Um analista de segurança precisa de visibilidade sobre vulnerabilidades do sistema operacional e metadados para uma instância crítica do Compute Engine. Como você pode fornecer esse acesso, atendendo à política?

A opção correta é instalar o OS Config agent na instância e conceder ao analista a função roles/osconfig.vulnerabilityReportViewer. O OS Config agent coleta dados de inventário do sistema operacional, incluindo informações de vulnerabilidade, que são essenciais para o analista de segurança. A função roles/osconfig.vulnerabilityReportViewer concede permissão específica para visualizar relatórios de vulnerabilidade, alinhando-se diretamente com a necessidade do analista sem conceder privilégios excessivos. Instalar o Ops Agent e criar uma métrica personalizada do Cloud Monitoring não forneceria os metadados e as informações de vulnerabilidade específicas do SO que o analista precisa. Conceder a função roles/osconfig.inventoryViewer daria acesso ao inventário, mas não especificamente aos relatórios de vulnerabilidade. Criar um log sink para o BigQuery para dados do sistema operacional e conceder acesso ao conjunto de dados seria uma abordagem mais complexa e indireta para a necessidade específica de visibilidade de vulnerabilidades.