Google Cloud Platform (GCP) Organization-ийг GravityZone-д хэрхэн холбох вэ?

Google Cloud Platform (GCP) дахь үүлэн дансуудыг төслүүд (projects) гэж нэрлэдэг. Тэдгээрийг organization гэж нэрлэгддэг нэгжид бүлэглэж болно.

Та ганц үүлэн данс (төсөл) эсвэл бүлэг данс (organization)-ыг холбож болно.

Урьдчилсан нөхцөл

• Organization дотор Organization Administrator болон Organization Role Administrator үүрэг оноогдсон GCP данс.
• Идэвхтэй Cloud Billing Account.

GCP Cloud Organization нэмэх

1. 1Scan Configuration (Шалгалтын тохиргоо) хэсгээс Add projects from a Google Cloud Organization сонгоно.
2. 2Шинэ хөтчийн таб эсвэл цонх нээж GCP console руу нэвтэрнэ.
3. 3GravityZone Cloud Security Posture Management-ийн API хязгаарлалтыг үйлдвэрлэлийн ачааллаас тусад нь хянахын тулд organization дотор шинэ төсөл үүсгэнэ:

1. Хуудасны зүүн дээд буланд байрлах Select Project товчийг дарна. Select a project цонх нээгдэнэ.
2. New project дарна.

4. 4Төслийн давтагдашгүй нэрийг оруулаад Create дарна. Таныг төслийн харагдац руу шилжүүлнэ.
5. 5Зүүн дээд буланд байрлах цэсний товчийг дараад Billing сонгоно. Хэрэв төсөлд billing account аль хэдийн холбогдсон бол Billing Overview хуудас харагдана.

Үгүй бол дараах алхмыг гүйцэтгэнэ:
1. Link a billing account дарна.
2. Унждаг цэснээс төсөлд холбох billing account-аа сонгоод Set Account дарна.

6. 6IAM & Admin хуудас руу очно.
7. 7Хуудасны баруун талын цэснээс Service Accounts сонгоно. Service accounts хуудас нээгдэнэ.
8. 8+ Create Service Account дарна. Create service account цонх нээгдэнэ.
9. 9Шинэ дансны мэдээллийг бөглөнө:

- Service account name хэсэгт GravityZone Cloud Security гэх мэт тайлбарлаг нэр бичнэ.
- (Заавал биш) Service account ID-г засна. Энэ нь таны оруулсан дансны нэрээс автоматаар үүснэ.
- Service account description хэсэгт GravityZone API Access гэх мэт ойлгомжтой тайлбар бичнэ.

10. 10Create and continue дарна. Grant this service account access to project хэсэг дэлгэгдэнэ.
11. 11Done дарна. Service accounts хуудас дахин нээгдэнэ.
12. 12Дөнгөж үүсгэсэн service account-ийн и-мэйл хаягийг хойно ашиглахаар хялбар олдох газарт тэмдэглэж аваарай.
13. 13Email баганын хаягийг дарна. Service account details хуудас нээгдэнэ.
14. 14Keys таб руу очно.
15. 15Add Key > Create New Key дарна.
16. 16Key type хэсэгт JSON сонгогдсон эсэхийг шалгаад Create дарна. .JSON файл таны компьютер луу татагдана.
17. 17Cloud Security-д шаардлагатай API-уудыг идэвхжүүлнэ:

1. GCP console-ийн баруун дээд буланд байрлах Activate Cloud Shell товчийг дарна. Хуудасны доод хэсэгт Cloud Shell terminal нээгдэнэ.
2. Дараах командыг бичнэ:

```
gcloud services enable compute.googleapis.com sqladmin.googleapis.com storage.googleapis.com dns.googleapis.com cloudkms.googleapis.com iam.googleapis.com container.googleapis.com monitoring.googleapis.com logging.googleapis.com cloudresourcemanager.googleapis.com bigquery.googleapis.com binaryauthorization.googleapis.com policyanalyzer.googleapis.com notebooks.googleapis.com
```

Эсвэл доорх холбоос бүрийг дарж төсөлд зориулж API-уудыг гараар идэвхжүүлж болно:

- Compute Engine API
- Cloud SQL Admin API
- Cloud Storage API
- Cloud DNS API
- Cloud Key Management Service (KMS) API
- Identity and Access Management (IAM) API
- Kubernetes Engine API
- Stackdriver Monitoring API
- Cloud Logging API
- Cloud Resource Manager API
- BigQuery API
- Binary Authorization API
- Cloud Billing API
- Admin SDK API
- Policy Analyzer API
- Notebooks API

Compute Engine болон Cloud DNS API-г ашиглахын тулд холбож буй төслүүд дээр billing идэвхжсэн байх шаардлагатай.

18. 18Хуудасны зүүн дээд буланд байрлах project switcher-ийг дарна. Select a resource цонх нээгдэнэ.
19. 19All таб руу очиж өөрийн organization-ыг сонгоно.

> Тэмдэглэл: Organization-уудыг тусгай дүрс тэмдгээр ялгаж харуулдаг.

20. 20Хуудасны баруун талын цэснээс Roles дарна. Roles хуудас нээгдэнэ.
21. 21+ Create role дарна.
22. 22Үүргийн мэдээллийг бөглөнө:

- Title хэсэгт GravityZone Cloud Scanner гэх мэт тайлбарлаг нэр бичнэ.
- (Заавал биш) Үүргийг хялбар таних үүднээс Description талбарыг засна.
- ID хэсэгт GravityZoneCloudScanner гэх мэт ойлгомжтой тэмдэгт мөр бичнэ.

> Тэмдэглэл: Энэ ID нь organization бүрд давтагдашгүй байна.

23. 23Add permissions дарна. Add permissions цонх нээгдэнэ.
24. 24Эрхүүдийг хайхын тулд Filter талбарыг дарна.
25. 25Эрхийн нэрийг бичнэ.
26. 26Хайлтын үр дүнгийн хажуу дахь нүдийг тэмдэглэж эрхийг сонгоно.

23–25-р алхмыг доорх эрх бүрийн хувьд давтана:
- serviceusage.services.enable
- serviceusage.services.get
- serviceusage.services.list
- compute.projects.get

27. 27Add дарна. Эрхүүд Create role цонхонд харагдана.
28. 28Create дарна.
29. 29IAM хуудас руу очно.

> Зөвлөмж: Хуудасны зүүн дээд буланд байрлах сонгогчид таны organization харагдсаар байгаа эсэхийг шалгаарай.

30. 30Grant access дарна. Grant access хуудас нээгдэнэ.
31. 31Add principals хэсэгт 12-р алхамд тэмдэглэсэн и-мэйл хаягийг буулгана.
32. 32Select a role дарж дараах үүргүүдийг тус тус сонгоно:

- Resource Manager > Organization Viewer
- Resource Manager > Folder Viewer
- Billing > Billing Account Viewer
- IAM > Security Reviewer
- Compute Engine > Compute Network Viewer
- BigQuery > BigQuery Metadata Viewer
- Binary Authorization > Binary Authorization Policy Viewer
- Other > Activity Analysis Viewer
- Custom > GravityZone Cloud Scanner (өмнө нь үүсгэсэн үүрэг)

> Зөвлөмж: Энэ үүрэг жагсаалтад шууд харагдахгүй бол хэдэн минут хүлээнэ үү.

33. 33Save дарна.
34. 34Scan Configuration хуудас байгаа хөтчийн таб руу буцна.
35. 35JSON файлын агуулгыг хуулж API Credentials талбарт буулгана.
36. 36Identifier талбарт GCP console дээр харагдаж буй organization ID-ийн өмнө нь organizations/ угтвар бичнэ.
37. 37Google Cloud Organization Name хэсэгт 12-р алхамд хуулсан и-мэйл хаягийг буулгана.
38. 38Add дарна.

Asset inventory (хөрөнгийн бүртгэл) холбох

GravityZone Cloud Security Posture Management-д Google Workspace Identities-ийг шалгахыг идэвхжүүлснээр таны үүлэн орчны талаарх дүр зураг илүү үнэн зөв болдог, учир нь таних мэдээлэлтэй холбоотой metadata-д хандах эрх нээгдэнэ.

Workspace-ийг идэвхжүүлэхийн тулд танд workspace дансны админы эрх шаардлагатай.

Шинэ GCP данс дээр Google Workspace Identities-ийн шалгалтыг идэвхжүүлэх

Шинэ GCP данс дээр GravityZone Cloud Security Posture Management-д Google Workspace Identities-ийг шалгуулахын тулд эхлээд энэ хуудсанд заасан алхмуудыг гүйцэтгэнэ. Тэр дууссаны дараа доорхыг үргэлжлүүлнэ:

1. 1Шинэ хөтчийн таб эсвэл цонх нээж admin.google.com-д нэвтэрнэ.
2. 2Account > Admin Roles руу очно.
3. 3Create New Role дарна.
4. 4Name хэсэгт GravityZone Cloud Security гэх мэт тайлбарлаг нэр бичнэ.
5. 5Continue дарна.
6. 6Admin API privileges хүртэл доош гүйлгээд дараах нүднүүдийг тэмдэглэнэ:

- Users > Read
- Groups > Read

7. 7Continue дарна. 2 эрх сонгогдсон байхыг харна.
8. 8Create role дарна.
9. 9Assign service accounts дарна.
10. 10Өмнө нь үүсгэсэн дансны и-мэйлийг оруулна.
11. 11Add дарна.
12. 12Assign Role дарна. Өмнө сонгосон эрхүүдтэй үүрэг нэмэгдэнэ.
13. 13Settings > Integrations руу очиж GCP Cloud Organization-ыг сонгоод Modify товчийг дарж Google Cloud Organization картад хандана. Эндээс Update дарахад API Credentials-тай шинэ мэдээллийн карт харагдана.

Байгаа GCP данс дээр Google Workspace Identities-ийн шалгалтыг идэвхжүүлэх

Байгаа GCP данс дээр GravityZone Cloud Security Posture Management-д Google Workspace Identities-ийг шалгуулахын тулд шинэ данстай яг адил алхмуудыг гүйцэтгэнэ. Ганц ялгаа нь өмнө үүсгэсэн дансны и-мэйл хаягийг олж авах шаардлагатай.

Өмнө үүсгэсэн дансны и-мэйлийг олохын тулд доорх алхмуудыг дагана:

1. 1Scan Configuration хуудас руу очиж дансаа сонгоод Edit дүрсийг дарна.
2. 2Account Details самбараас Account Name мэдээллийг хуулна.
3. 3Шинэ хөтчийн таб эсвэл цонх нээж Google Cloud Console-д нэвтэрнэ.
4. 4IAM & Admin руу очиж Search a project дарна.
5. 5Search projects and folders талбарт 2-р алхамд хуулсан мэдээллийг бичих эсвэл буулгана.
6. 6Төслийг сонгосны дараа Service Accounts хуудас руу очиж API Credentials-ийг хайна. API Credentials-ийг Account Details самбараас (2-р алхам) хуулж болно.
7. 7API Credentials-д харгалзах service account-ийг дарна.
8. 8Service account details хуудаснаас и-мэйл хаягийг хуулж аваад идэвхжүүлэх үйл явц-ыг дуусгахад ашиглана.