目次

GCPアカウントを追加する

場所

Main Dashboard> [アカウントの追加]を選択します。

ユーザアクセス

ユーザの役割 アクセス可能
Administrator
Power User
Custom - Full Access
Read Only
Custom - Read Only

Conformity GCPへのアクセスを設定する

Conformity GCPへのアクセスを有効にするには、GCPサービスアカウントが必要です。 GCP Service Account は、 サブスクリプション リソースに対してルールチェックを実行するために必要な読み取り専用権限を提供し、 Conformity 組織に追加します。

サービスアカウントとは サービスアカウントは、個々のエンドユーザではなく、アプリケーションに関連付けられた特殊な種類のGoogleアカウントです。Conformity は、サービスアカウントのIDを使用してGoogle APIを呼び出すため、ユーザが直接関与することはありません。

GCP Service Accountを設定するには、GCP Consoleで次の手順を実行します。

  1. Google APIを有効にするための前提条件
  2. Custom Roleを作成する
  3. Conformity用の GCP Service Account を作成する
  4. Service Account for Projectsへのアクセスを割り当てる
  5. ConformityにGCPアカウントを追加する

前提条件:Google APIを有効にする

ConformityのGCPサービスアカウントを作成する前に、すべてのプロジェクト内の既存のGCPアカウントでGoogle APIを有効にする必要があります。

  1. 既存のGCPアカウントにログインします。 Conformityで保護するすべてのGCPプロジェクトに、このアカウントからアクセスできることを確認してください。
  2. Conformityに追加するプロジェクトを選択します。複数のプロジェクトがある場合は、後から選択できます。例:**Cloud Conformity Project 01
    create-custom-role
  3. [ Google Cloud Platform]をクリックし、ホーム画面が表示されていることを確認します。
  4. 左側のツリービューで、[ APIs & Services > Dashboard]を選択します。
  5. + ENABLE APIS AND SERVICESをクリックします。
  6. 検索ボックスに「 Cloud Resource Manager API 」と入力し、[ Cloud Resource Manager API ]ボックスをクリックします。
  7. [ ENABLE]をクリックします。 手順5〜7を繰り返し、以下の表に従って、 Conformity で現在サポートされているAPI&サービスを追加します。
サービス API&サービス
BigQuery BigQuery API
CloudAPI APIキーAPI
CloudIAM Cloud Resource Manager APIIdentity and Access Management (IAM) API
Identity and Access Management (IAM) API
CloudKMS Cloud Key Management Service (KMS) API
CloudVPC Compute Engine API
CloudStorage Cloud Storage API
ComputeEngine Compute Engine API
CloudSQL Cloud SQL Admin API
CloudLoadBalancing Compute Engine API
CloudDNS Cloud DNS API
Dataproc Cloud Dataproc API
GKE Kubernetes Engine API
CloudLogging Cloud Logging API
PubSub Cloud Pub/Sub API

Conformityにさらにプロジェクトを追加するには、手順1〜9を繰り返します。詳細については、Googleのヘルプページで、GCPでAPIを有効または無効にする方法を参照してください。

Custom Roleを作成する

Conformityに複数のプロジェクトを追加する場合は、すべてのGCPプロジェクトに対して Custom Role を作成する必要があります。

  1. GCPアカウントから、 IAM & Admin Roles ページに移動します。
  2. 上部のドロップダウンリストから、役割を作成する組織またはプロジェクトを選択します。
  3. Create Roleをクリックします create-custom-role
  4. TitleDescriptionRole launch stageを入力します。 たとえば、次のとおりです。
    • Title: Cloud One Conformity Access
    • 説明: Cloud One Conformity アクセス用のプロジェクトレベルの Custom Role
    • Role launch stage: Alpha
      create-custom-role
  5. +ADD PERMISSIONSをクリックします。
  6. Conformity Bot を有効にする権限のリストを追加し、[ CREATE]をクリックします。

Custom Role を関連付ける Conformity のGCPプロジェクトごとに、2〜7の手順を繰り返します。

サービス 権限が必要
BigQuery
bigquery.datasets.get

bigquery.tables.get
CloudAPI apikeys.keys.list
CloudIAM
resourcemanager.projects.get

resourcemanager.projects.getIamPolicy
iam.serviceAccounts.get
CloudKMS
cloudkms.keyRings.list

cloudkms.cryptoKeys.list

cloudkms.cryptoKeys.getIamPolicy

cloudkms.locations.list
CloudVPC
compute.firewalls.list

compute.networks.list

compute.subnetworks.list
CloudStorage
storage.buckets.list

storage.buckets.getIamPolicy
ComputeEngine
compute.instances.list

compute.images.list

compute.images.getIamPolicy

compute.projects.get
CloudSQL cloudSql.instances.list
CloudLoadBalancing
compute.backendServices.list

compute.globalForwardingRules.list

compute.targetHttpsProxies.list

compute.targetSslProxies.list

compute.sslPolicies.list
CloudDNS
dns.managedZones.list

dns.policies.list
Dataproc dataproc.clusters.list
GKE container.clusters.list
CloudLogging
logging.sinks.list

logging.logMetrics.list

monitoring.alertPolicies.list
PubSub pubsub.topics.list

create-custom-role

別の方法:YAMLファイルを使用してカスタムの役割を作成する:

  1. プロジェクトレベルでカスタムの役割を作成するには、次のコマンドを実行します。

    gcloud iam roles create (role-id) --project=(project-id) --file=(yaml-file-path)

  2. 組織レベルでカスタムの役割を作成するには、次のコマンドを実行します。

    gcloud iam roles create (role-id) --organization=(organization-id) --file=(yaml-file-path)

サンプルのYAMLファイルは、 Conformity Bot に必要な権限を示しています。

title: "Cloud One Conformity Bot Access" 
description: "Project level Custom Role for Cloud One Conformity access " 
stage: "ALPHA" 

includedPermissions: 
- apikeys.keys.list
- bigquery.datasets.get
- bigquery.tables.get
- cloudkms.cryptoKeys.getIamPolicy 
- cloudkms.cryptoKeys.list 
- cloudkms.keyRings.list 
- cloudkms.locations.list 
- cloudsql.instances.list 
- cloudsql.instances.listServerCas 
- compute.backendServices.list 
- compute.firewalls.list 
- compute.globalForwardingRules.list 
- compute.images.getIamPolicy 
- compute.images.list 
- compute.instances.list 
- compute.networks.list 
- compute.subnetworks.list 
- compute.projects.get
- compute.targetHttpsProxies.list
- compute.targetSslProxies.list
- compute.sslPolicies.list
- container.clusters.list 
- dataproc.clusters.list
- dns.policies.list
- dns.managedZones.list
- iam.serviceAccounts.get
- iam.serviceAccounts.list
- iam.serviceAccountKeys.list
- logging.sinks.list 
- logging.logMetrics.list
- monitoring.alertPolicies.list
- pubsub.topics.list 
- resourcemanager.projects.get 
- resourcemanager.projects.getIamPolicy 
- storage.buckets.getIamPolicy 
- storage.buckets.list 

サービスアカウントを作成する

開始する前に、GCP APIが有効になっていることを確認してください。「 前提条件:Google APIを有効にする」 および「 Custom Roleを作成する」を参照してください。

  1. 既存のGCPアカウントから任意のプロジェクトを選択します。例: Cloud Conformity Project 01
  2. 上部にある[ Google Cloud Platform ]をクリックして、ホーム画面を表示していることを確認します。
  3. 左側のツリービューで、IAM & admin > Service accountsの順に選択します。
  4. + CREATE SERVICE ACCOUNTをクリックします。
  5. サービスアカウントの詳細、 Service account name、ID、および説明を入力します。
    例:

    • Service account name: Cloud One Conformity Bot
    • Service account ID:cloud-one-conformity-bot[@.iam.gserviceaccount.com] *(mailto:gcp-deep-security@%3Cyour_project_ID%3E.iam.gserviceaccount.com)
    • Service account description: Cloud One Conformity Bot をGCPに接続するためのGCPサービスアカウント。

    create-service-account

  6. [ CREATE AND CONTINUE]をクリックします。
    create-service-account

  7. [ Select a role ]ドロップダウンリストから、[ Custom > Cloud One Conformity Access ]役割を選択するか、 Type to filterエリア内をクリックし、 Cloud One Conformity Access と入力して検索します。 create-service-account

  8. CONTINUEをクリックします。

  9. [ DONE ]をクリックして、このサービスアカウントへのアクセスをユーザに許可します。サービスアカウントが Service accounts タブに表示されます。 create-service-account

  10. Service Accounts ページでプロジェクト名を選択してクリックします。 create-service-account

  11. [ KEYS ]タブに移動し、[ ADD KEYcreate new key]をクリックします。
    create-service-account

  12. [ JSON ]を選択し、[ CREATE]をクリックします。 create-service-account

  13. キー(JSONファイル)を安全な場所に保存します。 重要:JSONファイルは、後でアップロードできるようにアクセス可能な場所に配置してください。ファイルを移動または配布する必要がある場合は、安全な方法を使用して移動してください。

  14. [ CLOSE]をクリックします。

これで、必要な役割を持つGCPサービスアカウントと、JSON形式のサービスアカウントキーが作成されました。選択したプロジェクト(Project01)にサービスアカウントが作成され、追加のプロジェクトに関連付けることができます。詳細については、次のセクションを参照してください。

Service Account for Projectsへのアクセスを割り当てる

GCPに複数のプロジェクトがある場合は、作成したサービスアカウントに関連付ける必要があります。サービスアカウントへのアクセス権を割り当てると、すべてのプロジェクトが Conformityに表示されます。

重要:開始する前に、前提条件: Google APIを有効にする および GCPサービスアカウントを作成するを完了していることを確認してください。

  1. 作成したGCPサービスアカウントのメールアドレスを確認します。
  2. GCPアカウントから、GCPサービスアカウントを作成したプロジェクトを選択します(この例では、 Cloud Conformity Project 01)。
  3. 左側で、IAM & Admin > Service accountsに展開します。
  4. メイン画面で、[ Email ]列を確認して、GCPサービスアカウントのメールを探します。例:cloud-one-conformity-bot@cloud-conformity-project-01.iam.gserviceaccount.com
  5. サービスアカウントのメールには、そのサービスが作成されたプロジェクトの名前が含まれています。
  6. このアドレスをメモするか、クリップボードにコピーしてください。
  7. 上部のドロップダウンリストから別のプロジェクトを選択して移動します。例: Cloud Conformity Project 02
  8. 上部にある[ Google Cloud Platform ]をクリックして、ホーム画面を表示していることを確認します。
  9. 左側のツリービューで、[IAM & Admin > IAM]をクリックします。 assign-access-to-service-account

  10. メイン画面の上部にある[ ADD ]をクリックします。

  11. [ New Members ]フィールドに、 Cloud Conformity Project 01 GCPサービスアカウントのメールアドレスを貼り付けます。例:cloud-one-conformity-bot@cloud-conformity-project-01.iam.gserviceaccount.com
  12. Select a roleドロップダウンリストで、Custom > Conformity Botの役割、またはType to filterエリア内をクリックし、Conformity Botを入力して見つけます。
  13. [ 保存]をクリックします。 assign-access-to-service-account

  14. GCPサービスアカウントに関連付けるプロジェクトごとに、手順1〜8を繰り返します。

詳細については、Googleのヘルプページの サービスアカウントの作成方法を参照してください。

これで、作成したGCPアカウントを Conformityに追加する準備ができました。

ConformityにGCPアカウントを追加する

  1. ConformityのGoogle Cloud Platformサービスアカウントをまだ作成していない場合は作成します。
  2. Conformity コンソールで、 Add an accountに移動します。
  3. GCP Projectを選択します。
  4. Service Account display Nameを入力します。例:GCP Conformity
  5. Browse をクリックして、 Google Service Account key JSONをアップロードします。キーは、先にGCPサービスアカウントを作成したときに保存したJSONファイルです。詳細については、「 サービスアカウントの作成 」を参照してください。
  6. Nextをクリックします。
  7. Conformity に追加するGCPプロジェクトを選択し、[ Next]をクリックします。
  8. 概要情報を確認し、[ Finish]をクリックします。

GCPプロジェクトが Conformityに正常に追加されると、次のアップデートが表示されます。 * Conformity Bot によって、新しく追加されたアカウントの検索が開始されます。 * Conformity コンソールでは、GCPサービスアカウントとそれに関連付けられたプロジェクトがグループ内のメニューに表示されます。 * 追加するGCPサービスアカウントごとに、この手順を繰り返します。

Conformityからサービスアカウントを削除

  1. Conformity アカウントから、 Administrationに移動します。
  2. Subscriptionsを選択します。
  3. 既存のサービスアカウントで[ Delete… ]をクリックします。
    注意:サービスアカウントは、そのプロジェクトがすべて削除された後にのみ削除できます。