Permite que VM Threat Detection acceda a los perímetros de los Controles del servicio de VPC

En este documento, se describe cómo agregar reglas de entrada y salida para permitir que Virtual Machine Threat Detection analice las VMs en tus perímetros de Controles del servicio de VPC. Realiza esta tarea si tu organización usa los Controles del servicio de VPC para restringir los servicios en proyectos que quieres que analice la Detección de amenazas en VMs. Para obtener más información sobre VM Threat Detection, consulta la descripción general de VM Threat Detection.

Antes de comenzar

Make sure that you have the following role or roles on the organization: Access Context Manager Editor (roles/accesscontextmanager.policyEditor).

Check for the roles

In the Google Cloud console, go to the IAM page.
Go to IAM
Select the organization.
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

Grant the roles

In the Google Cloud console, go to the IAM page.
Ir a IAM
Selecciona la organización.
Haz clic en Otorgar acceso.
En el campo Principales nuevas, ingresa tu identificador de usuario. Esta suele ser la dirección de correo electrónico de una Cuenta de Google.
Haz clic en Seleccionar un rol y, luego, busca el rol.
Para otorgar roles adicionales, haz clic en Agregar otro rol y agrega uno más.
Haz clic en Guardar.

Crea las reglas de entrada y salida

Para permitir que VM Threat Detection analice las VMs en los perímetros de los Controles del servicio de VPC, agrega las reglas de entrada y salida necesarias en esos perímetros. Sigue estos pasos para cada perímetro que quieras que VM Threat Detection analice.

Para obtener más información, consulta Actualiza las políticas de entrada y salida de un perímetro de servicio en la documentación de los Controles del servicio de VPC.

Consola

En la consola de Google Cloud , accede a la página Controles del servicio de VPC.

Acceder a los Controles del servicio de VPC
Elige tu organización o proyecto.
En la lista desplegable, elige la política de acceso que contiene el perímetro de servicio al que quieres otorgar acceso.

Los perímetros de servicio asociados a la política de acceso aparecen en la lista.
Haz clic en el nombre del perímetro de servicio que quieres actualizar.

Para buscar el perímetro de servicio que necesitas modificar, puedes revisar los registros en busca de entradas que muestren incumplimientos de RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. En esas entradas, revisa el campo servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
Haz clic en Editar.
Haz clic en Política de salida.
Haz clic en Agregar una regla de salida.
En la sección De, configura los detalles que se indican a continuación:
1. En Identidades > Identidad, elige Seleccionar identidades y grupos.
2. Haz clic en Agregar identidades.
3. Escribe la dirección de correo electrónico del agente de servicio de Cloud Security Command Center. La dirección del agente de servicio tiene el formato siguiente:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Reemplaza ORGANIZATION_ID por el ID de tu organización.
4. Elige el agente de servicio o presiona INTRO y, luego, haz clic en Agregar identidades.
En la sección Para, configura los detalles que se indican a continuación:
1. En Recursos > Proyectos, elige Todos los proyectos.
2. En Operaciones o roles de IAM, elige Operaciones seleccionadas.
3. Haz clic en Agregar operaciones y, luego, agrega las operaciones siguientes:
  - Agrega el servicio compute.googleapis.com.
    1. Haz clic en Seleccionar métodos.
    2. Elige el método DisksService.Insert.
    3. Haz clic en Agregar métodos seleccionados.
Haz clic en Política de entrada.
Haz clic en Agregar una regla de entrada.
En la sección De, configura los detalles que se indican a continuación:
1. En Identidades > Identidad, elige Seleccionar identidades y grupos.
2. Haz clic en Agregar identidades.
3. Escribe la dirección de correo electrónico del agente de servicio del centro de seguridad. La dirección del agente de servicio tiene el formato siguiente:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Reemplaza ORGANIZATION_ID por el ID de tu organización.
4. Elige el agente de servicio o presiona INTRO y, luego, haz clic en Agregar identidades.
5. En Fuentes, elige Todas las fuentes.
En la sección Para, configura los detalles que se indican a continuación:
1. En Recursos > Proyectos, elige Todos los proyectos.
2. En Operaciones o roles de IAM, elige Operaciones seleccionadas.
3. Haz clic en Agregar operaciones y, luego, agrega las operaciones siguientes:
  - Agrega el servicio compute.googleapis.com.
    1. Haz clic en Seleccionar métodos.
    2. Elige los métodos siguientes:
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. Haz clic en Agregar métodos seleccionados.
Haz clic en Guardar.

gcloud

Si aún no configuraste un proyecto de cuota, hazlo. Elige un proyecto que tenga habilitada la API de Access Context Manager.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
Reemplaza QUOTA_PROJECT_ID por el ID del proyecto que quieres usar para la facturación y la cuota.

Crea un archivo llamado egress-rule.yaml con el contenido siguiente:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

Reemplaza ORGANIZATION_ID por el ID de tu organización.

Crea un archivo llamado ingress-rule.yaml con el contenido siguiente:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'