מתן הרשאה ל-VM Threat Detection לגשת לאזורים של VPC Service Controls

כדי לאפשר ל-"זיהוי איומים במכונות וירטואליות" לסרוק מכונות וירטואליות שמוגנות על ידי VPC Service Controls, צריך להגדיר כללי תעבורת נתונים נכנסת ויוצאת להיקף. צריך להגדיר את הכללים האלה אם הארגון משתמש ב-VPC Service Controls כדי להגביל את השירותים בפרויקטים שרוצים לסרוק באמצעות VM Threat Detection. מידע נוסף על זיהוי איומים במכונות וירטואליות זמין במאמר סקירה כללית על זיהוי איומים במכונות וירטואליות.

לפני שמתחילים

צריך לוודא שיש לכם בארגון את התפקיד או התפקידים הבאים: עריכה של Access Context Manager (roles/accesscontextmanager.policyEditor).

בדיקת התפקידים

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM
  2. בוחרים את הארגון.

  3. בעמודה Principal, מחפשים את כל השורות שמזהות אתכם או קבוצה שאתם חברים בה. כדי לברר לאילו קבוצות אתם שייכים, פנו לאדמין.

  4. בכל השורות שבהן אתם מופיעים, בודקים בעמודה Role אם רשימת התפקידים כוללת את התפקידים הנדרשים.

מתן התפקידים

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM
  2. בוחרים את הארגון.
  3. לוחצים על Grant access.

  4. בשדה New principals, מזינים את מזהה המשתמש. ‫ בדרך כלל זה המזהה של משתמש במאגר זהויות של כוח עבודה. למידע נוסף, קראו את המאמר ייצוג המשתמשים במאגרי כוח עבודה בכללי מדיניות IAM או פנו לאדמין שלכם.

  5. לוחצים על Select a role ומחפשים את התפקיד.
  6. כדי לתת עוד תפקידים, לוחצים על Add another role ומוסיפים אותם.
  7. לוחצים על Save.

יצירת הכללים לתעבורת נתונים נכנסת ויוצאת

כדי לאפשר לזיהוי איומים ב-VM לסרוק את המכונות הווירטואליות בהיקפי השירות של VPC Service Controls, צריך להוסיף את כללי תעבורת הנתונים הנכנסת והיוצאת הנדרשים בהיקפים האלה. צריך לבצע את השלבים האלה בכל היקף שרוצים ש-VM Threat Detection יסרוק.

למידע נוסף, קראו את המאמר עדכון כללי מדיניות של תעבורת נתונים נכנסת ויוצאת של גבולות גזרה לשירות במסמכי התיעוד של VPC Service Controls.

המסוף

  1. נכנסים לדף VPC Service Controls במסוף Google Cloud .

    כניסה ל-VPC Service Controls

  2. בוחרים את הארגון.

  3. ברשימה הנפתחת, בוחרים את מדיניות הגישה שמכילה את גבולות הגזרה לשירות שרוצים לתת גישה אליהם.

    גבולות הגזרה לשירות שמשויכים למדיניות הגישה מופיעים ברשימה.

  4. לוחצים על השם של גבולות הגזרה לשירות שרוצים לעדכן.

    כדי למצוא את גבולות הגזרה לשירות שצריך לשנות, אפשר לבדוק ביומנים אם יש רשומות שמראות הפרות של RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. ברשומות האלה, בודקים את השדה servicePerimeterName: 

    accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
  5. לוחצים על עריכה.

הוספת כלל לתעבורת נתונים יוצאת (egress)

  1. לוחצים על Egress policy.
  2. לוחצים על Add an egress rule.

  3. בקטע מאת, מגדירים את הפרטים הבאים:

    1. בקטע Identities > Identity, בוחרים באפשרות Select identities & groups.
    2. לוחצים על הוספת זהויות.

    3. מזינים את כתובת האימייל שמזהה את סוכן השירות של Cloud Security Command Center. הפורמט של הכתובת הזו הוא: 

      service-org-ORGANIZATION_ID@security-center-api.

      מחליפים את ORGANIZATION_ID במזהה הארגון.

    4. בוחרים את סוכן השירות או מקישים על ENTER, ואז לוחצים על Add identities.

  4. בקטע To, מגדירים את הפרטים הבאים:

    1. בקטע Resources > Projects, בוחרים באפשרות All projects.
    2. בקטע Operations or IAM roles, בוחרים באפשרות Select operations.

    3. לוחצים על Add operations ומוסיפים את הפעולות הבאות:

      • מוסיפים את השירות compute.googleapis.com.
        1. לוחצים על בחירת שיטות.

        2. בוחרים את השיטה DisksService.Insert.

        3. לוחצים על הוספת השיטות שנבחרו.

הוספת כלל תעבורת נתונים נכנסת

  1. לוחצים על Ingress policy.
  2. לוחצים על Add an ingress rule.

  3. בקטע מאת, מגדירים את הפרטים הבאים:

    1. בקטע Identities > Identity, בוחרים באפשרות Select identities & groups.
    2. לוחצים על הוספת זהויות.

    3. מזינים את כתובת האימייל שמזהה את סוכן השירות של Cloud Security Command Center. הפורמט של הכתובת הזו הוא: 

      service-org-ORGANIZATION_ID@security-center-api.

      מחליפים את ORGANIZATION_ID במזהה הארגון.

    4. בוחרים את סוכן השירות או מקישים על ENTER, ואז לוחצים על Add identities.

  4. בקטע To, מגדירים את הפרטים הבאים:

    1. בקטע Resources > Projects, בוחרים באפשרות All projects.
    2. בקטע Operations or IAM roles, בוחרים באפשרות Select operations.

    3. לוחצים על Add operations ומוסיפים את הפעולות הבאות:

      • מוסיפים את השירות compute.googleapis.com.
        1. לוחצים על בחירת שיטות.

        2. בוחרים באחת מהשיטות הבאות:

          • DisksService.Insert
          • InstancesService.AggregatedList
          • InstancesService.List
        3. לוחצים על הוספת השיטות שנבחרו.
  5. לוחצים על Save.

gcloud

  1. אם לא מוגדר פרויקט לחיוב על מכסות, מגדירים אותו. בוחרים פרויקט שבו פועל Access Context Manager API. 

    gcloud config set billing/quota_project QUOTA_PROJECT_ID

    מחליפים את QUOTA_PROJECT_ID במזהה הפרויקט שרוצים להשתמש בו לחיוב ולמכסות.

  2. יוצרים קובץ בשם egress-rule.yaml עם התוכן הבא:

    - egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

    מחליפים את ORGANIZATION_ID במזהה הארגון.

  3. יוצרים קובץ בשם ingress-rule.yaml עם התוכן הבא:

    - ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'

    מחליפים את ORGANIZATION_ID במזהה הארגון.

  4. מוסיפים את כלל התעבורה היוצאת להיקף:

    gcloud access-context-manager perimeters update PERIMETER_NAME \
    --set-egress-policies=egress-rule.yaml

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PERIMETER_NAME: שם ההיקף. לדוגמה, accessPolicies/1234567890/servicePerimeters/example_perimeter.

      כדי למצוא את גבולות הגזרה לשירות שצריך לשנות, אפשר לחפש ביומנים רשומות שמציגות הפרות של RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. ברשומות האלה, בודקים את השדה servicePerimeterName: 

      accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

  5. מוסיפים את כלל התעבורה הנכנסת להיקף:

    gcloud access-context-manager perimeters update PERIMETER_NAME \
    --set-ingress-policies=ingress-rule.yaml

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PERIMETER_NAME: שם ההיקף. לדוגמה, accessPolicies/1234567890/servicePerimeters/example_perimeter.

      כדי למצוא את גבולות הגזרה לשירות שצריך לשנות, אתם יכולים לחפש ביומנים רשומות שמראות הפרות של RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. ברשומות האלה, בודקים את השדה servicePerimeterName: 

      accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME

מידע נוסף זמין במאמר כללי תעבורת נתונים נכנסת ויוצאת.

המאמרים הבאים