Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengizinkan Deteksi Ancaman VM mengakses perimeter Kontrol Layanan VPC

Agar Virtual Machine Threat Detection dapat memindai instance VM yang dilindungi oleh Kontrol Layanan VPC, konfigurasikan aturan ingress dan egress untuk perimeter Anda. Konfigurasikan aturan ini jika organisasi Anda menggunakan Kontrol Layanan VPC untuk membatasi layanan dalam project yang ingin Anda pindai dengan VM Threat Detection. Untuk mengetahui informasi selengkapnya tentang VM Threat Detection, lihat Ringkasan Virtual Machine Threat Detection.

Sebelum memulai

Pastikan Anda memiliki peran berikut di organisasi: Access Context Manager Editor (roles/accesscontextmanager.policyEditor).

Memeriksa peran

Di konsol Google Cloud , buka halaman IAM.
Buka IAM
Pilih organisasi.
Di kolom Principal, temukan semua baris yang mengidentifikasi Anda atau grup yang mencakup Anda. Untuk mengetahui grup tempat Anda disertakan, hubungi administrator Anda.
Untuk semua baris yang menentukan atau menyertakan Anda, periksa kolom Peran untuk melihat apakah daftar peran menyertakan peran yang diperlukan.

Memberikan peran

Di konsol Google Cloud , buka halaman IAM.
Buka IAM
Pilih organisasi.
Klik Grant access.
Di kolom New principals, masukkan ID pengguna Anda. Biasanya, ini adalah alamat email untuk Akun Google.
Klik Select a role, lalu telusuri peran.
Untuk memberikan peran tambahan, klik Add another role, lalu tambahkan tiap peran tambahan.
Klik Simpan.

Membuat aturan egress dan ingress

Agar VM Threat Detection dapat memindai VM dalam perimeter Kontrol Layanan VPC, tambahkan aturan egress dan ingress yang diperlukan dalam perimeter tersebut. Lakukan langkah-langkah ini untuk setiap perimeter yang ingin dipindai oleh Deteksi Ancaman VM.

Untuk mengetahui informasi selengkapnya, lihat Memperbarui kebijakan ingress dan egress untuk perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Konsol

Membuka perimeter layanan

Di konsol Google Cloud , buka halaman Kontrol Layanan VPC.

Buka Kontrol Layanan VPC
Pilih organisasi Anda.
Di menu drop-down, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda beri akses.

Perimeter layanan yang terkait dengan kebijakan akses akan muncul dalam daftar.
Klik nama perimeter layanan yang ingin Anda perbarui.

Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa log untuk menemukan entri yang menunjukkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dalam entri tersebut, periksa kolom servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
Klik Edit.

Menambahkan aturan egress

Klik Egress policy.
Klik Add an egress rule.
Di bagian From, tetapkan detail berikut:
1. Untuk Identities > Identity, pilih Select identities & groups.
2. Klik Add identities.
3. Masukkan alamat email yang mengidentifikasi Agen Layanan Cloud Security Command Center. Alamat ini memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Add identities.
Di bagian To, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operations or IAM roles, pilih Select operations.
3. Klik Add operations, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Pilih metode.
    2. Pilih metode DisksService.Insert.
    3. Klik Add selected methods.

Menambahkan aturan ingress

Klik Ingress policy.
Klik Add an ingress rule.
Di bagian From, tetapkan detail berikut:
1. Untuk Identities > Identity, pilih Select identities & groups.
2. Klik Add identities.
3. Masukkan alamat email yang mengidentifikasi Agen Layanan Cloud Security Command Center. Alamat ini memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Add identities.
Di bagian To, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operations or IAM roles, pilih Select operations.
3. Klik Add operations, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Pilih metode.
    2. Pilih metode berikut:
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. Klik Add selected methods.
Klik Simpan.

gcloud

Peringatan: Flag --set-ingress-policies dan --set-egress-policies menggantikan semua kebijakan ingress atau egress yang ada di perimeter. Jika sudah memiliki kebijakan, Anda harus mengambilnya terlebih dahulu, menambahkan kebijakan baru ke file YAML ingress atau egress yang sesuai, lalu menjalankan perintah update.

Jika project kuota belum ditetapkan, tetapkan project kuota. Pilih project yang telah mengaktifkan Access Context Manager API.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
Ganti QUOTA_PROJECT_ID dengan ID project yang ingin Anda gunakan untuk penagihan dan kuota.

Buat file bernama egress-rule.yaml dengan konten berikut:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

Ganti ORGANIZATION_ID dengan ID organisasi Anda.

Buat file bernama ingress-rule.yaml dengan konten berikut:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'