為機構啟用 Security Command Center Premium 級別

Premium 服務級別 (必須在組織層級啟用)

Security Command Center Premium 可讓您評估資安態勢、找出安全漏洞，並偵測組織中支援的雲端資源面臨的威脅。在 Google Cloud 控制台啟用進階級，會自動開啟一組內建偵測服務。

如要瞭解各級別的功能，請參閱「Security Command Center 服務級別」。如要設定其他範圍或級別，請參閱標準版、企業版或專案層級啟用指南。

事前準備

為組織啟用 Security Command Center Premium 前，請先完成下列事項：

• 取得特定 Identity and Access Management (IAM) 角色和權限。
• 選用：啟用其他 API。
• 查看貴機構的組織政策 (如適用)。
• 如果您打算啟用資料落地功能，請參閱「規劃資料落地」一文，並決定要使用的位置。
• 如果打算使用客戶自行管理的加密金鑰 (CMEK)，請完成為 Security Command Center 啟用 CMEK 的必要工作。

啟用 Security Command Center 時，您可以設定資料落地和資料加密。如要在啟用 Security Command Center Standard 或 Premium 後變更這些設定，請參閱「修改資料落地或資料加密設定」。

必要的角色

如要取得為組織啟用 Security Command Center 所需的權限，請要求管理員在組織中授予您下列 IAM 角色：

• 安全中心管理員 (roles/securitycenter.admin)
• 組織管理員 (roles/resourcemanager.organizationAdmin)

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

啟用 Security Center Management API

如要使用 Security Center Management API，請在要呼叫該 API 的專案中啟用：

啟用 API 所需的角色

您必須具備 serviceusage.services.enable 權限，才能啟用 API。如果您建立了專案，可能已透過擁有者角色 (roles/owner) 取得這項權限。否則，您可以透過 Service Usage 管理員角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

啟用 API

查看組織政策

如果組織政策設為依照網域設定身分限制，請確認下列事項：

• 您必須使用允許網域中的帳戶登入 Google Cloud 控制台。
• 服務帳戶必須位於允許的網域，或屬於網域內群組的成員。這項規定可讓您在啟用網域限制共用功能時，允許使用 @*. 服務帳戶的服務存取資源。

如果組織政策設為限制資源用量，請確認政策允許下列 API：

• cloudsecuritycompliance.googleapis.com
• securitycenter.googleapis.com
• securitycentermanagement.googleapis.com

啟用 Security Command Center Premium

您可以透過 Google Cloud 控制台為組織啟用 Security Command Center Premium。

1. 前往 Google Cloud 控制台的 Security Command Center 歡迎頁面。

   前往 Security Command Center

2. 如要啟用資料落地，請使用與您要設定的位置相符的網址，開啟管轄區控制台。

   您必須使用管轄區 Google Cloud 控制台，才能啟用 Security Command Center 及其資料落地控管機制，並在啟用後修改資料落地設定。詳情請參閱「關於管轄區Google Cloud 控制台」。

   注意：Security Command Center 不會根據強制執行資源位置限制 (gcp.resourceLocations) 的任何組織政策，驗證資料落地位置。設定資料落地時，請務必選取符合組織政策的位置。

3. 選取要啟用 Security Command Center Premium 的組織，然後按一下「Select」(選取)。

4. 在歡迎頁面選取「開始免付費試用 Premium 方案」。

   注意：Premium 免費試用期為 30 天。試用期結束後，貴組織會自動轉換至 Premium 即付即用方案，並透過您的帳單帳戶收費。

   如要取消 Premium 試用方案，避免產生即付即用費用，請在試用期結束前降級至 Standard 方案。試用期間，您隨時可以降級。如需詳細操作說明，請參閱「從進階級降級至標準級」。

   如要購買 Premium 訂閱方案，請參閱「進階級：訂閱制計價」一節。

5. 選用：如要確認資料落地設定或變更資料加密設定，請按一下「Show more」(顯示更多)。

   • 如果您使用的是管轄區控制台，「資料落地」欄位會顯示「啟用」，「位置」欄位則會顯示與管轄區控制台相同的位置。如要變更位置，請使用與要設定的位置相符的網址開啟控制台。
   • 預設資料加密設定會使用 Google-owned and Google-managed encryption keys。如要使用 Cloud Key Management Service 金鑰，請按一下「編輯資料加密」，然後執行下列操作：
     1. 選取「Cloud KMS key」(Cloud KMS 金鑰)。
     2. 選取專案。
     3. 選取金鑰。您可以從任何 Google Cloud 專案中選取金鑰，包括其他組織中的專案。清單中只會顯示相容位置的金鑰。

     如要瞭解哪些金鑰位置與 Security Command Center 相容，請參閱「決定金鑰位置」。

     如果貴組織使用 CMEK 組織政策，您可能只能選擇 CMEK 或特定金鑰。

     在啟用程序中，Security Command Center 會將 Cloud KMS 金鑰的 Cloud KMS CryptoKey 加密者/解密者 (roles/cloudkms.cryptoKeyEncrypterDecrypter) 角色授予 Cloud Security Command Center 服務代理。

6. 點按「Activate」(啟用)。

結果會顯示在控制台中。接著，您可以使用 Google Cloud 控制台查看及修復 Google Cloud 安全性和資料風險。

Security Command Center 會在 24 小時內完成首次完整掃描。部分服務可能需要一段時間才會開始掃描。詳情請參閱「Security Command Center 預計何時會顯示發現項目」。

Security Command Center Premium 服務

啟用 Security Command Center Premium 後，系統會自動啟用特定服務，並建立服務代理，讓這些服務代表您執行操作。

服務

Security Command Center 會使用偵測服務，偵測雲端環境中的安全性問題。啟用 Security Command Center Premium 時，系統會啟用下列服務：

• AI Protection

• Compliance Manager

• Container Threat Detection

  如要使用 Container Threat Detection，請確保叢集使用支援的 Google Kubernetes Engine (GKE) 版本，且 GKE 叢集設定正確。詳情請參閱「使用 Container Threat Detection」。

• Event Threat Detection

  Event Threat Detection 仰賴 Google Cloud產生的記錄。如要使用 Event Threat Detection，請為組織、資料夾和專案啟用記錄。

• Security Health Analytics

• 資安態勢

• 虛擬機器威脅偵測

• 安全漏洞評估

• Web Security Scanner

如需使用和最佳化操作說明，請參閱各項服務的說明文件。舉例來說，Event Threat Detection 仰賴Google Cloud產生的記錄。有些記錄一律會啟用，因此 Event Threat Detection 啟用後，就會立即開始掃描這些記錄。其他記錄 (例如大多數資料存取稽核記錄) 則必須先啟用，Event Threat Detection 才能掃描。

如要啟用或停用本節所述的服務和其他服務，請按照「設定 Security Command Center 服務」中的步驟操作。

服務代理

「服務代理」是由 Google Cloud 建立及管理的服務帳戶，可代表您存取資源。服務代理建立後，Security Command Center 會自動為其授予必要的 IAM 角色。Security Command Center Premium 啟用作業包含下列服務代理：

• Cloud Security Command Center 服務代理：用於 Event Threat Detection、安全狀態分析、虛擬機器威脅偵測和安全漏洞評估
• AI Protection 和 Compliance Manager 的 Cloud Security Compliance 服務代理
• Container Threat Detection 的容器威脅偵測服務代理

注意：如果您使用 service perimeter，則必須為服務代理設定輸入和輸出政策，允許他們存取各項服務。詳情請參閱下列服務專屬說明文件：

• Compliance Manager
• Container Threat Detection
• Security Health Analytics
• 安全漏洞評估

修改 Security Command Center 服務

如要進一步瞭解級別管理，請參閱「修改組織的 Security Command Center 進階級」。

後續步驟

• 瞭解如何設定 Security Command Center 服務。
• 瞭解如何在 Google Cloud 控制台中使用 Security Command Center。
• 瞭解如何使用 Security Command Center 發現項目。
• 瞭解Google Cloud 安全性來源。
• 瞭解 Model Armor 如何保護 AI 工作負載。
• 啟用 Sensitive Data Protection，保護機密資料。
• 瞭解如何使用 Cloud Billing 監控費用。