En esta página, se describe cómo usar Identity and Access Management (IAM) para controlar el acceso a los recursos en una activación a nivel de proyecto de Security Command Center. Consulta esta página solo si Security Command Center no está activado para tu organización.
Consulta IAM para activaciones a nivel de la organización (en lugar de esta página) si se aplica alguna de las siguientes condiciones:
- Security Command Center se activa a nivel de la organización y no a nivel del proyecto.
- La versión estándar de Security Command Center ya está activada a nivel de la organización. Además, tienes la versión Premium de Security Command Center activada en uno o más proyectos.
Security Command Center usa funciones de IAM para permitirte controlar quién puede hacer qué con los elementos, los hallazgos y las fuentes de seguridad del entorno de Security Command Center. Las funciones se otorgan a personas y aplicaciones, y cada una proporciona permisos específicos.
Permisos
Para configurar Security Command Center o cambiar la configuración de tu proyecto, necesitas los siguientes roles:
- Administrador del proyecto de IAM (
roles/resourcemanager.projectIamAdmin) - Administrador del centro de seguridad (
roles/securitycenter.admin)
Si un usuario no necesita permisos de edición, considera otorgarle roles de visualizador.
Para ver todos los recursos y resultados en Security Command Center, los usuarios necesitan el rol Visualizador administrador de Security Center (roles/securitycenter.adminViewer). Los usuarios que también necesitan ver la configuración deben tener el rol de Visualizador de configuración del centro de seguridad (roles/securitycenter.settingsViewer).
Aunque puedes establecer todas estas funciones en cualquier nivel de la jerarquía de recursos, te recomendamos que las configures a nivel de proyecto. Esta práctica concuerda con el principio de privilegio mínimo.
Si deseas obtener instrucciones para administrar funciones y permisos, consulta Administra accesos a proyectos, carpetas y organizaciones.
Acceso heredado a las activaciones a nivel de proyecto de Security Command Center
Un proyecto hereda cualquier vinculación de función que se configure a nivel de las carpetas y la organización que contienen ese proyecto. Por ejemplo, si una principal tiene el
rol de Editor de hallazgos del centro de seguridad (roles/securitycenter.findingsEditor) a
nivel de la organización, esa principal tiene el mismo rol a nivel de proyecto.
Esa principal puede ver y editar los resultados de cualquiera de los proyectos de la organización en los que Security Command Center esté activo.
En la siguiente figura, se ilustra una jerarquía de recursos de Security Command Center con funciones otorgadas a nivel de la organización.
Para ver una lista de las principales que tienen acceso a tu proyecto, incluidas las que tienen permisos heredados, consulta Ver el acceso actual.
Funciones de IAM en Security Command Center
A continuación, se muestra una lista de las funciones de IAM disponibles para Security Command Center y los permisos incluidos en ellas. Security Command Center admite la asignación de estas funciones a nivel de organización, carpeta o proyecto.
| Role | Permissions |
|---|---|
Security Center Admin( Admin(super user) access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Admin Editor( Admin Read-write access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Admin Viewer( Admin Read access to security center Lowest-level resources where you can grant this role:
|
|
Security Center Asset Security Marks Writer( Write access to asset security marks Lowest-level resources where you can grant this role:
|
|
Security Center Assets Discovery Runner( Run asset discovery access to assets Lowest-level resources where you can grant this role:
|
|
Security Center Assets Viewer( Read access to assets Lowest-level resources where you can grant this role:
|
|
Security Center Attack Paths Reader( Read access to security center attack paths |
|
Security Center BigQuery Exports Editor( Read-Write access to security center BigQuery Exports |
|
Security Center BigQuery Exports Viewer( Read access to security center BigQuery Exports |
|
Security Center Compliance Snapshots Viewer Beta( Read access to security center compliance snapshots |
|
Security Center External Systems Editor( Write access to security center external systems |
|
Security Center Finding Security Marks Writer( Write access to finding security marks Lowest-level resources where you can grant this role:
|
|
Security Center Findings Bulk Mute Editor( Ability to mute findings in bulk |
|
Security Center Findings Editor( Read-write access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Mute Setter( Set mute access to findings |
|
Security Center Findings State Setter( Set state access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Viewer( Read access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Findings Workflow State Setter Beta( Set workflow state access to findings Lowest-level resources where you can grant this role:
|
|
Security Center Mute Configurations Editor( Read-Write access to security center mute configurations |
|
Security Center Mute Configurations Viewer( Read access to security center mute configurations |
|
Security Center Notification Configurations Editor( Write access to notification configurations Lowest-level resources where you can grant this role:
|
|
Security Center Notification Configurations Viewer( Read access to notification configurations Lowest-level resources where you can grant this role:
|
|
Security Center Resource Value Configurations Editor( Read-Write access to security center resource value configurations |
|
Security Center Resource Value Configurations Viewer( Read access to security center resource value configurations |
|
Security Health Analytics Custom Modules Tester( Test access to Security Health Analytics Custom Modules |
|
Security Center Settings Admin( Admin(super user) access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Settings Editor( Read-Write access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Settings Viewer( Read access to security center settings Lowest-level resources where you can grant this role:
|
|
Security Center Simulations Reader( Read access to security center simulations |
|
Security Center Sources Admin( Admin access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Sources Editor( Read-write access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Sources Viewer( Read access to sources Lowest-level resources where you can grant this role:
|
|
Security Center Valued Resources Reader( Read access to security center valued resources |
|
Funciones del Agente de servicio
Un agente de servicio permite que un servicio acceda a tus recursos.
Después de activar Security Command Center, se crean dos agentes de servicio, que son un tipo de cuenta de servicio, para ti:
service-project-PROJECT_NUMBER@security-center-api.iam.gserviceaccount.com.Este agente de servicio requiere la función de IAM
securitycenter.serviceAgent.service-project-PROJECT_NUMBER@gcp-sa-ktd-hpsa.iam.gserviceaccount.com.Este agente de servicio requiere la función de IAM
roles/containerthreatdetection.serviceAgent.
Para que Security Command Center funcione, los agentes de servicio deben tener los roles de IAM necesarios. Se te solicitará que otorgues las funciones durante el proceso de activación de Security Command Center.
Para ver los permisos de cada función, consulta lo siguiente:
- Agente de servicio del centro de seguridad
- Agente de servicio de detección de amenazas a contenedores
Para otorgar los roles, debes tener la función roles/resourcemanager.projectIamAdmin.
Si no tienes el rol roles/resourcemanager.organizationAdmin,
el administrador de tu organización
puede otorgar los roles a los agentes de servicio por ti
con el siguiente comando de gcloud CLI:
gcloud organizations add-iam-policy-binding PROJECT_ID \
--member="SERVICE_ACCOUNT_NAME" \
--role="IAM_ROLE"
Reemplaza lo siguiente:
PROJECT_ID: Es el ID del proyecto.SERVICE_AGENT_NAME: Cualquiera de los siguientes nombres de agente de servicio:service-project-PROJECT_NUMBER@security-center-api.iam.gserviceaccount.comservice-project-PROJECT_NUMBER@gcp-sa-ktd-hpsa.iam.gserviceaccount.com
IAM_ROLE: Es la siguiente función obligatoria que corresponde al agente de servicio especificado:roles/securitycenter.serviceAgentroles/containerthreatdetection.serviceAgent
Para encontrar el ID y el número de tu proyecto, consulta Cómo identificar proyectos.
Para obtener más información sobre las funciones de IAM, consulta Comprende las funciones.
Web Security Scanner
Las funciones de IAM prescriben cómo puedes usar Web Security Scanner. En las tablas siguientes, se incluye cada función de IAM disponible para Web Security Scanner y los métodos disponibles para ellos. Otorga estas funciones a nivel de proyecto. Para dar a los usuarios la capacidad de crear y administrar análisis de seguridad, puedes agregar usuarios a tu proyecto y otorgarles permisos mediante funciones.
Web Security Scanner admite funciones básicas y funciones predefinidas que brindan un acceso más detallado a los recursos de Web Security Scanner.
Funciones de IAM básicas
A continuación, se describen los permisos de Web Security Scanner que otorgan las funciones básicas.
| Rol | Descripción |
|---|---|
| Propietario | Acceso completo a todos los recursos de Web Security Scanner |
| Editor | Acceso completo a todos los recursos de Web Security Scanner |
| Lector | Sin acceso a Web Security Scanner |
Funciones predefinidas de IAM
A continuación, se describen los permisos de Web Security Scanner que otorgan las funciones de Web Security Scanner.
| Role | Permissions |
|---|---|
Web Security Scanner Editor( Full access to all Web Security Scanner resources Lowest-level resources where you can grant this role:
|
|
Web Security Scanner Runner( Read access to Scan and ScanRun, plus the ability to start scans Lowest-level resources where you can grant this role:
|
|
Web Security Scanner Viewer( Read access to all Web Security Scanner resources Lowest-level resources where you can grant this role:
|
|
Para obtener más información sobre las funciones de IAM, consulta Comprende las funciones.