Google Security Center

​

Voraussetzungen

• Zugriff auf eine Google-Cloud-Organisation
• In Ihrer Organisation aktiviertes Google Cloud Security Command Center
• Berechtigungen auf Organisationsebene, um Security Command Center Admin Viewer (roles/securitycenter.adminViewer) zu vergeben
• Eine der folgenden Authentifizierungsoptionen:
  • Ein Dienstkontoschlüssel im JSON-Format
  • Ein für die AWS-Rolle von Wirespeed konfigurierter Pool/Anbieter für Workload Identity Federation

​

Einrichtungsanleitung

​

Option A: Dienstkontoschlüssel

​

Schritt 1: Dienstkonto in einem Projekt erstellen

1. Öffnen Sie die Google Cloud Console
2. Wählen Sie im Projekt-Dropdown (oben links) ein Project – dies kann ein beliebiges Projekt innerhalb Ihrer Organisation sein
3. Gehen Sie zu IAM & Admin > Service Accounts
4. Klicken Sie auf Create Service Account
5. Geben Sie einen Namen für das Dienstkonto ein (z. B. wirespeed-scc-integration)
6. Geben Sie eine Beschreibung ein (z. B. Service account for Wirespeed SCC integration)
7. Klicken Sie auf Create and Continue
8. Überspringen Sie den optionalen Schritt zum Vergeben von Projektrollen (oder überspringen Sie ihn vorerst)
9. Klicken Sie auf Done

​

Schritt 2: Dienstkontoschlüssel erzeugen und herunterladen

1. Klicken Sie in der Liste Service Accounts auf das soeben erstellte Dienstkonto
2. Gehen Sie zur Registerkarte Keys
3. Klicken Sie auf Add Key > Create new key
4. Wählen Sie JSON als Schlüsseltyp
5. Klicken Sie auf Create
6. Die JSON-Schlüsseldatei wird automatisch heruntergeladen
   • Bewahren Sie diese Datei sicher auf – sie enthält Zugangsdaten für den Zugriff auf die Sicherheitsdaten Ihrer Organisation
7. Öffnen Sie die JSON-Datei mit einem Texteditor und kopieren Sie den gesamten Inhalt

​

Schritt 3: Berechtigungen auf Organisationsebene vergeben

1. Wechseln Sie auf die Ebene Ihrer Organization (klicken Sie im Dropdown oben links auf den Namen der Organisation)
2. Gehen Sie zu IAM & Admin > IAM
3. Klicken Sie auf Grant Access
4. Geben Sie im Feld New principals die E-Mail-Adresse des Dienstkontos ein (im JSON-Schlüssel als client_email zu finden)
5. Klicken Sie auf das Dropdown Select a role, suchen Sie die folgenden Rollen und wählen Sie sie aus:
   • Security Command Center Admin Viewer (roles/securitycenter.adminViewer)
6. Klicken Sie auf Save

​

Schritt 4: Organisations-ID ermitteln

1. Gehen Sie in der Google Cloud Console zu IAM & Admin > Settings
2. Suchen Sie oben das Feld Organization ID
3. Kopieren Sie diese ID

​

Schritt 5: Wirespeed konfigurieren

1. Melden Sie sich bei Wirespeed an und gehen Sie zu Integrationen > Integration hinzufügen
2. Wählen Sie Google Security Center
3. Geben Sie die folgenden Informationen ein:
   • Organisations-ID: die Organisations-ID aus Schritt 4
   • Dienstkontoschlüssel: der vollständige JSON-Inhalt aus Schritt 2
4. Klicken Sie auf Speichern

​

Option B: Workload Identity Federation

​

Schritt 1: Workload Identity Pool erstellen

1. Gehen Sie in der Google Cloud Console zu IAM & Admin > Workload Identity Federation.
2. Klicken Sie auf Create pool.
3. Geben Sie einen Pool-Namen ein, zum Beispiel wirespeed.
4. Klicken Sie auf Continue.

​

Schritt 2: AWS-Anbieter hinzufügen

1. Wählen Sie AWS als Anbietertyp.
2. Geben Sie einen Anbieternamen ein, zum Beispiel wirespeed-aws.
3. Geben Sie die AWS-Konto-ID von Wirespeed ein: 194722417411
4. Konfigurieren Sie die Attributzuordnungen:
   • google.subject=assertion.arn
   • attribute.account=assertion.account
   • attribute.aws_role=assertion.arn.extract('assumed-role/{role_name}/')
5. Konfigurieren Sie die Attributbedingung: assertion.account=='194722417411'
6. Speichern Sie den Anbieter.

​

Schritt 3: Zugriff auf Security Command Center gewähren

1. Wechseln Sie in der Google Cloud Console auf die Ebene Ihrer Organization.
2. Gehen Sie zu IAM & Admin > IAM.
3. Klicken Sie auf Grant Access.
4. Geben Sie im Feld New principals das Principal-Set für die AWS-Rolle von Wirespeed ein:
   • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.aws_role/wirespeed-gcp
5. Ersetzen Sie PROJECT_NUMBER durch die numerische Project number, die im Google-Cloud-Dashboard für das Projekt mit dem Workload Identity Pool angezeigt wird. Dies ist nicht die Project ID.
6. Ersetzen Sie POOL_ID durch die ID des Workload Identity Pools, zum Beispiel wirespeed.
7. Wählen Sie Security Command Center Admin Viewer (roles/securitycenter.adminViewer).
8. Klicken Sie auf Save.

​

Schritt 4: Konfiguration der Zugangsdaten herunterladen

1. Kehren Sie zu IAM & Admin > Workload Identity Federation zurück.
2. Öffnen Sie den Workload Identity Pool und den Anbieter, die Sie für Wirespeed erstellt haben.
3. Klicken Sie auf Grant access.
4. Klicken Sie auf Download config.
5. Wählen Sie die Konfiguration für direkte föderierte Identität für den AWS-Anbieter.
6. Laden Sie die JSON-Datei mit der Google-Zugangsdatenkonfiguration herunter.

​

Schritt 5: Organisations-ID ermitteln

1. Wählen Sie in der Google Cloud Console Ihre Organization aus, nicht ein Projekt.
2. Gehen Sie zu IAM & Admin > Settings.
3. Suchen Sie oben das Feld Organization ID.
4. Kopieren Sie diese ID.

​

Schritt 6: Wirespeed konfigurieren

1. Melden Sie sich bei Wirespeed an und gehen Sie zu Integrationen > Integration hinzufügen.
2. Wählen Sie Google Security Center.
3. Wählen Sie Workload Identity Federation als Authentifizierungsmethode.
4. Geben Sie die folgenden Informationen ein:
   • Organisations-ID: die Organisations-ID aus Schritt 5
   • Workload-Identity-Konfiguration: der vollständige JSON-Inhalt der Google-Zugangsdatenkonfiguration aus Schritt 4
5. Klicken Sie auf Speichern.