GCPアカウントを追加

Conformity GCPへのアクセスを設定する

1. Conformity GCPへのアクセスを設定する
2. 前提条件: Google APIを有効にする
3. Custom Roleを作成
4. サービスアカウントを作成
5. プロジェクトのService Account for Projectsへのアクセス権を割り当てる
6. ConformityにGCPアカウントを追加する

前提条件: Google APIを有効にする

1. 既存のGCPアカウントにログインします。このアカウントが、Conformityで保護したいすべてのGCPプロジェクトにアクセスできることを確認してください。
2. Conformityに追加したいプロジェクトを選択してください。複数のプロジェクトがある場合は、後で選択できます。例えば **Cloud Conformity Project 01

   

3. [Google Cloud Platform]をクリックして、ホーム画面にいることを確認してください。
4. 左側のツリービューから、[APIs & Services] → [Dashboard]を選択します。
5. [+ ENABLE APIS AND SERVICES]をクリックしてください。
6. 検索ボックスに[Cloud Resource Manager API]を入力し、[Cloud Resource Manager API]ボックスをクリックします。
7. [ENABLE]をクリックします。手順5～7を繰り返し、以下の表に従って現在ConformityがサポートしているAPIとサービスを追加します。

Custom Roleを作成

注意 複数のプロジェクトをConformityに追加する場合は、各GCPプロジェクトに対してCustom Roleを作成する必要があります。

1. GCPアカウントから、[IAM & Admin Roles]ページに移動します。
2. 上部のドロップダウンリストから、Roleを作成したいOrganizationまたはプロジェクトを選択してください。
3. [Create Role.]をクリック

   

4. [Title]、[Description,]、[Role launch stage.]を入力してください 例:
   • [Title]: Cloud One Conformity Access
   • [Description]: Cloud One Conformity AccessのプロジェクトレベルのCustom Role
   • [Role launch stage:] アルファ

     

5. [+ADD PERMISSIONS]をクリックしてください。
6. Conformity Botを有効にするための権限リストを追加し、[CREATE]をクリックします。

代替案: YAMLファイルを使用してCustom Roleを作成する:

1. プロジェクトレベルでCustom Roleを作成するには、次のコマンドを実行します。

   gcloud iam roles create (role-id) --project=(project-id) --file=(yaml-file-path)

2. カスタムロールをOrganizationレベルで作成するには、次のコマンドを実行してください:

   gcloud iam roles create (role-id) --organization=(organization-id) --file=(yaml-file-path)

title: "Cloud One Conformity Bot Access" 
description: "Project level Custom Role for Cloud One Conformity access " 
stage: "ALPHA" 

includedPermissions: 
- alloydb.clusters.list
- alloydb.instances.list
- accessapproval.settings.get
- aiplatform.indexes.list
- aiplatform.indexEndpoints.list
- aiplatform.tensorboardExperiments.list 
- aiplatform.tensorboards.list
- aiplatform.models.list
- aiplatform.pipelineJobs.list
- apigateway.locations.get
- apigateway.gateways.list
- apigateway.gateways.getIamPolicy
- apigateway.apis.list
- apigateway.apis.getIamPolicy
- apigateway.apis.get
- apigateway.apiconfigs.list
- apigateway.apiconfigs.getIamPolicy
- apigee.apiproducts.list
- apigee.deployments.list
- apigee.envgroupattachments.list
- apigee.envgroups.list
- apigee.environments.getStats
- apigee.instanceattachments.list
- apigee.instances.list
- apigee.proxies.list
- apigee.proxyrevisions.get
- apikeys.keys.list
- artifactregistry.dockerimages.list
- artifactregistry.repositories.getIamPolicy
- artifactregistry.repositories.list
- bigtable.instances.list
- bigtable.clusters.list
- bigtable.instances.getIamPolicy
- bigquery.datasets.get
- bigquery.tables.get
- bigquery.tables.list
- bigquery.tables.getIamPolicy
- cloudkms.cryptoKeys.getIamPolicy 
- cloudkms.cryptoKeys.list 
- cloudkms.keyRings.list 
- cloudkms.locations.list 
- cloudsql.instances.list 
- cloudsql.instances.listServerCas
- compute.forwardingRules.list
- compute.backendServices.list
- compute.backendServices.getIamPolicy
- compute.disks.getIamPolicy
- compute.disks.list
- compute.machineImages.getIamPolicy
- compute.machineImages.list
- compute.regionBackendServices.list
- compute.regionBackendServices.getIamPolicy
- compute.firewalls.list 
- compute.globalForwardingRules.list 
- compute.images.getIamPolicy 
- compute.images.list 
- compute.instances.list
- compute.instances.getIamPolicy
- compute.networks.list 
- compute.subnetworks.list
- compute.subnetworks.getIamPolicy
- compute.projects.get
- compute.targetHttpsProxies.list
- compute.targetSslProxies.list
- compute.sslPolicies.list
- compute.urlMaps.list
- compute.instanceGroups.list
- compute.vpnGateways.list
- compute.zones.list
- compute.backendBuckets.list
- compute.regionSslPolicies.list 
- container.clusters.list 
- dataproc.clusters.list
- dataproc.clusters.getIamPolicy
- datastore.databases.list
- dns.policies.list
- dns.managedZones.list
- file.instances.list
- file.backups.list
- iam.serviceAccounts.get
- iam.serviceAccounts.list
- iam.serviceAccountKeys.list
- iam.serviceAccounts.getIamPolicy
- iam.roles.list
- logging.sinks.list
- logging.logEntries.list
- logging.logMetrics.list
- monitoring.alertPolicies.list
- memcache.instances.list
- orgpolicy.policy.get
- pubsub.topics.list 
- pubsublite.topics.list
- pubsublite.topics.listSubscriptions
- redis.clusters.list
- redis.instances.list
- resourcemanager.projects.get 
- resourcemanager.projects.getIamPolicy 
- servicemanagement.services.get
- serviceusage.services.list
- spanner.instances.getIamPolicy
- spanner.instances.list
- storage.buckets.getIamPolicy 
- storage.buckets.list 
- certificatemanager.certs.list
- compute.routers.list
- compute.targetVpnGateways.list
- networkconnectivity.hubs.list
- networkconnectivity.hubs.listSpokes
- cloudfunctions.functions.list
- cloudfunctions.functions.getIamPolicy
- notebooks.instances.list
- notebooks.instances.getIamPolicy
- secretmanager.secrets.list
- secretmanager.secrets.getIamPolicy

サービス アカウントを作成

1. 既存のGCPアカウントから任意のプロジェクトを選択してください。例えば: Cloud Conformity Project 01。
2. 一番上の[Google Cloud Platform]をクリックして、ホーム画面にいることを確認してください。
3. 左側のツリービューから、[IAM & admin] → [Service accounts]を選択します。
4. [+ CREATE SERVICE ACCOUNT]をクリックしてください。
5. サービスアカウントの詳細、すなわち、Service account name、ID、および説明を入力してください。例:
   • [Service account name]: Cloud One Conformity Bot
   • [Service account ID]: cloud-one-conformity-bot[@<your_project_ID>.iam.gserviceaccount.com] *(mailto:gcp-deep-security@%3Cyour_project_ID%3E.iam.gserviceaccount.com)
   • [Service account description]: Cloud One Conformity BotをGCPに接続するためのGCPサービスアカウント。

   

6. [CREATE AND CONTINUE]をクリックしてください。

   

7. [Select a role] ドロップダウンリストから [Custom] → [Cloud One Conformity Access] Role を選択するか、[Type to filter] エリア内をクリックして [Cloud One Conformity Access] を入力して見つけてください。

   

8. [CONTINUE]をクリックしてください。
9. [DONE]をクリックして、ユーザにこのサービスアカウントへのアクセスを許可します。サービスアカウントは[“Service accounts’]タブに表示されます。

   

10. [the Service Accounts]ページからプロジェクト名を選択してクリックしてください。

    

11. [KEYS]タブに移動し、[ADD KEY]をクリックして[create new key]します。

    

12. [JSON]を選択し、[CREATE]をクリックします。

    

13. キー (JSONファイル) を安全な場所に保存してください。[Important]: JSONファイルを後でアップロードできる場所に配置してください。ファイルを移動または配布する必要がある場合は、安全な方法を使用して行ってください。
14. [CLOSE]をクリックしてください。

プロジェクトのService Account for Projectsにアクセス権を割り当てる

1. 作成したGCP Service Accountのメールを確認してください。
   • GCPアカウントから、GCP Service Accountを作成したプロジェクト (この例では[Cloud Conformity Project 01]) を選択します。
   • 左側で、[IAM & Admin] → [Service accounts]を展開します。
   • メインペインで、[メール]列の下にあるGCP Service Accountメールを探します。例えば: cloud-one-conformity-bot@cloud-conformity-project-01.iam.gserviceaccount.com
   • サービスアカウントメールには、作成されたプロジェクトの名前が含まれています。
   • このアドレスをメモするか、クリップボードにコピーしてください。
2. ドロップダウンリストから別のプロジェクトを選択して移動します。例えば: [Cloud Conformity Project 02]。
3. 一番上の[Google Cloud Platform]をクリックして、ホーム画面にいることを確認してください。
4. 左側のツリービューから、[IAM & Admin] → [IAM]をクリックします。

   

5. メインペインの上部にある[ADD]をクリックします。
6. [New members] フィールドに、[Cloud Conformity Project 01] GCP Service Accountメールアドレスを貼り付けます。例: cloud-one-conformity-bot@cloud-conformity-project-01.iam.gserviceaccount.com
7. [Select a role] ドロップダウンリストから [Custom] → [Conformity Bot] Roleを選択するか、[Type to filter] エリア内をクリックして [Conformity Bot] を入力して見つけてください。
8. [SAVE]をクリックします。

   

9. GCP Service Accountに関連付けたい各プロジェクトについて、手順1～8を繰り返します。

ConformityにGCPアカウントを追加する

1. まだ行っていない場合は、Conformity用のGoogle Cloud Platformサービスアカウントを作成してください。
2. Conformityコンソールで、[Add an account]に移動します。
3. [GCP Project]を選択してください。
4. [Service Account display Name]を入力してください。例: GCP Conformity。
5. [Browse]をクリックして[Google Service Account key JSON]をアップロードします。キーは、GCP Service Accountを作成する際に以前保存したJSONファイルです。詳細については、サービスアカウントの作成を参照してください。
6. [Next]をクリックします。
7. 追加したいGCPプロジェクトを選択し、[Next]をクリックしてください。
8. 概要情報を確認し、[Finish]をクリックしてください。

• Conformity Botは新しく追加されたアカウントのスキャンを開始します。
• Conformityコンソールには、GCP Service Accountとその関連プロジェクトがメニューのグループに表示されます。
• 追加したい各GCP Service Accountについて、この手順のステップを繰り返してください。

ConformityからService accountsを削除

1. Conformityアカウントから、[Administration.]に移動してください
2. [Subscriptions.]を選択
3. 既存のService Accountで[Delete…]をクリックします。[Note]: Service Accountsは、すべてのプロジェクトが削除された後にのみ削除できます。