Google Cloud Directory 的攻击面分析器

使用攻击面分析器，您可以检测 Google Cloud 目录中的威胁并增强云安全性。

以下是攻击面分析器针对 Google Cloud 目录跟踪的服务：

前提条件

为了使攻击面分析器无缝运行，ADAudit Plus 服务器应该具有 有效的互联网连接。此外，必须在 ADAudit Plus 服务器上打开 出站 HTTPS 端口 443 以与 Google Cloud Directory 通信。

在为 ADAudit Plus 配置 Google Cloud Directory 进行攻击面分析之前，您需要：

• 在 Google Cloud 控制台中创建自定义角色
• 在 Google Cloud 控制台中创建服务账户并为其分配自定义角色。

注意: ADAudit Plus 支持基于项目的 Google Cloud 目录配置，以进行攻击面分析。

创建自定义角色

1. 打开 Google Cloud 控制台，选择要为其创建自定义角色的项目。
2. 在右上角，找到并选择 激活 Cloud Shell 图标。



3. 在 Cloud Shell 终端中，选择顶部菜单的 打开编辑器。



4. 在左侧窗格中，找到并选择 新建文件... 图标，并创建一个适当名称的 YAML 文件。例如：roleCreation.yaml。



5. 从此文件复制权限声明，并添加到新创建的 YAML 文件中。
并将其粘贴到您刚刚创建的 YAML 文件中。

注意: 确保在粘贴权限声明时不要修改缩进。

6. 在您刚刚粘贴到 YAML 文件中的权限声明中：
• 找到包含 title: "ROLE_NAME" 的行，并将 "ROLE_NAME" 替换为您选择的合适标题。例如：Test_Role。
• 找到包含 description: "ROLE_DESCRIPTION" 的行，并将 "ROLE_DESCRIPTION" 替换为您选择的合适描述。
7. 从顶部菜单中点击 打开终端 以返回到 Cloud Shell 终端。



8. 执行以下命令以在组织层面创建自定义角色：

gcloud iam roles create ROLE_ID --organization=ORGANIZATION_ID --file=YAML_FILE_PATH

例如：gcloud iam roles create Test_Role --organization=********* --file=roleCreation.yaml

在上述命令中：

• 将 ROLE_ID 替换为您在第五步中用在 YAML 文件中的 标题。
• 将 ORGANIZATION_ID 替换为项目 ID。



• 将 YAML_FILE_PATH 替换为您在第四步中创建的 YAML 文件的名称。
9. 在出现的 授权 Cloud Shell 弹出窗口中，点击 授权。
10. 在 Google Cloud 控制台中，导航到 IAM 和管理员 部分，从左侧窗格中选择 角色，并确保您刚刚创建的角色已列出。

创建服务账户

1. 打开 Google Cloud 控制台并选择您要为其创建服务账户的项目。
2. 导航到 IAM 和管理员 部分，从左侧窗格中选择 服务账户，然后点击 +创建服务账户。



3. 在 服务账户详细信息 下，输入合适的 服务账户名称 和 服务账户描述。服务账户 ID 将根据服务账户名称自动生成。
4. 点击 创建并继续。



5. 在授权此服务账户访问项目下，点击选择角色，选择自定义，并选择您之前创建的角色。
6. 点击继续，然后点击完成。



7. 服务账户创建后，选择该账户，导航到密钥标签，点击添加密钥，并从下拉菜单中选择创建新密钥。



8. 选择JSON作为密钥类型，然后点击创建。这将为您的服务账户创建一个 JSON 密钥文件并保存在您的本地机器上。



9. 打开 JSON 文件，找到客户端电子邮件、项目 ID和私钥值，这些将在 ADAudit Plus 中配置 Google Cloud 目录时需要。

注意: 请记住妥善保管此 JSON 密钥文件，因为它包含敏感信息并授予对您的 Google Cloud 目录资源的访问权限。如果该文件被泄露，您应重新生成密钥并更新任何正在使用该密钥的服务。

在 ADAudit Plus 中配置 Google Cloud 目录

1. 登录到您的 ADAudit Plus Web 控制台。
2. 导航到云目录标签 > 攻击面分析器 > 配置 > 云目录。
3. 在右上角点击+添加云目录。
4. 从添加云目录弹出窗口中选择Google Cloud。



5. 输入在您下载的服务账户 JSON 密钥文件中找到的显示名称、客户端电子邮件、项目 ID和私钥值。
6. 如果要获取和监控您 Google Cloud 目录环境中的所有活动，请选中审计日志复选框，然后点击下一步。



7. 检查您的设置，然后点击完成。