Mengizinkan Deteksi Ancaman VM mengakses perimeter Kontrol Layanan VPC

Dokumen ini menjelaskan cara menambahkan aturan ingress dan egress untuk mengizinkan Virtual Machine Threat Detection memindai VM dalam perimeter Kontrol Layanan VPC Anda. Lakukan tugas ini jika organisasi Anda menggunakan Kontrol Layanan VPC untuk membatasi layanan dalam project yang ingin Anda pindai dengan VM Threat Detection. Untuk mengetahui informasi selengkapnya tentang VM Threat Detection, lihat Ringkasan VM Threat Detection.

Sebelum memulai

Make sure that you have the following role or roles on the organization: Access Context Manager Editor (roles/accesscontextmanager.policyEditor).

Check for the roles

In the Google Cloud console, go to the IAM page.
Go to IAM
Select the organization.
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

Grant the roles

In the Google Cloud console, go to the IAM page.
Buka IAM
Pilih organisasi.
Klik Grant access.
Di kolom New principals, masukkan ID pengguna Anda. Biasanya, ini adalah alamat email untuk Akun Google.
Klik Pilih peran, lalu telusuri peran.
Untuk memberikan peran tambahan, klik Add another role, lalu tambahkan tiap peran tambahan.
Klik Save.

Buat aturan keluar dan masuk

Untuk mengizinkan VM Threat Detection memindai VM dalam perimeter Kontrol Layanan VPC, tambahkan aturan egress dan ingress yang diperlukan dalam perimeter tersebut. Lakukan langkah-langkah ini untuk setiap perimeter yang ingin Anda pindai dengan Deteksi Ancaman VM.

Untuk mengetahui informasi selengkapnya, lihat artikel Memperbarui kebijakan ingress dan egress untuk perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Konsol

Di konsol Google Cloud , buka halaman VPC Service Controls.

Buka Kontrol Layanan VPC
Pilih organisasi atau project Anda.
Di menu drop-down, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda beri akses.

Perimeter layanan yang terkait dengan kebijakan akses akan muncul dalam daftar.
Klik nama perimeter layanan yang ingin Anda perbarui.

Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa entri log yang menunjukkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dalam entri tersebut, periksa kolom servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
Klik Edit.
Klik Kebijakan traffic keluar.
Klik Add an egress rule.
Di bagian Dari, tetapkan detail berikut:
1. Untuk Identitas > Identitas, pilih Pilih identitas & grup.
2. Klik Add identities.
3. Masukkan alamat email Agen Layanan Cloud Security Command Center. Alamat agen layanan memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Tambahkan identitas.
Di bagian Tujuan, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operations or IAM roles, pilih Select operations.
3. Klik Tambahkan operasi, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Pilih metode.
    2. Pilih metode DisksService.Insert.
    3. Klik Tambahkan metode yang dipilih.
Klik Ingress policy.
Klik Add an ingress rule.
Di bagian Dari, tetapkan detail berikut:
1. Untuk Identitas > Identitas, pilih Pilih identitas & grup.
2. Klik Add identities.
3. Masukkan alamat email agen layanan Pusat Keamanan. Alamat agen layanan memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Tambahkan identitas.
5. Untuk Sumber, pilih Semua sumber.
Di bagian Tujuan, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operations or IAM roles, pilih Select operations.
3. Klik Tambahkan operasi, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Pilih metode.
    2. Pilih metode berikut:
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. Klik Tambahkan metode yang dipilih.
Klik Simpan.

gcloud

Jika project kuota belum ditetapkan, tetapkan project kuota. Pilih project yang mengaktifkan Access Context Manager API.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
Ganti QUOTA_PROJECT_ID dengan ID project yang ingin Anda gunakan untuk penagihan dan kuota.

Buat file bernama egress-rule.yaml dengan konten berikut:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

Ganti ORGANIZATION_ID dengan ID organisasi Anda.

Buat file bernama ingress-rule.yaml dengan konten berikut:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'