Pub/Sub 소스

Terraform을 사용하여 GCP 인프라를 생성하려면(서비스 계정으로 인증):

1. 다음 페이지에서 인프라 및 자격 증명 페이지에서 서비스 계정 탭.

2. 클릭합니다 Terraform 템플릿 를 클릭하여 Terraform 템플릿을 다운로드합니다.

   • Terraform 템플릿은 다음에서도 찾을 수 있습니다: 이 GitHub 링크.

3. 다음의 필드를 채웁니다. panther.tfvars 파일에 구성 내용을 입력합니다.

   • 다음을 설정합니다 authentication_method 에서 "service_account".

4. Terraform 구성 파일이 포함된 작업 디렉터리를 초기화하고 다음을 실행합니다 terraform init.

5. 해당하는 Terraform 명령어를 복사하고 제공된 명령을 CLI에서 실행합니다.

6. 다음을 복사하여 JSON 키 파일을 생성합니다. gcloud 명령어 를 제공된 대로 사용하되, 서비스 계정 이메일 주소의 값을 바꿔 CLI에서 실행합니다.

   • 서비스 계정 이메일은 다음의 출력에서 찾을 수 있습니다. Terraform 명령어를 복사하고.

GCP 콘솔에서 GCP 인프라 구성 요소를 수동으로 생성하려면(서비스 계정으로 인증):

1. 주제 만들기 데이터에 대해.

   • 다음을 사용하여 주제를 만들 수 있습니다. gcloud CLI 도구와 다음 명령 형식을 사용합니다: gcloud pubsub topics create $TOPIC_ID

2. 구독 만들기 방금 만든 주제와 함께 사용할 것입니다.

   • 다음을 사용하여 구독을 만들 수 있습니다. gcloud CLI 도구와 다음 명령 형식을 사용합니다: gcloud pubsub subscriptions create $SUBSCRIPTION_ID --topic $TOPIC_ID --topic-project $PROJECT_ID

1. IAM API 사용 설정.

2. 새 Google Cloud 서비스 계정 만들기. 다음을 사용해 계정을 만들려면 gcloud CLI 도구에서 다음 명령 형식을 사용합니다:

   • Panther가 이 GCS 통합을 위해 생성된 인프라에 액세스할 때 이 계정 이메일 주소를 사용하므로 반드시 기록해 두세요.

3. 계정에 필요한 IAM 역할을 할당합니다.

   • 다음 권한은 Pub/Sub 구독 및 주제가 있는 프로젝트에 필요합니다.

     필요한 권한

     역할

     범위

     pubsub.subscriptions.consume

     roles/pubsub.subscriber

     subscription-name

     pubsub.subscriptions.get

     roles/pubsub.viewer

     subscription-name

     monitoring.timeSeries.list

     roles/monitoring.viewer

     project

     • 다음 monitoring.timeSeries.list 권한은 선택 사항이지만, 향상된 자동 확장을 위해 권장됩니다.

     • 참고: 특정 리소스의 권한에 조건이나 IAM 정책을 설정할 수 있습니다. 이는 서비스 계정의 IAM 페이지(아래 예시 스크린샷 참조) 또는 특정 리소스의 페이지에서 할 수 있습니다.

     • 참고: 다음을 사용하여 권한을 만들 수 있습니다. gcloud CLI 도구:

       • gcloud projects add-iam-policy-binding $PROJECT_ID --member="serviceAccount:$SERVICE_ACCOUNT_EMAIL" --role="roles/pubsub.subscriber"

       • gcloud projects add-iam-policy-binding $PROJECT_ID --member="serviceAccount:$SERVICE_ACCOUNT_EMAIL" --role="roles/pubsub.viewer"

       • gcloud projects add-iam-policy-binding $PROJECT_ID --member="serviceAccount:$SERVICE_ACCOUNT_EMAIL" --role="roles/monitoring.viewer"

4. JSON 키 파일 생성 서비스 계정용이며, Panther에서 GCP 인프라에 인증할 때 사용됩니다.

   • gcloud CLI 도구를 사용하여 JSON 키 파일을 만들려면 다음 명령 형식을 실행합니다: gcloud iam service-accounts keys create $KEYFILE_PATH --iam-account=$SERVICE_ACCOUNT_EMAIL

   • 또는 위 명령을 로컬 대신 GCP의 터미널에서 실행할 수도 있습니다.

     1. 오른쪽 상단의 점 3개 아이콘 메뉴를 클릭한 다음 다운로드.

        • 

     2. 찾아보기용 폴더 아이콘을 클릭합니다.

     3. 키 파일로 이동하여 선택한 다음 다운로드.

Terraform을 사용하여 GCP 인프라 구성 요소를 생성하려면(Workload Identity Federation으로 인증):

1. 다음 페이지에서 인프라 및 자격 증명 페이지, 다음을 클릭합니다 Workload Identity Federation 탭.

2. 클릭합니다 Terraform 템플릿 를 클릭하여 Terraform 템플릿을 다운로드합니다.

   • Terraform 템플릿은 다음에서도 찾을 수 있습니다: 이 GitHub 링크.

3. 다음의 필드를 채웁니다. panther.tfvars 파일에 구성 내용을 입력합니다.

   • 다음을 설정합니다 authentication_method 에서 "workload_identity_federation".

   • 다음에 대한 값을 제공하세요. panther_workload_identity_pool_id, panther_workload_identity_pool_provider_id, 및 panther_aws_account_id.

4. Terraform 구성 파일이 포함된 작업 디렉터리를 초기화하고 다음을 실행합니다 terraform init.

5. 해당하는 Terraform 명령어를 복사하고 제공된 명령을 CLI에서 실행합니다.

6. 다음을 복사하여 풀용 자격 증명 구성 파일을 생성합니다. gcloud 명령어 를 제공된 대로 사용하되, 프로젝트 번호, 풀 ID, 공급자 ID의 값을 바꿔 CLI에서 실행합니다.

   • 프로젝트 번호, 풀 ID, 공급자 ID는 다음의 출력에서 찾을 수 있습니다. Terraform 명령어를 복사하고.

GCP 콘솔에서 GCP 인프라 구성 요소를 수동으로 생성하려면(Workload Identity Federation으로 인증):

1. 주제 만들기 데이터에 대해.

   • 다음을 사용하여 주제를 만들 수 있습니다. gcloud CLI 도구와 다음 명령 형식을 사용합니다: gcloud pubsub topics create $TOPIC_ID

2. 구독 만들기 방금 만든 주제와 함께 사용할 것입니다.

   • 다음을 사용하여 구독을 만들 수 있습니다. gcloud CLI 도구와 다음 명령 형식을 사용합니다: gcloud pubsub subscriptions create $SUBSCRIPTION_ID --topic $TOPIC_ID --topic-project $PROJECT_ID

1. IAM API 사용 설정.

2. 다음을 따라 AWS와 함께 Workload Identity Federation을 구성합니다. AWS 또는 Azure와 함께 Workload Identity Federation 구성 문서.

   1. 다음을 속성 매핑 및 조건을 정의하는 동안, 다음 예제를 참고하세요:

      • 예시 속성 매핑:

        Google

        AWS

        google.subject

        assertion.arn.extract('arn:aws:sts::{account_id}:')+":"+assertion.arn.extract('assumed-role/{role_and_session}').extract('/{session}')

        attribute.account

        assertion.account

      • 예시 속성 조건: attribute.account=="<PANTHER_AWS_ACCOUNT_ID>"

1. 당신이 신원 풀에 공급자를 추가할 때, 선택 AWS.

2. 계정에 필요한 IAM 역할을 할당합니다.

   • 다음 권한은 Pub/Sub 구독 및 주제가 있는 프로젝트에 필요합니다.

     필요한 권한

     역할

     범위

     pubsub.subscriptions.consume

     roles/pubsub.subscriber

     subscription-name

     pubsub.subscriptions.get

     roles/pubsub.viewer

     subscription-name

     monitoring.timeSeries.list

     roles/monitoring.viewer

     project

     • 다음 monitoring.timeSeries.list 권한은 선택 사항이지만, 향상된 자동 확장을 위해 권장됩니다.

     • 참고: 특정 리소스의 권한에 조건이나 IAM 정책을 설정할 수 있습니다. 이는 GCP의 IAM 섹션(아래 예시 스크린샷 참조) 또는 특정 리소스의 페이지에서 할 수 있습니다.

     • 참고: 다음을 사용하여 권한을 만들 수 있습니다. gcloud CLI 도구에서 $PRINCIPAL_ID 는 다음과 같을 수 있습니다: principalSet://iam.googleapis.com/projects/<THE_ACTUAL_GOOGLE_PROJECT_NUMBER>/locations/global/workloadIdentityPools/<THE_ACTUAL_POOL_ID>/attribute.account/<THE_ACTUAL_PANTHER_AWS_ACCOUNT_ID>

       • gcloud projects add-iam-policy-binding $PROJECT_ID --member="$PRINCIPAL_ID" --role="roles/pubsub.subscriber"

       • gcloud projects add-iam-policy-binding $PROJECT_ID --member="$PRINCIPAL_ID" --role="roles/pubsub.viewer"

       • gcloud projects add-iam-policy-binding $PROJECT_ID --member="$PRINCIPAL_ID" --role="roles/monitoring.viewer"

3. 자격 증명 구성 파일 다운로드는 Panther에서 GCP 인프라에 인증할 때 사용됩니다.

   • gcloud CLI 도구를 사용하여 자격 증명 구성 파일을 생성하려면 다음 명령 형식을 사용합니다: gcloud iam workload-identity-pools create-cred-config projects/$PROJECT_NUMBER/locations/global/workloadIdentityPools/$POOL_ID/providers/$PROVIDER_ID --aws --output-file=config.json