激活 Security Command Center Enterprise 层级

Security Command Center Enterprise 层级提供安全增强功能，例如高级 安全运维、与其他 Google Cloud 产品（例如 Sensitive Data Protection 和 Assured OSS，多云端 支持和风险分析。有关企业版层级功能的说明， 请参阅 Security Command Center 概览。

您可以使用设置完成 Enterprise 层级的激活过程 指南。完成初始强制性任务后，您可以 完成额外任务，设置贵组织的可选功能 所需的资源。

有关定价和获取订阅的信息，请参阅 Security Command Center 价格。

如需了解如何在其他层级激活 Security Command Center，请参阅激活 为单个容器配置 组织。

准备工作

请先完成这些任务，然后再完成此页面上的其余任务。

创建组织

Security Command Center 要求组织资源与 网域。如果您尚未创建组织，请参阅 创建和管理组织。

设置权限

本部分列出了设置 Security Command Center 所需的 Identity and Access Management 角色 并介绍了如何授予这些权限。

1. 确保您拥有组织的以下一个或多个角色： Organization Admin, Cloud Asset Owner, Security Center Admin, Security Admin.

   检查角色

   1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
   2. 选择组织。

   3. 在主账号列中，找到您的电子邮件地址所在的行。

      如果您的电子邮件地址不在此列，则表示您没有任何角色。

   4. 在您的电子邮件地址所在的行对应的角色列中，检查角色列表是否包含所需的角色。

   授予角色

   1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
   2. 选择组织。
   3. 点击 授予访问权限。
   4. 在新的主账号字段中，输入您的电子邮件地址。
   5. 在选择角色列表中，选择一个角色。
   6. 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
   7. 点击 Save（保存）。

详细了解 Security Command Center 角色。

验证组织政策

如果您的组织政策设置为通过以下限制来限制身份： 网域， 请考虑以下事项：

• 您必须使用以下账号登录 Google Cloud 控制台： 在允许的网域中。
• 您的服务账号必须位于允许的网域中，或属于某个 群组。此要求允许您允许使用 @*.gserviceaccount.com 服务账号，用于在网域内访问资源 已启用“受限共享”。

如果您的组织政策设置为 限制资源用量 验证是否允许使用以下 API：

• chronicle.googleapis.com
• securitycenter.googleapis.com
• securitycentermanagement.googleapis.com

创建管理项目

Security Command Center Enterprise 需要一个项目，该项目称为 管理项目，以启用其安全操作 与 Mandiant 集成。

如果您 之前启用了 Google SecOps 您可以使用现有的管理项目。否则，请新建一个。 验证项目的角色和 API。

1. In the Google Cloud console, go to the project selector page.

   Go to project selector

2. Select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

3. 启用 Cloud Asset, Cloud Pub/Sub, Cloud Resource Manager, Compute Engine, Policy Analyzer, and Recommender API。

   启用 API

4. 确保您拥有项目的以下一个或多个角色： Service Usage Admin, Service Account Token Creator, Chronicle API Admin, Chronicle Service Admin, Chronicle SOAR Admin, Service Account Key Admin, and Service Account Admin.

   检查角色

   1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
   2. 选择项目。

   3. 在主账号列中，找到您的电子邮件地址所在的行。

      如果您的电子邮件地址不在此列，则表示您没有任何角色。

   4. 在您的电子邮件地址所在的行对应的角色列中，检查角色列表是否包含所需的角色。

   授予角色

   1. 在 Google Cloud 控制台中，前往 IAM 页面。

      转到 IAM
   2. 选择项目。
   3. 点击 授予访问权限。
   4. 在新的主账号字段中，输入您的电子邮件地址。
   5. 在选择角色列表中，选择一个角色。
   6. 如需授予其他角色，请点击 添加其他角色，然后添加其他各个角色。
   7. 点击 Save（保存）。

获取您的 Google Security Operations 访问代码

如果您已经有 Google SecOps 实例，则可以使用 在激活期间使用访问代码将 Security Command Center Enterprise 层级连接到 。请与 Google Cloud 销售人员联系，获取您的访问代码。

配置通知联系人

配置重要联系人，以便安全管理员 可以接收重要通知有关说明，请参阅管理联系人 通知。

首次激活 Security Command Center Enterprise 层级

1. 在 Google Cloud 控制台中，转到 Security Command Center 风险概览页面。

   进入 Security Command Center

2. 请确认您查看的是要为其启用 Security Command Center Enterprise 层级已启用。

3. 在 Security Command Center Enterprise 使用入门页面中，点击激活 Enterprise。此选项会自动创建服务账号 Security Command Center Enterprise 层级包含的所有服务的多个角色， 包括 Google Security Operations 和 Mandiant。要查看这些选项，请点击 查看服务账号和权限。

   如果您没有看到 Security Command Center Enterprise 使用入门 页面上，请与 Google Cloud 销售团队联系，验证您的 订阅内容使用权有效。

4. 选择管理项目，然后点击下一步。

5. 点击启用 API，然后点击下一步。

6. 完成下列操作之一：

   • 如果您启用了 Google SecOps 实例，请选择 是，连接到现有的 Chronicle 实例并 粘贴您的访问代码。
   • 如果您没有 Google SecOps，请选择否，创建 为我创建新的 Chronicle 实例）。请输入您的联系信息、公司 然后，选择要为哪个区域启用 Google SecOps。此区域仅用于 Google SecOps（而非其他 Security Command Center） 功能。

7. 点击 Activate（激活）。您将返回到风险概览页面，并且 配置状态。可能需要一些时间才能保障您的安全 运维功能准备就绪，发现结果可供使用。

您可以使用 Google Cloud 控制台中的设置指南来配置其他功能。

配置其他 Security Command Center 功能

Google Cloud 控制台中的设置指南包括六个步骤 配置建议。完成前两个步骤后 启用 Security Command Center。您可以在 完成组织。

1. 在 Google Cloud 控制台中，转到 Security Command Center 风险概览页面。

   转到“概览”页面

2. 依次转到 设置 > 层级详情。

3. 请确认您查看的是已激活 Security Command Center Enterprise 层级已启用。

4. 点击查看设置指南。

5. 如果您还使用 Amazon Web Services (AWS)，并希望 从 Security Command Center 连接到 AWS 以进行漏洞和风险评估，请点击第 3 步： 设置 Amazon Web Services (AWS) 集成。有关说明，请参阅 连接到 AWS 以进行漏洞检测和风险评估。

6. 要添加用户和群组以执行安全操作，请点击第 4 步： 设置用户和群组。有关说明，请参阅使用 IAM 控制对 SecOps 功能的访问权限。

7. 如需配置安全编排、自动化和响应 (SOAR)，请点击 第 5 步：配置集成。 您的使用场景取决于您的 Google Security Operations 实例的设置 可能已安装。如果尚未安装，请与您的账号联系 代表或 Google Cloud 销售人员。为了与 通知单系统，请参阅将 Security Command Center Enterprise 与 工单系统。

8. 将数据注入配置到安全信息和事件 管理 (SIEM) 中，点击第 6 步：配置日志注入。正在配置 需要数据注入才能启用精选检测等功能 以及云基础架构使用权 管理 （预览版）。有关说明，请参阅 连接到 AWS 以获取日志 提取。

9. 如需监控 Google Cloud 组织中的敏感数据，请点击 设置敏感数据保护。敏感数据发现费用 与 Security Command Center 分开设置，而不论您的服务层级如何。如果您 不会购买订阅来探索发现，您需要根据自己的 消耗量（扫描的字节数）。有关详情，请参阅发现 价格 Sensitive Data Protection 文档。有关说明，请参阅启用 敏感数据 发现。

10. 如需提高代码安全性，请点击 Set up code security（设置代码安全性）。对于 说明，请参阅 与 Assured OSS 集成，提高代码安全性。

后续步骤

• 了解如何使用 Security Command Center 发现结果。
• 了解 Google Cloud 安全来源。
• 使用 Google Security Operations 精选检测功能来调查威胁。