Autoriser VM Threat Detection à accéder aux périmètres VPC Service Controls

Ce document explique comment ajouter des règles d'entrée et de sortie pour autoriser Virtual Machine Threat Detection à analyser les VM dans vos périmètres VPC Service Controls. Effectuez cette tâche si votre organisation utilise VPC Service Controls pour restreindre les services dans les projets que vous souhaitez analyser avec la détection des menaces sur les VM. Pour en savoir plus sur VM Threat Detection, consultez la page Présentation de VM Threat Detection.

Avant de commencer

Make sure that you have the following role or roles on the organization: Access Context Manager Editor (roles/accesscontextmanager.policyEditor).

Check for the roles

  1. In the Google Cloud console, go to the IAM page.

    Go to IAM
  2. Select the organization.

  3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

  4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

Grant the roles

  1. In the Google Cloud console, go to the IAM page.

    Accéder à IAM
  2. Sélectionnez l'organisation.
  3. Cliquez sur Accorder l'accès.

  4. Dans le champ Nouveaux comptes principaux, saisissez votre identifiant utilisateur. Il s'agit généralement de l'adresse e-mail d'un compte Google.

  5. Dans la liste Sélectionner un rôle, sélectionnez un rôle.
  6. Pour attribuer des rôles supplémentaires, cliquez sur Ajouter un autre rôle et ajoutez chaque rôle supplémentaire.
  7. Cliquez sur Enregistrer.

    8. Créer les règles d'entrée et de sortie

    Pour autoriser VM Threat Detection à analyser les VM dans les périmètres VPC Service Controls, ajoutez les règles de sortie et d'entrée requises dans ces périmètres. Suivez cette procédure pour chaque périmètre que vous souhaitez analyser avec VM Threat Detection.

    Pour en savoir plus, consultez la section Modifier les règles d'entrée et de sortie d'un périmètre de service dans la documentation de VPC Service Controls.

    Console

    1. Dans Google Cloud Console, accédez à la page VPC Service Controls.

      Accéder à VPC Service Controls

    2. Sélectionnez votre organisation ou votre projet.

    3. Si vous avez sélectionné une organisation, cliquez sur Sélectionner une règle d'accès, puis sélectionnez la règle d'accès associée au périmètre que vous souhaitez mettre à jour.

    4. Cliquez sur le titre du périmètre que vous souhaitez mettre à jour.

    5. Cliquez sur Modifier le périmètre.

    6. Cliquez sur Règle de sortie.

    7. Cliquez sur Ajouter une règle.

    8. Dans la section Attributs "FROM" du client API, définissez les champs comme suit:

      1. Pour Identité, sélectionnez Sélectionner des identités et des groupes.
      2. Dans le champ Ajouter un utilisateur/compte de service, saisissez le nom de l'agent de service Security Center. Le nom de l'agent de service a le format suivant:
      service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com

      Remplacez ORGANIZATION_ID par votre ID d'organisation.

    9. Dans la section Attributs "TO" des services/ressources GCP, définissez les champs comme suit:

      1. Pour Projet, sélectionnez Tous les projets.
      2. Pour Services, sélectionnez Services sélectionnés, puis le service API Compute Engine.
      3. Dans Méthodes, sélectionnez Méthode sélectionnée, puis la méthode DisksService.Insert.

    10. Cliquez sur Règle d'entrée.

    11. Cliquez sur Ajouter une règle.

    12. Dans la section Attributs "FROM" du client API, définissez les champs comme suit:

      1. Pour Identité, sélectionnez Sélectionner des identités et des groupes.
      2. Dans Ajouter un utilisateur/compte de service, saisissez à nouveau le nom de l'agent de service Security Center.
      3. Pour Source, sélectionnez Toutes les sources.

    13. Dans la section Attributs "TO" des services/ressources GCP, définissez les champs comme suit:

      1. Pour Projet, sélectionnez Tous les projets.
      2. Pour Services, sélectionnez Services sélectionnés, puis le service API Compute Engine.

      3. Dans Méthodes, sélectionnez Méthode sélectionnée, puis sélectionnez les méthodes suivantes:

        • DisksService.Insert
        • InstancesService.AggregatedList
        • InstancesService.List

    14. Cliquez sur Enregistrer.

    gcloud

    1. Si un projet de quota n'est pas déjà défini, définissez-le. Choisissez un projet pour lequel l'API Access Context Manager est activée.

      gcloud config set billing/quota_project QUOTA_PROJECT_ID

      Remplacez QUOTA_PROJECT_ID par l'ID du projet que vous souhaitez utiliser pour la facturation et le quota.

    2. Créez un fichier nommé egress-rule.yaml avec le contenu suivant :

      - egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - methodSelectors:
      - method: DisksService.Insert
      serviceName: compute.googleapis.com
    resources:
    - '*'

      Remplacez ORGANIZATION_ID par votre ID d'organisation.

    3. Créez un fichier nommé ingress-rule.yaml avec le contenu suivant :

      - ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
      serviceName: compute.googleapis.com
    resources:
    - '*'

    4. Ajoutez la règle de sortie au périmètre:

      gcloud access-context-manager perimeters update PERIMETER_NAME --set-egress-policies=EGRESS_RULE_FILENAME

      Remplacez les éléments suivants :

      • PERIMETER_NAME: nom du périmètre (par exemple, accessPolicies/1234567890/servicePerimeters/example_perimeter)
      • EGRESS_RULE_FILENAME: nom du fichier contenant la règle de sortie

    5. Ajoutez la règle d'entrée au périmètre:

      gcloud access-context-manager perimeters update PERIMETER_NAME --set-ingress-policies=INGRESS_RULE_FILENAME

      Remplacez les éléments suivants :

      • PERIMETER_NAME: nom du périmètre (par exemple, accessPolicies/1234567890/servicePerimeters/example_perimeter)
      • INGRESS_RULE_FILENAME: nom du fichier contenant la règle d'entrée

    Étape suivante