Niveaux de service Standard (ancienne version), Standard, Premium et Enterprise (obsolète)
Le niveau de service Security Command Center Enterprise sera arrêté le 21 mai 2027.
Si votre organisation utilise le niveau de service Enterprise, elle passera automatiquement au niveau de service Premium le 21 mai 2027 ou après.
Contactez votre responsable de compte ou un spécialiste des ventesGoogle Cloud si vous avez des questions.
Cette page explique comment utiliser Identity and Access Management (IAM) pour contrôler l'accès aux ressources dans une activation de Security Command Center au niveau de l'organisation.
Cette page vous concerne si l'une des conditions suivantes s'applique :
Security Command Center est activé au niveau de l'organisation, et non au niveau du projet.
Security Command Center Standard est déjà activé au niveau de l'organisation.
De plus, vous avez activé Security Command Center Premium sur un ou plusieurs projets.
Si vous avez activé Security Command Center au niveau du projet et non au niveau de l'organisation, consultez plutôt IAM pour les activations au niveau du projet .
Si vous activez Security Command Center au niveau de l'organisation, vous pouvez contrôler l'accès aux ressources à différents niveaux de la hiérarchie des ressources. Security Command Center utilise les rôles IAM pour vous permettre de contrôler qui peut faire quoi avec les éléments, les résultats et les sources de sécurité au sein de votre environnement Security Command Center. Vous attribuez des rôles à des personnes physiques et à des applications, et chaque rôle donne des autorisations spécifiques.
Autorisations
Nécessaire pour l'activation
Pour activer Security Command Center, consultez l'une des pages suivantes en fonction de votre niveau de service :
Obligatoire pour l'administration et l'utilisation continues
Cette section décrit les autorisations nécessaires pour administrer et utiliser Security Command Center Premium et Standard.
Pour en savoir plus sur Security Command Center Enterprise, consultez Configurer les autorisations pour une utilisation continue de Security Command Center Enterprise .
Pour modifier la configuration de votre organisation, vous avez besoin des deux rôles suivants au niveau de l'organisation :
Si un utilisateur ne nécessite pas de droits de modification, pensez à lui accorder des rôles de lecteur.
Pour afficher tous les éléments, résultats et chemins d'attaque dans Security Command Center, les utilisateurs doivent disposer du rôle Lecteur administrateur du centre de sécurité (roles/securitycenter.adminViewer) au niveau de l'organisation.
Pour afficher les paramètres, les utilisateurs doivent disposer du rôle
Administrateur du centre de sécurité (roles/securitycenter.admin) au niveau de l'organisation.
Pour restreindre l'accès à des dossiers et projets individuels, n'attribuez pas tous les rôles au niveau de l'organisation. Accordez plutôt les rôles suivants au niveau du dossier ou du projet :
Chaque service de détection peut nécessiter des autorisations supplémentaires pour être activé ou configuré. Pour en savoir plus, consultez la documentation spécifique à chaque service.
Rôles au niveau de l'organisation
Lorsque des rôles IAM sont appliqués au niveau de l'organisation, les projets et les dossiers de cette organisation héritent de ses liaisons de rôle .
La figure suivante illustre une hiérarchie de ressources Security Command Center classique avec des rôles accordés au niveau de l'organisation.
Hiérarchie de ressources Security Command Center et rôles au niveau de l'organisation (cliquez pour agrandir)
Les rôles IAM incluent des autorisations permettant d'afficher, de modifier, de mettre à jour, de créer ou de supprimer des ressources. Les rôles attribués au niveau de l'organisation dans Security Command Center vous permettent d'appliquer des actions prescrites aux résultats, aux éléments et aux sources de sécurité dans l'ensemble de votre organisation. Par exemple, un utilisateur disposant du
rôle Éditeur de résultats du centre de sécurité (roles/securitycenter.findingsEditor) peut afficher ou modifier les résultats associés à n'importe quelle ressource dans tout projet ou dossier de votre organisation. Avec cette structure, il n'est pas nécessaire d'attribuer des rôles aux utilisateurs dans chaque dossier ou projet.
Pour obtenir des instructions sur la gestion des rôles et des autorisations, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations .
Les rôles au niveau de l'organisation ne conviennent pas à tous les cas d'utilisation, en particulier pour les applications sensibles ou les normes de conformité qui nécessitent un contrôle des accès strict. Pour créer des règles d'accès précises, vous pouvez attribuer des rôles au niveau des dossiers et des projets.
Rôles au niveau des dossiers et au niveau du projet
Security Command Center vous permet d'accorder des rôles IAM pour Security Command Center dans des dossiers et des projets spécifiques, en créant plusieurs vues ou silos, au sein de votre organisation. Vous accordez aux utilisateurs et aux groupes différentes autorisations d'accès et de modification aux dossiers et aux projets de votre organisation.
Grâce aux rôles de dossier et de projet, les utilisateurs disposant de rôles Security Command Center peuvent gérer les éléments et les résultats dans des projets ou des dossiers désignés. Par exemple, un ingénieur de la sécurité peut disposer d'un accès limité à certains dossiers et projets, tandis qu'un administrateur de la sécurité peut gérer toutes les ressources au niveau de l'organisation.
Les rôles liés aux dossiers et aux projets permettent d'appliquer des autorisations Security Command Center à des niveaux inférieurs de la hiérarchie de ressources de votre organisation. En revanche, ils ne modifient pas la hiérarchie. La figure suivante montre un utilisateur disposant des autorisations Security Command Center pour accéder aux résultats d'un projet spécifique.
Hiérarchie des ressources Security Command Center et rôles au niveau du projet : les éléments en pointillés sont inaccessibles (cliquez pour agrandir) Les utilisateurs disposant de rôles de dossier et de projet voient un sous-ensemble de ressources d'une organisation.
Toutes les actions qu'ils effectuent sont limitées au même champ d'application. Par exemple, si un utilisateur est autorisé à accéder à un dossier, il peut accéder aux ressources de n'importe quel projet du dossier. Les autorisations associées à un projet permettent aux utilisateurs d'accéder aux ressources de ce projet.
Pour obtenir des instructions sur la gestion des rôles et des autorisations, consultez la page Gérer l'accès aux projets, aux dossiers et aux organisations .
Restrictions applicables aux rôles
En attribuant des rôles Security Command Center au niveau du dossier ou du projet, les administrateurs Security Command Center peuvent effectuer les opérations suivantes :
limiter les autorisations d'affichage ou de modification Security Command Center à des dossiers et des projets spécifiques ;
Accorder des autorisations d'affichage et de modification à des groupes d'éléments ou de résultats à des utilisateurs ou à des équipes spécifiques ;
Restreindre la possibilité d'afficher ou de modifier les détails des résultats, y compris les mises à jour des marques de sécurité et l'état des résultats, aux individus ou aux groupes ayant accès au résultat sous-jacent ;
Contrôler l'accès aux paramètres de Security Command Center, qui ne peuvent être consultés que par les personnes disposant de rôles au niveau de l'organisation.
Fonctions de Security Command Center
Les fonctions de Security Command Center sont également limitées en fonction des autorisations d'affichage et de modification.
Dans la console Google Cloud , Security Command Center permet aux personnes ne disposant pas d'autorisations au niveau de l'organisation de choisir uniquement les ressources auxquelles elles ont accès. Leur sélection met à jour tous les éléments de l'interface utilisateur, y compris les éléments, les résultats et les contrôles de paramètres. Les utilisateurs voient les droits associés à leurs rôles et s'ils peuvent accéder aux résultats ou les modifier dans leur champ d'application actuel.
L'API Security Command Center et Google Cloud CLI limitent également les fonctions aux dossiers et projets prescrits. Si des appels permettant de répertorier ou de regrouper des éléments et des résultats sont effectués par des utilisateurs disposant de rôles de dossier ou de projet, seuls les résultats ou les éléments associés à ces champs d'application sont renvoyés.
Pour les activations de Security Command Center au niveau de l'organisation, les appels permettant de créer ou de mettre à jour des résultats et de recevoir des notifications ne prennent en charge que le champ d'application de l'organisation.
Vous devez disposer de rôles au niveau de l'organisation pour effectuer ces tâches.
Pour afficher les chemins d'attaque générés par les simulations de chemins d'attaque, les autorisations appropriées doivent être accordées au niveau de l'organisation et la vue de la console Google Cloud doit être définie sur l'organisation.
Ressources parentes des résultats
En règle générale, un résultat est associé à une ressource, telle qu'une machine virtuelle (VM) ou un pare-feu. Security Command Center associe les résultats au conteneur le plus immédiat pour la ressource qui a généré le résultat. Par exemple, si une VM génère un résultat, celui-ci est associé au projet contenant la VM. Les résultats qui ne sont pas associés à une ressource Google Cloud sont associés à l'organisation et sont visibles par toute personne disposant des autorisations Security Command Center au niveau de l'organisation.
Rôles Security Command Center
Les rôles IAM suivants sont disponibles pour Security Command Center. Vous pouvez attribuer ces rôles au niveau de l'organisation, d'un dossier ou d'un projet.
Role
Permissions
Security Center Admin
(roles/securitycenter.admin )
Admin(super user) access to security center
Lowest-level resources where you can grant this role:
aiplatform.artifacts.get
aiplatform.artifacts.list
aiplatform.batchPredictionJobs.get
aiplatform.batchPredictionJobs.list
aiplatform.customJobs.get
aiplatform.customJobs.list
aiplatform.datasets.get
aiplatform.datasets.list
aiplatform.endpoints.get
aiplatform.endpoints.list
aiplatform.executions.get
aiplatform.executions.list
aiplatform.models.get
aiplatform.models.list
aiplatform.tuningJobs.get
aiplatform.tuningJobs.list
appengine.applications.get
artifactregistry.attachments.get
artifactregistry.attachments.list
artifactregistry.dockerimages.*
artifactregistry.dockerimages.get artifactregistry.dockerimages.list
artifactregistry.files.download
artifactregistry.files.get
artifactregistry.files.list
artifactregistry.locations.*
artifactregistry.locations.getartifactregistry.locations.list
artifactregistry.mavenartifacts.*
artifactregistry.mavenartifacts.get artifactregistry.mavenartifacts.list
artifactregistry.npmpackages.*
artifactregistry.npmpackages.get artifactregistry.npmpackages.list
artifactregistry.packages.get
artifactregistry.packages.list
artifactregistry.projectconfigs.get
artifactregistry.projectsettings.get
artifactregistry.pythonpackages.*
artifactregistry.pythonpackages.get artifactregistry.pythonpackages.list
artifactregistry.repositories.create
artifactregistry.repositories.downloadArtifacts
artifactregistry.repositories.exportArtifacts
artifactregistry.repositories.get
artifactregistry.repositories.list
artifactregistry.repositories.listEffectiveTags
artifactregistry.repositories.listTagBindings
artifactregistry.repositories.readViaVirtualRepository
artifactregistry.rules.get
artifactregistry.rules.list
artifactregistry.tags.get
artifactregistry.tags.list
artifactregistry.versions.get
artifactregistry.versions.list
assuredoss.*
assuredoss.config.getassuredoss.customers.createassuredoss.locations.getassuredoss.locations.listassuredoss.metadata.getassuredoss.metadata.listassuredoss.operations.cancelassuredoss.operations.deleteassuredoss.operations.getassuredoss.operations.list
auditmanager.auditReports.*
auditmanager.auditReports.generate auditmanager.auditReports.getauditmanager.auditReports.list
auditmanager.auditSchedules.*
auditmanager.auditSchedules.create auditmanager.auditSchedules.get auditmanager.auditSchedules.list auditmanager.auditSchedules.update
auditmanager.auditScopeReports.generate
auditmanager.billingSettings.get
auditmanager.controlReports.*
auditmanager.controlReports.get auditmanager.controlReports.list
auditmanager.controls.list
auditmanager.findings.list
auditmanager.locations.*
auditmanager.locations.enrollResource auditmanager.locations.getauditmanager.locations.list
auditmanager.operations.*
auditmanager.operations.getauditmanager.operations.list
auditmanager.resourceEnrollmentStatuses.*
auditmanager.resourceEnrollmentStatuses.get auditmanager.resourceEnrollmentStatuses.list
cloudasset.assets.exportAiplatformBatchPredictionJobs
cloudasset.assets.exportAiplatformCustomJobs
cloudasset.assets.exportAiplatformDataLabelingJobs
cloudasset.assets.exportAiplatformDatasets
cloudasset.assets.exportAiplatformEndpoints
cloudasset.assets.exportAiplatformHyperparameterTuningJobs
cloudasset.assets.exportAiplatformMetadataStores
cloudasset.assets.exportAiplatformModelDeploymentMonitoringJobs
cloudasset.assets.exportAiplatformModels
cloudasset.assets.exportAiplatformPipelineJobs
cloudasset.assets.exportAiplatformSpecialistPools
cloudasset.assets.exportAiplatformTrainingPipelines
cloudasset.assets.exportIamPolicy
cloudasset.assets.exportOSInventories
cloudasset.assets.exportResource
cloudasset.assets.queryAccessPolicy
cloudasset.assets.queryIamPolicy
cloudasset.assets.queryOSInventories
cloudasset.assets.queryResource
cloudasset.assets.searchAllIamPolicies
cloudasset.assets.searchAllResources
cloudasset.assets.
