Požadovaná oprávnění v účtu GCP
ID účtu služby eset-cwpp-service-account (zobrazený název: ESET CWPP Service Account, formát e-mailu: eset-cwpp-service-account@eset-cwpp-<hash>.iam.gserviceaccount.com) se vytvoří automaticky onboardingu v GCP. Má oprávnění k prohlížení a správě v rámci celé organizace zákazníka v GCP, takže CWP může vyhledávat a kontrolovat cloudové prostředky.
Přiřazení rolí
Role IAM |
Úroveň organizace |
Úroveň projektu |
Účel / Proč je to nutné |
|---|---|---|---|
roles/resourcemanager.organizationViewer |
Ano |
Ne |
Zobrazení prostředku organizace jen pro čtení. Vyžaduje se k získání metadat organizace a hierarchie v rozsahu organizace. |
roles/resourcemanager.folderViewer |
Ano |
Ne |
Zobrazení složek v rámci organizace pouze pro čtení. Vyžaduje se k procházení hierarchie složek při zjišťování projektů v celé organizaci. |
roles/cloudasset.viewer |
Ano |
Ano |
Přístup k inventáři cloudových objektů jen pro čtení. Vyžaduje se pro zobrazení seznamu a zjištění všech prostředků v GCP (virtuálních zařízení, projektů). |
roles/compute.instanceAdmin.v1 |
Ano |
Ano |
Úplná kontrola nad instancemi Compute Engine. Vyžaduje se pro: •vypsání instancí virtuálních zařízení ve všech projektech v organizaci. •načtení instancí a podrobností o typu zařízení pro inventář. •přidání/odebrání štítku „cwpp-li-<hash>“ na instanci virtuálního zařízení během nasazení pomocí Online instalátoru – tento štítek se používá jako filtr instance při přiřazování politiky operačního systému k cílení na konkrétní virtuální zařízení a po dokončení instalace se odstraní. |
roles/logging.viewer |
Ano |
Ano |
Přístup ke cloudovému protokolování (audit logy) pouze pro čtení. Vyžadováno pro sběr a čtení záznamů audit logu. |
roles/osconfig.osPolicyAssignmentAdmin |
Ano |
Ano |
Vytvoření, aktualizace aktualizační odstranění přiřazení politik operačního systému. Vyžadováno pro nasazení a správu přiřazení politik operačního systému, které orchestrují instalaci aplikace ESET na virtuálních zařízeních. |
roles/osconfig.osPolicyAssignmentReportViewer |
Ano |
Ano |
Čtení přehledů o dodržování předpisů pro přiřazení politik operačního systému. Vyžaduje se ke kontrole dodržování předpisů nebo stavu nasazených politik operačního systému. |
roles/osconfig.inventoryViewer |
Ano |
Ano |
Čtení dat inventáře operačního systému shromážděných VM Managerem. Vyžadováno pro zjištění operačního systému virtuálního zařízení (název, verze), podrobností a připravenosti k nasazení. |