使用 Terraform 佈建 Security Command Center 資源

HashiCorp Terraform 是一種基礎架構即程式碼 (IaC) 工具，可讓您佈建及管理雲端基礎架構。Terraform 提供稱為「供應商」的外掛程式，可讓您與雲端服務供應商和其他 API 互動。您可以使用 Terraform provider for Google Cloud 佈建及管理 Google Cloud 資源，包括 Security Command Center。

本頁面將介紹如何搭配使用 Terraform 和 Security Command Center，包括 Terraform 的運作方式簡介，以及一些有助於開始搭配使用 Terraform 和 Google Cloud的資源。您也可以找到 Security Command Center 的 Terraform 參考文件連結、程式碼範例，以及使用 Terraform 佈建 Security Command Center 資源的指南。

如要瞭解如何開始使用 Terraform for Google Cloud，請參閱「安裝及設定 Terraform」或「Terraform for Google Cloud 快速入門」。

Terraform 的運作方式

Terraform 採用以設定為導向的宣告式語法，可用於描述要在 Google Cloud 專案中佈建的基礎架構。在一個或多個 Terraform 設定檔中撰寫這項設定後，您可以使用 Terraform CLI 將這項設定套用至 Security Command Center 資源。

以下步驟說明 Terraform 的運作方式：

1. 您可以在 Terraform 設定檔中說明要佈建的基礎架構。您不需要編寫程式碼，說明如何佈建基礎架構。Terraform 會為您佈建基礎架構。
2. 執行 terraform plan 指令，評估設定並產生執行計畫。您可以查看方案，並視需要進行變更。

3. 執行 terraform apply 指令，該指令會執行下列動作：

   1. 根據執行計畫，在背景呼叫對應的 Security Command Center API，佈建基礎架構。
   2. 這會建立 Terraform 狀態檔案，也就是將設定檔中的資源對應至實際基礎架構中資源的 JSON 檔案。Terraform 會使用這個檔案記錄基礎架構的最新狀態，並決定何時建立、更新及刪除資源。

   3. 執行 terraform apply 時，Terraform 會使用狀態檔案中的對應項目，比較現有基礎架構與程式碼，並視需要進行更新：

      • 如果設定檔中定義了資源物件，但狀態檔案中沒有，Terraform 就會建立該物件。
      • 如果狀態檔中存在資源物件，但設定與設定檔不同，Terraform 會更新資源，使其與設定檔相符。
      • 如果狀態檔案中的資源物件與設定檔相符，Terraform 就不會變更資源。

Security Command Center 的 Terraform 資源

資源是 Terraform 語言的基本元素。每個資源區塊都會說明一或多個基礎架構物件，例如虛擬網路或運算執行個體。

下表列出適用於 Security Command Center 的 Terraform 資源：

服務	Terraform 資源	資料來源
Security Command Center (SCC) 第 2 版 API	google_scc_v2_folder_mute_config google_scc_v2_folder_notification_config google_scc_v2_folder_scc_big_query_export google_scc_v2_organization_mute_config google_scc_v2_organization_notification_config google_scc_v2_organization_scc_big_query_export google_scc_v2_organization_scc_big_query_exports google_scc_v2_organization_source google_scc_v2_organization_source_iam google_scc_v2_project_mute_config google_scc_v2_project_notification_config google_scc_v2_project_scc_big_query_export	google_scc_v2_organization_source_iam_policy
Security Command Center (SCC) [v1 API]	google_scc_event_threat_detection_custom_module google_scc_folder_custom_module google_scc_folder_notification_config google_scc_folder_scc_big_query_export google_scc_mute_config google_scc_notification_config google_scc_organization_custom_module google_scc_organization_scc_big_query_export google_scc_project_custom_module google_scc_project_notification_config google_scc_project_scc_big_query_export google_scc_source google_scc_source_iam	google_scc_source_iam_policy
Security Command Center 管理 (SCC)	google_scc_management_folder_security_health_analytics_custom_module google_scc_management_organization_event_threat_detection_custom_module google_scc_management_organization_security_health_analytics_custom_module google_scc_management_project_security_health_analytics_custom_module
安全防護機制	google_securityposture_posture google_securityposture_posture_deployment
Cloud Security Scanner [Web Security Scanner]	google_security_scanner_scan_config

Security Command Center 的 Terraform 相關指南

下表列出 Security Command Center 的 Terraform 實用指南和教學課程：

指南	詳細資料
建立及管理 Event Threat Detection 的自訂模組	本指南說明如何管理 Event Threat Detection 的自訂模組。 自訂模組可根據您指定的參數偵測威脅。
啟用 Pub/Sub 發現項目通知	本指南說明如何將新發現和更新的 Security Command Center 發現項目通知傳送至 Pub/Sub 主題。
管理安全防護機制	本指南說明如何管理安全狀態，以及監控安全狀態以外的變更，以免發生漂移。
略過 Security Command Center 中的發現項目	本指南說明如何忽略發現項目，減少收到的 Security Command Center 發現項目量。
將發現項目串流至 BigQuery 進行分析	本指南說明如何將新的和更新的 Security Command Center 發現項目，串流至 BigQuery 資料集。
搭配 Security Health Analytics 使用自訂模組	本指南說明如何管理安全性狀態分析的自訂模組。 自訂模組可根據您指定的參數偵測威脅。

Security Command Center 的 Terraform 模組和藍圖

模組和藍圖可協助您自動佈建及管理大量資源。 Google Cloud 模組是一組可重複使用的 Terraform 設定檔，可建立 Terraform 資源的邏輯抽象概念。藍圖是可部署及重複使用的模組套件，也是實作及記錄特定解決方案的政策。

下表列出與 Security Command Center 相關的模組和藍圖：

模組或藍圖	詳細資料
iam	管理資源的多個 IAM 角色， Google Cloud
org-policy	管理 Google Cloud 機構政策

後續步驟

• Security Command Center 的 Terraform 程式碼範例
• Terraform on Google Cloud 說明文件
• Google Cloud HashiCorp 中的供應商說明文件
• 基礎架構即程式碼 Google Cloud