サービス アカウントの IAM アクセス

サービス エージェントでは、セキュリティ センターの検出結果レスポンス マネージャー（roles/securitycenter.findingResponsesManager）のロールにより、組織内で実行できるハンドブックと特定のスコープでハンドブックをトリガーできるユーザーを分離することで、アクセス制御を簡素化できます。セキュリティ センターの検出結果レスポンス マネージャーのロールを持つユーザーが手動でアクションをトリガーするには、サービス エージェントに対してすべてのハンドブック アクションの実行を許可する必要があります。

サービス エージェントがハンドブックを実行するように設定するには、Google Cloud Security Response サービス エージェント（roles/securitycenter.securityResponseServiceAgent）のロールを付与する必要があります。

次の権限の一部またはすべてを含むカスタムロールを作成して付与することもできます。

  • compute.instances.deleteAccessConfig
  • compute.instances.get
  • compute.instances.setMetadata
  • iam.serviceAccounts.actAs
  • pubsub.topics.publish
  • securitycenter.findings.list
  • storage.buckets.get
  • storage.buckets.update

次のステップ