Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

Mengizinkan Penilaian Kerentanan untuk Google Cloud mengakses perimeter Kontrol Layanan VPC

Dokumen ini menjelaskan cara menambahkan aturan ingress dan egress untuk mengizinkan Vulnerability Assessment for Google Cloud memindai VM di perimeter Kontrol Layanan VPC Anda. Lakukan tugas ini jika organisasi Anda menggunakan Kontrol Layanan VPC untuk membatasi layanan di project yang ingin Anda pindai dengan Vulnerability Assessment for Google Cloud . Untuk mengetahui informasi selengkapnya tentang Vulnerability Assessment for Google Cloud, lihat Mengaktifkan dan menggunakan Vulnerability Assessment for Google Cloud untuk Google Cloud.

Sebelum memulai

Pastikan Anda memiliki peran berikut di organisasi: Editor Access Context Manager (roles/accesscontextmanager.policyEditor).

Memeriksa peran

Di Google Cloud konsol, buka halaman IAM.
Buka IAM
Pilih organisasi.
Di kolom Akun utama, temukan semua baris yang mengidentifikasi Anda atau grup yang menyertakan Anda. Untuk mengetahui grup mana yang menyertakan Anda, hubungi administrator Anda.
Untuk semua baris yang menentukan atau menyertakan Anda, periksa kolom Peran untuk melihat apakah daftar peran menyertakan peran yang diperlukan.

Memberikan peran

Di Google Cloud konsol, buka halaman IAM.
Buka IAM
Pilih organisasi.
Klik Grant access.
Di kolom New principals, masukkan ID pengguna Anda. Biasanya, ini adalah alamat email untuk Akun Google.
Klik Select a role, lalu telusuri peran.
Untuk memberikan peran tambahan, klik Add another role , lalu tambahkan setiap peran tambahan.
Klik Save.

Membuat aturan egress dan ingress

Untuk mengizinkan Vulnerability Assessment for Google Cloud memindai VM di perimeter Kontrol Layanan VPC, tambahkan aturan egress dan ingress yang diperlukan di perimeter tersebut. Lakukan langkah-langkah ini untuk setiap perimeter yang ingin Anda pindai dengan Vulnerability Assessment for Google Cloud .

Untuk mengetahui informasi selengkapnya, lihat Memperbarui kebijakan ingress dan egress untuk perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Konsol

Membuka perimeter layanan

Di Google Cloud konsol, buka halaman VPC Service Controls.

Buka Kontrol Layanan VPC
Pilih organisasi Anda.
Di daftar drop-down, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda berikan aksesnya.

Perimeter layanan yang terkait dengan kebijakan akses akan muncul dalam daftar.
Klik nama perimeter layanan yang ingin Anda perbarui.

Untuk menemukan perimeter layanan yang perlu Anda ubah, Anda dapat memeriksa log untuk entri yang menampilkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Di entri tersebut, periksa kolom servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
Klik Edit.

Menambahkan aturan egress

Klik Egress policy.
Klik Add an egress rule.
Di bagian From, tetapkan detail berikut:
1. Untuk Identities > Identity, pilih Select identities & groups.
2. Klik Add identities.
3. Masukkan alamat email yang mengidentifikasi Cloud Security Command Center Agen Layanan. Alamat ini memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Add identities.
Di bagian To, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operations or IAM roles, pilih Select operations.
3. Klik Add operations, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Select methods.
    2. Pilih metode DisksService.Insert.
    3. Klik Add selected methods.

Menambahkan aturan ingress

Klik Ingress policy.
Klik Add an ingress rule.
Di bagian From, tetapkan detail berikut:
1. Untuk Identities > Identity, pilih Select identities & groups.
2. Klik Add identities.
3. Masukkan alamat email yang mengidentifikasi Cloud Security Command Center Agen Layanan. Alamat ini memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Add identities.
Di bagian To, tetapkan detail berikut:
1. Untuk Resources > Projects, pilih All projects.
2. Untuk Operations or IAM roles, pilih Select operations.
3. Klik Add operations, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Select methods.
    2. Pilih metode berikut:
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. Klik Add selected methods.
Klik Save.

gcloud

Jika project kuota belum ditetapkan, tetapkan project kuota. Pilih project yang mengaktifkan Access Context Manager API.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
Ganti QUOTA_PROJECT_ID dengan ID project yang ingin Anda gunakan untuk penagihan dan kuota.

Buat file bernama egress-rule.yaml dengan konten berikut:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

Ganti ORGANIZATION_ID dengan ID organisasi Anda.

Buat file bernama ingress-rule.yaml dengan konten berikut:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'