Google Security Center

​

Prérequis

• Accès à une organisation Google Cloud
• Google Cloud Security Command Center activé dans votre organisation
• Des autorisations au niveau de l’organisation pour attribuer Security Command Center Admin Viewer (roles/securitycenter.adminViewer)
• L’une des options d’authentification suivantes :
  • Une clé de compte de service au format JSON
  • Un pool/fournisseur Workload Identity Federation configuré pour le rôle AWS de Wirespeed

​

Instructions de configuration

​

Option A : clé de compte de service

​

Étape 1 : créer un compte de service dans un projet

1. Accédez à la Google Cloud Console
2. Sélectionnez un Project dans la liste déroulante des projets (en haut à gauche) ; il peut s’agir de n’importe quel projet de votre organisation
3. Accédez à IAM & Admin > Service Accounts
4. Cliquez sur Create Service Account
5. Saisissez un nom de compte de service (par exemple wirespeed-scc-integration)
6. Saisissez une description (par exemple Service account for Wirespeed SCC integration)
7. Cliquez sur Create and Continue
8. Ignorez l’étape facultative d’attribution de rôles de projet (ou ignorez-la pour l’instant)
9. Cliquez sur Done

​

Étape 2 : générer et télécharger la clé du compte de service

1. Dans la liste Service Accounts, cliquez sur le compte de service que vous venez de créer
2. Accédez à l’onglet Keys
3. Cliquez sur Add Key > Create new key
4. Sélectionnez JSON comme type de clé
5. Cliquez sur Create
6. Le fichier de clé JSON se télécharge automatiquement
   • Conservez ce fichier en lieu sûr : il contient des identifiants donnant accès aux données de sécurité de votre organisation
7. Ouvrez le fichier JSON avec un éditeur de texte et copiez l’intégralité de son contenu

​

Étape 3 : attribuer des autorisations au niveau de l’organisation

1. Accédez au niveau de votre Organization (cliquez sur le nom de l’organisation dans la liste déroulante en haut à gauche)
2. Accédez à IAM & Admin > IAM
3. Cliquez sur Grant Access
4. Dans le champ New principals, saisissez l’adresse e-mail du compte de service (indiquée dans la clé JSON sous client_email)
5. Cliquez sur la liste déroulante Select a role, puis recherchez et sélectionnez les rôles suivants :
   • Security Command Center Admin Viewer (roles/securitycenter.adminViewer)
6. Cliquez sur Save

​

Étape 4 : trouver l’ID de votre organisation

1. Dans la Google Cloud Console, accédez à IAM & Admin > Settings
2. Repérez le champ Organization ID en haut de la page
3. Copiez cet ID

​

Étape 5 : configurer Wirespeed

1. Connectez-vous à Wirespeed et accédez à Intégrations > Ajouter une intégration
2. Sélectionnez Google Security Center
3. Saisissez les informations suivantes :
   • ID d’organisation : l’ID d’organisation obtenu à l’étape 4
   • Clé du compte de service : le contenu JSON complet obtenu à l’étape 2
4. Cliquez sur Enregistrer

​

Option B : Workload Identity Federation

​

Étape 1 : créer un Workload Identity Pool

1. Dans la Google Cloud Console, accédez à IAM & Admin > Workload Identity Federation.
2. Cliquez sur Create pool.
3. Saisissez un nom de pool, par exemple wirespeed.
4. Cliquez sur Continue.

​

Étape 2 : ajouter un fournisseur AWS

1. Sélectionnez AWS comme type de fournisseur.
2. Saisissez un nom de fournisseur, par exemple wirespeed-aws.
3. Saisissez l’ID du compte AWS de Wirespeed : 194722417411
4. Configurez les mappages d’attributs :
   • google.subject=assertion.arn
   • attribute.account=assertion.account
   • attribute.aws_role=assertion.arn.extract('assumed-role/{role_name}/')
5. Configurez la condition d’attribut : assertion.account=='194722417411'
6. Enregistrez le fournisseur.

​

Étape 3 : accorder l’accès à Security Command Center

1. Accédez au niveau de votre Organization dans la Google Cloud Console.
2. Accédez à IAM & Admin > IAM.
3. Cliquez sur Grant Access.
4. Dans le champ New principals, saisissez l’ensemble de principaux correspondant au rôle AWS de Wirespeed :
   • principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.aws_role/wirespeed-gcp
5. Remplacez PROJECT_NUMBER par le Project number numérique affiché sur le tableau de bord Google Cloud pour le projet qui contient le workload identity pool. Il ne s’agit pas du Project ID.
6. Remplacez POOL_ID par l’ID du workload identity pool, par exemple wirespeed.
7. Sélectionnez Security Command Center Admin Viewer (roles/securitycenter.adminViewer).
8. Cliquez sur Save.

​

Étape 4 : télécharger la configuration des identifiants

1. Revenez à IAM & Admin > Workload Identity Federation.
2. Ouvrez le workload identity pool et le fournisseur que vous avez créés pour Wirespeed.
3. Cliquez sur Grant access.
4. Cliquez sur Download config.
5. Choisissez la configuration d’identité fédérée directe pour le fournisseur AWS.
6. Téléchargez le fichier JSON de configuration des identifiants Google.

​

Étape 5 : trouver l’ID de votre organisation

1. Dans la Google Cloud Console, sélectionnez votre organisation, et non un projet.
2. Accédez à IAM & Admin > Settings.
3. Repérez le champ Organization ID en haut de la page.
4. Copiez cet ID.

​

Étape 6 : configurer Wirespeed

1. Connectez-vous à Wirespeed et accédez à Intégrations > Ajouter une intégration.
2. Sélectionnez Google Security Center.
3. Sélectionnez Workload Identity Federation comme méthode d’authentification.
4. Saisissez les informations suivantes :
   • ID d’organisation : l’ID d’organisation obtenu à l’étape 5
   • Configuration de l’identité de charge de travail : le JSON complet de configuration des identifiants Google obtenu à l’étape 4
5. Cliquez sur Enregistrer.