Необхідні дозволи в обліковому записі GCP
Ідентифікатор облікового запису служби eset-cwpp-service-account (відображуване ім’я: ESET CWPP Service Account, формат адреси електронної пошти: eset-cwpp-service-account@eset-cwpp-<hash>.iam.gserviceaccount.com) створюється автоматично під час упровадження GCP. Він має дозволи на читання/керування в організації GCP клієнта або вибраних проєктах, тому CWP може виявляти й перевіряти хмарні ресурси.
Призначення ролей
Роль IAM |
На рівні організації |
На рівні проєкту |
Мета / навіщо це потрібно |
|---|---|---|---|
roles/resourcemanager.organizationViewer |
Так |
Ні |
Перегляд ресурсу організації з доступом лише для читання. Потрібен для отримання метаданих і ієрархії організації в масштабах організації. |
roles/resourcemanager.folderViewer |
Так |
Ні |
Перегляд папок всередині організації з доступом лише для читання. Потрібен для обходу ієрархії папок під час виявлення проєктів у всій організації. |
roles/cloudasset.viewer |
Так |
Так |
Доступ лише для читання до Cloud Asset Inventory. Потрібен для створення списків і виявлення всіх ресурсів GCP (віртуальних машин, проєктів). |
roles/compute.instanceAdmin.v1 |
Так |
Так |
Повний контроль над екземплярами Compute Engine. Потрібен для: •створення списків екземплярів віртуальних машин для всіх проєктів в організації; •отримання відомостей про екземпляр і тип машини для інвентаризації; •додавання/видалення мітки cwpp-li-<hash> на екземплярі віртуальної машини під час розгортання ESET Live Installer — мітка використовується як фільтр екземплярів призначення політики ОС для вибору конкретної віртуальної машини й видаляється після завершення інсталяції. |
roles/logging.viewer |
Так |
Так |
Доступ лише для читання до хмарного журналювання (журналів аудиту). Потрібен для збору й читання записів журналу аудиту. |
roles/osconfig.osPolicyAssignmentAdmin |
Так |
Так |
Створення, оновлення й видалення призначень політик ОС. Потрібно для розгортання й контролю призначень політик ОС, які керують інсталяцією захисту ESET на віртуальних машинах. |
roles/osconfig.osPolicyAssignmentReportViewer |
Так |
Так |
Читання звітів про відповідність призначень політик ОС. Потрібно для перевірки відповідності/статусу розгорнутих політик ОС. |
roles/osconfig.inventoryViewer |
Так |
Так |
Читання даних інвентаризації ОС, зібраних диспетчером віртуальних машин. Потрібно для визначення ОС віртуальних машин (назви, версії), відомостей і статусу готовності до розгортання. |