Google Cloud Platform (GCP) プロジェクトを Microsoft Defender for Cloud に接続すると、Defender for Cloud ではエージェントレス マシン スキャンを使用して、仮想マシン (VM) の脆弱性を特定します。 その後、Defender for Cloud では、修復のガイダンスと共に、セキュリティに関する推奨事項とアラートが提供されます。
GCPプロジェクトを接続してから24時間以内にエージェントレススキャンの結果が表示されない場合、GCPの組織ポリシーCompute Storage resource use restrictions (Compute Engine disks, images, and snapshots)Defender for Cloudが必要なリソースへのアクセスを妨げている可能性があります。
この記事では、Defender for Cloud が VM を正常にスキャンできるように、この問題を特定して解決する方法について説明します。
前提条件
以下のものが必要です:
- Microsoft Defender for CloudにオンボーディングされたGCPプロジェクト
- GCPプロジェクトへのアクセス
- 関連するAzureサブスクリプションのContributor Level権限
組織のポリシーを管理する
組織のポリシーを構成することで、Defender for Cloud が GCP プロジェクトでアクセスできるリソースを制御できます。
GCP プロジェクトにサインインします。
組織>関連する GCP プロジェクトに移動します。
IAM と Admin>組織ポリシーに移動します。
Compute Storage resource use restrictions (Compute Engine disks, images, and snapshots)ポリシーを検索します。[ ポリシーの管理] を選択します。
ポリシーの種類を [許可] に変更します。
許可リストに追加
under:organizations/517615557103。保存を選びます。
Defender for CloudはAPIコールを使ってエージェントレスディスクスキャンをトリガーします。 このポリシー変更は、次のスケジュールされたスキャンAPI呼び出し後に効果があったことをご存知の通り、その呼び取りには最大24時間かかることがあります。