Dem Tool zur Risikobewertung für Google Cloud Zugriff auf VPC Service Controls-Perimeter gewähren

In diesem Dokument wird beschrieben, wie Sie Regeln für ein- und ausgehenden Traffic hinzufügen, damit Vulnerability Assessment für Google Cloud VMs in Ihren VPC Service Controls-Perimetern scannen kann. Führen Sie diese Aufgabe aus, wenn Ihre Organisation VPC Service Controls verwendet, um Dienste in Projekten einzuschränken, die Sie mit Vulnerability Assessment for Google Cloud scannen möchten. Weitere Informationen zur Sicherheitslückenbewertung für Google Cloudfinden Sie unter Sicherheitslückenbewertung für Google Cloud für Google Cloudaktivieren und verwenden.

Hinweis

Prüfen Sie, ob Sie die folgenden Rollen für die Organisation haben: Access Context Manager-Bearbeiter (roles/accesscontextmanager.policyEditor).

Rollen prüfen

Rufen Sie in der Google Cloud Console die Seite IAM auf.
IAM aufrufen
Wählen Sie die Organisation aus.
Suchen Sie in der Spalte Hauptkonto nach allen Zeilen, in denen Sie oder eine Gruppe, zu der Sie gehören, angegeben sind. Fragen Sie Ihren Administrator, zu welchen Gruppen Sie gehören.
Prüfen Sie in allen Zeilen, in denen Sie angegeben oder enthalten sind, die Spalte Rolle, um zu sehen, ob die Liste der Rollen die erforderlichen Rollen enthält.

Rollen zuweisen

Rufen Sie in der Google Cloud Console die Seite IAM auf.
IAM aufrufen
Wählen Sie die Organisation aus.
Klicken Sie auf Zugriffsrechte erteilen.
Geben Sie im Feld Neue Hauptkonten Ihre Nutzer-ID ein. Das ist in der Regel die E‑Mail-Adresse eines Google-Kontos.
Klicken Sie auf Rolle auswählen und suchen Sie nach der Rolle.
Klicken Sie auf Weitere Rolle hinzufügen, wenn Sie weitere Rollen zuweisen möchten.
Klicken Sie auf Speichern.

Regeln für ausgehenden und eingehenden Traffic erstellen

Damit Vulnerability Assessment für Google Cloud die VMs in VPC Service Controls-Perimetern scannen kann, fügen Sie diesen Perimetern die erforderlichen Regeln für ausgehenden und eingehenden Traffic hinzu. Führen Sie diese Schritte für jeden Perimeter aus, den die Sicherheitslückenbewertung Google Cloud scannen soll.

Weitere Informationen finden Sie in der Dokumentation zu VPC Service Controls unter Richtlinien für ein- und ausgehenden Traffic für einen Dienstperimeter aktualisieren.

Console

Dienstperimeter aufrufen

Wechseln Sie in der Google Cloud Console zur Seite VPC Service Controls.

Zu „VPC Service Controls“
Wählen Sie Ihre Organisation aus.
Wählen Sie in der Drop-down-Liste die Zugriffsrichtlinie aus, die den Dienstperimeter enthält, auf den Sie Zugriff gewähren möchten.

Die mit der Zugriffsrichtlinie verknüpften Dienstperimeter werden in der Liste angezeigt.
Klicken Sie auf den Namen des Dienstperimeters, den Sie aktualisieren möchten.

Um den Dienstperimeter zu finden, den Sie ändern müssen, können Sie Ihre Logs auf Einträge prüfen, die RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER-Verstöße enthalten. Prüfen Sie in diesen Einträgen das Feld servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
Klicken Sie auf Bearbeiten.

Regel für ausgehenden Traffic hinzufügen

Klicken Sie auf Richtlinie für ausgehenden Traffic.
Klicken Sie auf Regel für ausgehenden Traffic hinzufügen.
Legen Sie im Abschnitt Von die folgenden Details fest:
1. Wählen Sie unter Identitäten > Identität die Option Identitäten und Gruppen auswählen aus.
2. Klicken Sie auf Identitäten hinzufügen.
3. Geben Sie die E-Mail-Adresse ein, die den Cloud Security Command Center-Dienst-Agent identifiziert. Diese Adresse hat das folgende Format:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ersetzen Sie ORGANIZATION_ID durch Ihre Organisations-ID.
4. Wählen Sie den Service-Agent aus oder drücken Sie die EINGABETASTE und klicken Sie dann auf Identitäten hinzufügen.
Legen Sie im Abschnitt An die folgenden Details fest:
1. Wählen Sie unter Ressourcen > Projekte die Option Alle Projekte aus.
2. Wählen Sie unter Vorgänge oder IAM-Rollen die Option Vorgänge auswählen aus.
3. Klicken Sie auf Vorgänge hinzufügen und fügen Sie die folgenden Vorgänge hinzu:
  - Fügen Sie den Dienst compute.googleapis.com hinzu.
    1. Klicken Sie auf Methoden auswählen.
    2. Wählen Sie die Methode DisksService.Insert aus.
    3. Klicken Sie auf Ausgewählte Methoden hinzufügen.

Regel für eingehenden Traffic hinzufügen

Klicken Sie auf Richtlinie für eingehenden Traffic.
Klicken Sie auf Regel für eingehenden Traffic hinzufügen.
Legen Sie im Abschnitt Von die folgenden Details fest:
1. Wählen Sie unter Identitäten > Identität die Option Identitäten und Gruppen auswählen aus.
2. Klicken Sie auf Identitäten hinzufügen.
3. Geben Sie die E-Mail-Adresse ein, die den Cloud Security Command Center-Dienst-Agent identifiziert. Diese Adresse hat das folgende Format:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ersetzen Sie ORGANIZATION_ID durch Ihre Organisations-ID.
4. Wählen Sie den Service-Agent aus oder drücken Sie die EINGABETASTE und klicken Sie dann auf Identitäten hinzufügen.
Legen Sie im Abschnitt An die folgenden Details fest:
1. Wählen Sie unter Ressourcen > Projekte die Option Alle Projekte aus.
2. Wählen Sie unter Vorgänge oder IAM-Rollen die Option Vorgänge auswählen aus.
3. Klicken Sie auf Vorgänge hinzufügen und fügen Sie die folgenden Vorgänge hinzu:
  - Fügen Sie den Dienst compute.googleapis.com hinzu.
    1. Klicken Sie auf Methoden auswählen.
    2. Wählen Sie die folgenden Methoden aus:
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. Klicken Sie auf Ausgewählte Methoden hinzufügen.
Klicken Sie auf Speichern.

gcloud

Wenn noch kein Kontingentprojekt festgelegt ist, legen Sie es fest. Wählen Sie ein Projekt aus, für das die Access Context Manager API aktiviert ist.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
Ersetzen Sie QUOTA_PROJECT_ID durch die ID des Projekts, das Sie für die Abrechnung und das Kontingent verwenden möchten.

Erstellen Sie eine Datei mit dem Namen egress-rule.yaml und mit folgendem Inhalt:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

Ersetzen Sie ORGANIZATION_ID durch Ihre Organisations-ID.

Erstellen Sie eine Datei mit dem Namen ingress-rule.yaml und mit folgendem Inhalt:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'