Google Cloud Platform (GCP) Cloud Storage

Google Cloud Platform (GCP) Cloud Storage 連携は、連携した GCP account 内のさまざまなデータ損失防止、アカウントの設定ミス、ユーザーセキュリティ上のリスクを検出します。これらは、組織を脆弱な状態にする可能性があります。

• Cloud Storage を使う GCP アカウント。
• 初回セットアップでは、次に示すスコープで新しい Service Account を作成できる権限を持つ GCP アカウントへのアクセス。

GCP Cloud Storage 連携を動作させるため、Cloudflare CASB は Service Account 経由で次のアクセススコープを必要とします。

• roles/viewer
• roles/storage.admin

これらの権限は、必要な最小限のアクセスだけを付与する最小権限の原則に従います。各権限スコープの詳細は GCP IAM roles for Cloud Storage のドキュメント ↗ を参照してください。

CASB 連携に GCP コンピュートアカウントを接続すると、Cloud Storage バケット内で Data Loss Prevention スキャンを実行し、データの持ち出し（egress）を避けられます。CASB は、設定時点でバケットに存在するオブジェクトをスキャンします。

GCP 連携にコンピュートアカウントを接続する手順は次のとおりです。

1. Cloudflare One ↗ で Integrations > Cloud & SaaS integrations を開きます。
2. GCP 連携を探して選択します。
3. Open connection instructions を選択します。
4. 表示される手順に従い、新しいコンピュートアカウントを接続します。
5. Refresh を選択します。

1 つの連携に接続できるコンピュートアカウントは 1 つだけです。コンピュートアカウントを削除するには、Manage compute accounts を選択します。

GCP コンピュートアカウントが CASB 連携に接続できたら、機密データのスキャン対象と方法を設定できます。

1. Cloudflare One ↗ で Integrations > Cloud & SaaS integrations を開きます。
2. GCP 連携を探して選択します。
3. Create new configuration を選択します。
4. Resources で、スキャンするバケットを選びます。Continue を選択します。
5. ファイルタイプ、サンプリング率、スキャン対象の DLP プロファイル を選択します。
6. （任意）CASB が守る API 呼び出しの時間あたり上限など、追加設定を行います。
7. Continue を選択します。
8. スキャン内容を確認し、Start scan を選択します。

CASB がスキャンを開始するまで、最大 1 時間かかることがあります。スキャン結果は Cloud & SaaS findings > Content Findings で確認します。

リソースを管理するには、Cloud & SaaS findings > Integrations を開き、GCP 連携を探して選択します。ここから、すべてのスキャンまたは個別のスキャンを一時停止したり、リソースを追加・削除したり、スキャン設定を変更できます。

詳細は Content findings を参照してください。

GCP Cloud Storage 統合は現在、次の検出結果（セキュリティリスク）をスキャンします。検出結果はカテゴリごとにグループ化し、重大度レベル の順に並べています。

新しい CASB 検出結果が追加されたときに把握できるよう、このページをブックマークするか、RSS フィードを購読してください。

過剰な権限、アクセスポリシー、ユーザーセキュリティのベストプラクティスなど、Cloud Storage バケットのセキュリティ問題を検出します。