您可以解決常見的 Security Command Center 問題，包括啟用失敗、資產未更新、通知延遲和掃描錯誤。這些疑難排解步驟可協助您解除服務設定封鎖、還原主動安全監控，以及區分預期的掃描器流量和安全事件。
如要解決通知和掃描器訊息，或調查 Security Command Center 偵測到的設定問題，請參閱「錯誤訊息」和「Security Command Center 錯誤」。
無法啟用 Security Command Center
如果組織政策依網域限制身分，啟用 Security Command Center 最常失敗。您和服務帳戶必須屬於允許的網域：
- 請務必先登入允許網域中的帳戶，再嘗試啟用 Security Command Center。
- 如果您使用
@*.服務帳戶，請將服務帳戶新增為允許網域內群組的身分。
Security Command Center 中的資產未更新
如果您使用 VPC Service Controls，則必須授予 Security Command Center 服務帳戶存取權，才能在 Security Command Center 中探索及更新資產。
如要啟用資產探索功能，請授予 Security Command Center 服務帳戶存取權。這樣一來，服務帳戶就能完成資產探索，並在 Google Cloud 控制台中顯示資產。服務帳戶名稱的格式為 service-org-organization-id@security-center-api.。
查看、編輯、建立及更新發現項目和資產
您可以在組織、資料夾或專案層級，授予 Security Command Center 的 IAM 角色。您能否查看、編輯、建立或更新發現項目、資產和安全性來源，取決於您獲得的存取權層級。如要進一步瞭解 Security Command Center 角色，請參閱「存取控管」。
未收到通知或通知延遲
在某些情況下，通知可能會遺漏、遭到捨棄或延遲：
NotificationConfig中可能沒有符合篩選條件的發現項目。如要測試通知，請使用 Security Command Center API 建立發現項目。- Security Command Center 服務帳戶必須具備 Pub/Sub 主題的
securitycenter.notificationServiceAgent角色。服務帳戶名稱的格式為service-organization-id@gcp-sa-scc-notification.。- 如果移除角色，通知發布功能就會停用。
- 如果您移除角色後再次授予角色，通知會延遲。
- 如果刪除並重新建立 Pub/Sub 主題，系統會捨棄通知。
External Exposure
如果遇到與外部暴露相關的問題或非預期流量，請參閱下列各節，瞭解可能有幫助的疑難排解步驟。
TsunamiSecurityScanner 的 403 Forbidden 要求記錄激增
您發現公開端點 (例如 Cloud Run、Google Kubernetes Engine (GKE) 或 Cloud Load Balancing) 的 HTTP 403 Forbidden 或 HTTP 401 Unauthorized 要求記錄中，出現非預期的尖峰，使用者代理程式為 TsunamiSecurityScanner。
原因
外部暴露掃描公開 IP 位址和端點，偵測暴露的介面和安全漏洞時，會使用使用者代理程式字串 TsunamiSecurityScanner 傳送探測要求。
如果端點或服務強制執行存取控管機制，例如 Identity and Access Management (IAM) 驗證、Identity-Aware Proxy (IAP) 或 Google Cloud Armor 安全性政策，端點就會拒絕未經驗證的掃描器要求。這些拒絕會產生 HTTP 403 Forbidden 或 HTTP 401 Unauthorized 記錄回應。這是正常現象，表示安全性控管機制正在封鎖未經驗證的存取行為。
診斷與解決問題
如要診斷並解決 TsunamiSecurityScanner 的 HTTP 403 Forbidden 或 HTTP 401 Unauthorized 要求記錄激增問題，請按照下列步驟操作：
如要確認 HTTP
403要求記錄是否來自掃描器，請在「Logs Explorer」頁面執行下列查詢：httpRequest.userAgent="TsunamiSecurityScanner" AND httpRequest.status=403確認掃描的服務位於已啟用外部暴露功能的專案中。如要進一步瞭解掃描器流量在記錄中的顯示方式，請參閱「識別記錄中的掃描器流量」。
選用：如果您已設定記錄式警告，會在 HTTP
403狀態碼時觸發，請更新警告查詢，排除掃描器流量：NOT httpRequest.userAgent="TsunamiSecurityScanner"
Web Security Scanner
本節提供實用的疑難排解步驟，協助您解決使用 Web Security Scanner 時遇到的問題
Compute Engine 和 GKE 的掃描錯誤
如果掃描網址設定錯誤，Web Security Scanner 會拒絕掃描。可能原因包括：
網址包含暫時 IP 位址
將這個 IP 位址標示為靜態：
- 如果應用程式位於單一 VM，請在 VM 上保留 IP 位址
- 如果應用程式位於負載平衡器後端，請在負載平衡器上保留 IP 位址。
網址對應至錯誤的 IP 位址
如要修正這項發現項目，請參閱 DNS 註冊商服務的操作說明。
網址對應至相同 VM 的臨時 IP 位址
請將此 IP 位址標記為靜態。
網址對應至預留 IP 位址
如果網址對應的 IP 位址已保留給同一組織的其他專案，就會發生這項錯誤。如要解決這個問題，請在定義 VM 或 HTTP 負載平衡器的專案中，為其定義安全性掃描。
網址對應至多個 IP 位址
請確認對應至這個網址的所有 IP 位址，都已保留給同一個專案。如果至少有一個 IP 位址未保留給相同專案，掃描建立、編輯或更新作業就會失敗。