Google Cloud Platform
Importez vos instances Compute Engine, clusters GKE, images de conteneurs et principaux IAM depuis Google Cloud
Le connecteur Google Cloud Platform (GCP) récupère l'inventaire d'une organisation, d'un dossier ou d'un projet via l'API Cloud Asset Inventory, et l'importe dans OverView.
Objectif
Le connecteur GCP importe les informations suivantes :
- Instances Compute Engine : type de machine, interfaces réseau et exposition publique, labels, ainsi que système d'exploitation et logiciels installés lorsque l'inventaire OS est disponible
- Clusters et nodes Google Kubernetes Engine (GKE), avec les images de conteneurs exécutées sur chaque node
- Images Docker stockées dans Artifact Registry
- Principaux IAM (utilisateurs, groupes et comptes de service) avec les rôles qui leur sont attribués
- Le projet de chaque asset, ajouté en tag
Prérequis
- Une organisation, un dossier ou un projet Google Cloud à inventorier
- Un compte Google Cloud autorisé à créer un compte de service et sa clé, et à attribuer des rôles IAM sur le périmètre à inventorier
- La création de clés de compte de service non bloquée par une règle d'administration de l'organisation
- Pour les logiciels installés sur les instances Compute Engine : VM Manager configuré sur les instances (OS Config API activée et métadonnée
enable-osconfigdéfinie àTRUE). Les instances sans VM Manager sont importées sans leur liste de logiciels.
Informations à fournir dans OverView
| Champ | Description |
|---|---|
| Service Account Key | Contenu du fichier de clé JSON du compte de service |
| Scope | Ressource à inventorier, avec le préfixe de son type : organizations/123456789012, folders/123456789012 ou projects/my-project-id. Tous les projets situés sous une organisation ou un dossier sont inclus. |
| Quota Project ID | Facultatif. Projet auquel les appels API sont facturés, dans lequel l'API Cloud Asset est activée. Par défaut, le projet du compte de service. |
Procédure
Créer un compte de service
- Accéder à Google Cloud Console :
- Connectez-vous à Google Cloud Console.
- Naviguer vers IAM & Admin :
- Cliquez sur l'icône Menu (en haut à gauche).
- Allez dans IAM & Admin > Service Accounts.
- Créer un compte de service :
- Cliquez sur Create Service Account.
- Entrez un nom et une description (par exemple, "OverView Connector").
- Cliquez sur Create and Continue.
Générer et télécharger une clé JSON
- Accéder au compte de service :
- Cliquez sur l'e-mail du compte de service créé.
- Allez dans l'onglet Keys.
- Créer une clé JSON :
- Cliquez sur Add Key > Create new key.
- Sélectionnez JSON comme type de clé.
- Cliquez sur Create.
- Le fichier JSON sera téléchargé automatiquement.
- Sécuriser la clé :
- Enregistrez le fichier JSON de manière sécurisée dans un emplacement protégé.
- Son contenu est la Service Account Key à fournir dans OverView.
Activer l'API Cloud Asset
- Sélectionner le projet de quota :
- Dans le sélecteur de projet en haut de la console, sélectionnez le projet du compte de service, ou le projet fourni comme Quota Project ID.
- Activer l'API :
- Allez dans APIs & Services > Library.
- Recherchez Cloud Asset API et cliquez sur Enable.
Attribuer les rôles sur le périmètre
- Attribuer Cloud Asset Viewer sur le périmètre :
- Allez dans IAM & Admin > IAM.
- Dans le sélecteur de projet, sélectionnez l'organisation, le dossier ou le projet à inventorier.
- Cliquez sur Grant Access.
- Dans New principals, saisissez l'e-mail du compte de service.
- Dans Select a role, choisissez Cloud Asset Viewer.
- Cliquez sur Save.
- Attribuer Service Usage Consumer sur le projet de quota :
- Répétez l'étape précédente sur le projet de quota avec le rôle Service Usage Consumer.
- Une attribution sur une organisation ou un dossier contenant le projet de quota s'applique aussi à celui-ci.
Récupérer le périmètre
- Organisation :
- Dans le sélecteur de projet, sélectionnez l'organisation.
- Cliquez sur More > Settings : la page affiche l'identifiant de ressource de l'organisation.
- Le périmètre est
organizations/suivi de cet identifiant.
- Dossier ou projet :
- Allez dans IAM & Admin > Manage Resources.
- La colonne ID affiche l'identifiant du dossier ou du projet.
- Le périmètre est
folders/suivi de l'identifiant du dossier, ouprojects/suivi de l'identifiant du projet.
Permissions requises
| Rôle | Attribué sur | Usage |
|---|---|---|
Cloud Asset Viewer (roles/cloudasset.viewer) | Périmètre à inventorier | Lecture des ressources, de l'inventaire OS des instances et des stratégies IAM |
Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) | Projet de quota | Requis par chaque appel à l'API Cloud Asset Inventory |
Les deux rôles sont en lecture seule : le connecteur ne modifie aucune ressource Google Cloud.
Alternative : import par fichiers via DropPoint
L'accès API décrit plus haut est la méthode recommandée pour ce connecteur. Lorsqu'il n'est pas disponible (réseau cloisonné, version ou licence sans API, export déjà produit par ailleurs), OverView accepte des exports de fichiers, à déposer dans le bucket dédié à Google Cloud Platform.
Bucket : s3://gcp/
Exemple : s3://gcp/export.csv
La procédure est décrite dans le guide OverView DropPoint : génération des credentials, configuration du client, puis envoi des fichiers depuis l'interface web OverView, l'AWS CLI ou un SDK. Les exemples y sont préremplis avec ce bucket lorsque vous suivez ce lien.
Documentation officielle
Pour plus de détails, consultez :