Utilizzare Google Cloud IAP per creare connessioni agentless

Questa guida descrive la creazione di una connessione agentless verso una VM Linux di Google Cloud tramite Identity-Aware Proxy (IAP). Cyberwatch vi si connette in SSH attraverso un tunnel IAP, senza che la VM necessiti di un indirizzo IP pubblico.

Prerequisiti

Questa documentazione presuppone:

  • una VM Linux su Google Compute Engine
  • un account di servizio Google Cloud
  • i diritti sufficienti per modificare i ruoli IAM, le regole firewall e i metadati del progetto

Configurazione lato Google Cloud

Attivare OS Login sulla VM

Cyberwatch si autentica sulla VM con OS Login. Aggiungere il metadato enable-oslogin con il valore TRUE, sulla VM o sull’intero progetto.

Se la VM è associata a un account di servizio, aggiungere il ruolo roles/iam.serviceAccountUser all’account di servizio della VM per autorizzare l’account di servizio utilizzato da Cyberwatch a connettersi alla macchina.

Configurare le autorizzazioni dell’account di servizio

Assegnare all’account di servizio utilizzato da Cyberwatch un ruolo con le due autorizzazioni seguenti:

compute.instances.osAdminLogin
iap.tunnelInstances.accessViaIAP

Azioni da eseguire in Cyberwatch

Salvare le credenziali

Salvare la chiave JSON dell’account di servizio dal menu Credenziali salvate della barra laterale, cliccando su Aggiungi e selezionando il tipo Google Cloud Platform.

Aggiungere la connessione agentless

  1. Cliccare su Gestione degli asset > Connessioni agentless > Aggiungi
  2. Selezionare il protocollo di accesso Google Cloud IAP
  3. Inserire il Progetto, la Zona e il Nome della VM
  4. Selezionare il set di credenziali Google Cloud Platform
  5. Cliccare su Salva

Questo tipo di connessione agentless deve essere autorizzato nel menu Amministrazione > Gestione dei connettori selezionando la casella Google Cloud IAP.

Precisazioni:

  • Sono supportati solo gli asset Linux
  • Il proxy HTTP delle credenziali viene utilizzato per le chiamate all’API Google, ma non per il tunnel IAP: lo scanner deve poter raggiungere direttamente tunnel.cloudproxy.app in TCP 443
  • La connessione SSH passa sempre dalla porta 22 della prima interfaccia di rete (nic0) della VM