您可以使用 Google Cloud 控制台中的设置指南完成企业版层级的激活流程。完成初始的强制性任务后，您可以完成其他任务，以设置贵组织所需的可选功能。
如需了解价格和订阅方式，请参阅 Security Command Center 价格。
如需了解如何在其他层级激活 Security Command Center，请参阅为组织激活 Security Command Center 标准层级或高级层级。
准备工作
在首次激活 Security Command Center 之前，请完成以下操作：
- 创建组织
- 创建管理项目
- 配置权限和 API
- 配置通知联系人
创建组织
Security Command Center 需要与网域关联的组织资源。如果您尚未创建组织，请参阅创建和管理组织。
创建管理项目
Security Command Center Enterprise 需要一个项目（称为管理项目），才能启用其安全运营和 Mandiant 集成。我们建议您将此项目专用于 Security Command Center。
如果您之前启用了 Google SecOps，我们建议您使用已绑定到 Google SecOps 的现有管理项目。否则，请创建一个新账号。
详细了解如何创建和管理项目。
配置权限和 API
本部分列出了设置 Security Command Center 所需的 Identity and Access Management 角色，并介绍了如何在组织和管理项目中授予这些角色。还介绍了如何启用 Security Command Center Enterprise 层级所需的所有 API。详细了解 Security Command Center 角色和 Google Cloud API。
配置组织的权限
Make sure that you have the following role or roles on the organization:
- Organization Administrator (
roles/resourcemanager.organizationAdmin) - Cloud Asset Owner (
roles/cloudasset.owner) - Security Center Admin (
roles/securitycenter.admin) - Security Admin (
roles/iam.securityAdmin)
Check for the roles
-
In the Google Cloud console, go to the IAM page.
Go to IAM - Select the organization.
-
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
- For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.
Grant the roles
-
In the Google Cloud console, go to the IAM page.
前往 IAM - 选择组织。
- 点击 授予访问权限。
-
在新的主账号字段中，输入您的用户标识符。 这通常是 Google 账号的电子邮件地址。
- 在选择角色列表中，选择一个角色。
- 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
- 点击保存。
- 在 Google Cloud 控制台中，确认您正在查看要为其激活 Security Command Center Enterprise 层级的组织。
- 选择您之前创建的项目的管理服务。
-
Make sure that you have the following role or roles on the project:
- Service Usage Admin (
roles/serviceusage.serviceUsageAdmin) - Service Account Token Creator (
roles/iam.serviceAccountTokenCreator) - Chronicle API Admin (
roles/chronicle.admin) - Chronicle Service Admin (
roles/chroniclesm.admin) - Chronicle SOAR Admin (
roles/chronicle.soarAdmin) - Service Account Key Admin (
roles/iam.serviceAccountKeyAdmin) - Service Account Admin (
roles/iam.serviceAccountAdmin)
Check for the roles
-
In the Google Cloud console, go to the IAM page.
Go to IAM - Select the project.
-
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
- For all rows that specify or include you, check the Role colunn to see whether the list of roles includes the required roles.
Grant the roles
-
In the Google Cloud console, go to the IAM page.
前往 IAM - 选择项目。
- 点击 授予访问权限。
-
在新的主账号字段中，输入您的用户标识符。 这通常是 Google 账号的电子邮件地址。
- 在选择角色列表中，选择一个角色。
- 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
- 点击保存。
- Service Usage Admin (
-
Enable the Cloud Asset, Cloud Pub/Sub, Cloud Resource Manager, Compute Engine, Policy Analyzer, and Recommender APIs.
在 Google Cloud 控制台中，前往 Security Command Center 的风险概览页面。
确认您正在查看要为其激活 Security Command Center Enterprise 层级的组织。
在 Security Command Center 页面上，点击获取 Security Command Center。
在 Security Command Center Enterprise 使用入门页面上，点击激活企业版。
这会自动配置 Security Command Center 企业版层级附带的服务账号、权限和服务，例如 Google 安全运营中心和 Mandiant。
- 如需查看将要创建的服务账号，请点击查看服务账号和权限。
- 如需查看将要启用的 API，请点击查看 Security Command Center Enterprise API。
- 如需查看条款及条件，请点击 Security Command Center Enterprise 条款及条件。
如果您没有看到 Security Command Center Enterprise 使用入门页面，请与 Google Cloud 销售团队联系，确认您的订阅使用权是否有效。
下一个页面会显示不同的视图，具体取决于您的环境。
在下一页上，执行以下操作之一。
如果您的组织已附加到 Google Security Operations 实例，您会看到类似于该组织已有一个 Google Security Operations 实例的消息。继续执行第 6 步。
如果贵组织未附加到 Google Security Operations 实例，请提供其他设置详细信息。系统会预配一个新的 Google Security Operations 实例。
指定贵公司的联系信息。
- 技术支持联系人：输入个人电子邮件地址或群组电子邮件地址。
- 公司名称：输入贵公司的名称。
选择将预配 Google 安全运营的位置类型。
- 区域：选择单个区域。
- 多区域：选择多区域位置。
此位置信息仅用于 Google SecOps，而不用于其他 Security Command Center 功能。如需查看受支持的区域和多区域的列表，请参阅 SecOps 服务位置页面。
点击下一步，然后选择一个管理项目。您在上一步中创建了管理项目。
点击 Activate（激活）。系统会显示设置指南页面和配置状态。您的安全运营功能可能需要一段时间才能准备就绪，并且您才能看到相关发现。
在 Google Cloud 控制台中，前往 Security Command Center 的风险概览页面。
依次前往 设置 > 层级详情。
确认您正在查看已激活 Security Command Center Enterprise 层级的组织。
点击查看设置指南。
如果您还使用 Amazon Web Services (AWS)，并且希望将 Security Command Center 与 AWS 相关联以进行漏洞和风险评估，请点击第 3 步：设置 Amazon Web Services (AWS) 集成。如需查看相关说明，请参阅连接到 AWS 以进行漏洞检测和风险评估。
如需添加用户和群组以执行安全操作，请点击第 4 步：设置用户和群组。如需了解相关说明，请参阅使用 IAM 控制对 SecOps 功能的访问权限。
如需配置安全编排、自动化和响应 (SOAR)，请点击第 5 步：配置集成。根据 Google Security Operations 实例的设置，您的用例可能已安装。如果未安装该插件，请与您的客户代表或 Google Cloud 销售团队联系。如需与工单系统集成，请参阅将 Security Command Center Enterprise 与工单系统集成。
如需配置将数据注入到安全信息和事件管理 (SIEM) 解决方案，请点击第 6 步：配置日志提取。您必须配置数据注入，才能启用精选检测和云基础架构权限管理等功能。如需了解相关说明，请参阅连接到 AWS 以进行日志提取。
如需监控 Google Cloud 组织中的敏感数据，请点击设置敏感数据保护。如需了解相关说明，请参阅启用敏感数据发现。
如需增强代码安全性，请点击设置代码安全性。如需了解相关说明，请参阅与 Assured OSS 集成以实现代码安全。
- 了解如何处理 Security Command Center 发现结果。
- 了解 Google Cloud 安全来源。
- 利用 Google Security Operations 精选的检测功能调查威胁。
在管理项目中配置权限并启用 API
配置通知联系人
配置重要联系人，以便您的安全管理员能够接收重要通知。如需了解相关说明，请参阅管理通知联系人。
激活 Security Command Center Enterprise 层级
在激活过程中，您可以连接到现有的 Google 安全运营标准版、企业版或企业 Plus 版环境。连接后，需要进行额外配置。请与您的客户支持团队联系，获取有关如何将 Google Security Operations 租户配置为与 Security Command Center 搭配使用的指南。
您可以使用 Google Cloud 控制台中的设置向导配置其他功能。
配置其他 Security Command Center 功能
Google Cloud 控制台中的设置向导包含 6 个步骤和其他配置建议。激活 Security Command Center 时，您会完成前两个步骤。您可以根据贵组织的要求，逐步完成剩余步骤和建议。