Zum Hauptinhalt springen
Verbinden Sie ein Google-Cloud-Projekt, damit Enclave dessen Ressourcen und Identitäten erfassen und mit Ihrem Code verknüpfen kann. Der Zugriff ist rein lesend, und es wird kein Service-Account-Schlüssel erstellt oder gespeichert.

​
Was Enclave benötigt

Der Setup-Befehl erstellt diese Ressourcen in Ihrem Projekt:
  • Einen Workload Identity Pool mit einem Provider, der nur der Scanner-Identität von Enclave vertraut.
  • Einen Scanner-Service-Account, dessen Identität Enclave übernimmt.
  • Rollenbindungen mit Lesezugriff für diesen Service-Account.
Außerdem aktiviert er im Projekt die APIs für IAM, IAM Credentials, Cloud Resource Manager, Security Token Service und Cloud Asset. Der Service-Account erhält diese Rollen:

​
Wer das Setup starten kann

Wer den Befehl in Cloud Shell ausführt, benötigt Owner für das Projekt oder alle folgenden Rollen:
  • roles/iam.workloadIdentityPoolAdmin
  • roles/iam.serviceAccountAdmin
  • roles/serviceusage.serviceUsageAdmin
  • roles/resourcemanager.projectIamAdmin
In Enclave benötigen Sie die Rolle Owner oder Admin.

​
Projekt verbinden

1

Setup-Seite öffnen

Öffnen Sie Settings → Integrations und klicken Sie neben Google Cloud auf Connect.
2

Projekt-ID eingeben

Geben Sie die GCP project ID des zu verbindenden Projekts ein. Sie finden sie mit gcloud projects list. Enclave generiert einen einzeiligen Setup-Befehl für dieses Projekt.
3

Befehl in Cloud Shell ausführen

Kopieren Sie den Befehl und führen Sie ihn in Google Cloud Shell oder in einem Terminal aus, in dem gcloud angemeldet ist.
Der Befehl enthält ein Einmal-Setup-Token. Speichern Sie ihn nicht in einer versionierten Datei und fügen Sie ihn nicht in ein geteiltes Log ein.
4

Warten, bis Enclave das Setup erkennt

Enclave wartet auf den Abschluss des Setups und fährt selbstständig fort. Wenn Connection complete! erscheint, ist das Projekt verbunden, und Enclave beginnt mit dem Scan.
5

Weitere Projekte hinzufügen

Klicken Sie auf Add another project, um ein weiteres Projekt zu verbinden, oder auf Done, um abzuschließen.
Klicken Sie auf I’ll finish later, um die Verbindung zu speichern und später fortzufahren. Öffnen Sie sie erneut unter Settings → Integrations → Google Cloud.

​
Verbindung verwalten

Öffnen Sie Settings → Integrations → Google Cloud, um Ihre verbundenen Projekte zu sehen.
  • Re-validate prüft, ob Enclave ein Projekt weiterhin lesen kann.
  • Remove beendet den Scan eines Projekts.
  • Add project verbindet ein weiteres Projekt.
  • Disconnect GCP entfernt die gesamte Verbindung und beendet die Scans.
Um den Zugriff in Google Cloud zu widerrufen, löschen Sie den Scanner-Service-Account oder den Workload Identity Pool, den das Setup erstellt hat.

​
Was Enclave tut und was nicht

  • Tut: die Konfiguration und Metadaten lesen, die die oben genannten Rollen erlauben.
  • Tut nicht: Ressourcen erstellen, ändern oder löschen, Objekte in Ihren Buckets lesen oder langlebige Anmeldedaten speichern. Jeder Scan verwendet ein kurzlebiges Access Token, das etwa eine Stunde gültig ist.

​
Fehlerbehebung

Prüfen Sie die Ausgabe des Befehls in Cloud Shell. Wenn er fehlgeschlagen ist, beheben Sie den Fehler und öffnen Sie die Verbindung erneut, um einen neuen Befehl zu erhalten. Das Setup-Token funktioniert nur einmal. Führen Sie einen bereits verwendeten Befehl daher nicht erneut aus.
Dem ausführenden Konto fehlt eine Rolle. Erteilen Sie Owner oder die vier unter Wer das Setup starten kann aufgeführten Admin-Rollen und führen Sie dann einen neuen Befehl aus.
Projekt-IDs haben 6 bis 30 Zeichen: Kleinbuchstaben, Ziffern und Bindestriche. Sie beginnen mit einem Buchstaben und enden mit einem Buchstaben oder einer Ziffer. Verwenden Sie die Projekt-ID, nicht den Projektnamen oder die Projektnummer.
Scans laufen, wenn ein Projekt verbunden wird, und danach einmal täglich. Um sofort zu scannen, klicken Sie in Coverage auf Analyze Environment.