VM 脅威検出が VPC Service Controls の境界にアクセスできるようにする

このドキュメントでは、VPC Service Controls の境界内の VM を Virtual Machine Threat Detection でスキャンできるように、上り（内向き）ルールと下り（外向き）ルールを追加する方法について説明します。組織で VPC Service Controls を使用して、VM Threat Detection でスキャンするプロジェクトのサービスを制限している場合は、このタスクを実行します。VM Threat Detection の詳細については、VM Threat Detection の概要をご覧ください。

始める前に

Make sure that you have the following role or roles on the organization: Access Context Manager Editor (roles/accesscontextmanager.policyEditor).

Check for the roles

In the Google Cloud console, go to the IAM page.
Go to IAM
Select the organization.
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

Grant the roles

In the Google Cloud console, go to the IAM page.
[IAM] に移動
組織を選択します。
[ アクセスを許可] をクリックします。
[新しいプリンシパル] フィールドに、ユーザー ID を入力します。これは通常、Google アカウントのメールアドレスです。
[ロールを選択] リストでロールを選択します。
追加のロールを付与するには、 [別のロールを追加] をクリックして各ロールを追加します。
[保存] をクリックします。

下り（外向き）ルールと上り（内向き）ルールを作成する

VM Threat Detection が VPC Service Controls の境界内の VM をスキャンできるようにするには、これらの境界に必要な下り（外向き）ルールと上り（内向き）ルールを追加します。VM Threat Detection でスキャンする各境界に対して、次の操作を行います。

詳細については、VPC Service Controls ドキュメントのサービス境界の上り（内向き）ポリシーと下り（外向き）ポリシーの更新をご覧ください。

コンソール

Google Cloud コンソールで、[VPC Service Controls] ページに移動します。

[VPC Service Controls] に移動
組織またはプロジェクトを選択します。
組織を選択した場合は、[アクセスポリシーを選択] をクリックし、更新する境界に関連付けられているアクセスポリシーを選択します。
更新する境界の名前をクリックします。

変更する必要があるサービス境界を確認するには、ログで RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER 違反を示すエントリを確認します。これらのエントリで、servicePerimeterName フィールドを確認します。
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
[境界を編集] をクリックします。
[下り（外向き）ポリシー] をクリックします。
[下り（外向き）ルールを追加] をクリックします。
[送信元] セクションで、次の詳細を設定します。
1. [ID] で、[選択されている ID とグループ] を選択します。
2. [ID の追加] をクリックします。
3. セキュリティセンターサービスエージェントのメールアドレスを入力します。サービスエージェントのアドレスは次の形式です。
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  ORGANIZATION_ID は、実際の組織 ID に置き換えます。
4. サービスエージェントを選択するか、Enter キーを押して、[ID を追加] をクリックします。
[宛先] セクションで、次の詳細を設定します。
1. [プロジェクト] で、[すべてのプロジェクト] を選択します。
2. [オペレーションまたは IAM ロール] で、[オペレーションを選択] を選択します。
3. [オペレーションを追加] をクリックして、次のオペレーションを追加します。
  - compute.googleapis.com サービスを追加します。
    1. [メソッドを選択] をクリックします。
    2. DisksService.Insert メソッドを選択します。
    3. [選択したメソッドを追加] をクリックします。
[上り（内向き）ポリシー] をクリックします。
[上り（内向き）ルールを追加] をクリックします。
[送信元] セクションで、次の詳細を設定します。
1. [ID] で、[選択されている ID とグループ] を選択します。
2. [ID の追加] をクリックします。
3. セキュリティセンターサービスエージェントのメールアドレスを入力します。サービスエージェントのアドレスは次の形式です。
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  ORGANIZATION_ID は、実際の組織 ID に置き換えます。
4. サービスエージェントを選択するか、Enter キーを押して、[ID を追加] をクリックします。
5. [ソース] で [すべてのソース] を選択します。
[宛先] セクションで、次の詳細を設定します。
1. [プロジェクト] で、[すべてのプロジェクト] を選択します。
2. [オペレーションまたは IAM ロール] で、[オペレーションを選択] を選択します。
3. [オペレーションを追加] をクリックして、次のオペレーションを追加します。
  - compute.googleapis.com サービスを追加します。
    1. [メソッドを選択] をクリックします。
    2. 次のメソッドを選択します。
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. [選択したメソッドを追加] をクリックします。
[保存] をクリックします。

gcloud

割り当てプロジェクトがまだ設定されていない場合は、設定します。Access Context Manager API が有効になっているプロジェクトを選択します。
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
QUOTA_PROJECT_ID は、請求と割り当てに使用するプロジェクトの ID に置き換えます。

次の内容のファイルを egress-rule.yaml という名前で作成します。

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

ORGANIZATION_ID は、実際の組織 ID に置き換えます。

次の内容のファイルを ingress-rule.yaml という名前で作成します。

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'