Mengizinkan Deteksi Ancaman VM mengakses perimeter Kontrol Layanan VPC

Dokumen ini menjelaskan cara menambahkan aturan ingress dan egress untuk mengizinkan Virtual Machine Threat Detection memindai VM dalam perimeter Kontrol Layanan VPC Anda. Lakukan tugas ini jika organisasi Anda menggunakan Kontrol Layanan VPC untuk membatasi layanan dalam project yang ingin Anda pindai dengan Deteksi Ancaman VM. Untuk mengetahui informasi selengkapnya tentang Deteksi Ancaman VM, lihat Ringkasan Deteksi Ancaman VM.

Sebelum memulai

Pastikan Anda memiliki peran berikut di organisasi: Editor Access Context Manager (roles/accesscontextmanager.policyEditor).

Memeriksa peran

Di konsol Google Cloud , buka halaman IAM.
Buka IAM
Pilih organisasi.
Di kolom Akun utama, temukan semua baris yang mengidentifikasi Anda atau grup yang Anda ikuti. Untuk mengetahui grup mana saja yang Anda ikuti, hubungi administrator Anda.
Untuk semua baris yang menentukan atau menyertakan Anda, periksa kolom Peran untuk melihat apakah daftar peran menyertakan peran yang diperlukan.

Memberikan peran

Di konsol Google Cloud , buka halaman IAM.
Buka IAM
Pilih organisasi.
Klik Grant access.
Di kolom New principals, masukkan ID pengguna Anda. Biasanya, ini adalah alamat email untuk Akun Google.
Klik Pilih peran, lalu telusuri peran.
Untuk memberikan peran tambahan, klik Add another role, lalu tambahkan tiap peran tambahan.
Klik Simpan.

Buat aturan keluar dan masuk

Untuk mengizinkan VM Threat Detection memindai VM dalam perimeter Kontrol Layanan VPC, tambahkan aturan egress dan ingress yang diperlukan dalam perimeter tersebut. Lakukan langkah-langkah ini untuk setiap perimeter yang ingin Anda pindai dengan Deteksi Ancaman VM.

Untuk mengetahui informasi selengkapnya, lihat artikel Memperbarui kebijakan ingress dan egress untuk perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Konsol

Buka perimeter layanan

Di konsol Google Cloud , buka halaman VPC Service Controls.

Buka Kontrol Layanan VPC
Pilih organisasi Anda.
Di menu drop-down, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda beri akses.

Perimeter layanan yang terkait dengan kebijakan akses akan muncul dalam daftar.
Klik nama perimeter layanan yang ingin Anda perbarui.

Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa log untuk menemukan entri yang menunjukkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dalam entri tersebut, periksa kolom servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
Klik Edit.

Menambahkan aturan traffic keluar

Klik Kebijakan traffic keluar.
Klik Add an egress rule.
Di bagian Dari, tetapkan detail berikut:
1. Untuk Identitas > Identitas, pilih Pilih identitas & grup.
2. Klik Add identities.
3. Masukkan alamat email yang mengidentifikasi Agen Layanan Cloud Security Command Center. Alamat ini memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Tambahkan identitas.
Di bagian Tujuan, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operations or IAM roles, pilih Select operations.
3. Klik Tambahkan operasi, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Pilih metode.
    2. Pilih metode DisksService.Insert.
    3. Klik Tambahkan metode yang dipilih.

Menambahkan aturan traffic masuk

Klik Ingress policy.
Klik Add an ingress rule.
Di bagian Dari, tetapkan detail berikut:
1. Untuk Identitas > Identitas, pilih Pilih identitas & grup.
2. Klik Add identities.
3. Masukkan alamat email yang mengidentifikasi Agen Layanan Cloud Security Command Center. Alamat ini memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Tambahkan identitas.
Di bagian Tujuan, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operations or IAM roles, pilih Select operations.
3. Klik Tambahkan operasi, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Pilih metode.
    2. Pilih metode berikut:
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. Klik Tambahkan metode yang dipilih.
Klik Simpan.

gcloud

Jika project kuota belum ditetapkan, tetapkan project kuota. Pilih project yang mengaktifkan Access Context Manager API.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
Ganti QUOTA_PROJECT_ID dengan ID project yang ingin Anda gunakan untuk penagihan dan kuota.

Buat file bernama egress-rule.yaml dengan konten berikut:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

Ganti ORGANIZATION_ID dengan ID organisasi Anda.

Buat file bernama ingress-rule.yaml dengan konten berikut:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'