為專案啟用 Security Command Center

Security Command Center 可讓您找出個別 Google Cloud 專案中各項資源的安全漏洞，並偵測威脅。您可以為專案啟用 Standard 或進階級，專案層級的 Standard 啟用功能支援新的 Standard 方案功能。

如要為整個組織啟用 Security Command Center，請參閱下列任一頁面：

事前準備

如要在專案啟用 Security Command Center，您必須符合下列必要條件，詳情請參閱以下各節：

  • 請參閱必要條件資訊，瞭解在專案層級啟用 Security Command Center 與在組織層級啟用有何不同。
  • 您必須擁有與組織相關聯的 Google Cloud 專案。
  • 您的使用者帳戶必須具備包含必要權限的身分與存取權管理 (IAM) 角色。
  • 啟用必要的 API，具體取決於您加入 Security Command Center Standard 方案的方式。
  • 如果專案繼承的組織政策設為依網域限制身分，則使用者和服務帳戶必須位於允許的網域。
  • 如要使用 Container Threat Detection，Google Kubernetes Engine 叢集必須支援 Container Threat Detection。詳情請參閱「確認 Container Threat Detection 的軟體版本」。

必要資訊

如要瞭解在專案層級啟用 Security Command Center 與在組織層級啟用有何不同，請參閱「在專案層級啟用 Security Command Center 總覽」。

如要瞭解專案層級啟用不支援的服務和 Security Command Center 發現項目，請參閱「專案層級啟用服務限制」。

專案需求

如要為專案啟用 Security Command Center，專案必須與組織相關聯。如需建立專案，請參閱「建立及管理專案」。

必要的角色

如要取得為專案啟用 Security Command Center 所需的權限，請要求管理員在專案中授予您下列 IAM 角色：

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

啟用必要的 API

如果貴組織在Google Cloud 服務中自動啟用 Security Command Center，或您打算使用 Security Command Center API，則必須為專案啟用 API。

啟用 API 所需的角色

您必須具備 serviceusage.services.enable 權限，才能啟用 API。如果您建立了專案，可能已透過擁有者角色 (roles/owner) 取得這項權限。否則，您可以透過 Service Usage 管理員角色 (roles/serviceusage.serviceUsageAdmin) 取得這項權限。瞭解如何授予角色。

啟用 API

驗證組織政策

如果專案繼承的組織政策設為依網域限制身分，則須符合下列規定：

  • 您必須使用允許網域中的帳戶登入 Google Cloud 控制台。
  • 服務帳戶必須位於允許的網域，或屬於網域內的群組。啟用網域限制共用功能時，這項規定可讓您允許 @*. 服務存取資源。

確認 Container Threat Detection 的軟體版本

如要搭配使用 Container Threat Detection 和 Google Kubernetes Engine (GKE)，請確認叢集使用支援的 GKE 版本，且設定正確。詳情請參閱「使用 Container Threat Detection」。

專案的啟用情境

本頁面涵蓋下列啟用情境：

  • 在從未啟用 Security Command Center 的組織中，為專案啟用 Security Command Center 的 Premium 或 Standard 級別。
  • 在採用 Standard 級的組織中，為專案啟用 Security Command Center Premium 級。
  • 在 Premium 級訂閱方案即將到期的組織中，為專案啟用 Security Command Center Premium 級。

視貴組織是否使用 Security Command Center 而定，您可透過不同方法為專案啟用 Security Command Center。

如果貴組織未使用 Security Command Center， Google Cloud 控制台會引導您完成一系列設定頁面。

如果貴組織使用 Security Command Center，請前往「Settings」(設定) 頁面的「Tier Details」(方案詳細資料) 分頁，為專案啟用 Security Command Center Premium。

判斷組織是否已啟用 Security Command Center

為專案啟用 Security Command Center 的方式，取決於貴組織是否已啟用 Security Command Center。

如要確認貴組織是否已啟用 Security Command Center，請完成下列步驟：

  1. 前往 Google Cloud 控制台的 Security Command Center「Overview」(總覽) 頁面。

    前往 Security Command Center

  2. 選取要啟用 Security Command Center 的專案名稱。

    選取專案後，系統會開啟下列其中一個頁面：

    • 如果組織已啟用 Security Command Center，系統會開啟「Risk overview」(風險總覽) 頁面。
    • 如果組織尚未啟用 Security Command Center，系統會開啟歡迎頁面，您可以在該頁面啟動專案的啟用程序。

  3. 如果貴組織已啟用 Security Command Center，請查看啟用的服務級別。

    1. 開啟 Security Command Center 的「Settings」(設定) 頁面：

      前往「設定」

    2. 在「設定」頁面中，按一下「層級詳細資料」。「Tier」(級別) 頁面隨即開啟。

    3. 「Tier」(級別) 列會列出專案繼承的服務級別。

  4. 如要為專案啟用 Security Command Center，請依據上層組織中 Security Command Center 的啟用狀態，按照下列程序操作：

在組織中啟用 Security Command Center 時，為專案啟用

如果組織已啟用 Security Command Center，則在專案層級只需啟用進階級服務級別，因為專案至少會沿用 Standard 級別。

如要查看各級別包含的功能，請參閱「服務級別」。

如要將專案升級至進階級，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「Tier details」(級別詳細資料) 頁面。

    前往「等級詳細資料」

  2. 選取要升級 Security Command Center 級別的專案，然後按一下「Select」(選取)。

  3. 按一下「管理專案級別」。

  4. 在「管理級別」窗格中，按一下「選取」，選取進階級。然後按一下「更新」。

您已完成專案的 Security Command Center Premium 啟用程序。接著，請等待初始掃描完成。

在組織未啟用 Security Command Center 時，為專案啟用這項服務

如果貴組織未啟用 Security Command Center，當您在 Google Cloud 控制台開啟 Security Command Center 時，系統會顯示歡迎頁面，並列出級別詳細資料。選取級別即可開始啟用程序。

Security Command Center 提供三個級別：Standard、Premium 和 Enterprise。您選取的級別會決定可使用的功能，以及使用 Security Command Center 的費用。您只能在組織層級啟用 Enterprise 級別。詳情請參閱「啟用 Security Command Center Enterprise 方案」。

如要查看各級別包含的功能，請參閱「服務級別」。

如要為專案啟用 Security Command Center，請選取要啟用的服務級別 (Standard 或 Premium)，然後按照下列步驟操作：

標準

  1. 在 Google Cloud 控制台中，前往 Security Command Center 的「Overview」(總覽) 頁面。

    前往 Security Command Center

  2. 選取要啟用 Security Command Center Standard 的專案，然後按一下「Select」(選取)。

  3. 在歡迎頁面中，按一下「Get Standard」(取得標準版)。

  4. 點按「Activate」(啟用)。

Premium

  1. 在 Google Cloud 控制台中，前往 Security Command Center 的「Overview」(總覽) 頁面。

    前往 Security Command Center

  2. 選取要啟用 Security Command Center Premium 的專案，然後按一下「Select」(選取)。

  3. 在歡迎頁面選取「開始免付費試用 Premium 方案」。

  4. 點按「Activate」(啟用)。

結果會顯示在 Google Cloud 控制台中。顯示後，您就可以查看並修正 Google Cloud 安全性和資料風險。

Security Command Center 會在 24 小時內完成首次完整掃描。部分服務可能不會立即開始掃描。詳情請參閱「Security Command Center 預計何時會顯示發現項目」。

Security Command Center 服務

Security Command Center 會使用偵測服務，偵測雲端環境中的安全性問題。啟用 Security Command Center 後，系統會自動啟用特定服務，並建立服務代理，讓這些服務能代表您執行操作。

按照「設定 Security Command Center 服務」中的步驟，啟用或停用各項服務。

自動啟用的服務取決於您的服務級別。選取服務級別，查看自動啟用的功能。

標準

啟用 Security Command Center Standard 後，系統會自動啟用安全狀態分析，並授予其服務代理執行服務所需的角色和權限。

Premium

啟用 Security Command Center Premium 時，系統會啟用下列服務：

服務代理

「服務代理」是由 Google Cloud 建立及管理的服務帳戶，可代表您存取資源。服務代理建立後，Security Command Center 會自動為其授予必要的 IAM 角色。Security Command Center Premium 啟用作業包含下列服務代理：

如需使用和最佳化操作說明，請參閱各項服務的文件。舉例來說，Event Threat Detection 仰賴Google Cloud產生的記錄。有些記錄一律會啟用，因此 Event Threat Detection 啟用後，就會立即開始掃描這些記錄。其他記錄 (例如大多數資料存取稽核記錄) 則必須先啟用，Event Threat Detection 才能掃描。

後續步驟

進一步瞭解 Security Command Center 及其內建服務。