Mengizinkan Event Threat Detection mengakses perimeter Kontrol Layanan VPC

Paket layanan Premium dan Enterprise (Tidak digunakan lagi)

Paket layanan Security Command Center Enterprise akan dihentikan pada 21 Mei 2027. Jika organisasi Anda menggunakan paket layanan Enterprise, organisasi tersebut akan otomatis beralih ke paket layanan Premium pada atau setelah 21 Mei 2027. Hubungi Account Representative atau spesialis penjualanGoogle Cloud jika ada pertanyaan.

Saat menambahkan aturan ingress ke perimeter Kontrol Layanan VPC, Anda dapat memantau aliran logging dengan Event Threat Detection di Security Command Center di seluruh project yang dibatasi. Untuk informasi selengkapnya, lihat Ringkasan Event Threat Detection.

Sebelum memulai

Pastikan Anda memiliki peran berikut di organisasi: Agen Layanan Aset Cloud (roles/cloudasset.serviceAgent).

Memeriksa peran

1. Di konsol Google Cloud , buka halaman IAM.

   Buka IAM
2. Pilih organisasi.

3. Di kolom Principal, temukan semua baris yang mengidentifikasi Anda atau grup yang mencakup Anda. Untuk mengetahui grup tempat Anda disertakan, hubungi administrator Anda.

4. Untuk semua baris yang menentukan atau menyertakan Anda, periksa kolom Peran untuk melihat apakah daftar peran menyertakan peran yang diperlukan.

Memberikan peran

1. Di konsol Google Cloud , buka halaman IAM.

   Buka IAM
2. Pilih organisasi.
3. Klik Grant access.

4. Di kolom New principals, masukkan ID pengguna Anda. Biasanya, ini adalah ID untuk pengguna dalam workforce identity pool. Untuk mengetahui detailnya, baca bagian Merepresentasikan pengguna workforce pool dalam kebijakan IAM, atau hubungi administrator Anda.

5. Klik Select a role, lalu telusuri peran.
6. Untuk memberikan peran tambahan, klik Add another role, lalu tambahkan tiap peran tambahan.
7. Klik Simpan.

Membuat aturan ingress

Agar Event Threat Detection dapat memantau aliran logging di Security Command Center dalam perimeter Kontrol Layanan VPC, tambahkan aturan ingress yang diperlukan di perimeter tersebut. Lakukan langkah-langkah ini untuk setiap perimeter yang ingin Anda pantau dengan Event Threat Detection.

Untuk mengetahui informasi selengkapnya, lihat Memperbarui kebijakan ingress dan egress untuk perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Konsol

Membuka perimeter layanan

1. Di konsol Google Cloud , buka halaman Kontrol Layanan VPC.

   Buka Kontrol Layanan VPC

2. Pilih organisasi Anda.

3. Di menu drop-down, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda beri akses.

   Perimeter layanan yang terkait dengan kebijakan akses akan muncul dalam daftar.

4. Klik nama perimeter layanan yang ingin Anda perbarui.

   Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa log untuk menemukan entri yang menunjukkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dalam entri tersebut, periksa kolom servicePerimeterName:

   accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

5. Klik Edit.

Menambahkan aturan ingress

1. Klik Ingress policy.
2. Klik Add an ingress rule.

3. Di bagian From, tetapkan detail berikut:

   1. Untuk Identities > Identity, pilih Select identities & groups.
   2. Klik Add identities.

   3. Masukkan alamat email yang mengidentifikasi Agen Layanan Cloud Security Command Center. Alamat ini memiliki format berikut:

      service-org-ORGANIZATION_ID@security-center-api.

      Ganti ORGANIZATION_ID dengan ID organisasi Anda.

   4. Pilih agen layanan atau tekan ENTER, lalu klik Add identities.

4. Di bagian To, tetapkan detail berikut:

   1. Untuk Resources > Projects, pilih All projects.
   2. Untuk Operations or IAM roles, pilih Select operations.

   3. Klik Add operations, lalu tambahkan operasi berikut:

      • Tambahkan layanan cloudasset.googleapis.com.
        1. Klik Semua metode.
        2. Klik Tambahkan semua metode.
5. Klik Simpan.

gcloud

Peringatan: Flag --set-ingress-policies dan --set-egress-policies menggantikan semua kebijakan ingress atau egress yang ada di perimeter. Jika sudah memiliki kebijakan, Anda harus mengambilnya terlebih dahulu, menambahkan kebijakan baru ke file YAML ingress atau egress yang sesuai, lalu menjalankan perintah update.

1. Jika project kuota belum ditetapkan, tetapkan project kuota. Pilih project yang telah mengaktifkan Access Context Manager API.

   gcloud config set billing/quota_project QUOTA_PROJECT_ID

   Ganti QUOTA_PROJECT_ID dengan ID project yang ingin Anda gunakan untuk penagihan dan kuota.

2. Buat file bernama ingress-rule.yaml dengan konten berikut:

   - ingressFrom:
       identities:
       - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.
       sources:
       - accessLevel: '*'
     ingressTo:
       operations:
       - serviceName: cloudasset.googleapis.com
         methodSelectors:
         - method: '*'
       resources:
       - '*'

   Ganti ORGANIZATION_ID dengan ID organisasi Anda.

3. Tambahkan aturan ingress ke perimeter:

   gcloud access-context-manager perimeters update PERIMETER_NAME \
       --set-ingress-policies=ingress-rule.yaml

   Ganti kode berikut:

   • PERIMETER_NAME: nama perimeter. Misalnya, accessPolicies/1234567890/servicePerimeters/example_perimeter.

     Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa log untuk menemukan entri yang menunjukkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dalam entri tersebut, periksa kolom servicePerimeterName:

     accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

Untuk mengetahui informasi selengkapnya, lihat Aturan ingress dan egress.

Langkah berikutnya

• Pelajari cara menggunakan Event Threat Detection.