Diese Seite wurde von der Cloud Translation API übersetzt.

Security Command Center Standard oder Premium für eine Organisation aktivieren

Auf dieser Seite erfahren Sie, wie Sie die Standard- oder Premium-Stufe von Security Command Center für eine Organisation aktivieren. Wenn Security Command Center bereits für Ihre Organisation eingerichtet ist, lesen Sie den Leitfaden zur Verwendung von Security Command Center.

Security Command Center bietet drei Dienststufen: Standard, Premium und Enterprise. Die von Ihnen ausgewählte Stufe legt die Verfügbarkeit von Features und die Kosten für die Verwendung von Security Command Center fest. Informationen zum Aktivieren der Enterprise-Stufe finden Sie unter Security Command Center Enterprise-Stufe aktivieren.

Wenn Sie die Security Command Center Premium-Stufe auf Organisationsebene aktivieren möchten, wählen Sie in der Google Cloud Console eine Self-Service-Preisoption mit „Pay as you go“-Tarif aus.

Sie können die Datenstandortkontrollen aktivieren, wenn Sie Security Command Center zum ersten Mal aktivieren. Nach der Aktivierung können Sie die Datenstandortkontrollen nicht mehr aktivieren oder deaktivieren. Weitere Informationen finden Sie unter Support für den Datenstandort.

Ausführliche Informationen zu den integrierten Security Command Center-Diensten, die für die einzelnen Stufen verfügbar sind, finden Sie unter Security Command Center-Stufen.

Informationen zu den mit der Verwendung von Security Command Center verbundenen Kosten finden Sie auf der Seite "Preise".

Informationen zum Aktivieren von Security Command Center nur für ein Projekt finden Sie unter Security Command Center für ein Projekt aktivieren.

Vorbereitung

Bevor Sie Security Command Center aktivieren können, benötigen Sie eine Organisation, die entsprechenden IAM-Berechtigungen (Identity and Access Management) und die entsprechenden Organisationsrichtlinien.

Organisation erstellen

Security Command Center benötigt eine Organisationsressource, die mit einer Domain verknüpft ist. Wenn Sie noch keine Organisation erstellt haben, lesen Sie den Hilfeartikel Organisationen erstellen und verwalten.

Berechtigungen einrichten

Zum Einrichten von Security Command Center benötigen Sie die folgenden IAM-Rollen:

Organisationsadministrator roles/resourcemanager.organizationAdmin
Sicherheitscenter-Administrator roles/securitycenter.admin
Sicherheitsadministrator roles/iam.securityAdmin
Dienstkonten roles/iam.serviceAccountCreator erstellen

Hier erhalten Sie weitere Informationen zu den Security Command Center-Rollen.

Organisationsrichtlinien prüfen

Wenn die Organisationsrichtlinien so konfiguriert sind, dass die Identitäten nach Domain eingeschränkt werden, gilt Folgendes:

Sie müssen in der Google Cloud Console mit einem Konto angemeldet sein, das zu einer zulässigen Domain gehört.
Ihre Dienstkonten müssen sich in einer zulässigen Domain befinden oder Mitglieder einer Gruppe innerhalb Ihrer Domain sein. Mit dieser Anforderung können Sie Diensten, die das @*.gserviceaccount.com-Dienstkonto verwenden, den Zugriff auf Ressourcen gewähren, wenn die domaineingeschränkte Freigabe aktiviert ist.

Wenn Ihre Organisationsrichtlinien so konfiguriert sind, dass die Ressourcennutzung eingeschränkt wird, prüfen Sie, ob securitycenter.googleapis.com zulässig ist.

Aktivierungsszenarien für eine Organisation

Auf dieser Seite werden die folgenden Aktivierungsszenarien behandelt:

Aktivieren Sie in einer Organisation, in der Security Command Center noch nie aktiviert wurde, die Premium- oder Standard-Stufe von Security Command Center für die Organisation.
Aktivieren Sie in einer Organisation, die die Standardstufe verwendet, die Security Command Center Premium-Stufe für die Organisation.
Stellen Sie in einer Organisation, die ein ablaufendes Premium-Abo verwendet, auf die Preisoption „Pay as you go“ um.

Security Command Center zum ersten Mal für eine Organisation aktivieren

Wenn Sie Security Command Center zum ersten Mal für eine Organisation aktivieren, folgen Sie in der Google Cloud Console einem interaktiven Aktivierungsprozess, um eine Dienstebene auszuwählen, die Kontrollen für den Datenstandort zu aktivieren und die erforderlichen Erkennungsdienste zu aktivieren. Wählen Sie dann die Ressourcen oder Assets aus, die Sie überwachen möchten, und gewähren Sie den erforderlichen Dienstkonten Berechtigungen.

Führen Sie die folgenden Schritte aus, um das Security Command Center Premium-Tarifmodell auf Organisationsebene zu aktivieren.

Rufen Sie in der Google Cloud Console das Security Command Center auf.

Zum Security Command Center

Hinweis: Wenn Sie Datenspeicherorte steuern möchten, die sich im Königreich Saudi-Arabien befinden, müssen Sie die Google Cloud Console für die Gerichtsbarkeit verwenden: https://console.sa.cloud.google.com/security/command-center/overview
Wählen Sie die Organisation aus, für die Sie Security Command Center aktivieren möchten, und klicken Sie dann auf Auswählen.

Das Fenster Security Command Center einrichten wird geöffnet.
Wählen Sie unter Stufe auswählen eine Stufe aus.
Klicken Sie auf Weiter. Die Seite Dienste auswählen wird geöffnet.
Optional: Aktivieren Sie die Datenstandortkontrollen von Security Command Center, indem Sie die folgenden Optionen auswählen:
1. Wählen Sie unter Datenstandort die Option Datenstandort aktivieren aus.
  
  Wenn der Datenstandort aktiviert ist und ein Security Command Center-Dienst ein Sicherheitsproblem in einer Ressource erkennt, die sich an einem von Security Command Center unterstützten Speicherort befindet, speichert Security Command Center den resultierenden Befund automatisch an demselben Security Command Center-Speicherort, an dem sich die betroffene Ressource befindet.
2. Wählen Sie im Feld Standardspeicherort auswählen den Standardspeicherort in Security Command Center aus, an dem Ergebnisse für Ressourcen gespeichert werden sollen, die sich entweder nicht an einem von Security Command Center unterstützten Speicherort befinden oder für die in den Metadaten kein Speicherort angegeben ist.
Aktivieren Sie im Bereich Dienste die erforderlichen integrierten Security Command Center-Dienste. Jeder aktivierte Dienst scannt alle unterstützten Ressourcen und meldet die Ergebnisse für Ihre gesamte Organisation. Wenn Sie einen Dienst deaktivieren möchten, klicken Sie auf die Liste neben dem Dienstnamen und wählen Sie Deaktivieren aus.

Wenn die Standardstufe aktiviert ist, können Sie die Aktivierung von Premium-Diensten konfigurieren, bevor Sie die Premium-Stufe aktivieren. Die Konfiguration wird erst angewendet, wenn Sie die Premium-Stufe später für die Organisation aktivieren.

Hier sind Hinweise für bestimmte Dienste:
- Damit Container Threat Detection ordnungsgemäß funktioniert, müssen Sie prüfen, ob Ihre Cluster auf einer unterstützten Version von Google Kubernetes Engine (GKE) basieren und ob Ihre GKE-Cluster richtig konfiguriert sind. Weitere Informationen finden Sie unter Container Threat Detection verwenden.
- Event Threat Detection basiert auf Logs, die von Google Cloud generiert werden. Damit Sie Event Threat Detection verwenden können, müssen Sie für Ihre Organisation, Ordner und Projekte Logs aktivieren.
- Die Ergebnisse der Anomalieerkennung sind automatisch in Security Command Center verfügbar. Wenn Sie die Anomalieerkennung deaktivieren möchten, führen Sie die Schritte unter Security Command Center-Dienste konfigurieren aus.
- Der Dienst zur Bewertung der Sicherheitslage wird zwar nicht aufgeführt, aber automatisch aktiviert, wenn Sie die Premium-Stufe auswählen.

Weisen Sie unter Rollen gewähren den Dienst-Agenten die erforderlichen IAM-Rollen für Security Command Center zu.

Wenn Sie den Kundenservicemitarbeitern die Rollen gewähren, gewähren Sie ihnen die Berechtigungen, die das Security Command Center und seine Erkennungsdienste benötigen, um ihre Funktionen auszuführen.

Die Namen der Dienstkonten haben die folgenden Formate:
- service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  
  Sie gewähren diesem Dienst-Agent die IAM-Rolle roles/securitycenter.serviceAgent.
- service-org-ORGANIZATION_ID@gcp-sa-ktd-hpsa.iam.gserviceaccount.com
  
  Sie weisen diesem Dienst-Agent die IAM-Rolle roles/containerthreatdetection.serviceAgent zu.
Anstelle von ORGANIZATION_ID enthält der Dienst-Agent die numerische Kennzeichnung Ihrer Organisation.

Klicken Sie auf Rollen gewähren, um die Rollen hinzuzufügen.

Alternativ können Sie die Rollen manuell zuweisen. Gehen Sie dazu so vor:
1. Maximieren Sie den Bereich Rollen manuell gewähren und kopieren Sie den Befehl der gcloud CLI.
2. Klicken Sie in der Symbolleiste der Google Cloud Console auf Cloud Shell aktivieren.
3. Fügen Sie im geöffneten Terminalfenster die zuvor kopierten Befehle der gcloud-CLI ein und drücken Sie die Eingabetaste.
Hinweis: Wenn Sie Dienstperimeter verwenden, müssen Sie auch Eingehenden Zugriff auf die Dienstkonten gewähren.

Weitere Informationen zu den Berechtigungen, die diesen Rollen zugeordnet sind, finden Sie unter Zugriffssteuerung.

Prüfen Sie unter Einrichtung abschließen die Informationen und klicken Sie auf Fertigstellen.

Wenn die Einrichtung abgeschlossen ist, startet Security Command Center einen ersten Asset-Scan. Danach können Sie die Sicherheits- und Datenrisiken in Ihrem Google Cloud-Projekt in der Google Cloud Console prüfen und beheben.

Bei einigen Produkten dauert es möglicherweise länger, bis Scans gestartet werden. Weitere Informationen zum Aktivierungsprozess finden Sie unter Security Command Center-Latenz – Übersicht.
Lesen Sie in der Dokumentation zu den einzelnen Diensten nach, ob Sie den Dienst weiter testen oder optimieren können.

Event Threat Detection basiert beispielsweise auf Logs, die von Google Cloud generiert werden. Einige Logs sind immer aktiviert, sodass die Ereignis-Bedrohungserkennung sie scannen kann, sobald sie aktiviert ist. Andere Protokolle, z. B. die meisten Audit-Logs für den Datenzugriff, müssen aktiviert werden, bevor sie von Event Threat Detection gescannt werden können. Weitere Informationen finden Sie unter Logtypen und Aktivierungsanforderungen.

Weitere Informationen zum Testen und Verwenden der einzelnen integrierten Dienste finden Sie auf den folgenden Seiten:

Von der Standardstufe auf die Premiumstufe upgraden

Führen Sie die folgenden Schritte aus, um von der Standard-Stufe von Security Command Center auf die Premium-Stufe von Security Command Center umzustellen. Wenn Sie ein Abo verwenden möchten, wenden Sie sich zuerst an den Google Cloud-Vertrieb.

Führen Sie diese Aufgabe aus, wenn Ihre Organisation die zusätzlichen Funktionen zur Bedrohungserkennung und zur Bewertung der Sicherheitslage benötigt, die die Premium-Stufe von Security Command Center bietet.

Rufen Sie in der Google Cloud Console das Security Command Center auf.

Zum Security Command Center
Wählen Sie die Organisation aus, für die Sie ein Upgrade auf die Premium-Stufe von Security Command Center ausführen möchten, und klicken Sie dann auf Auswählen.
Klicken Sie auf der Seite „Security Command Center“ auf Premium-Abo abschließen.
Prüfen Sie, ob unter Stufe ändern Premium ausgewählt ist. Klicken Sie auf Weiter.
Aktivieren Sie unter Dienste überprüfen die Dienste, die Sie benötigen.
Klicke auf Stufe aktualisieren.

Von einer Abooption der Premium-Stufe zur Pay-as-you-go-Option wechseln

Wenn Sie die Premium-Stufe von Security Command Center zuvor mit einem Abo aktiviert haben, können Sie Security Command Center vor Ablauf Ihres Abos für die Abrechnung nach Verbrauch registrieren. So kann Ihre Organisation ohne Unterbrechung auf die Premium-Stufe von Security Command Center zugreifen. Diese Preisänderung tritt nach Ablauf Ihres Abos in Kraft.

Rufen Sie in der Google Cloud Console das Security Command Center auf.

Zum Security Command Center
Wählen Sie die Organisation aus, für die Sie die Preisoption ändern möchten, und klicken Sie dann auf Auswählen.
Klicken Sie auf der Seite Übersicht des Security Command Center auf Einstellungen. Die Seite Einstellungen wird geöffnet und der Tab Dienste wird angezeigt.
Klicken Sie auf der Seite Einstellungen auf Stufe – Details. Die Seite Stufe wird geöffnet.
Klicken Sie auf Stufe verwalten.
Prüfen Sie auf der Seite Stufe ändern, ob Premium ausgewählt ist, und klicken Sie auf Weiter.
Überprüfen Sie auf der Seite Dienste prüfen die von Ihnen aktivierten Dienste und klicken Sie auf Stufe aktualisieren.

Downgrade von der Pay-per-Use-Option der Premium-Stufe auf die Standardstufe

Führen Sie die folgenden Schritte aus, um von der „Pay as you go“-Zahlungsoption für die Premium-Stufe von Security Command Center zur Standardstufe von Security Command Center zu wechseln. Wenn Sie ein Abo haben, erhalten Sie standardmäßig automatisch ein Downgrade auf die Standardstufe, wenn das Abo abläuft.

Wenn Sie ein Downgrade auf die Standard-Stufe von Security Command Center ausführen, verlieren Sie den Zugriff auf Dienste und Funktionen der Premium-Stufe. Prüfen Sie, ob sich die Änderung nicht negativ auf das Sicherheitsrisikoprofil Ihres Unternehmens auswirkt.

Auch wenn die Standard-Stufe von Security Command Center kostenlos ist, können Ihnen indirekte Kosten entstehen. Weitere Informationen finden Sie unter Mögliche indirekte Kosten im Zusammenhang mit Security Command Center.

Wenn Sie nach Abschluss dieser Aufgabe auf der Ebene der Organisation wieder auf die Premium-Stufe upgraden, werden Ihre Konfigurationseinstellungen für die Dienste der Premium-Stufe wiederhergestellt.

Rufen Sie in der Google Cloud Console das Security Command Center auf.

Zum Security Command Center
Wählen Sie die Organisation aus, für die Sie die Security Command Center-Stufe herabstufen möchten, und klicken Sie dann auf Auswählen.
Klicken Sie auf der Seite Übersicht des Security Command Center auf Einstellungen. Die Seite Einstellungen wird geöffnet und der Tab Dienste wird angezeigt.
Klicken Sie auf der Seite Einstellungen auf Stufe – Details. Die Seite Stufe wird geöffnet.
Klicken Sie auf Stufe verwalten.
Prüfen Sie auf der Seite Stufe ändern, ob Standard ausgewählt ist, und klicken Sie auf Weiter.
Überprüfen Sie auf der Seite Dienste prüfen die von Ihnen aktivierten Dienste und klicken Sie auf Stufe aktualisieren.

Premium-Stufe von Projekt- auf Organisationsebene aktivieren

Wenn Sie von einer Aktivierung auf Projektebene zu einer Aktivierung auf Organisationsebene wechseln möchten, folgen Sie der Anleitung unter Security Command Center zum ersten Mal für eine Organisation aktivieren.

Es gelten die folgenden Preisänderungen:

Die Nutzung der Premium-Stufe von Security Command Center ist durch die Aktivierung auf Organisationsebene abgedeckt.
Die Preisbedingungen für die Aktivierung von Security Command Center auf Organisationsebene gelten dann als geltende Preisbedingungen. Die Kosten werden den Projekten zugeordnet, in denen die Nutzung erfolgt.

Wenn Sie zu einer Aktivierung auf Organisationsebene wechseln, löschen Sie das Security Command Center-Dienstkonto nicht, das beim Aktivieren von Security Command Center auf Projektebene erstellt wurde. Bestimmte Security Health Analytics-Detektoren funktionieren möglicherweise nicht richtig, wenn Sie das Dienstkonto löschen.

Kosten mit der Premium-Stufe im Blick behalten

Mit Cloud Billing können Sie die Kosten im Zusammenhang mit der Security Command Center Premium-Stufe im Blick behalten. Sie können Abrechnungsdaten für eine detaillierte Analyse nach BigQuery exportieren oder ein Budget mit Ausgabenbenachrichtigungen erstellen. Weitere Informationen finden Sie unter Kosten im Blick behalten.