Halaman ini diterjemahkan oleh Cloud Translation API.

Mengizinkan Deteksi Ancaman VM mengakses perimeter Kontrol Layanan VPC

Dokumen ini menjelaskan cara menambahkan aturan masuk dan keluar untuk mengizinkan Virtual Machine Threat Detection memindai VM dalam perimeter Kontrol Layanan VPC Anda. Lakukan tugas ini jika organisasi Anda menggunakan Kontrol Layanan VPC untuk membatasi layanan dalam project yang ingin Anda pindai dengan Deteksi Ancaman VM. Untuk mengetahui informasi selengkapnya tentang VM Threat Detection, lihat Ringkasan VM Threat Detection.

Sebelum memulai

Make sure that you have the following role or roles on the organization: Access Context Manager Editor (roles/accesscontextmanager.policyEditor).

Check for the roles

In the Google Cloud console, go to the IAM page.
Go to IAM
Select the organization.
In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.
For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

Grant the roles

In the Google Cloud console, go to the IAM page.
Buka IAM
Pilih organisasi.
Klik Berikan akses.
Di kolom Akun utama baru, masukkan ID pengguna Anda. Biasanya berupa alamat email untuk Akun Google.
Di daftar Pilih peran, pilih peran.
Untuk memberikan peran tambahan, klik Tambahkan peran lain, lalu tambahkan setiap peran tambahan.
Klik Simpan.

Buat aturan keluar dan masuk

Untuk mengizinkan Deteksi Ancaman VM memindai VM dalam perimeter Kontrol Layanan VPC, tambahkan aturan traffic keluar dan traffic masuk yang diperlukan dalam perimeter tersebut. Lakukan langkah-langkah ini untuk setiap perimeter yang ingin Anda pindai dengan Deteksi Ancaman VM.

Untuk mengetahui informasi selengkapnya, lihat Memperbarui kebijakan ingress dan egress untuk perimeter layanan dalam dokumentasi Kontrol Layanan VPC.

Konsol

Di konsol Google Cloud , buka halaman VPC Service Controls.

Buka Kontrol Layanan VPC
Pilih organisasi atau project Anda.
Jika Anda memilih organisasi, klik Pilih kebijakan akses, lalu pilih kebijakan akses yang terkait dengan perimeter yang ingin Anda perbarui.
Klik nama perimeter yang ingin Anda perbarui.

Untuk menemukan perimeter layanan yang perlu diubah, Anda dapat memeriksa entri log yang menunjukkan pelanggaran RESOURCES_NOT_IN_SAME_SERVICE_PERIMETER. Dalam entri tersebut, periksa kolom servicePerimeterName:
```
accessPolicies/ACCESS_POLICY_ID/servicePerimeters/SERVICE_PERIMETER_NAME
```
Klik Edit perimeter.
Klik Kebijakan traffic keluar.
Klik Tambahkan aturan traffic keluar.
Di bagian DARI, tetapkan detail berikut:
1. Untuk Identity, pilih Select identities & groups.
2. Klik Tambahkan identitas
3. Masukkan alamat email agen layanan Pusat Keamanan. Alamat agen layanan memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Tambahkan identitas.
Di bagian KE, tetapkan detail berikut:
1. Untuk Project, pilih Semua project.
2. Untuk Operasi atau peran IAM, pilih Pilih operasi.
3. Klik Tambahkan operasi, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Pilih metode.
    2. Pilih metode DisksService.Insert.
    3. Klik Tambahkan metode yang dipilih.
Klik Ingress policy.
Klik Tambahkan aturan ingress.
Di bagian DARI, tetapkan detail berikut:
1. Untuk Identity, pilih Select identities & groups.
2. Klik Tambahkan identitas
3. Masukkan alamat email agen layanan Pusat Keamanan. Alamat agen layanan memiliki format berikut:
```
service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
```
  Ganti ORGANIZATION_ID dengan ID organisasi Anda.
4. Pilih agen layanan atau tekan ENTER, lalu klik Tambahkan identitas.
5. Untuk Sumber, pilih Semua sumber
Di bagian KE, tetapkan detail berikut:
1. Untuk Project, pilih Semua project.
2. Untuk Operasi atau peran IAM, pilih Pilih operasi.
3. Klik Tambahkan operasi, lalu tambahkan operasi berikut:
  - Tambahkan layanan compute.googleapis.com.
    1. Klik Pilih metode.
    2. Pilih metode berikut:
      - DisksService.Insert
      - InstancesService.AggregatedList
      - InstancesService.List
    3. Klik Tambahkan metode yang dipilih.
Klik Simpan.

gcloud

Jika project kuota belum ditetapkan, tetapkan project kuota. Pilih project yang mengaktifkan Access Context Manager API.
```
gcloud config set billing/quota_project QUOTA_PROJECT_ID
```
Ganti QUOTA_PROJECT_ID dengan ID project yang ingin Anda gunakan untuk penagihan dan kuota.

Buat file bernama egress-rule.yaml dengan konten berikut:

- egressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
  egressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
    resources:
    - '*'

Ganti ORGANIZATION_ID dengan ID organisasi Anda.

Buat file bernama ingress-rule.yaml dengan konten berikut:

- ingressFrom:
    identities:
    - serviceAccount:service-org-ORGANIZATION_ID@security-center-api.iam.gserviceaccount.com
    sources:
    - accessLevel: '*'
  ingressTo:
    operations:
    - serviceName: compute.googleapis.com
      methodSelectors:
      - method: DisksService.Insert
      - method: InstancesService.AggregatedList
      - method: InstancesService.List
    resources:
    - '*'