シングルGCPプロジェクトのオンボーディング

GCP プロジェクトをオンボードするには:

  1. dome9.secure.comを開き、CloudGuard ポータルにログインします。

  2. CloudGuard ポータルで、Assets > Environments を開きます。

  3. Get Started with Google をクリックするか、または右上からADD NEW > GCP Project を選択します。

    単一のGPC プロジェクトをオンボードするウィザードの最初のウィンドウが開きます。

    複数のプロジェクトをオンボードするには、以下を参照してください。複数のGCP プロジェクトのオンボーディング

  4. オンボードウィザードで次の各段階を完了します。

    • API

    • サービス

    • Googleワークスペース

    • OU

注 - これらのGCP オプションのみを変更します。その他のオプションはデフォルト値のままにする必要があります。

CloudGuard で必要なAPI を有効にするには

  1. Google Cloud 管理ポータル にログインします。

  2. 左上で、CloudGuardするオンボードプロジェクトを選択します。

  3. ナビゲーションツリーで、APIs & Services > Enabled APIs & servicesを選択します。

  4. ENABLE APIS AND SERVICES ボタンをクリックします。

  5. Search ボックスにCompute Engine API と入力し、API が有効になっていることを確認します。

  6. Search ボックスに、Cloud Resource Manager API と入力します。

    有効になっていることを確認します。

  7. Search ボックスを使用して、CloudGuard が必要とするこれらの追加API を見つけて有効にします。

    • Kubernetes API

    • KMS API

    • IAM API

    • App Engine Admin API

    • BigQuery API

    • Admin SDK API

    • クラウド関数API

    • Cloud SQL Admin API

    • Cloud BigTable Admin API

    • Cloud Pub/Sub API

    • Cloud Memorystore Redis

    • サービス利用API

    • Cloud Filestore API

    • API Keys API

    • Cloud Logging API

    • クラウドDNS API

    • クラウドアセットAPI

  8. NEXTをクリックします。

サービスアカウントは、人以外のユーザ(このケースではCloudGuard) を表すGoogle Cloud アカウントの特殊な種類です。CloudGuard サービスアカウントは認証され、Google API でのデータアクセスとAPI リクエストの実行が許可されます。CloudGuard サービスアカウントには、GCP リソースにアクセスし、認証された API 呼び出しを行う IAM ロールが付与されています。

CloudGuard のGCP でサービスアカウントを作成するには

  1. ナビゲーションツリーで、APIs & Services > Credentialsを選択します。

  2. CREATE CREDENTIALS をクリックし、Service account を選択します。

    Create service account ページが開きます。

  3. Service account name にCloudGuard-Connect と入力し、CREATE AND CONTINUE をクリックします。

  4. ドロップダウンリストから次のロールを選択します。

    • Project から、を選択します。 Viewer

    • IAM から、を選択します。 Security Reviewer

    • Cloud Asset から、を選択します。 Cloud Asset Viewer

  5. Doneをクリックします。

  6. 新しいサービスアカウントをクリックします。

  7. KEYS タブに移動します。

  8. ADD KEY > Create new keyをクリックします。

  9. キータイプとしてJSON を選択し、CREATE をクリックします。

    キーはデフォルトの場所に自動的にダウンロードされます。

  10. Closeをクリックします。

  11. CloudGuardウィザードで、お使いの環境の名前を入力します(CloudGuardを参照)。

  12. ダウンロードした秘密鍵をアップロードするには、Choose File をクリックします。

    CloudGuardにアップロード成功の確認マークが表示されます。

  13. NEXTをクリックします。

Google Workspace (以前のG Suite) を使用する場合は、Workspace をオンボードして、GCP ユーザのコンプライアンスチェックをグループで実行し、2 要素認証情報を取得することをCloudGuardすることをお勧めします。

注 - Googleの管理者レベルの権限が必要です。

  1. GCP プロジェクトのナビゲーションツリーで、IAM & Admin > Service accounts をクリックします。

  2. 前の手順で作成したCloudGuard-Connect サービスアカウントをクリックします。

  3. Advanced Settings をクリックしてコンテンツを展開します。

  4. Domain-wide Delegation の下で、アイコンをクリックしてClient ID をコピーします。

  1. Google管理コンソールを開きます。

  2. Security > Access and data control > API controlsを選択します。

  3. Manage Domain Wide Delegationをクリックします。

  4. API clientsで、Add newをクリックします。

  5. Client ID フィールドに、コピーしたService account Client ID を貼り付けます。

  6. OAuth scopes (comma-delimited) フィールドに、次のAPI URL を入力します。

    https://www.googleapis.com/auth/admin.directory.group.readonly,

    https://www.googleapis.com/auth/admin.directory.user.readonly

  7. Authorizeをクリックします。

  8. ナビゲーションツリーで、Directory > Usersを選択します。

  9. Add new user をクリックすると、Google Workspace からデータを読み取り、CloudGuard に送信できる読み取り専用ユーザが作成されます。

    • 新しいユーザの姓と名を入力します(CloudGuard-Connect など)。

    • プライマリ メールアドレスフィールドに、ユーザ名としてCloudGuard-connect を入力します。電子メールドメインが自動的に入力されます。

  10. ADD NEW USERをクリックします。

  11. ナビゲーションツリーで、Account > Admin rolesを選択します。

  12. Create new roleをクリックします。

  13. ロールの名前を入力します(CloudGuard-Privileges など)。

  14. Privileges タブで、以下を探します。 Admin API Privileges

  15. 次の権限を選択します。

    • Users:読み出し

    • Group:読み出し

  16. Continueをクリックします。

  17. CREATE ROLEをクリックします。

    表示されるページには、ロールが割り当てられているすべてのユーザが表示されます。

  18. Assign usersをクリックします。

  19. 手順10 で作成したユーザを検索し、ASSIGN ROLE をクリックします。

  1. CloudGuard で、作成したAPI ユーザの電子メールとドメイン名を入力します。

  2. CloudGuard で、NEXT を選択します。

  1. 環境に関連付けるOUを選択します。

    注 - オプションの手順。アソシエーションを作成および変更するには、Assets のOrganizational Units ページを使用します。

  2. Finishをクリックします。

    オンボーディングが始まります。