Dienst zum Testen sensibler Aktionen

Prüfen Sie, ob der Dienst für sensible Aktionen funktioniert. Dazu wird absichtlich der Persistence: project SSH key added-Detektor ausgelöst und nach Ergebnissen gesucht.

Weitere Informationen zum Dienst „Sensitive Actions“ finden Sie in der Übersicht zum Dienst „Sensitive Actions“.

Hinweise

Für diese Anleitung benötigen Sie eine IAM-Rolle (Identity and Access Management) mit den Berechtigungen compute.projects.setCommonInstanceMetadata und iam.serviceAccounts.actAs in dem Projekt, in dem Sie den Test durchführen, z. B. die Rolle „Compute Admin“ (roles/compute.admin).

Dienst zum Testen sensibler Aktionen

Fügen Sie zum Testen des Dienstes „Sensitive Actions“ einen SSH-Schlüssel auf Projektebene hinzu, der möglicherweise Zugriff auf alle Instanzen im Projekt über SSH-Schlüssel gewährt.

Dieser Detektor generiert kein Ergebnis, wenn für das Projekt bereits ein SSH-Schlüssel auf Projektebene festgelegt ist. Wählen Sie ein Projekt aus, das noch keine SSH-Schlüssel auf Projektebene enthält.

Schritt 1: Detektor für den Dienst für sensible Aktionen auslösen

Sie benötigen ein Testnutzerkonto, um den Detektor auszulösen. Sie können ein Testnutzerkonto mit einer gmail.com-E-Mail-Adresse erstellen oder ein vorhandenes Nutzerkonto in Ihrer Organisation verwenden. Sie fügen Ihrer Organisation das Testnutzerkonto hinzu und gewähren ihm übermäßig viele Berechtigungen.

Weitere Informationen zum Hinzufügen des SSH-Schlüssels auf Projektebene finden Sie unter SSH-Schlüssel zu Projektmetadaten hinzufügen. Eine Anleitung zum Generieren eines SSH-Schlüssels finden Sie unter SSH-Schlüssel erstellen.

  1. Rufen Sie in der Google Cloud Console die Seite Compute Engine-Metadaten auf.

    Zur Seite "Metadaten"

  2. Klicke auf den Tab SSH-Schlüssel.

  3. Prüfen Sie, ob derzeit keine SSH-Schlüssel für das Projekt festgelegt sind. Wenn SSH-Schlüssel festgelegt sind, werden die vorhandenen Schlüssel in einer Tabelle angezeigt und der Test funktioniert nicht. Wählen Sie ein Projekt aus, das noch keine SSH-Schlüssel auf Projektebene für den Test enthält.

  4. Klicken Sie auf SSH-Schlüssel hinzufügen.

  5. Geben Sie einen öffentlichen Schlüssel in das Textfeld ein. Weitere Informationen zum Generieren eines SSH-Schlüssels finden Sie unter SSH-Schlüssel erstellen.

  6. Klicken Sie auf Speichern.

Prüfen Sie als Nächstes, ob der Detektor Persistence: project SSH key added Ergebnisse geschrieben hat.

Schritt 2: Ergebnis in Security Command Center ansehen

So prüfen Sie die Ergebnisse des Dienstes „Sensitive Actions“ in der Google Cloud Console:

  1. Rufen Sie in der Google Cloud Console die Seite Ergebnisse auf.

    Zu Ergebnissen

  2. Scrollen Sie unter Schnellfilter nach unten zu Anzeigename der Quelle und klicken Sie auf Dienst für sensible Aktionen. Unter Abfrageergebnisse finden werden nur Ergebnisse angezeigt, die vom Sensitive Actions Service generiert wurden.

  3. Klicken Sie unter Kategorie auf den Namen des Ergebnisses, um die Details eines bestimmten Ergebnisses anzusehen. Der Bereich mit den Ergebnisdetails wird geöffnet.

    • Wenn Sie eine Zusammenfassung der Ergebnisdetails aufrufen möchten (Standardansicht), klicken Sie unter dem Namen des Ergebnisses auf Zusammenfassung.
    • Wenn Sie alle Details des Ergebnisses ansehen möchten, klicken Sie unter dem Namen des Ergebnisses auf JSON.

Schritt 3: Ergebnis in Cloud Logging anzeigen

Sie können sich vertrauliche Aktionslogeinträge mithilfe von Cloud Logging ansehen.

  1. Rufen Sie in der Google Cloud Console den Log-Explorer auf.

    Zum Log-Explorer

  2. Wechseln Sie bei Bedarf mithilfe der Organisationsauswahl oben auf der Seite in die Organisationsansicht.

  3. Klicken Sie auf den Tab Query Builder.

  4. Wählen Sie in der Drop-down-Liste Ressource die Option sensitiveaction.googleapis.com/Location" aus.

  5. Klicken Sie auf Abfrage ausführen. Die Tabelle Abfrageergebnisse wird mit den ausgewählten Logs aktualisiert.

  6. Zum Aufrufen eines Logs klicken Sie auf eine Tabellenzeile und dann auf Verschachtelte Felder erweitern.

Bereinigen

Wenn Sie mit dem Testen fertig sind, entfernen Sie den SSH-Schlüssel auf Projektebene.

  1. Rufen Sie in der Google Cloud Console die Seite Compute Engine-Metadaten auf.

    Zur Seite "Metadaten"

  2. Klicken Sie auf Bearbeiten.

  3. Klicken Sie neben dem SSH-Schlüssel auf Element löschen.

  4. Klicken Sie auf Speichern.

Nächste Schritte