Google 會運用 AI 技術將內容翻譯成你偏好的語言，但可能會出錯。

允許 VM 威脅偵測存取 VPC Service Controls 範圍

如要允許虛擬機器威脅偵測掃描受 VPC Service Controls 保護的 VM 執行個體，請設定 perimeter 的輸入和輸出規則。如果貴組織使用 VPC Service Controls 限制 VM 威脅偵測技術要掃描的專案服務，請設定這些規則。如要進一步瞭解 VM 威脅偵測，請參閱「虛擬機器威脅偵測總覽」。

事前準備

確認您在組織中具備下列角色：Access Context Manager 編輯者 (roles/accesscontextmanager.policyEditor)。

檢查角色

前往 Google Cloud 控制台的「IAM」頁面。
前往「IAM」頁面
選取所需組織。
在「Principal」(主體) 欄中，找出所有代表您或您所屬群組的資料列。如要瞭解您所屬的群組，請與管理員聯絡。
在指定或包含您的所有資料列中，查看「Role」(角色) 欄，確認角色清單是否包含必要角色。

授予角色

前往 Google Cloud 控制台的「IAM」頁面。
前往「IAM」頁面
選取所需組織。
按一下「Grant access」(授予存取權)。
在「New principals」(新增主體) 欄位中，輸入您的使用者 ID。這通常是指 Google 帳戶的電子郵件地址。
按一下「Select a role」(選取角色)，然後搜尋角色。
如要授予其他角色，請按一下「Add another role」(新增其他角色)，然後新增其他角色。
按一下「Save」(儲存)。

建立輸出和輸入規則

如要允許 VM 威脅偵測掃描 VPC Service Controls 範圍內的 VM，請在這些範圍內新增必要的輸出和輸入規則。針對要讓 VM 威脅偵測掃描的每個 perimeter，執行這些步驟。

詳情請參閱 VPC Service Controls 說明文件的「更新 service perimeter 的輸入和輸出政策」一節。

控制台

前往 service perimeter

前往 Google Cloud 控制台的「VPC Service Controls」頁面。

前往「VPC Service Controls」頁面
選取您的機構。
在下拉式選單中，選取包含要授予存取權的 service perimeter 的存取權政策。

與存取權政策相關聯的 service perimeter 會顯示在清單中。
按一下要更新的 service perimeter 名稱。

如要找出需要修改的 service perimeter，請查看記錄中是否有顯示 RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER 違規事項的項目。在這些項目中，請檢查 servicePerimeterName 欄位：
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
按一下「Edit」(編輯)。

新增 egress 規則

按一下「輸出政策」。
按一下「Add an egress rule」(新增輸出規則)。
在「From」(來源) 部分，設定下列詳細資料：
1. 在「Identities」>「Identity」部分，選取「Select identities & groups」。
2. 按一下「Add identities」(新增身分)。
3. 輸入 Cloud Security Command Center 服務代理的電子郵件地址。這個地址的格式如下：
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  請將 ORGANIZATION_ID 替換成組織 ID。
4. 選取服務代理或按下 ENTER 鍵，然後按一下「Add identities」(新增身分)。
在「To」(收件者) 部分，設定下列詳細資料：
1. 在「資源」>「專案」部分，選取「所有專案」。
2. 在「Operations or IAM roles」(作業或 IAM 角色) 部分，選取「Select operations」(選取作業)。
3. 按一下「Add operations」，然後新增下列作業：
  - 新增 compute.googleapis.com 服務。
    1. 按一下「選取方法」。
    2. 選取 DisksService.Insert 方法。
    3. 按一下「Add selected methods」(新增所選方法)。

新增 ingress 規則

按一下「輸入政策」。
按一下「Add an ingress rule」(新增輸入規則)。
在「From」(來源) 部分，設定下列詳細資料：
1. 在「Identities」>「Identity」部分，選取「Select identities & groups」。
2. 按一下「Add identities」(新增身分)。
3. 輸入 Cloud Security Command Center 服務代理的電子郵件地址。這個地址的格式如下：
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  請將 ORGANIZATION_ID 替換成組織 ID。
4. 選取服務代理或按下 ENTER 鍵，然後按一下「Add identities」(新增身分)。
在「To」(收件者) 部分，設定下列詳細資料：
1. 在「資源」>「專案」部分，選取「所有專案」。
2. 在「Operations or IAM roles」(作業或 IAM 角色) 部分，選取「Select operations」(選取作業)。
3. 按一下「Add operations」，然後新增下列作業：
  - 新增 compute.googleapis.com 服務。
    1. 按一下「選取方法」。
    2. 選取下列方法：
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. 按一下「Add selected methods」(新增所選方法)。
按一下 [儲存]。

gcloud

警告：--set-ingress-policies 和 --set-egress-policies 旗標會取代 perimeter 中所有現有的輸入或輸出政策。如果已有政策，請先擷取這些政策，將新政策新增至適當的輸入或輸出 YAML 檔案，然後執行更新指令。

如果尚未設定配額專案，請先設定。選擇已啟用 Access Context Manager API 的專案。
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
將 QUOTA_PROJECT_ID 替換為要用於計費和配額的專案 ID。

建立名為 egress-rule.yaml 的檔案，並在當中加入下列內容：

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

請將 ORGANIZATION_ID 替換成組織 ID。

建立名為 ingress-rule.yaml 的檔案，並在當中加入下列內容：

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'