simulation du chemin d'attaque dans les Paramètres de Security Command Center :

   Accéder aux paramètres

2. Sélectionner votre organisation. La page Simulation du chemin d'attaque s'ouvre et affiche les configurations existantes.

3. Dans la colonne Valeur de la ressource de la liste Configurations de la valeur de la ressource, recherchez les valeurs None.

4. Pour toute configuration spécifiant None, procédez comme suit :

   1. Cliquez sur le nom d'une configuration de valeur de ressource pour afficher les spécifications de configuration.
   2. Si nécessaire, modifiez les spécifications des attributs de ressources pour réduire le nombre d'instances de ressources correspondant à la configuration.

5. Si le problème n'est pas dû à une spécification None trop large, procédez comme suit :

   1. Cliquez sur le nom de chaque configuration qui spécifie une valeur de HIGH, MEDIUM ou LOW pour afficher les spécifications des attributs de ressource.
   2. Vérifiez et, si nécessaire, modifiez la configuration pour corriger la spécification de la portée, du type de ressource, du tag ou de l'étiquette afin qu'elle corresponde aux ressources prévues.

6. Si nécessaire, créez une configuration des valeurs de ressource.

Vos modifications sont appliquées à la prochaine simulation du chemin d'attaque.

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

APS resource value assignment limit exceeded

Nom de la catégorie dans l'API : APS_RESOURCE_VALUE_ASSIGNMENT_LIMIT_EXCEEDED

Lors de la dernière simulation de chemin d'attaque, le nombre d'instances de ressources à forte valeur, tel qu'identifié par les configurations de valeurs de ressources, a dépassé la limite de 1 000 instances de ressources par ensemble de ressources à forte valeur. Par conséquent, Security Command Center a exclu les instances excédentaires de l'ensemble de ressources à forte valeur.

Pour corriger ce résultat, vous pouvez essayer les actions suivantes :

• Utilisez des tags ou des libellés pour réduire le nombre de correspondances pour un type de ressource donné ou dans un champ d'application spécifié. Les tags ou libellés doivent être appliqués aux instances de ressources avant de pouvoir être mis en correspondance par une configuration de valeurs de ressources.

• Créez une configuration de valeur de ressource qui attribue une valeur de ressource de NONE à un sous-ensemble des ressources spécifiées dans une autre configuration.

  Si vous spécifiez la valeur NONE, vous remplacez toutes les autres configurations et excluez les instances de ressources de votre ensemble de ressources à forte valeur.

• Réduisez la spécification de l'attribut de ressource de portée dans la configuration de la valeur de ressource.

• Supprimez les configurations de valeurs de ressources qui attribuent une valeur de LOW.

Pour savoir comment créer, modifier ou supprimer une configuration de valeur de ressource, consultez Définir et gérer votre ensemble de ressources à forte valeur.

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

CIEM service account missing permissions

Nom de la catégorie dans l'API : CIEM_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Le compte de service utilisé par le service CIEM ne dispose pas des autorisations requises. CIEM ne peut pas générer une ou plusieurs catégories de résultats.

Pour corriger ce résultat, restaurez les rôles IAM requis sur le compte de service CIEM :

1. Dans la console Google Cloud , accédez à la page IAM.

   Accéder à IAM

2. Sélectionnez le compte de service CIEM de votre organisation. L'identifiant du compte de service est une adresse e-mail au format suivant :

   [e-mail]
   

   Remplacez ORGANIZATION_ID par l'ID numérique de votre organisation.

   Si le compte de service ne figure pas dans la liste, cliquez sur ACCORDER L'ACCÈS en haut de la page, puis saisissez le compte de service en tant que nouveau principal.

3. Attribuez le rôle d'agent de service CIEM (roles/ciem.serviceAgent) au compte de service. Si vous utilisez des rôles personnalisés, assurez-vous qu'ils incluent les autorisations suivantes :

   • cloudasset.assets.exportResource
   • cloudasset.assets.exportIamPolicy

4. Cliquez sur Enregistrer.

CIEM AWS CloudTrail configuration error

Nom de la catégorie dans l'API : AWS_CLOUDTRAIL_CONFIGURATION_ERROR

Certains ou tous les résultats CIEM AWS ne sont pas envoyés à Security Command Center. Le flux AWS CloudTrail a échoué et ne parvient pas à récupérer les données en raison d'une erreur de configuration.

Trois causes possibles peuvent expliquer ce résultat :

• Flux AWS CloudTrail manquant

  Pour résoudre ce problème, créez et configurez un flux dans la console Security Operations afin d'ingérer les journaux AWS CloudTrail. Définissez la paire clé-valeur Libellé d'ingestion sur CIEM et TRUE.

  Pour obtenir des instructions sur la création d'un flux, consultez Créer le flux dans la documentation Google SecOps.

• Erreurs de configuration du flux

  Assurez-vous d'avoir correctement configuré le flux.

  Pour configurer un flux, consultez Configurer un flux dans Google Security Operations pour ingérer les journaux AWS dans la documentation Google SecOps.

• Configuration AWS CloudTrail incomplète

  Pour résoudre ce problème, configurez le bucket S3 dans votre configuration AWS CloudTrail afin de consigner les événements de données et les événements de gestion de tous les comptes AWS dans lesquels vous prévoyez d'utiliser CIEM.

  Pour configurer CloudTrail, consultez Configurer AWS CloudTrail (ou un autre service) dans la documentation Google SecOps.

External Exposure VPC Service Controls Restriction

Aperçu

Cette fonctionnalité est soumise aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service. Les fonctionnalités pré-DG sont disponibles "en l'état" et peuvent avoir une prise en charge limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

Nom de la catégorie dans l'API : EXTERNAL_EXPOSURE_VPC_SC_RESTRICTION

External Exposure ne peut pas effectuer d'analyses ni générer de résultats pour un projet, car celui-ci est protégé par un périmètre de service. Vous devez accorder à l'agent de service d'exposition externe un accès entrant au périmètre de service.

Selon le niveau de ressource auquel le service est activé, l'identifiant du compte de service utilise l'un des formats d'adresse e-mail suivants :

• Pour les organisations ou les dossiers :

  [e-mail]
  

• Pour les projets :

  [e-mail]
  

Remplacez les éléments suivants :

• RESOURCE_KEYWORD : mot clé org ou folder
• RESOURCE_ID : ID de l'organisation ou du dossier
• PROJECT_NUMBER : numéro du projet

Si vous disposez d'un compte de service à la fois au niveau de l'organisation et au niveau du projet, appliquez la correction aux deux comptes.

Pour corriger ce résultat, ajoutez une règle d'entrée au périmètre de service bloquant :

1. Dans la console Google Cloud , accédez à la page VPC Service Controls.
2. Sélectionnez la règle d'accès bloquante et le périmètre de service.
3. Cliquez sur Modifier, puis sur Règle d'entrée.
4. Cliquez sur Ajouter une règle d'entrée et configurez le bloc De :
   1. Pour Identité, sélectionnez Identités et groupes sélectionnés.
   2. Saisissez l'adresse e-mail du compte de service External Exposure.
   3. Pour Source, sélectionnez Toutes les sources.
5. Configurez le champ "À" de la règle de blocage :
   1. Pour Projet, sélectionnez Tous les projets ou sélectionnez le projet spécifique indiqué dans le résultat.
   2. Pour Opérations ou rôles IAM, sélectionnez Toutes les opérations.
6. Cliquez sur Enregistrer.

GKE service account missing permissions

Nom de la catégorie dans l'API : GKE_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Container Threat Detection ne peut pas générer de résultats pour un cluster Google Kubernetes Engine, car le compte de service GKE par défaut du cluster ne dispose pas des autorisations nécessaires. Cela empêche Container Threat Detection d'être correctement activé sur le cluster.

Pour corriger ce résultat, restaurez le compte de service GKE par défaut et vérifiez que le compte de service dispose du rôle Agent de service Kubernetes Engine (roles/container.serviceAgent).

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

KTD blocked by admission controller

Nom de la catégorie dans l'API : KTD_BLOCKED_BY_ADMISSION_CONTROLLER

Container Threat Detection ne peut pas être activé sur un cluster, car un contrôleur d'admission tiers empêche le déploiement de l'objet Kubernetes DaemonSet requis.

Pour corriger ce résultat, assurez-vous que les contrôleurs d'admission exécutés sur le cluster permettent à Container Threat Detection de créer les objets Kubernetes requis.

Vérifier le contrôleur d'admission

Vérifiez si le contrôleur d'admission de votre cluster refuse le déploiement de l'objet DaemonSet Container Threat Detection.

1. Dans la description du résultat, dans les détails du résultat de la console Google Cloud , examinez le message d'erreur inclus de Kubernetes. Le message d'erreur Kubernetes doit être semblable à celui-ci :

   generic::failed_precondition: incompatible admission webhook:
   admission webhook "example.webhook.sh" denied the request:
   [example-constraint] you must provide labels: {"example-required-label"}.
   

2. Dans les journaux d'audit Cloud Logging pour les activités d'administration du projet contenant votre cluster, recherchez le message d'erreur affiché dans le champ Description des détails du résultat.

3. Si votre contrôleur d'admission fonctionne, mais refuse le déploiement de l'objet DaemonSet Container Threat Detection, configurez-le pour autoriser l'agent de service pour Container Threat Detection à gérer les objets dans l'espace de noms kube-system.

   L'agent de service pour Container Threat Detection doit pouvoir gérer des objets Kubernetes spécifiques.

Pour en savoir plus sur l'utilisation des contrôleurs d'admission avec Container Threat Detection, consultez PodSecurityPolicy et les contrôleurs d'admission.

Confirmer la correction

Une fois l'erreur corrigée, Security Command Center tente automatiquement d'activer Container Threat Detection. Une fois l'activation terminée, vous pouvez vérifier si Container Threat Detection est actif en procédant comme suit :

1. Accédez à la page Charges de travail de Kubernetes Engine dans la console.

   Accéder à la page "Charges de travail Kubernetes"

2. Si nécessaire, sélectionnez Afficher les charges de travail du système.

3. Sur la page Charges de travail, filtrez d'abord les charges de travail par nom de cluster.

4. Recherchez la charge de travail container-watcher. Si container-watcher est présent et que son état est OK, Container Threat Detection est actif.

KTD image pull failure

Nom de la catégorie dans l'API : KTD_IMAGE_PULL_FAILURE

Container Threat Detection ne peut pas être activé sur le cluster, car une image de conteneur requise ne peut pas être extraite (téléchargée) à partir de gcr.io, l'hôte d'images Container Registry.

L'extraction ou le téléchargement d'une image de conteneur peuvent échouer pour de nombreuses raisons.

Vérifiez les éléments suivants :

• Assurez-vous que les paramètres de votre réseau VPC, de votre DNS ou de votre pare-feu ne bloquent pas l'accès réseau du cluster à l'hôte d'images gcr.io.
• Si le cluster est privé, assurez-vous que l'accès privé à Google est activé pour autoriser l'accès à l'hôte d'images gcr.io.
• Si les paramètres réseau et l'accès privé à Google ne sont pas à l'origine de l'échec, consultez la documentation de dépannage de GKE pour les erreurs ImagePullBackOff et ErrImagePull.

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

KTD service account missing permissions

Nom de la catégorie dans l'API : KTD_SERVICE_ACCOUNT_MISSING_PERMISSIONS

Le compte de service Container Threat Detection identifié dans les détails du résultat de la console Google Cloud ne dispose pas des autorisations requises. Tous les résultats de Container Threat Detection ou certains d'entre eux ne sont pas envoyés à Security Command Center.

Pour corriger ce résultat, procédez comme suit :

1. Attribuez le rôle Agent de service Container Threat Detection (roles/containerthreatdetection.serviceAgent) au compte de service. Pour en savoir plus, consultez Attribuer un rôle unique.

   Si vous souhaitez utiliser un rôle personnalisé, assurez-vous qu'il dispose des autorisations du rôle d'agent de service Container Threat Detection.

2. Assurez-vous qu'aucune stratégie de refus IAM n'empêche le compte de service d'utiliser l'une des autorisations du rôle "Agent de service Container Threat Detection". Si une stratégie de refus bloque l'accès, ajoutez le compte de service en tant que compte principal d'exception dans la stratégie de refus.

Pour en savoir plus sur le compte de service de Container Threat Detection, ainsi que sur le rôle et les autorisations qu'il requiert, consultez Autorisations IAM requises.

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

Misconfigured Cloud Logging Export

Nom de la catégorie dans l'API : MISCONFIGURED_CLOUD_LOGGING_EXPORT

Le projet configuré pour l'exportation continue vers Cloud Logging n'est pas disponible. Par conséquent, Security Command Center ne peut pas envoyer de résultats à Logging.

Pour corriger ce résultat, effectuez l'une des opérations suivantes :

• Si la période de récupération du projet n'est pas écoulée, restaurez le projet.

  Remarque : Vous pouvez vérifier le nombre de jours restants dans la période de récupération en utilisant la méthode Google Cloud CLI gcloud projects describe.

• Si le projet a été définitivement supprimé, configurez un projet nouveau ou existant pour les exportations Logging.

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

VPC Service Controls Restriction

Nom de la catégorie dans l'API : VPC_SC_RESTRICTION

Security Health Analytics ne peut pas produire certains résultats pour un projet, car celui-ci est protégé par un périmètre de service. Vous devez accorder au compte de service Security Command Center un accès entrant au périmètre de service.

L'identifiant du compte de service est une adresse e-mail au format suivant :

[e-mail]

Remplacez les éléments suivants :

• RESOURCE_KEYWORD : mot clé org ou project, selon la ressource propriétaire du compte de service

• RESOURCE_ID : l'une des valeurs suivantes :

  • ID de l'organisation si le compte de service lui appartient
  • Le numéro du projet si le compte de service appartient à un projet

Si vous disposez d'un compte de service à la fois au niveau de l'organisation et au niveau du projet, appliquez la correction aux deux comptes.

Pour corriger ce résultat, procédez comme suit :

Étape 1 : Déterminer le périmètre de service qui bloque Security Health Analytics

1. Obtenez l'identifiant unique de VPC Service Controls et l'ID du projet associé au résultat :

   1. Pour afficher les détails du résultat, cliquez sur son nom de catégorie.
   2. Dans le champ Description, copiez l'ID unique de VPC Service Controls (par exemple, 5e4GI409D6BTWfOp_6C-uSwmTpOQWcmW82sfZW9VIdRhGO5pXyCJPQ).
   3. Dans le champ Chemin d'accès à la ressource, copiez l'ID du projet.

2. Obtenez l'ID de la règle d'accès et le nom du périmètre de service :

   1. Dans la console Google Cloud , accédez à la page Explorateur de journaux.

      Accéder à l'explorateur de journaux

   2. Dans la barre d'outils, sélectionnez le projet associé au résultat.

   3. Dans la zone de recherche, saisissez l'identifiant unique de l'erreur.

      

      Si l'erreur n'apparaît pas dans les résultats de la requête, étendez la chronologie dans l'histogramme, puis réexécutez la requête.

   4. Cliquez sur l'erreur qui s'affiche.

   5. Cliquez sur Développer les champs imbriqués.

   6. Copiez la valeur du champ servicePerimeterName. La valeur a le format suivant :

      accessPolicies/ACCESS_POLICY/servicePerimeters/SERVICE_PERIMETER
      

      Dans cet exemple, le nom de ressource complet du périmètre de service est accessPolicies/540107806624/servicePerimeters/vpc_sc_misconfigured.

      • ACCESS_POLICY correspond à l'ID de la règle d'accès (par exemple, 540107806624).

      • SERVICE_PERIMETER correspond au nom du périmètre de service (par exemple, vpc_sc_misconfigured).

        

   7. Pour obtenir le nom à afficher correspondant à l'ID de règle d'accès, utilisez gcloud CLI.

      Si vous ne pouvez pas effectuer de requêtes au niveau de l'organisation, demandez à votre administrateur d'effectuer cette étape.

      gcloud access-context-manager policies list \
          --organization ORGANIZATION_ID
      

      Remplacez ORGANIZATION_ID par l'ID numérique de votre organisation.

      Un résultat semblable aux lignes suivantes doit s'afficher :

      NAME          ORGANIZATION  SCOPES                 TITLE           ETAG
      540107806624  549441802605                         default policy  2a9a7e30cbc14371
      352948212018  549441802605  projects/393598488212  another_policy  d7b47a9ecebd4659
      

      Le nom à afficher est le titre qui correspond à l'ID de règle d'accès. Prenez note du nom à afficher de la règle d'accès et du nom du périmètre de service. Vous en aurez besoin dans la section suivante.

Étape 2 : Créer des règles d'entrée et de sortie accordant l'accès

Cette section nécessite que vous disposiez d'un accès au niveau de l'organisation à VPC Service Controls. Si vous n'avez pas accès au niveau de l'organisation, demandez à votre administrateur d'effectuer ces étapes.

Dans les étapes suivantes, vous allez créer des règles d'entrée et de sortie sur le périmètre de service que vous avez identifié à l'étape 1.

Remarque : Si vous n'avez pas pu identifier le périmètre de service restreint à l'étape 1, nous vous recommandons d'effectuer les étapes suivantes pour chaque périmètre de service de votre organisation qui limite l'accès au projet et aux services appelés par Security Health Analytics. Vous pouvez vérifier les paramètres de chaque périmètre de service dans la console Google Cloud ou dans Google Cloud CLI.

Console

Accéder au périmètre de service

1. Dans la console Google Cloud , accédez à la page VPC Service Controls.

   Accéder à VPC Service Controls

2. Sélectionner votre organisation.

3. Dans la liste déroulante, sélectionnez la règle d'accès contenant le périmètre de service auquel vous souhaitez accorder l'accès.

   Les périmètres de service associés à la règle d'accès apparaissent dans la liste.

4. Cliquez sur le nom du périmètre de service que vous souhaitez modifier.

   Pour trouver le périmètre de service que vous devez modifier, vous pouvez rechercher dans vos journaux les entrées indiquant des cas de non-respect de RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dans ces entrées, vérifiez le champ servicePerimeterName :

   accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

5. Cliquez sur Modifier.

Ajouter une règle de sortie

1. Cliquez sur Règle de sortie.
2. Cliquez sur Ajouter une règle de sortie.

3. Dans la section De, définissez les détails suivants :

   1. Pour Identités > Identité, sélectionnez Sélectionner des identités et des groupes.
   2. Cliquez sur Ajouter des identités.

   3. Saisissez l'adresse e-mail qui identifie l'agent de service Cloud Security Command Center. Cette adresse est au format suivant :

      [e-mail]

      Remplacez ORGANIZATION_ID par votre ID d'organisation.

   4. Sélectionnez l'agent de service ou appuyez sur ENTRÉE, puis cliquez sur Ajouter des identités.

4. Dans la section À, définissez les détails suivants :

   1. Pour Ressources > Projets, sélectionnez Tous les projets ou sélectionnez le projet spécifié dans le résultat.
   2. Pour Opérations ou rôles IAM, sélectionnez Sélectionner des opérations.

   3. Cliquez sur Ajouter des opérations, puis ajoutez les opérations suivantes :

      • Ajoutez le service bigquery.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service binaryauthorization.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service cloudkms.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service logging.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service monitoring.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service cloudresourcemanager.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service storage.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service compute.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service iam.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service container.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.

Ajouter une règle d'entrée

1. Cliquez sur Règle d'entrée.
2. Cliquez sur Ajouter une règle d'entrée.

3. Dans la section De, définissez les détails suivants :

   1. Pour Identités > Identité, sélectionnez Sélectionner des identités et des groupes.
   2. Cliquez sur Ajouter des identités.

   3. Saisissez l'adresse e-mail qui identifie l'agent de service Cloud Security Command Center. Cette adresse est au format suivant :

      [e-mail]

      Remplacez ORGANIZATION_ID par votre ID d'organisation.

   4. Sélectionnez l'agent de service ou appuyez sur ENTRÉE, puis cliquez sur Ajouter des identités.

4. Dans la section À, définissez les détails suivants :

   1. Pour Ressources > Projets, sélectionnez Tous les projets ou sélectionnez le projet spécifié dans le résultat.
   2. Pour Opérations ou rôles IAM, sélectionnez Sélectionner des opérations.

   3. Cliquez sur Ajouter des opérations, puis ajoutez les opérations suivantes :

      • Ajoutez le service bigquery.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service binaryauthorization.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service cloudkms.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service logging.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service monitoring.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service cloudresourcemanager.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service storage.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service compute.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service iam.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
      • Ajoutez le service container.googleapis.com.
        1. Cliquez sur Tous les modes.
        2. Cliquez sur Ajouter toutes les méthodes.
5. Cliquez sur Enregistrer.

gcloud

1. Si aucun projet de quota n'est déjà défini, définissez-en un. Choisissez un projet pour lequel l'API Access Context Manager est activée.

   gcloud config set billing/quota_project QUOTA_PROJECT_ID

   Remplacez QUOTA_PROJECT_ID par l'ID du projet que vous souhaitez utiliser pour la facturation et le quota.

2. Créez un fichier nommé egress-rule.yaml avec le contenu suivant :

   - egressFrom:
       identities:
       - serviceAccount:[e-mail]
     egressTo:
       operations:
       - serviceName: bigquery.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: binaryauthorization.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: cloudkms.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: logging.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: monitoring.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: cloudresourcemanager.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: storage.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: compute.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: iam.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: container.googleapis.com
         methodSelectors:
         - method: '*'
       resources:
       - '*'

   Vous pouvez également utiliser operations pour spécifier les services pour lesquels des cas de non-respect de VPC Service Controls s'affichent et resources pour spécifier le projet qui s'est affiché dans le résultat.

   Remplacez ORGANIZATION_ID par votre ID d'organisation.

3. Créez un fichier nommé ingress-rule.yaml avec le contenu suivant :

   - ingressFrom:
       identities:
       - serviceAccount:[e-mail]
       sources:
       - accessLevel: '*'
     ingressTo:
       operations:
       - serviceName: bigquery.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: binaryauthorization.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: cloudkms.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: logging.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: monitoring.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: cloudresourcemanager.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: storage.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: compute.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: iam.googleapis.com
         methodSelectors:
         - method: '*'
       - serviceName: container.googleapis.com
         methodSelectors:
         - method: '*'
       resources:
       - '*'

   Vous pouvez également utiliser operations pour spécifier les services pour lesquels des cas de non-respect de VPC Service Controls s'affichent et resources pour spécifier le projet qui s'est affiché dans le résultat.

   Remplacez ORGANIZATION_ID par votre ID d'organisation.

4. Ajoutez la règle de sortie au périmètre :

   gcloud access-context-manager perimeters update PERIMETER_NAME \
       --set-egress-policies=egress-rule.yaml

   Remplacez les éléments suivants :

   • PERIMETER_NAME : nom du périmètre. Exemple : accessPolicies/1234567890/servicePerimeters/example_perimeter.

     Pour trouver le périmètre de service que vous devez modifier, vous pouvez rechercher dans vos journaux les entrées indiquant des cas de non-respect de RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dans ces entrées, vérifiez le champ servicePerimeterName :

     accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

5. Ajoutez la règle d'entrée au périmètre :

   gcloud access-context-manager perimeters update PERIMETER_NAME \
       --set-ingress-policies=ingress-rule.yaml

   Remplacez les éléments suivants :

   • PERIMETER_NAME : nom du périmètre. Exemple : accessPolicies/1234567890/servicePerimeters/example_perimeter.

     Pour trouver le périmètre de service que vous devez modifier, vous pouvez rechercher dans vos journaux les entrées indiquant des cas de non-respect de RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dans ces entrées, vérifiez le champ servicePerimeterName :

     accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

Pour en savoir plus, consultez Règles d'entrée et de sortie.

Services appelés par Security Health Analytics

Pour fonctionner correctement, Security Health Analytics doit avoir accès aux API Google Cloud des services qu'il analyse, ainsi qu'aux services d'infrastructure de base. Selon votre configuration, vous devrez peut-être autoriser l'entrée ou la sortie pour les services suivants dans vos périmètres VPC Service Controls :

• API BigQuery (bigquery.googleapis.com)
• API Binary Authorization (binaryauthorization.googleapis.com)
• API Cloud Key Management Service (cloudkms.googleapis.com)
• API Cloud Logging (logging.googleapis.com)
• API Cloud Monitoring (monitoring.googleapis.com)
• API Cloud Resource Manager (cloudresourcemanager.googleapis.com)
• API Cloud Storage (storage.googleapis.com)
• API Compute Engine (compute.googleapis.com)
• API Identity and Access Management (iam.googleapis.com)
• API Kubernetes Engine (container.googleapis.com)

Si vous utilisez des modules personnalisés ou analysez d'autres services, vous devrez peut-être autoriser l'accès à des API supplémentaires.

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

Security Command Center service account missing permissions

Nom de la catégorie dans l'API : SCC_SERVICE_ACCOUNT_MISSING_PERMISSIONS

L'agent de service de Security Command Center ne dispose pas des autorisations nécessaires pour fonctionner correctement.

L'identifiant du compte de service est une adresse e-mail au format suivant :

[e-mail]

Remplacez les éléments suivants :

• RESOURCE_KEYWORD : mot clé org ou project, selon la ressource propriétaire du compte de service

• RESOURCE_ID : l'une des valeurs suivantes :

  • ID de l'organisation si le compte de service lui appartient
  • Le numéro du projet si le compte de service appartient à un projet

Si vous disposez d'un compte de service à la fois au niveau de l'organisation et au niveau du projet, appliquez la correction aux deux comptes.

Pour corriger ce résultat, procédez comme suit :

1. Attribuez le rôle Agent de service Security Center (roles/securitycenter.serviceAgent) au compte de service.

   Pour en savoir plus, consultez Attribuer un rôle unique.

   Si vous souhaitez utiliser un rôle personnalisé, assurez-vous qu'il dispose des autorisations du rôle Agent de service Security Command Center.

2. Assurez-vous qu'aucune stratégie de refus IAM n'empêche le compte de service d'utiliser l'une des autorisations des rôles requis. Si une règle de refus bloque l'accès, ajoutez le compte de service en tant que principal d'exception dans la règle de refus.

 En savoir plus sur les éléments et les paramètres d'analyse compatibles de ce type de résultat.

Étapes suivantes

Apprenez-en plus sur les erreurs Security Command Center.