使用服务账号密钥接入谷歌云主机资产-云安全中心-阿里云

通过在阿里云云安全中心配置谷歌云（Google Cloud Platform，简称GCP）服务账号密钥，可将GCP主机资产自动同步至阿里云安全防护体系。本文详解通过服务账号密钥方式完成GCP主机资产接入的具体配置流程，帮助您实现跨云资产的集中安全管控，降低多云环境下的安全管理复杂度。

重要

本文包含的所有在GCP控制台的操作步骤仅供参考，具体操作步骤请参见GCP官方文档。

步骤一：创建服务账号并获取密钥

登录GCP控制台。在控制台左上角选择目标项目。
说明
您需使用中国内地以外地域的网络登录GCP控制台，例如中国香港、新加坡等。
启用Compute Engine API。
1. 在左侧导航栏选择API和服务 > 已启用的API和服务。
2. 根据控制台提示启用Compute Engine API。
创建服务账号并授权。
1. 在左侧导航栏选择IAM和管理 > 服务账号。
2. 在服务账号页面，单击创建服务账号。
3. 在创建服务账号页面，输入服务账号名称，单击创建并继续。
4. 在权限（可选）区域，选择角色Compute Viewer，并单击完成。
创建服务账号的密钥。
1. 在服务账号列表，单击目标服务账号操作列的图标，并单击管理密钥。
2. 在该服务账号的密钥页签，单击添加键 > 创建新密钥。
3. 在创建私钥对话框，键类型保持默认选项JSON，单击创建。
4. 下载并妥善保存该私钥文件。

云安全中心仅支持同步与服务账号关联的GCP虚拟机实例。您需要参考下述操作，关联需接入云安全中心的虚拟机实例和接入使用的服务账号。

在GCP控制台创建实例页面，在左侧导航栏单击安全性 ，在服务账号处选择步骤一：创建服务账号并获取密钥中创建的服务账号，完成实例的创建。

在虚拟机实例详细信息页面，单击修改。
在Identity and API access区域，修改服务账号为步骤一：创建服务账号并获取密钥中创建的服务账号，并单击保存。
重要
您必须停止虚拟机实例才能修改其服务账号。

登录云安全中心控制台。在控制台左上角，选择需防护资产所在的区域全球（不含中国）。
重要
由于网络原因，仅支持在全球（不含中国）区域接入谷歌云资产。
在左侧导航栏，选择系统配置 > 功能设置。
在多云配置管理 > 多云资产页签，单击新增授权，在下拉列表中选择GCP。
您也可以在资产中心 > 主机资产页面，将鼠标移动至多云资产接入区域图标处，并单击GCP下方的接入，打开接入云外资产面板。
在权限说明区域选中主机资产，单击下一步。
在扩展信息下方，单击上传文件，上传通过步骤一：创建服务账号并获取密钥获取的私钥文件。
输入账号名称，单击下一步。
账号名称用于区分同一云厂商下的不同账户，建议您根据其用途设置具有明确含义的名称。
重要
请勿删除或禁用该密钥，以免影响GCP资产接入。

在云安全中心控制台接入云外资产面板的策略配置向导中，配置需接入的GCP资产的地域、数据同步频率等，单击确定。

配置项	说明
选择地域	选择需接入资产所属地域。云安全中心会将当前账号下对应地域的资产接入全球（不含中国）管理中心。
新增地域接入管理	选中该项后，当前GCP账号下如果有新增地域，云安全中心默认将新增地域的资产数据接入全球（不含中国）数据管理中心。不选中该项时，新增地域将不会被接入云安全中心。
主机资产同步频率	选择云安全中心自动同步GCP主机资产的时间间隔。选择关闭，表示不同步。
AK服务状态检查	选择云安全中心自动检测GCP服务账号密钥有效性的时间间隔。选择关闭，表示不检测。

在云安全中心控制台资产中心 > 主机资产页面，在多云资产接入区域单击图标，可以查看到GCP资产列表时，表示接入成功。更多信息，请参见主机资产。