מתן הרשאה ל-VM Threat Detection לגשת לאזורים של VPC Service Controls

במאמר הזה מוסבר איך להוסיף כללי תעבורת נתונים נכנסת (ingress) ותעבורת נתונים יוצאת (egress) כדי לאפשר לזיהוי איומים במכונות וירטואליות לסרוק מכונות וירטואליות באזורים של VPC Service Controls. צריך לבצע את המשימה הזו אם הארגון שלכם משתמש ב-VPC Service Controls כדי להגביל שירותים בפרויקטים שאתם רוצים ש-VM Threat Detection יסרוק. מידע נוסף על זיהוי איומים במכונות וירטואליות זמין במאמר סקירה כללית על זיהוי איומים במכונות וירטואליות.

לפני שמתחילים

Make sure that you have the following role or roles on the organization: Access Context Manager Editor (roles/accesscontextmanager.policyEditor).

Check for the roles

In the Google Cloud console, go to the IAM page.
Go to IAM
Select the organization.
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

Grant the roles

In the Google Cloud console, go to the IAM page.
כניסה לדף IAM
בוחרים את הארגון.
לוחצים על ‎ Grant access.
בשדה New principals, מזינים את מזהה המשתמש. ‫ בדרך כלל מזהה המשתמש הוא כתובת האימייל של חשבון Google.
‫
לוחצים על בחירת תפקיד ומחפשים את התפקיד.
כדי לתת עוד תפקידים, לוחצים על Add another role ומוסיפים את כולם.
לוחצים על Save.

יצירת כללים לתעבורת נתונים יוצאת (egress) ונכנסת (ingress)

כדי לאפשר ל-VM Threat Detection לסרוק את ה-VM-ים באזורים של VPC Service Controls, צריך להוסיף את הכללים הנדרשים לתעבורת נתונים יוצאת ונכנסת באזורים האלה. מבצעים את השלבים האלה לכל גבול גזרה שרוצים ש-VM Threat Detection יסרוק.

מידע נוסף זמין במאמר עדכון מדיניות תעבורת נתונים נכנסת (ingress) ותעבורת נתונים יוצאת (egress) של גבולות גזרה לשירות במסמכי העזרה של VPC Service Controls.

המסוף

נכנסים לדף VPC Service Controls במסוף Google Cloud .

מעבר אל VPC Service Controls
בוחרים את הארגון.
ברשימה הנפתחת, בוחרים את מדיניות הגישה שמכילה את גבולות הגזרה לשירות שרוצים להעניק לו גישה.

גבולות הגזרה לשירות שמשויכים למדיניות הגישה מופיעים ברשימה.
לוחצים על השם של גבולות הגזרה לשירות שרוצים לעדכן.

כדי למצוא את גבולות הגזרה לשירות שצריך לשנות, אפשר לבדוק ביומנים ערכים שמציינים RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER הפרות. ברשומות האלה, בודקים את השדה servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
לוחצים על עריכה.
לוחצים על מדיניות יציאה.
לוחצים על הוספת כלל ליציאה.
בקטע מאת, מגדירים את הפרטים הבאים:
1. בקטע זהויות > זהות, בוחרים באפשרות בחירת זהויות וקבוצות.
2. לוחצים על הוספת זהויות.
3. מזינים את כתובת האימייל שמזהה את סוכן השירות של Cloud Security Command Center. הכתובת הזו היא בפורמט הבא:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  מחליפים את ORGANIZATION_ID במזהה הארגון.
4. בוחרים את סוכן השירות או לוחצים על ENTER, ואז לוחצים על הוספת זהויות.
בקטע To (אל), מגדירים את הפרטים הבאים:
1. בקטע Resources > Projects, בוחרים באפשרות All projects.
2. בקטע Operations or IAM roles (פעולות או תפקידי IAM), בוחרים באפשרות Select operations (בחירת פעולות).
3. לוחצים על הוספת פעולות ומוסיפים את הפעולות הבאות:
  - מוסיפים את השירות compute.googleapis.com.
    1. לוחצים על בחירת אמצעי תשלום.
    2. בוחרים בשיטה DisksService.Insert.
    3. לוחצים על הוספת האמצעים שנבחרו.
לוחצים על Ingress policy (מדיניות כניסה).
לוחצים על הוספת כלל תעבורה נכנסת.
בקטע מאת, מגדירים את הפרטים הבאים:
1. בקטע זהויות > זהות, בוחרים באפשרות בחירת זהויות וקבוצות.
2. לוחצים על הוספת זהויות.
3. מזינים את כתובת האימייל שמזהה את סוכן השירות של Cloud Security Command Center. הכתובת הזו היא בפורמט הבא:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  מחליפים את ORGANIZATION_ID במזהה הארגון.
4. בוחרים את סוכן השירות או לוחצים על ENTER, ואז לוחצים על הוספת זהויות.
בקטע To (אל), מגדירים את הפרטים הבאים:
1. בקטע Resources > Projects, בוחרים באפשרות All projects.
2. בקטע Operations or IAM roles (פעולות או תפקידי IAM), בוחרים באפשרות Select operations (בחירת פעולות).
3. לוחצים על הוספת פעולות ומוסיפים את הפעולות הבאות:
  - מוסיפים את השירות compute.googleapis.com.
    1. לוחצים על בחירת אמצעי תשלום.
    2. בוחרים באחת מהשיטות הבאות:
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. לוחצים על הוספת האמצעים שנבחרו.
לוחצים על Save.

gcloud

אם עדיין לא הגדרתם פרויקט מכסת מכסות, תצטרכו להגדיר אותו. בוחרים פרויקט שבו מופעל Access Context Manager API.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
מחליפים את QUOTA_PROJECT_ID במזהה הפרויקט שבו רוצים להשתמש לחיוב ולמכסה.

יוצרים קובץ בשם egress-rule.yaml עם התוכן הבא:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

מחליפים את ORGANIZATION_ID במזהה הארגון.

יוצרים קובץ בשם ingress-rule.yaml עם התוכן הבא:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'