本頁面由 Cloud Translation API 翻譯而成。

啟用 Security Command Center Enterprise 級別

Security Command Center Enterprise 級別簡介

Security Command Center Enterprise 級別提供多項安全性強化功能，包括：

使用 Google Security Operations 進行進階安全作業。
與其他 Google Cloud 產品整合，例如 Mandiant Attack Surface Management、Sensitive Data Protection 和 Assured OSS。
支援多雲端。
風險分析。

如要瞭解 Enterprise 級別的功能，請參閱「服務級別」。

您可以使用 Google Cloud 控制台中的設定指南，完成 Enterprise 方案的啟用程序。完成初始必要工作後，您可以完成其他工作，設定貴機構需要的選用功能。

如要瞭解價格和如何訂閱，請參閱「Security Command Center 定價」。

如要瞭解如何啟用其他層級的 Security Command Center，請參閱「為機構啟用 Security Command Center Standard 或 Premium 級別」。

事前準備

首次啟用 Security Command Center 前，請先完成下列操作：

規劃啟用程序
建立機構
建立管理專案
設定權限和 API
設定通知聯絡人

規劃啟用程序

本節說明啟用程序前需要準備的決策和資訊。

確認支援聯絡人

啟用新的 Google SecOps 執行個體時，您會提供公司名稱和聯絡窗口的電子郵件地址。找出貴機構的聯絡窗口。這項設定與「重要聯絡人」無關。

選擇 Google SecOps 設定

啟用時，請將 Security Command Center Enterprise 連線至 Google SecOps 執行個體。

您可以連線至現有執行個體。
您可以佈建並連線至新執行個體。即使您已有執行個體，還是可以佈建及連線至新的執行個體。

連線至現有執行個體

您無法將 Security Command Center Enterprise 連線至現有的 Google SecOps SIEM 獨立或 Google SecOps SOAR 獨立執行個體。如對 Google SecOps 執行個體類型有疑問，請洽詢 Google Cloud 業務代表。

選取現有的 Google SecOps 執行個體後，「連線至 SecOps 執行個體」頁面會提供執行個體的連結，方便您驗證所選項目。您必須具備該執行個體的存取權，才能驗證。您至少需要管理專案的 Chronicle API 有限資料存取權檢視者 (roles/chronicle.restrictedDataAccessViewer) 角色，才能登入執行個體。

如果您使用已設定工作團隊身分聯盟的現有 Google SecOps 執行個體，佈建 Security Command Center，則必須更新工作團隊身分集區，新增權限才能存取 Security Operations 控制台頁面中的功能，這些功能適用於 Security Command Center Enterprise。詳情請參閱「控管 Security Operations 控制台頁面中的功能存取權」頁面。

佈建新執行個體

您佈建新執行個體時，只有新執行個體會與 Security Command Center 建立關聯。使用 Security Command Center 時，您會在Google Cloud 控制台和新佈建的 Security Operations 控制台頁面之間切換。

啟用時，請指定要佈建新 Google SecOps 執行個體的位置。如需支援的單一區域和多區域清單，請參閱 SecOps 服務位置頁面。這個位置僅適用於 Google SecOps，不適用於其他 Security Command Center 功能或服務。

每個 Google SecOps 執行個體都必須有專屬的管理專案，且您必須擁有並管理該專案。這個專案必須位於您啟用 Security Command Center Enterprise 的機構中。您無法為多個 Google SecOps 執行個體使用相同的管理專案。

如果您已有 Google SecOps 執行個體，並為 Security Command Center Enterprise 佈建新的執行個體，這兩個執行個體會使用相同的直接擷取 Google Cloud 資料設定。相同的設定會控管資料擷取作業，並將資料傳送至 Google SecOps 執行個體。

啟用 Security Command Center Enterprise 時，啟用程序會修改 Google Cloud 記錄擷取設定，將所有資料類型欄位設為啟用：Google Cloud Logging、Cloud 資產中繼資料和 Security Command Center Premium 發現項目。匯出篩選器設定不會變更。Security Command Center Enterprise 需要這些資料類型，才能確保所有功能正常運作。啟用完成後，您就能變更 Google Cloud 記錄擷取設定。

建立機構

Security Command Center 需要與網域相關聯的機構資源。如果您尚未建立機構，請參閱建立及管理機構。

如果您有多個機構，請找出要啟用 Security Command Center Enterprise 的機構。如要在組織中啟用 Security Command Center Enterprise，請務必按照下列步驟操作。

驗證機構政策

如果機構政策設為限制資源用量，請確認允許下列 API：

chronicle.googleapis.com
securitycenter.googleapis.com
securitycentermanagement.googleapis.com

建立管理專案

Security Command Center Enterprise 需要專案 (稱為「管理專案」)，才能啟用 Google SecOps 和 Mandiant Attack Surface Management 整合功能。建議您專門使用這個專案來執行 Security Command Center Enterprise。

如果您先前已啟用 Google SecOps，且想連線至現有執行個體，請使用已連線至 Google SecOps 的現有管理專案。

如要佈建新的 Google SecOps 執行個體，請建立專屬的新管理專案。請勿重複使用已連線至其他 Google SecOps 執行個體的管理專案。

進一步瞭解如何建立及管理專案。

設定權限和 API

本節列出設定 Security Command Center Enterprise 時須具備的 Identity and Access Management 角色，並說明如何在機構和管理專案中授予這些角色。本文也會說明如何啟用 Security Command Center Enterprise 層級所需的所有 API。進一步瞭解 Security Command Center 角色和 Google Cloud API。

設定機構的權限

Make sure that you have the following role or roles on the organization:

Organization Administrator (roles/resourcemanager.organizationAdmin)
Cloud Asset Owner (roles/cloudasset.owner)
Security Center Admin (roles/securitycenter.admin)
Security Admin (roles/iam.securityAdmin)
Chronicle Service Viewer (roles/chroniclesm.viewer)

Check for the roles

In the Google Cloud console, go to the IAM page.
Go to IAM
Select the organization.
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

Grant the roles

In the Google Cloud console, go to the IAM page.
前往「IAM」頁面
選取機構。
按一下「授予存取權」。
在「New principals」(新增主體) 欄位中，輸入您的使用者 ID。這通常是 Google 帳戶的電子郵件地址。
在「Select a role」(選取角色) 清單中，選取角色。
如要授予其他角色，請按一下「新增其他角色」，然後新增每個其他角色。
按一下 [Save]。

在管理專案中設定權限並啟用 API

在 Google Cloud 控制台中，確認您正在查看要啟用 Security Command Center Enterprise 方案的機構。
選取您先前建立的管理專案。
Make sure that you have the following role or roles on the project:
- Service Usage Admin (roles/serviceusage.serviceUsageAdmin)
- Service Account Token Creator (roles/iam.serviceAccountTokenCreator)
- Chronicle API Admin (roles/chronicle.admin)
- Chronicle Service Admin (roles/chroniclesm.admin)
- Chronicle SOAR Admin (roles/chronicle.soarAdmin)
- Service Account Key Admin (roles/iam.serviceAccountKeyAdmin)
- Service Account Admin (roles/iam.serviceAccountAdmin)
Check for the roles
1. In the Google Cloud console, go to the IAM page.
  Go to IAM
2. Select the project.
3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.
Grant the roles
1. In the Google Cloud console, go to the IAM page.
  前往「IAM」頁面
2. 選取專案。
3. 按一下「授予存取權」。
4. 在「New principals」(新增主體) 欄位中，輸入您的使用者 ID。這通常是 Google 帳戶的電子郵件地址。
5. 在「Select a role」(選取角色) 清單中，選取角色。
6. 如要授予其他角色，請按一下「新增其他角色」，然後新增每個其他角色。
7. 按一下 [Save]。
Enable the Cloud Asset, Cloud Pub/Sub, Cloud Resource Manager, Compute Engine, Policy Analyzer, and Recommender APIs.
Enable the APIs

設定通知聯絡人

設定重要聯絡人，讓安全管理員接收重要通知。如需操作說明，請參閱「管理通知聯絡人」。