En esta página se describe cómo usar Gestión de Identidades y Accesos (IAM) para controlar el acceso a los recursos en una activación de Security Command Center a nivel de organización. Esta página es relevante para ti si se da alguna de las siguientes condiciones:
- Security Command Center se activa a nivel de organización, no de proyecto.
- Security Command Center Standard ya está activado a nivel de organización. Además, tienes activado Security Command Center Premium en uno o varios proyectos.
Si ha activado Security Command Center a nivel de proyecto (y no a nivel de organización), consulte IAM para activaciones a nivel de proyecto.
Si activas Security Command Center a nivel de organización, puedes controlar el acceso a los recursos en diferentes niveles de tu jerarquía de recursos. Security Command Center usa roles de gestión de identidades y accesos para que puedas controlar quién puede hacer qué con los recursos, los resultados y las fuentes de seguridad de tu entorno de Security Command Center. Asigna roles a personas y aplicaciones, y cada rol proporciona permisos específicos.
Permisos
Requisitos para la activación
Para activar Security Command Center, consulta una de las siguientes opciones en función de tu nivel de servicio.
Requisitos para la administración y el uso continuos
En esta sección se describen los permisos necesarios para administrar y usar Security Command Center Premium y Standard. Para obtener información sobre Security Command Center Enterprise, consulta el artículo Configurar permisos para usar Security Command Center Enterprise de forma continuada.
Para cambiar la configuración de tu organización, necesitas los dos roles siguientes a nivel de organización:
-
Administrador de la organización (
roles/resourcemanager.organizationAdmin) -
Administrador del Centro de Seguridad (
roles/securitycenter.admin)
Si un usuario no necesita permisos de edición, puede asignarle roles de lector.
Para ver todos los recursos, las detecciones y las rutas de ataque en Security Command Center, los usuarios deben tener el rol Lector administrador de Security Center (roles/securitycenter.adminViewer) a nivel de organización.
Para ver la configuración, los usuarios deben tener el rol
Administrador del centro de seguridad (roles/securitycenter.admin) a nivel de organización.
Para restringir el acceso a carpetas y proyectos concretos, no concedas todos los roles a nivel de organización. En su lugar, asigna los siguientes roles a nivel de carpeta o proyecto:
-
Lector de recursos del centro de seguridad (
roles/securitycenter.assetsViewer) - Lector de resultados del centro de seguridad
(
roles/securitycenter.findingsViewer)
Cada servicio de detección puede requerir permisos adicionales para habilitarse o configurarse. Para obtener más información, consulta la documentación específica de cada servicio.
Roles a nivel de organización
Cuando se aplican roles de gestión de identidades y accesos a nivel de organización, los proyectos y las carpetas de esa organización heredan sus enlaces de roles.
En la siguiente figura se muestra una jerarquía de recursos típica de Security Command Center con roles concedidos a nivel de organización.
Los roles de gestión de identidades y accesos incluyen permisos para ver, editar, actualizar, crear o eliminar recursos. Los roles concedidos a nivel de organización en Security Command Center te permiten llevar a cabo las acciones prescritas en los resultados, los recursos y las fuentes de seguridad de toda tu organización. Por ejemplo, un usuario al que se le haya asignado el rol
Editor de detecciones de Security Center (roles/securitycenter.findingsEditor) puede ver o editar las detecciones asociadas a cualquier recurso de cualquier proyecto o carpeta de tu organización. Con esta estructura, no tienes que asignar roles a los usuarios en cada carpeta o proyecto.
Para obtener instrucciones sobre cómo gestionar roles y permisos, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.
Los roles a nivel de organización no son adecuados para todos los casos prácticos, especialmente para las aplicaciones sensibles o los estándares de cumplimiento que requieren controles de acceso estrictos. Para crear políticas de acceso pormenorizadas, puedes asignar roles a nivel de carpeta y de proyecto.
Roles a nivel de carpeta y de proyecto
Security Command Center te permite asignar roles de gestión de identidades y accesos de Security Command Center a carpetas y proyectos específicos, lo que crea varias vistas o silos en tu organización. Puedes conceder a usuarios y grupos diferentes permisos de acceso y edición a carpetas y proyectos de tu organización.
En el siguiente vídeo se describe cómo asignar roles a nivel de carpeta y de proyecto, así como gestionarlos en la consola de Security Command Center.
Con los roles de carpetas y proyectos, los usuarios con roles de Security Command Center pueden gestionar recursos y resultados en los proyectos o carpetas designados. Por ejemplo, se puede dar acceso limitado a carpetas y proyectos concretos a un ingeniero de seguridad, mientras que un administrador de seguridad puede gestionar todos los recursos a nivel de organización.
Los roles de carpetas y proyectos permiten aplicar permisos de Security Command Center en los niveles inferiores de la jerarquía de recursos de tu organización, pero no cambian la jerarquía. En la siguiente figura se muestra un usuario con permisos de Security Command Center para acceder a los resultados de un proyecto específico.
Los usuarios con roles de carpeta y proyecto ven un subconjunto de los recursos de una organización. Las acciones que realicen se limitarán al mismo ámbito. Por ejemplo, si un usuario tiene permisos para una carpeta, puede acceder a los recursos de cualquier proyecto de la carpeta. Los permisos de un proyecto permiten a los usuarios acceder a los recursos de ese proyecto.
Para obtener instrucciones sobre cómo gestionar roles y permisos, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.
Restricciones de rol
Al asignar roles de Security Command Center a nivel de carpeta o de proyecto, los administradores de Security Command Center pueden hacer lo siguiente:
- Limitar los permisos de visualización o edición de Security Command Center a carpetas y proyectos específicos
- Conceder permisos de lectura y edición para grupos de recursos o resultados a usuarios o equipos específicos
- Restringir la capacidad de ver o editar los detalles de los hallazgos, incluidas las actualizaciones de las marcas de seguridad y el estado de los hallazgos, a personas o grupos con acceso al hallazgo subyacente
- Controlar el acceso a la configuración de Security Command Center, que solo pueden ver los usuarios con roles a nivel de organización
Funciones de Security Command Center
Las funciones de Security Command Center también están restringidas en función de los permisos de lectura y edición.
En la consola de Google Cloud , Security Command Center permite que los usuarios que no tienen permisos a nivel de organización elijan solo los recursos a los que tienen acceso. Su selección actualiza todos los elementos de la interfaz de usuario, incluidos los recursos, los resultados y los controles de configuración. Los usuarios ven los privilegios asociados a sus roles y si pueden acceder a las detecciones o editarlas en su ámbito actual.
La API de Security Command Center y la CLI de Google Cloud también restringen las funciones a las carpetas y los proyectos prescritos. Si los usuarios con roles de carpeta o de proyecto llaman a las APIs para enumerar o agrupar recursos y detecciones, solo se devuelven las detecciones o los recursos de esos ámbitos.
En el caso de las activaciones de Security Command Center a nivel de organización, las llamadas para crear o actualizar resultados y notificaciones de resultados solo admiten el ámbito de la organización. Necesitas roles a nivel de organización para realizar estas tareas.
Para ver las rutas de ataque que se generan en las simulaciones de rutas de ataque, se deben conceder los permisos adecuados a nivel de organización y la vista de la consola debe estar configurada en la organización. Google Cloud
Recursos para padres sobre los resultados
Normalmente, una detección se adjunta a un recurso, como una máquina virtual o un cortafuegos. Security Command Center asocia los hallazgos al contenedor más inmediato del recurso que los ha generado. Por ejemplo, si una máquina virtual genera un resultado, este se adjunta al proyecto que contiene la máquina virtual. Los resultados que no están conectados a un recurso de Google Cloud se adjuntan a la organización y los puede ver cualquier usuario que tenga permisos de Security Command Center a nivel de organización.
Roles de Security Command Center
Los siguientes roles de gestión de identidades y accesos están disponibles en Security Command Center. Puedes asignar estos roles a nivel de organización, carpeta o proyecto.
| Role | Permissions |
|---|---|
Security Center Admin( Admin(super user) access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Admin Editor( Admin Read-write access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Admin Viewer( Admin Read access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Asset Security Marks Writer( Write access to asset security marks Lowest-level resources where you can grant this role:
|
|
Security Center Assets Discovery Runner( Run asset discovery access to assets Lowest-level resources where you can grant this role:
|
|
Security Center Assets Viewer( Read access to assets Lowest-level resources where you can grant this role:
|
|
Security Center Attack Paths Reader( Read access to security center attack paths |
|
Attack Surface Management Scanner Service Agent( Gives Mandiant Attack Surface Management the ability to scan Cloud Platform resources. |
|
Security Center Automation Service Agent( Security Center automation service agent can configure GCP resources to enable security scanning. |
|
Security Center BigQuery Exports Editor( Read-Write access to security center BigQuery Exports |
|
Security Center BigQuery Exports Viewer( Read access to security center BigQuery Exports |
|
Security Center Compliance Reports Viewer Beta( Read access to security center compliance reports |
|
Security Center Compliance Snapshots Viewer Beta( Read access to security center compliance snapshots |
|
Security Center Control Service Agent( Security Center Control service agent can monitor and configure GCP resources and import security findings. |
|
Security Center External Systems Editor( Write access to security center external systems |
|
Security Center Finding Security Marks Writer( Write access to finding security marks Lowest-level resources where you can grant this role:
|
|
Security Center Findings Bulk Mute Editor( Ability to mute findings in bulk |
|
Security Center Findings Editor( Read-write access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Mute Setter( Set mute access to findings |
|
Security Center Findings State Setter( Set state access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Viewer( Read access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Workflow State Setter Beta( Set workflow state access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Integration Executor Service Agent( Gives Security Center access to execute Integrations. |
|
Security Center Issues Editor( Write access to security center issues |
|
Security Center Issues Viewer( Read access to security center issues |
|
Security Center Mute Configurations Editor( Read-Write access to security center mute configurations |
|
Security Center Mute Configurations Viewer( Read access to security center mute configurations |
|
Security Center Notification Configurations Editor( Write access to notification configurations Lowest-level resources where you can grant this role:
|
|
Security Center Notification Configurations Viewer( Read access to notification configurations Lowest-level resources where you can grant this role:
|
|
Security Center Notification Service Agent( Security Center service agent can publish notifications to Pub/Sub topics. |
|
Security Center Resource Value Configurations Editor( Read-Write access to security center resource value configurations |
|
Security Center Resource Value Configurations Viewer( Read access to security center resource value configurations |
|
Security Health Analytics Custom Modules Tester( Test access to Security Health Analytics Custom Modules |
|
Security Health Analytics Service Agent( Security Health Analytics service agent can scan GCP resource metadata to find security vulnerabilities. |
|
Google Cloud Security Response Service Agent( Gives Playbook Runner permissions to execute all Google authored Playbooks. This role will keep evolving as we add more playbooks |
|
Security Center Service Agent( Security Center service agent can scan GCP resources and import security scans. |
|
Security Center Settings Admin( Admin(super user) access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Settings Editor( Read-Write access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Settings Viewer( Read access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Simulations Reader( Read access to security center simulations |
|
Security Center Sources Admin( Admin access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Sources Editor( Read-write access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Sources Viewer( Read access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Valued Resources Reader( Read access to security center valued resources |
|
Roles de la API Security Command Center Management
Los siguientes roles de gestión de identidades y accesos están disponibles para la API Security Command Center Management. Puedes asignar estos roles a nivel de organización, carpeta o proyecto.
| Role | Permissions |
|---|---|
Security Center Management Admin( Full access to manage Cloud Security Command Center services and custom modules configuration. |
|
Security Center Management Custom Modules Editor( Full access to manage Cloud Security Command Center custom modules. |
|
Security Center Management Custom Modules Viewer( Readonly access to Cloud Security Command Center custom modules. |
|
Security Center Management Custom ETD Modules Editor( Full access to manage Cloud Security Command Center ETD custom modules. |
|
Security Center Management ETD Custom Modules Viewer( Readonly access to Cloud Security Command Center ETD custom modules. |
|
Security Center Management Services Editor( Full access to manage Cloud Security Command Center services configuration. |
|
Security Center Management Services Viewer( Readonly access to Cloud Security Command Center services configuration. |
|
Security Center Management Settings Editor( Full access to manage Cloud Security Command Center settings |
|
Security Center Management Settings Viewer( Readonly access to Cloud Security Command Center settings |
|
Security Center Management SHA Custom Modules Editor( Full access to manage Cloud Security Command Center SHA custom modules. |
|
Security Center Management SHA Custom Modules Viewer( Readonly access to Cloud Security Command Center SHA custom modules. |
|
Security Center Management Viewer( Readonly access to Cloud Security Command Center services and custom modules configuration. |
|
Roles de gestión de identidades y accesos en Administrador de Cumplimiento
A continuación, se muestra una lista de los roles y permisos de gestión de identidades y accesos disponibles para el servicio Gestor de Cumplimiento. Puedes asignar estos roles a nivel de organización, carpeta o proyecto.
| Role | Permissions |
|---|---|
Compliance Manager Admin Beta( Full access to Compliance Manager resources. |
|
Cloud Security Compliance Service Agent( Gives CSC Service Account access to consumer resources. |
|
Compliance Manager Viewer Beta( Readonly access to Compliance Manager resources. |
|
Roles de la API Security Posture
Los siguientes roles de gestión de identidades y accesos están disponibles para la API Security Posture y su función de validación de infraestructura como código (IaC). Salvo que se indique lo contrario, puedes asignar estos roles a nivel de organización, carpeta o proyecto.
| Role | Permissions |
|---|---|
Security Posture Admin( Full access to Security Posture service APIs. Lowest-level resources where you can grant this role:
|
|
Security Posture Deployer( Mutate and read permissions to the Posture Deployment resource. |
|
Security Posture Deployments Viewer( Read only access to the Posture Deployment resource. |
|
Security Posture Resource Editor( Mutate and read permissions to the Posture resource. |
|
Security Posture Resource Viewer( Read only access to the Posture resource. |
|
Security Posture Shift-Left Validator( Create access for Reports, e.g. IaC Validation Report. |
|
Security Posture Viewer( Read only access to all the SecurityPosture Service resources. |
|
Roles de gestión de identidades y accesos en la gestión de la posición de seguridad de los datos
A continuación, se muestra una lista de los roles y permisos de gestión de identidades y accesos disponibles para el servicio de gestión de la postura de seguridad de datos (DSPM). Puedes asignar estos roles a nivel de organización, carpeta o proyecto.
| Role | Permissions |
|---|---|
Data Security Posture Management Admin Beta( Full access to Data Security Posture Management resources. |
|
DSPM Service Agent( Gives DSPM Service Account access to consumer resources. |
|
Data Security Posture Management Viewer Beta( Readonly access to Data Security Posture Management resources. |
|
Roles de agente de servicio
Un agente de servicio permite que un servicio acceda a tus recursos.
Después de activar Security Command Center, se crearán dos agentes de servicio:
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com.Este agente de servicio requiere el rol de gestión de identidades y accesos
roles/securitycenter.serviceAgent.service-org-ORGANIZATION_ID@gcp-sa-ktd-hpsa.iam.gserviceaccount.com.Este agente de servicio requiere el rol de gestión de identidades y accesos
roles/containerthreatdetection.serviceAgent.
Durante el proceso de activación de Security Command Center, se te pedirá que concedas uno o varios roles de gestión de identidades y accesos obligatorios a cada agente de servicio. Es necesario asignar los roles a cada agente de servicio para que Security Command Center funcione.
Para ver los permisos de cada rol, consulta lo siguiente:
Para asignar los roles, debes tener el rol roles/resourcemanager.organizationAdmin.
Si no tienes el rol roles/resourcemanager.organizationAdmin, el administrador de tu organización puede conceder los roles a los agentes de servicio con el siguiente comando de la CLI de gcloud:
gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
--member="SERVICE_AGENT_NAME" \
--role="IAM_ROLE"
Haz los cambios siguientes:
ORGANIZATION_ID: el ID de tu organizaciónSERVICE_AGENT_NAME: el nombre del agente de servicio al que vas a asignar el rol. El nombre es uno de los siguientes nombres de agente de servicio:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.comservice-org-ORGANIZATION_ID@gcp-sa-ktd-hpsa.iam.gserviceaccount.com
IAM_ROLE: el siguiente rol obligatorio que corresponde al agente de servicio especificado:roles/securitycenter.serviceAgentroles/containerthreatdetection.serviceAgent
Para obtener más información sobre los roles de gestión de identidades y accesos, consulta el artículo sobre la descripción de roles.
Roles de Web Security Scanner
Los siguientes roles de gestión de identidades y accesos están disponibles para Web Security Scanner. Puedes asignar estos roles a nivel de proyecto.
| Role | Permissions |
|---|---|
Web Security Scanner Editor( Full access to all Web Security Scanner resources Lowest-level resources where you can grant this role:
|
|
Web Security Scanner Runner( Read access to Scan and ScanRun, plus the ability to start scans Lowest-level resources where you can grant this role:
|
|
Web Security Scanner Viewer( Read access to all Web Security Scanner resources Lowest-level resources where you can grant this role:
|
|
Cloud Web Security Scanner Service Agent( Gives the Cloud Web Security Scanner service account access to compute engine details and app engine details. |
|