啟用 Security Command Center Enterprise

Enterprise (已淘汰) 服務級別

Security Command Center Enterprise 服務級別將於 2027 年 5 月 21 日停用。 如果貴組織使用的是 Enterprise 服務級別，則會在 2027 年 5 月 21 日當天或之後自動移至 Premium 服務級別。如有任何問題，請與您的帳戶代表或 Google Cloud 銷售專員聯絡。

Security Command Center Enterprise 級別提供安全強化功能，包括：

• 使用 Google Security Operations 執行進階資安營運
• 與其他 Google Cloud 產品整合，例如 Mandiant Attack Surface Management、Sensitive Data Protection 和 Assured OSS
• 多雲端支援
• 風險分析
• 法規遵循支援 (預先發布版)

如需 Enterprise 級別功能的說明，請參閱「服務級別」。

您可以在 Google Cloud 控制台使用設定指南，完成 Enterprise 方案的啟用程序。完成初始必要工作後，請完成其他步驟，設定貴機構所需的選用功能。

如要瞭解定價和訂閱方式，請參閱「Security Command Center 定價」。

如要瞭解如何啟用其他服務級別的 Security Command Center，請參閱下列說明：

• 啟用 Security Command Center Standard 方案

• 啟用 Security Command Center Premium 方案

事前準備

首次啟用 Security Command Center 前，請先完成下列事項：

1. 規劃啟用
2. 建立機構
3. 建立管理專案
4. 驗證組織政策
5. 設定權限和 API
6. 設定通知聯絡人

規劃啟用

本節說明啟用前需要準備的決策和資訊。

決定是否啟用資料落地支援

啟用 Security Command Center 時，您可以啟用資料落地支援功能，進一步控管 Security Command Center 資料的所在位置。Google SecOps 一律會啟用資料落地設定。

注意：Security Command Center 不會根據強制執行資源位置限制 (gcp.resourceLocations) 的任何組織政策，驗證資料落地位置。設定資料落地時，請務必選取符合組織政策的位置。

如果是 Enterprise 服務級別，啟用 Security Command Center 和資料落地控管機制之前，請務必與 Google Cloud 帳戶代表聯絡，並安排啟用 Security Command Center 的日期和時間。啟用後，帳戶代表會協助確保 Google SecOps 執行個體的設定完全支援資料落地控管機制。如有任何問題，請與 Google Cloud 帳戶代表聯絡。

在組織中啟用資料落地支援後，就無法停用。

如果您使用的是 Standard 或 Premium 服務級別，升級至 Enterprise 級別不會變更 Security Command Center 資料的位置。如果您未啟用 Security Command Center Standard 或進階級別的資料落地功能，則升級至 Enterprise 級別時也無法啟用。

判斷支援聯絡人

啟用新的 Google SecOps 執行個體時，請提供公司名稱和聯絡人的電子郵件地址。指定貴機構的聯絡窗口。這項設定與重要聯絡人無關。

選擇 Google SecOps 設定

啟用期間，您會將 Security Command Center Enterprise 連結至 Google SecOps 執行個體。

• 您可以連線至現有執行個體。

• 您可以佈建並連線至新執行個體。即使已有執行個體，您仍可佈建並連線至新的執行個體。

連線至現有執行個體

您無法將 Security Command Center Enterprise 連結至現有的 Google SecOps SIEM 獨立或 Google SecOps SOAR 獨立執行個體。如果對 Google SecOps 執行個體類型有疑問，請洽詢 Google Cloud 業務代表。

選取現有的 Google SecOps 執行個體時，「Connect to a SecOps instance」(連結至 SecOps 執行個體) 頁面會提供執行個體的連結，方便您驗證所選項目。您必須具備該執行個體的存取權，才能進行驗證。您必須至少具備管理專案的 Chronicle API 有限資料存取權檢視者 (roles/chronicle.restrictedDataAccessViewer) 角色，才能登入執行個體。

如果您使用已設定為採用員工身分聯盟的現有 Google SecOps 執行個體佈建 Security Command Center，則必須更新員工身分集區，並新增額外權限，才能存取 Security Command Center Enterprise 提供的資安營運控制台頁面功能。詳情請參閱「控管資安營運控制台頁面功能的存取權」。

佈建新執行個體

佈建新執行個體時，只有新執行個體會與 Security Command Center 建立關聯。使用 Security Command Center 時，您會在Google Cloud 控制台和新佈建的資安營運控制台頁面之間切換。

啟用期間，您需要指定新 Google SecOps 執行個體的佈建位置。如要查看支援的區域和多區域清單，請參閱「SecOps 服務位置」頁面。這個位置僅適用於 Google SecOps，不適用於其他 Security Command Center 功能或服務。

每個 Google SecOps 執行個體都必須有專屬的管理專案，由您擁有及管理。這項專案必須位於您啟用 Security Command Center Enterprise 的組織中。您無法將同一個管理專案用於多個 Google SecOps 執行個體。

如果您已有 Google SecOps 執行個體，並為 Security Command Center Enterprise 佈建新的執行個體，這兩個執行個體會使用相同的設定，直接擷取 Google Cloud 資料。相同的設定會控管兩個 Google SecOps 執行個體的擷取作業，且兩個執行個體會收到相同的資料。

啟用 Security Command Center Enterprise 時，啟用程序會修改 Google Cloud 記錄擷取設定，將所有資料類型欄位設為啟用：Google Cloud Logging、Cloud 資產中繼資料和 Security Command Center Premium 發現項目。匯出篩選器設定不會變更。Security Command Center Enterprise 必須取得這些資料類型，所有功能才能正常運作。啟用完成後，您可以變更 Google Cloud 記錄擷取設定。

建立機構

Security Command Center 需要與網域相關聯的組織資源。如果您尚未建立組織，請參閱「建立及管理組織」。

如果您有多個組織，請找出要啟用 Security Command Center Enterprise 的組織。您必須為每個要啟用 Security Command Center Enterprise 的組織，按照下列步驟操作。

驗證組織政策

如果組織政策設為限制資源用量，請確認下列 API 均已啟用：

• chronicle.googleapis.com
• cloudsecuritycompliance.googleapis.com
• securitycenter.googleapis.com
• securitycentermanagement.googleapis.com

建立管理專案

Security Command Center Enterprise 需要一個專案 (稱為管理專案)，才能啟用 Google SecOps 和 Mandiant Attack Surface Management 整合功能。建議您將這項專案專用於 Security Command Center Enterprise。

如果您先前已啟用 Google SecOps，且想連線至現有執行個體，請使用已連線至 Google SecOps 的現有管理專案。

如果您打算佈建新的 Google SecOps 執行個體，請建立新的管理專案，專門用於新的執行個體。請勿重複使用已連結至其他 Google SecOps 執行個體的管理專案。

Google SecOps 不支援使用 VPC Service Controls 服務範圍內的管理專案。

進一步瞭解如何建立及管理專案。

設定權限和 API

請參閱本節資訊，設定啟用 Security Command Center Enterprise 所需的權限：

• 選用：啟用 Security Center Management API
• 設定組織權限
• 在管理專案中設定權限並啟用 API
• 如要連線至現有的 Google SecOps 執行個體，請建立服務帳戶

進一步瞭解 Security Command Center 角色和 Google Cloud API。

啟用 Security Center Management API

如要使用 Security Center Management API，請在要呼叫該 API 的專案中啟用：

啟用 API 所需的角色

您必須具備 serviceusage.services.enable 權限，才能啟用 API。如果您建立了專案，可能已透過擁有者角色 (roles/owner) 取得這項權限。否則，您可以透過 Service Usage 管理員角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

啟用 API

設定組織權限

請確認您在組織中具備下列角色：

• 組織管理員 (roles/resourcemanager.organizationAdmin)
• Cloud 資產擁有者 (roles/cloudasset.owner)
• 安全中心管理員 (roles/securitycenter.admin)
• 安全管理員 (roles/iam.securityAdmin)
• Chronicle 服務檢視者 (roles/chroniclesm.viewer)

檢查角色

1. 前往 Google Cloud 控制台的「IAM」頁面。

   前往「IAM」頁面
2. 選取所需組織。

3. 在「Principal」(主體) 欄中，找出所有代表您或您所屬群組的資料列。如要瞭解您所屬的群組，請與管理員聯絡。

4. 針對指定或包含您的所有資料列，請查看「Role」(角色) 欄，確認角色清單是否包含必要角色。

授予角色

1. 前往 Google Cloud 控制台的「IAM」頁面。

   前往「IAM」頁面
2. 選取所需組織。
3. 按一下「Grant access」(授予存取權)。

4. 在「New principals」(新增主體) 欄位中，輸入您的使用者 ID。 這通常是指員工身分集區中使用者的 ID。詳情請參閱「在 IAM 政策中代表工作團隊集區使用者」，或聯絡管理員。

5. 按一下「Select a role」(選取角色)，然後搜尋角色。
6. 如要授予其他角色，請按一下「Add another role」(新增其他角色)，然後新增其他角色。
7. 按一下「Save」(儲存)。

設定權限並啟用管理專案的 API

1. 在 Google Cloud 控制台中，確認您查看的是要啟用 Security Command Center Enterprise 級別的組織。
2. 選取先前建立的管理專案。

3. 確認您具備下列專案角色：

   • 服務使用情形管理員 (roles/serviceusage.serviceUsageAdmin)
   • 服務帳戶權杖建立者 (roles/iam.serviceAccountTokenCreator)
   • Chronicle API 管理員 (roles/chronicle.admin)
   • Chronicle 服務管理員 (roles/chroniclesm.admin)
   • Chronicle SOAR 管理員 (roles/chronicle.soarAdmin)
   • 服務帳戶金鑰管理員 (roles/iam.serviceAccountKeyAdmin)
   • 服務帳戶管理員 (roles/iam.serviceAccountAdmin)

   檢查角色

   1. 前往 Google Cloud 控制台的「IAM」頁面。

      前往「IAM」頁面
   2. 選取專案。

   3. 在「Principal」(主體) 欄中，找出所有代表您或您所屬群組的資料列。如要瞭解您所屬的群組，請與管理員聯絡。

   4. 針對指定或包含您的所有資料列，請查看「Role」(角色) 欄，確認角色清單是否包含必要角色。

   授予角色

   1. 前往 Google Cloud 控制台的「IAM」頁面。

      前往「IAM」頁面
   2. 選取專案。
   3. 按一下「Grant access」(授予存取權)。

   4. 在「New principals」(新增主體) 欄位中，輸入您的使用者 ID。 這通常是指員工身分集區中使用者的 ID。詳情請參閱「在 IAM 政策中代表工作團隊集區使用者」，或聯絡管理員。

   5. 按一下「Select a role」(選取角色)，然後搜尋角色。
   6. 如要授予其他角色，請按一下「Add another role」(新增其他角色)，然後新增其他角色。
   7. 按一下「Save」(儲存)。

4. 啟用 Cloud Asset、Cloud Pub/Sub、Cloud Resource Manager、Compute Engine、政策分析工具和 Recommender API (如有尚未啟用的 API)。

   啟用 API 所需的角色

   您必須具備 serviceusage.services.enable 權限，才能啟用 API。如果您建立了專案，可能已透過擁有者角色 (roles/owner) 取得這項權限。否則，您可以透過 Service Usage 管理員角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

   啟用 API

使用現有 Google SecOps 執行個體時建立服務帳戶

如要連線至現有的 Google SecOps 執行個體，請建立使用者自行管理的服務帳戶，並將下列角色授予該服務帳戶：

• 在您打算啟用 Security Command Center 的組織層級，具備 Chronicle SOAR 服務代理 (roles/chronicle.soarServiceAgent) 和Pub/Sub 管理員 (roles/pubsub.admin) 角色。
• 管理專案中的 Chronicle 服務代理 (roles/chronicle.serviceAgent)。

設定通知聯絡人

設定重要聯絡人，讓資安管理員接收重要通知。如需操作說明，請參閱「管理通知聯絡人」。

啟用 Security Command Center Enterprise 級別

啟用程序會自動設定 Security Command Center Enterprise 隨附的服務帳戶、權限和服務。您可以連結至現有的 Google SecOps Standard、Enterprise 或 Enterprise Plus 執行個體，也可以佈建新的執行個體。

重要事項：

• 您必須使用管轄區 Google Cloud 控制台，才能啟用 Security Command Center 及其資料落地控管機制，並在啟用後修改資料落地設定。詳情請參閱「關於管轄區Google Cloud 控制台」。
• 如要使用 Enterprise 服務層級，請先與 Google Cloud 帳戶代表聯絡，並安排啟用 Security Command Center 的日期和時間，再啟用 Security Command Center 和資料落地控管機制。啟用後，帳戶代表會協助確保 Google SecOps 執行個體的設定完全支援資料落地控管機制。如有任何問題，請與 Google Cloud 帳戶代表聯絡。

1. 在 Google Cloud 控制台中，前往 Security Command Center。

   前往 Security Command Center

2. 選取要啟用 Security Command Center Enterprise 級別的組織，然後按一下「Select」(選取)。

3. 在 Security Command Center 導覽選單中，按一下「Setup Guide」(設定指南)。

   注意：如果找不到「Setup Guide」(設定指南)，請與Google Cloud 銷售人員聯絡，確認訂閱授權是否有效。

4. 在「Get started with Security Command Center Enterprise」(開始使用 Security Command Center Enterprise) 頁面中，查看要設定的服務帳戶和 API，然後按一下「Next」(下一步)。

   • 如要查看即將建立的服務帳戶，請按一下「View service accounts and permissions」(查看服務帳戶和權限)。
   • 如要查看會啟用的 API，請按一下「View Security Command Center Enterprise APIs」(查看 Security Command Center Enterprise API)。
   • 如要查看條款及細則，請按一下「Security Command Center Enterprise terms and conditions」(Security Command Center Enterprise 條款及細則)。

   下一頁會根據您的環境顯示不同檢視畫面。

   • 如果您已有 Google SecOps 執行個體，系統會提示您使用現有執行個體或建立新執行個體。繼續執行步驟 5，選擇執行個體類型。

   • 如果沒有 Google SecOps 執行個體，請繼續執行步驟 6，建立新的 Google SecOps 執行個體。

5. 如果組織已連結至 Google SecOps 執行個體，請選擇下列其中一項。如果未連結至 Google SecOps 執行個體，請繼續執行步驟 6，建立新的 Google SecOps 執行個體。

   • 選取「是，連結現有的 Google Security Operations 執行個體」，然後從選單中選擇執行個體。繼續執行步驟 7，開始啟用。

     選單會顯示與您要啟用 Security Command Center Enterprise 的組織相關聯的 Google SecOps 執行個體。每個項目都包含 Google SecOps 客戶 ID、佈建區域，以及相關聯的 Google Cloud 專案名稱。您無法選取與 Security Command Center Enterprise 不相容的執行個體。

     頁面會提供所選 Google SecOps 執行個體的連結，方便您驗證。如果開啟執行個體時發生錯誤，請確認您具備存取執行個體所需的 IAM 權限。

   • 選取「否，建立新的 Google Security Operations 執行個體」，然後繼續執行步驟 6，建立新的 Google SecOps 執行個體。

6. 如要建立新的 Google SecOps 執行個體，請提供其他設定詳細資料。

   1. 指定公司聯絡資訊。

      • 技術支援聯絡人：輸入個人或群組電子郵件地址。
      • 公司名稱：輸入公司名稱。

   2. 選取要佈建 Google SecOps 的位置類型。

      • 區域：選取單一區域。
      • 多區域：選取多區域位置。

      這個位置僅用於 Google SecOps，不適用於其他 Security Command Center 功能。如要查看支援的區域和多區域清單，請參閱「SecOps 服務位置」頁面。

   3. 按一下「下一步」，然後選取專屬的管理專案。您已在先前的步驟中建立專屬管理專案。

      如果選取的專案已連結至現有的 Google SecOps 執行個體，啟用時會發生錯誤。

   4. 繼續執行步驟 7，開始啟用。

7. 點按「Activate」(啟用)。

   某些服務會自動啟用，例如安全狀態分析、Event Threat Detection 和虛擬機器威脅偵測。Google SecOps 功能可能需要一些時間才會準備就緒，並顯示發現項目。

8. 繼續監控啟用進度並設定服務。

監控啟用進度及設定服務

設定指南會顯示佈建狀態，並讓您查看已啟用的服務。您可以設定其他服務，以及與其他雲端服務供應商的連線。

1. 前往 Google Cloud 控制台的 Security Command Center「設定指南」頁面。

   前往設定指南

2. 選取已啟用 Security Command Center Enterprise 的組織。

3. 展開「Review security capabilities summary」(查看安全功能摘要) 面板。每個面板都會顯示相關服務的啟用狀態。

4. 如要連線至 Amazon Web Services (AWS) 或 Microsoft Azure，請按一下「add」「新增連接器」。系統會開啟「設定」頁面的「連接器」分頁。

   如需更多操作說明，請參閱下列文章：

   • 連線至 AWS，收集設定和資源資料
   • 連結至 Microsoft Azure，收集設定和資源資料。

5. 按一下任一面板中的「設定」，即可設定其他服務和功能。如要進一步瞭解各項功能，請點選下表中的連結。

   功能面板名稱	進一步瞭解這些功能
   AI 保護	AI Protection 總覽 Model Armor 總覽
   程式碼安全性	Google Cloud Armor 總覽 整合 Assured OSS，確保程式碼安全。
   雲端威脅偵測	Container Threat Detection 簡介 Event Threat Detection 簡介 虛擬機器威脅偵測簡介 連線至 AWS，收集設定和資源資料 Cloud Run Threat Detection 簡介
   資料安全性	啟用 Event Threat Detection 啟用 Sensitive Data Protection 啟用探索功能
   身分與存取權安全性	IAM 推薦工具整合服務總覽 Cloud Infrastructure Entitlement Management (CIEM) 總覽
   法規遵循	套用架構 在 IAM 中授予角色 管理資安態勢 Security Health Analytics 總覽 Web Security Scanner 簡介
   回應平台	對應及驗證使用者，啟用 SOAR 相關功能 整合 Security Command Center Enterprise 與支援單處理系統 更新企業用途 使用應對手冊
   安全漏洞評估	評估軟體安全漏洞總覽

設定權限，以便持續使用 Security Command Center Enterprise

如要變更組織設定，您必須在組織層級具備下列兩個角色：

• 組織管理員 (roles/resourcemanager.organizationAdmin)
• 安全中心管理員 (roles/securitycenter.admin)

如果使用者不需要編輯權限，建議授予檢視者角色。

如要在 Security Command Center 查看所有資產、發現項目和攻擊路徑，使用者必須具備組織層級的安全中心管理員檢視者 (roles/securitycenter.adminViewer) 角色。

使用者必須具備組織層級的安全中心管理員 (roles/securitycenter.admin) 角色，才能查看設定。

如要限制個別資料夾和專案的存取權，請勿在組織層級授予所有角色。請改為在資料夾「或」專案層級授予下列角色：

• 安全中心資產檢視者 (roles/securitycenter.assetsViewer)
• 安全中心發現項目檢視者 (roles/securitycenter.findingsViewer)

每項偵測服務可能需要額外權限才能啟用或設定。詳情請參閱各項服務的專屬說明文件。

如要使用 Security Command Center Enterprise 支援的資安營運控制台功能，請參閱「控管資安營運控制台頁面功能的存取權」。

修改 Security Command Center 服務

如要進一步瞭解級別管理，請參閱「修改 Security Command Center Enterprise 級別」。

後續步驟

• 瞭解如何使用 Security Command Center 發現項目。
• 瞭解Google Cloud 安全性來源。
• 使用精選偵測規則調查威脅。
• 將框架套用至環境，確保環境符合法規遵循和安全規定。