Permite que VM Threat Detection acceda a los perímetros de los Controles del servicio de VPC

En este documento, se describe cómo agregar reglas de entrada y salida para permitir que Virtual Machine Threat Detection analice las VMs en los perímetros de los Controles del servicio de VPC. Realiza esta tarea si tu organización usa Controles del servicio de VPC para restringir los servicios en los proyectos que deseas que VM Threat Detection analice. Para obtener más información sobre VM Threat Detection, consulta Descripción general de VM Threat Detection.

Antes de comenzar

Make sure that you have the following role or roles on the organization: Access Context Manager Editor (roles/accesscontextmanager.policyEditor).

Check for the roles

  1. In the Google Cloud console, go to the IAM page.

    Go to IAM
  2. Select the organization.

  3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

  4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

Grant the roles

  1. In the Google Cloud console, go to the IAM page.

    Ir a IAM
  2. Selecciona la organización.
  3. Haz clic en Grant access.

  4. En el campo Principales nuevas, ingresa tu identificador de usuario. Esta suele ser la dirección de correo electrónico de una Cuenta de Google.

  5. En la lista Seleccionar un rol, elige un rol.
  6. Para otorgar funciones adicionales, haz clic en Agregar otro rol y agrega cada rol adicional.
  7. Haz clic en Guardar.

    8. Crea las reglas de entrada y salida

    Para permitir que VM Threat Detection analice las VMs en los perímetros de los Controles del servicio de VPC, agrega las reglas de entrada y salida requeridas en esos perímetros. Realiza estos pasos para cada perímetro que desees que VM Threat Detection analice.

    Para obtener más información, consulta Cómo actualizar las políticas de entrada y salida de un perímetro de servicio en la documentación de Controles del servicio de VPC.

    Console

    1. En la consola de Google Cloud, ve a la página Controles del servicio de VPC.

      Ir a los Controles del servicio de VPC

    2. Selecciona tu organización o proyecto.

    3. Si seleccionaste una organización, haz clic en Seleccionar una política de acceso y elige la política de acceso asociada con el perímetro que deseas actualizar.

    4. Haz clic en el título del perímetro que deseas actualizar.

    5. Haz clic en Editar perímetro.

    6. Haz clic en Política de salida.

    7. Haz clic en Agregar regla.

    8. En la sección Atributos FROM del cliente de la API, configura los campos de la siguiente manera:

      1. En Identidad, selecciona Seleccionar identidades y grupos.
      2. En Agregar usuario o cuenta de servicio, ingresa el nombre del agente de servicio de Security Center. El nombre del agente de servicio tiene el siguiente formato:
      service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

      Reemplaza ORGANIZATION_ID por el ID de tu organización.

    9. En la sección HASTA atributos de los servicios o recursos de GCP, configura los campos de la siguiente manera:

      1. En Proyecto, selecciona Todos los proyectos.
      2. En Servicios, selecciona Servicios seleccionados y, luego, el servicio API de Compute Engine.
      3. En Métodos, selecciona Método seleccionado y, luego, selecciona el método DisksService.Insert.

    10. Haz clic en Política de entrada.

    11. Haz clic en Agregar regla.

    12. En la sección Atributos FROM del cliente de la API, configura los campos de la siguiente manera:

      1. En Identidad, selecciona Seleccionar identidades y grupos.
      2. En Agregar usuario o cuenta de servicio, vuelve a ingresar el nombre del agente de servicio de Security Center.
      3. En Fuente, selecciona Todas las fuentes.

    13. En la sección HASTA atributos de los servicios o recursos de GCP, configura los campos de la siguiente manera:

      1. En Proyecto, selecciona Todos los proyectos.
      2. En Servicios, selecciona Servicios seleccionados y, luego, el servicio API de Compute Engine.

      3. En Métodos, selecciona Método seleccionado y, luego, selecciona los siguientes métodos:

        • DisksService.Insert
        • InstancesService.AggregatedList
        • InstancesService.List

    14. Haz clic en Guardar.

    gcloud

    1. Si aún no se configuró un proyecto de cuota, configúralo. Elige un proyecto que tenga habilitada la API de Access Context Manager.

      gcloud config set billing/quota_project QUOTA_PROJECT_ID

      Reemplaza QUOTA_PROJECT_ID por el ID del proyecto que deseas usar para la facturación y la cuota.

    2. Crea un archivo llamado egress-rule.yaml con el siguiente contenido:

      - egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - methodSelectors:
      - method: DisksService.Insert
      serviceName: compute.googleapis.com
    resources:
    - '*'

      Reemplaza ORGANIZATION_ID por el ID de tu organización.

    3. Crea un archivo llamado ingress-rule.yaml con el siguiente contenido:

      - ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
      serviceName: compute.googleapis.com
    resources:
    - '*'

    4. Agrega la regla de salida al perímetro:

      gcloud access-context-manager perimeters update PERIMETER_NAME --set-egress-policies=EGRESS_RULE_FILENAME

      Reemplaza lo siguiente:

      • PERIMETER_NAME: Es el nombre del perímetro, por ejemplo, accessPolicies/1234567890/servicePerimeters/example_perimeter.
      • EGRESS_RULE_FILENAME: Es el nombre del archivo que contiene la regla de salida.

    5. Agrega la regla de entrada al perímetro:

      gcloud access-context-manager perimeters update PERIMETER_NAME --set-ingress-policies=INGRESS_RULE_FILENAME

      Reemplaza lo siguiente:

      • PERIMETER_NAME: Es el nombre del perímetro, por ejemplo, accessPolicies/1234567890/servicePerimeters/example_perimeter.
      • INGRESS_RULE_FILENAME: Es el nombre del archivo que contiene la regla de entrada.

    ¿Qué sigue?