> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Google Cloud Platform
> Conecta Google Cloud Platform a Iru Compliance mediante una cuenta de servicio de solo lectura y una clave JSON para recopilar evidencia de IAM, almacenamiento, registros y red.
### Acerca de Google Cloud Platform
Iru se conecta a tu proyecto de **Google Cloud** con una **cuenta de servicio** y una **clave JSON**. Crea la cuenta una vez, concede los roles de **solo lectura** que necesites y, a continuación, sube la clave en Iru. Iru recopila evidencia de configuración e inventario. **No** cambia los recursos de tu proyecto.
### Cómo funciona
Iru se autentica con la **clave JSON** de la cuenta de servicio que subes en el asistente del conector. Concede los roles a nivel de **proyecto** para que Iru pueda leer los recursos de ese proyecto.
| Detalle | Valor |
| - | - |
| **Categoría** | Infraestructura en la nube |
| **Autenticación** | Clave JSON de cuenta de servicio |
#### Qué recopila Iru
| Fuente | Evidencia que recopila Iru |
| - | - |
| BigQuery | Inventario de conjuntos de datos y tablas, acceso a conjuntos de datos, cifrado y configuración de caducidad |
| Identity and Access Management (IAM) | Principales, cuentas de servicio, roles personalizados y vinculaciones de roles en toda la jerarquía de recursos |
| Cloud Key Management Service (Cloud KMS) | Llaveros y claves, incluidos el nivel de protección, el calendario de rotación y el estado |
| Cloud Logging | Receptores de registros, configuración de retención y registros de actividad de administración (excepto los registros con contenido privado) |
| Cloud Storage | Inventario de buckets y configuración como la prevención del acceso público, el acceso uniforme a nivel de bucket, el control de versiones, la retención, el cifrado y el registro de acceso |
| Compute Engine | Redes VPC, subredes, reglas de firewall y rutas |
#### Roles de solo lectura
Añade cada rol que necesites. Todos estos roles son de solo lectura.
| Rol | ID del rol | Qué abarca |
| - | - | - |
| Security Auditor | `roles/iam.securityAuditor` | IAM: recursos, jerarquía de carpetas y proyectos, políticas y configuración de seguridad |
| BigQuery Data Viewer | `roles/bigquery.dataViewer` | BigQuery: conjuntos de datos y su contenido |
| Cloud KMS Viewer | `roles/cloudkms.viewer` | Cloud KMS: obtener y enumerar claves y llaveros |
| Compute Network Viewer | `roles/compute.networkViewer` | Compute Engine: recursos de red de solo lectura |
| Logs Viewer | `roles/logging.viewer` | Cloud Logging: ver registros, excepto los que tienen contenido privado |
| Storage Bucket Viewer | `roles/storage.bucketViewer` | Cloud Storage: buckets y metadatos (excepto las políticas de IAM) |
Referencias oficiales: [Cuentas de servicio](https://cloud.google.com/iam/docs/service-account-overview), [Crear claves de cuentas de servicio](https://cloud.google.com/iam/docs/keys-create-delete), [Políticas de la organización para cuentas de servicio](https://docs.cloud.google.com/iam/docs/service-accounts-custom-constraints).
### Requisitos previos
* Permiso en Google Cloud para crear **cuentas de servicio** y **claves de cuentas de servicio** en el proyecto que quieres que Iru supervise (por ejemplo, **Service Account Admin** y **Service Account Key Admin**).
* Acceso de **administrador** a la aplicación web de Iru.
* El **proyecto** de Google Cloud que quieres que Iru supervise. Concede los roles en ese proyecto para que la evidencia abarque sus recursos.
### Conectar Google Cloud Platform a Iru
Crea la cuenta de servicio y la clave JSON en **Google Cloud** y, a continuación, sube la clave en **Iru Compliance**.
Completa esta pestaña antes de activar **Google Cloud Platform** en **Iru Compliance**.
#### Crear la cuenta de servicio y conceder los roles
Abre la [consola de Google Cloud](https://console.cloud.google.com/) y selecciona el **proyecto** que Iru debe supervisar.
En el menú de navegación, ve a **IAM & Admin** → **Service Accounts**.
Selecciona **Create service account**. Introduce un **Service account name** (por ejemplo, **Iru Compliance**). Google rellena el ID y el correo electrónico de la cuenta de servicio. Selecciona **Create and continue**.
En el paso **Permisos**, añade cada rol de la tabla [**Roles de solo lectura**](#read-only-roles) que necesites y, a continuación, selecciona **Continuar** y **Listo**.
Puedes conceder ahora solo los roles que necesites. Si añades los seis, no tendrás que volver a la consola más adelante.
#### Crear y descargar la clave JSON
Ve a **IAM & Admin** → **Service Accounts** y abre la cuenta que creaste.
Selecciona la pestaña **Keys**.
Selecciona **Add key**.
Selecciona **Create new key**.
Selecciona **JSON** y, a continuación, **Crear**. El archivo de clave se descarga en tu equipo.
Google no puede recuperar este archivo si lo pierdes. Cualquier persona que tenga el archivo tiene el acceso de la cuenta de servicio. Guárdalo en un gestor de contraseñas o en un almacén de secretos y elimina tu copia local después de conectar la fuente en Iru.
Algunas organizaciones limitan los roles predefinidos que un administrador puede conceder. En su lugar, crea un rol personalizado con los mismos permisos de solo lectura:
1. Ve a **IAM & Admin** → **Roles** y selecciona **Create role**.
2. Añade los permisos que necesites. Usa los ID de rol de [**Roles de solo lectura**](#read-only-roles) como referencia de lo que incluye cada rol predefinido.
3. Asigna el rol personalizado a la cuenta de servicio en lugar de los roles predefinidos.
Si prefieres la CLI, ejecuta esto con **gcloud** mientras tienes la sesión iniciada como un usuario que pueda crear cuentas de servicio y claves en el proyecto. Establece `PROJECT_ID` y, a continuación, ejecuta el script.
```bash theme={null}
# Set these two values, then run the script.
PROJECT_ID="your-project-id"
SA_NAME="iru-compliance"
SA_EMAIL="${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com"
gcloud config set project "$PROJECT_ID"
# 1. Create the service account
gcloud iam service-accounts create "$SA_NAME" \
--display-name="Iru Compliance"
# 2. Bind the read-only roles at the project level
for ROLE in \
roles/iam.securityAuditor \
roles/bigquery.dataViewer \
roles/cloudkms.viewer \
roles/compute.networkViewer \
roles/logging.viewer \
roles/storage.bucketViewer
do
gcloud projects add-iam-policy-binding "$PROJECT_ID" \
--member="serviceAccount:${SA_EMAIL}" \
--role="$ROLE"
done
# 3. Create the JSON key in the current directory
gcloud iam service-accounts keys create iru-compliance-key.json \
--iam-account="$SA_EMAIL"
```
El script escribe `iru-compliance-key.json` en el directorio desde el que lo ejecutas. Sube ese archivo en la pestaña [**Iru Compliance**](#iru-compliance).
Continúa en la pestaña [**Iru Compliance**](#iru-compliance).
Primero completa la pestaña [**Google Cloud**](#google-cloud) para tener el archivo de clave JSON.
En Iru Compliance, en la barra de navegación izquierda, expande **Cumplimiento** y selecciona **Fuentes**.
Busca **Google Cloud Platform** (establece **Categoría** en **Cloud infrastructure** o usa **Buscar por nombre o descripción**). En esa tarjeta, activa el **interruptor**. Es posible que se abra una pestaña o ventana del navegador para el asistente del conector.
En la pantalla de configuración, selecciona **Choose File** y selecciona la clave JSON que descargaste. El contenido del archivo aparece en el campo de abajo.
Selecciona **Guardar** y, a continuación, **Connect**. Cuando la conexión se realiza correctamente, el asistente muestra **Conexión configurada**.
Cierra la pestaña del navegador **Iru está solicitando acceso a servicios externos**, luego vuelve a **Cumplimiento** → **Fuentes** y confirma que la tarjeta de **Google Cloud Platform** está **Activo**.
### Solución de problemas
Revisa la configuración del **bloqueador de ventanas emergentes** para el sitio de Iru e inténtalo de nuevo.
Si **Crear** devuelve un error de política, es posible que tu organización aplique `constraints/iam.disableServiceAccountKeyCreation`. Un administrador de políticas de la organización debe añadir una excepción para tu proyecto antes de que puedas descargar una clave. Consulta la guía de Google sobre [políticas de la organización para cuentas de servicio](https://docs.cloud.google.com/iam/docs/service-accounts-custom-constraints).
Confirma que la clave JSON pertenezca a la cuenta de servicio del **proyecto** correcto y que la cuenta tenga los roles indicados en [**Roles de solo lectura**](#read-only-roles) para la evidencia que necesitas.
### Artículos relacionados
Explora y gestiona todas las fuentes de Compliance.
Marcos, acciones y **Artefactos**.
Cómo encajan Endpoint, Compliance e Identity.
Sube, revisa y organiza la evidencia de fuentes y acciones.