Google Security Center

​

Requisitos previos

• Acceso a una organización de Google Cloud
• Google Cloud Security Command Center habilitado en su organización
• Permisos a nivel de organización para conceder Administrador de Security Command Center (visor) (roles/securitycenter.adminViewer)
• Una de las siguientes opciones de autenticación:
  • Una clave de cuenta de servicio en formato JSON
  • Un grupo/proveedor de Federación de identidades para cargas de trabajo configurado para el rol de AWS de Wirespeed

​

Instrucciones de configuración

​

Opción A: Clave de cuenta de servicio

​

Paso 1: Crear una cuenta de servicio en un proyecto

1. Vaya a la Consola de Google Cloud
2. Seleccione un Proyecto en el desplegable de proyectos (arriba a la izquierda); puede ser cualquier proyecto de su organización
3. Vaya a IAM y administración > Cuentas de servicio
4. Haga clic en Crear cuenta de servicio
5. Introduzca un nombre de cuenta de servicio (p. ej., wirespeed-scc-integration)
6. Introduzca una descripción (p. ej., Service account for Wirespeed SCC integration)
7. Haga clic en Crear y continuar
8. Omita el paso opcional de conceder roles de proyecto (o omítalo por ahora)
9. Haga clic en Listo

​

Paso 2: Generar y descargar la clave de la cuenta de servicio

1. En la lista de Cuentas de servicio, haga clic en la cuenta de servicio que acaba de crear
2. Vaya a la pestaña Claves
3. Haga clic en Añadir clave > Crear clave nueva
4. Seleccione JSON como tipo de clave
5. Haga clic en Crear
6. El archivo de clave JSON se descargará automáticamente
   • Mantenga este archivo seguro - contiene credenciales para acceder a los datos de seguridad de su organización
7. Abra el archivo JSON con un editor de texto y copie todo el contenido

​

Paso 3: Conceder permisos a nivel de organización

1. Vaya al nivel de Organización (haga clic en el nombre de la organización en el desplegable de arriba a la izquierda)
2. Vaya a IAM y administración > IAM
3. Haga clic en Conceder acceso
4. En el campo Nuevos principales, introduzca el correo electrónico de la cuenta de servicio (se encuentra en la clave JSON como client_email)
5. Haga clic en el desplegable Seleccionar un rol y busque y seleccione los roles siguientes:
   • Administrador de Security Command Center (visor) (roles/securitycenter.adminViewer)
6. Haga clic en Guardar

​

Paso 4: Buscar el ID de organización

1. En la Consola de Google Cloud, vaya a IAM y administración > Configuración
2. Busque el campo ID de organización en la parte superior
3. Copie este ID

​

Paso 5: Configurar Wirespeed

1. Inicie sesión en Wirespeed y vaya a Integraciones > Añadir integración
2. Seleccione Google Security Center
3. Introduzca la siguiente información:
   • ID de organización: El ID de organización del paso 4
   • Clave de la cuenta de servicio: El contenido JSON completo del paso 2
4. Haga clic en Guardar

​

Opción B: Federación de identidades para cargas de trabajo

​

Paso 1: Crear un grupo de identidad para cargas de trabajo

1. En la Consola de Google Cloud, vaya a IAM y administración > Federación de identidades para cargas de trabajo.
2. Haga clic en Crear grupo.
3. Introduzca un nombre de grupo, por ejemplo wirespeed.
4. Haga clic en Continuar.

​

Paso 2: Añadir un proveedor de AWS

1. Seleccione AWS como tipo de proveedor.
2. Introduzca un nombre de proveedor, por ejemplo wirespeed-aws.
3. Introduzca el ID de cuenta de AWS de Wirespeed: 194722417411
4. Configure las asignaciones de atributos:
   • google.subject=assertion.arn
   • attribute.account=assertion.account
   • attribute.aws_role=assertion.arn.extract('assumed-role/{role_name}/')
5. Configure la condición de atributo: assertion.account=='194722417411'
6. Guarde el proveedor.

​

Paso 3: Conceder acceso a Security Command Center

1. Vaya al nivel de Organización en la Consola de Google Cloud.
2. Vaya a IAM y administración > IAM.
3. Haga clic en Conceder acceso.
4. En el campo Nuevos principales, introduzca el conjunto de principales del rol de AWS de Wirespeed:
   • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.aws_role/wirespeed-gcp
5. Sustituya PROJECT_NUMBER por el número de proyecto numérico que se muestra en el panel de Google Cloud del proyecto que contiene el grupo de identidad para cargas de trabajo. No es el ID de proyecto.
6. Sustituya POOL_ID por el ID del grupo de identidad para cargas de trabajo, por ejemplo wirespeed.
7. Seleccione Administrador de Security Command Center (visor) (roles/securitycenter.adminViewer).
8. Haga clic en Guardar.

​

Paso 4: Descargar la configuración de credenciales

1. Vuelva a IAM y administración > Federación de identidades para cargas de trabajo.
2. Abra el grupo de identidad para cargas de trabajo y el proveedor que creó para Wirespeed.
3. Haga clic en Conceder acceso.
4. Haga clic en Descargar configuración.
5. Elija la configuración de identidad federada directa para el proveedor de AWS.
6. Descargue el JSON de configuración de credenciales de Google.

​

Paso 5: Buscar el ID de organización

1. En la Consola de Google Cloud, seleccione su organización, no un proyecto.
2. Vaya a IAM y administración > Configuración.
3. Busque el campo ID de organización en la parte superior.
4. Copie este ID.

​

Paso 6: Configurar Wirespeed

1. Inicie sesión en Wirespeed y vaya a Integraciones > Añadir integración.
2. Seleccione Google Security Center.
3. Seleccione Federación de identidades para cargas de trabajo como método de autenticación.
4. Introduzca la siguiente información:
   • ID de organización: El ID de organización del paso 5
   • Configuración de identidad para cargas de trabajo: El JSON completo de configuración de credenciales de Google del paso 4
5. Haga clic en Guardar.