Conectar seu projeto do GCP ao Microsoft Defender para Nuvem

O Microsoft Defender para Nuvem fornece gerenciamento de postura de segurança e proteção contra ameaças para cargas de trabalho em execução no GCP (Google Cloud Platform).

Este artigo mostra como conectar um projeto GCP ou uma organização ao Microsoft Defender para Nuvem para que o Microsoft Defender para Nuvem possa descobrir recursos, avaliar a postura de segurança e alertas e recomendações de segurança de superfície.

Arquitetura de autenticação

O Microsoft Defender para Nuvem usa a autenticação federada para acessar com segurança as APIs do GCP sem armazenar credenciais de longa duração.

Durante o processo de integração, o Defender para Nuvem estabelece uma relação de confiança com o Google Cloud usando a federação de identidades de cargas de trabalho e a representação de contas de serviço. O acesso tem como escopo o projeto ou a organização conectado e limitado às permissões exigidas pelos planos habilitados do Defender.

Saiba mais sobre a arquitetura de autenticação para conectores GCP.

Pré-requisitos

Antes de conectar seu projeto GCP, verifique se você tem:

Uma assinatura do Microsoft Azure. Se não tiver uma assinatura do Azure, você poderá inscrever-se gratuitamente.
Microsoft Defender para Nuvem habilitado em sua assinatura do Azure.
Acesso a um projeto ou organização do GCP.
Permissão de nível de colaborador para a assinatura do Azure relevante.
Se você habilitar o CIEM como parte do Defender para CSPM, o usuário que integrar o conector também precisará da função de Administrador de Segurança e da permissão Application.ReadWrite.All para o locatário.

Considerações de custo

Conectar projetos GCP ao Microsoft Defender para Nuvem e habilitar planos do Defender pode incorrer em encargos adicionais.

Saiba mais sobre os preços do Defender para Nuvem na página de preços.

Você também pode estimar custos com a calculadora de custos Defender para Nuvem.

Mapeamento de projeto e assinatura do GCP

Ao conectar projetos do GCP a assinaturas do Azure, considere o seguinte:

Os projetos GCP estão conectados ao Microsoft Defender para Nuvem no nível do projeto.
Você pode conectar vários projetos do GCP a uma única assinatura do Azure.
Você pode conectar vários projetos do GCP em várias assinaturas do Azure.

Note

Para a melhor experiência e desempenho no portal Azure, recomendamos limitar cada visualização de portal a 10.000 recursos ou menos. Para ambientes GCP maiores, distribua conectores GCP entre múltiplas assinaturas do Azure. Use o filtro global do portal do Azure para selecionar as assinaturas que você deseja visualizar. Essa recomendação não se aplica ao portal do Defender.

Saiba mais sobre a hierarquia de recursos do Google Cloud.

Conecte seu projeto do GCP

Entre no portal do Azure.
Pesquise e selecione Microsoft Defender para Nuvem.
Vá para Defender para Nuvem>Configurações do ambiente.
Selecione Adicionar ambiente>do Google Cloud Platform.
Selecione a Assinatura na qual o conector de segurança será criado.
Selecione o grupo de recursos no qual o conector de segurança será criado.
Selecione o Local em que o conector de segurança será criado.

Selecione um intervalo para verificar o ambiente GCP a cada 4, 6, 12 ou 24 horas. Alguns coletores de dados são executados com intervalos de verificação fixos e não são afetados por configurações de intervalo personalizadas.

Note

Os coletores de dados a seguir usam um intervalo de verificação fixo:

Nome do coletor de dados	Intervalo de verificação
ComputeInstance PolíticaDoRepositórioDoRegistroDeArtefatos ArtifactRegistryImage Agrupamento de Contêineres ComputeInstanceGroup ComputeZonalInstanceGroupInstance ComputeRegionalInstanceGroupManager ComputeZonalInstanceGroupManager ComputeGlobalInstanceTemplate	1 hora

Apenas para organizações: Insira o ID da organização do GCP.
Apenas para a organização: Se necessário, insira os números dos projetos a serem excluídos.
Apenas para organizações: Se necessário, insira os IDs das pastas a serem excluídas.
Somente projeto único: Insira o número do projeto GCP.
Somente projeto único: Insira a ID do projeto GCP.
Selecione Avançar: Selecionar planos.

Note

Como o agente do Log Analytics (também conhecido como MMA) será desativado em agosto de 2024, todos os recursos e capacidades de segurança do Defender para Servidores que atualmente dependem dele, incluindo aqueles descritos nesta página, estarão disponíveis por meio da integração do Microsoft Defender para Endpoint ou da verificação sem agente, antes dessa data. Para obter mais informações sobre o roteiro de cada um dos recursos que atualmente dependem do agente Log Analytics, consulte este artigo.
Escolha os planos de Defender que você deseja habilitar.

Note

Cada plano pode haver cobranças. Saiba mais sobre os preços do Defender para Nuvem.
Selecione Avançar: configurar acesso.
Selecione o tipo de permissões:
- Acesso padrão: concede permissões necessárias para recursos atuais e futuros.
- Acesso de privilégio mínimo: concede apenas as permissões necessárias hoje. Você poderá receber notificações se for necessário acesso adicional mais tarde.
Siga as instruções na tela para configurar o acesso entre Defender para Nuvem e seu ambiente GCP.

O script gcloud gerado baseia-se no escopo e nos planos do Defender que você selecionou. Execute o script no ambiente GCP que você está integrando.

O script cria os recursos necessários em seu ambiente GCP, incluindo:
- Pool de identidades de carga de trabalho
- Provedor de identidade de carga de trabalho (por plano)
- Contas de serviço
- Vinculações de política no nível do projeto (a conta de serviço tem acesso apenas ao projeto específico)
Note

As seguintes APIs devem ser habilitadas no projeto em que você executa o script de integração:
- iam.googleapis.com
- sts.googleapis.com
- cloudresourcemanager.googleapis.com
- iamcredentials.googleapis.com
- compute.googleapis.com
Ao integrar no nível da organização, habilite essas APIs no projeto de gerenciamento.

Se essas APIs não estiverem habilitadas, você poderá habilitá-las durante a integração executando o script Cloud Shell GCP.
Selecione Avançar: Examinar e gerar.
Examine os detalhes do conector.
Selecione Criar.

Defender para Nuvem começa a verificar os recursos do GCP. As recomendações de segurança aparecem em poucas horas. Se você habilitou o provisionamento automático, o Azure Arc e todas as extensões habilitadas serão instalados automaticamente para cada recurso recém-detectado.

Atualizar a configuração do conector GCP

Atualize a configuração do conector GCP quando as permissões ou recursos exigidos pelo Defender para Nuvem forem alterados.

Atualize a configuração nos seguintes casos:

Você habilitou um novo plano de Defender, como GPSN do Defender, Defender para Bancos de Dados ou Defender para Contêineres.
Você modificou a configuração do plano, como habilitar o provisionamento automático ou alterar o escopo selecionado.
Microsoft lançou um script de integração atualizado, como uma versão que dá suporte a novos recursos, corrige bugs ou atualiza permissões.
Você enfrenta problemas de integridade do conector relacionados a permissões ausentes ou recursos GCP ausentes.

Para atualizar a configuração, retorne ao conector GCP no Defender para Nuvem, gere o script gcloud mais recente para o escopo e os planos selecionados e execute novamente o script no ambiente GCP que você está integrando.

Validar a integridade do conector

Para confirmar se o conector GCP está operando corretamente:

Entre no portal do Azure.
Vá para Defender para Nuvem>Configurações do ambiente.
Localize o projeto GCP e examine a coluna de status de conectividade para ver se a conexão está íntegra ou tem problemas.
Selecione o valor mostrado na coluna de status conectividade para exibir mais detalhes.

A página de detalhes do Ambiente lista quaisquer problemas de configuração ou permissão detectados que afetem a conexão com o projeto GCP.

Se houver um problema, você poderá selecioná-lo para exibir uma descrição do problema e as etapas de correção recomendadas. Em alguns casos, um script de correção é fornecido para ajudar a resolver o problema.

Saiba mais sobre como solucionar problemas de conectores multinuvem.

Exibir sua cobertura atual

O Defender para Nuvem fornece acesso a pastas de trabalho por meio de pastas de trabalho do Azure. Workbooks são relatórios personalizáveis que fornecem insights sobre sua postura de segurança.

A planilha de cobertura ajuda você a entender sua cobertura atual mostrando quais planos estão habilitados em suas assinaturas e recursos.

Habilitar a ingestão de log de nuvem do GCP (versão prévia)

A ingestão de logs do GCP Cloud aprimora as informações sobre identidade e permissões, adicionando contexto de atividade para avaliações do Cloud Infrastructure Entitlement Management (CIEM), recomendações baseadas em risco e análise de caminhos de ataque.

Saiba mais sobre como ingerir dados do GCP Cloud Logging com o Pub/Sub (versão preliminar).

Próximas Etapas

Last updated on 2026-08-05