Cómo ver las topologías de un proyecto

Para responder preguntas sobre el estado, las relaciones, las dependencias y el cumplimiento de políticas de los agentes, puedes ejecutar consultas que correlacionen los datos de los agentes, los datos de tráfico y otros datos de recursos. Los resultados se muestran como un gráfico de topología que puedes explorar.

Un gráfico de topología puede ayudarte a hacer lo siguiente:

  • Asocia recursos: Visualiza los datos asociados a tus agentes, incluidos los servidores de MCP, la infraestructura subyacente, los endpoints, las habilidades y las identidades.
  • Identifica las brechas de registro: Identifica las cargas de trabajo de procesamiento descubiertas que no están registradas en el Registro de agentes.
  • Valida el cumplimiento de políticas: Identifica las vulnerabilidades y los problemas de seguridad que detecta Security Command Center.
  • Analiza los impactos de los cambios: Evalúa los impactos de los cambios en las políticas de acceso, las credenciales de los extremos o la infraestructura de la que dependen los recursos del agente.

Puedes ejecutar consultas sugeridas, personalizar una consulta sugerida o crear tu propia consulta personalizada.

Antes de comenzar

  1. Identifica el proyecto Cloud de Confiance que deseas configurar.

    Los datos de seguridad y cumplimiento que proporciona Security Command Center solo están disponibles para los proyectos de una organización de Cloud de Confiance by S3NS . Si deseas migrar un proyecto a una organización, consulta las instrucciones de migración.

  2. Configura los servicios que proporcionan los datos de recursos que deseas consultar:

  3. Habilita las APIs de App Hub, App Topology, Cloud Asset Inventory y Observability si alguna de ellas aún no está habilitada.

    Roles necesarios para habilitar las APIs

    Para habilitar APIs, necesitas el permiso serviceusage.services.enable. Si creaste el proyecto, es probable que ya tengas este permiso a través del rol de propietario (roles/owner). De lo contrario, puedes obtener este permiso a través del rol de administrador de Service Usage (roles/serviceusage.serviceUsageAdmin). Obtén más información para otorgar roles.

    Habilitar las API

  4. Verifica que la facturación esté habilitada para tu proyecto de Cloud de Confiance .

  5. Si proteges servicios en un perímetro de Controles del servicio de VPC, actualiza el perímetro para incluir App Topology y los servicios que proporcionan datos subyacentes. Obtén más información.

Roles obligatorios

Para obtener los permisos que necesitas para ver los gráficos de topología, pídele a tu administrador que te otorgue el rol de IAM de Visualizador de App Topology (roles/apptopology.viewer) en los proyectos en los que quieras usar App Topology. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Este rol predefinido contiene los permisos necesarios para ver los gráficos de topología. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para ver los gráficos de topología:

  • Obtén datos de recursos descubiertos: apptopology.discoveredResourcesTopologies.generate
  • Obtén datos de recursos: apptopology.sreDomainTopologies.generate

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Acerca de las consultas

Las consultas de App Topology constan de varios componentes:

  • Nodos: Son recursos Cloud de Confiance by S3NS descubiertos o registrados. Estos son algunos ejemplos de nodos:

    • Una VM de Compute Engine
    • Una imagen de contenedor en Artifact Registry
    • Un agente
    • Una alerta de Cloud Monitoring
    • Una aplicación de IA
    • Una vulnerabilidad

    El compilador de consultas agrupa los nodos por servicio.

  • Cláusula WHERE: Es un filtro que se aplica a un nodo para refinar la consulta según las propiedades específicas del nodo.

  • Conexiones: Relación direccional entre dos nodos. Las conexiones tienen en cuenta el contexto, y solo las relaciones válidas están disponibles para un tipo de nodo seleccionado. Estos son algunos ejemplos:

    • contained in
    • sends traffic to
    • owns
    • depends on

En el siguiente ejemplo de consulta, se buscan implementaciones que tienen una vulnerabilidad específica:

Ejemplo de consulta con una variedad de componentes
Un ejemplo de consulta que usa una variedad de componentes

La búsqueda establece los nodos clave de la investigación: - Agent - Vulnerability

Las conexiones contains indican las relaciones entre los nodos:

  • Agent contains Vulnerability

La cláusula Where filtra los resultados de vulnerabilidades para mostrar un CVE específico.

  • Where Id = CVE-2026-24061

Cómo usar o personalizar una consulta sugerida

La topología de la app proporciona sugerencias de búsqueda que puedes usar sin realizar ningún cambio, o bien puedes personalizar esas sugerencias para que se ajusten a tus requisitos específicos.

  1. En la consola de Cloud de Confiance , ve a la página Topology.

    Ir a Topología

  2. En el selector de proyectos, selecciona el proyecto que contiene tus agentes.

  3. En Quick Queries, haz clic en una consulta para ver una vista previa de sus componentes.

  4. Para usar la sugerencia, haz clic en Usar sugerencia. La consulta aparece en la sección Mostrar.

  5. Para realizar cambios en la búsqueda, agrega, edita o quita componentes.

    • Para agregar un componente a la consulta, haz clic en el ícono de signo más () junto al nodo.
    • Para quitar un componente, haz clic en el ícono de cerrar .
    • Para cambiar el valor de una cláusula Where, haz clic en el valor.

    Puedes hacer clic en Deshacer para revertir un cambio o en Rehacer para volver a aplicar los cambios que revertiste con Deshacer.

    A medida que creas tu consulta, se actualizan los nodos, los filtros y las conexiones disponibles.

  6. Cuando termines de editar la consulta, haz clic en Ejecutar consulta. Si los resultados de tu búsqueda incluyen Cloud de Confiance recursos descubiertos o recursos registrados en Agent Registry, se mostrará un gráfico de topología.

    Los gráficos no están disponibles para los resultados de la búsqueda que solo incluyen tipos de datos, como cadenas o recuentos.

    Según los resultados, puedes editar la consulta y, luego, hacer clic en Ejecutar consulta para actualizar el gráfico de topología.

  7. Explora el gráfico de topología. En el gráfico, se muestran los recursos que coinciden con tu búsqueda y las relaciones entre ellos.

    • Los íconos representan nodos, recursos descubiertos y registrados, y su tipo de recurso.
    • Las líneas representan las conexiones, es decir, las relaciones entre los nodos.

    Ejemplo de un gráfico de topología con un nodo seleccionado

    Puedes interactuar con una topología de las siguientes maneras:

    • Cambia la visualización acercando o alejando el zoom, o bien reposicionando los nodos.
    • Para ver la etiqueta de una conexión, coloca el cursor sobre la línea de conexión entre dos nodos.
    • Selecciona un nodo o una conexión para obtener información sobre ellos.
    • Para ocultar o mostrar el panel de consultas, haz clic en Toggle panel .

Si no hay resultados, intenta definir mejor tu búsqueda.

Crea consultas personalizadas

Para crear una consulta personalizada, comienza una consulta nueva o personaliza una consulta sugerida existente siguiendo estos pasos:

  1. En la consola de Cloud de Confiance , ve a la página Topology.

    Ir a Topología

  2. En el selector de proyectos, selecciona el proyecto que contiene tus agentes.

  3. En el compilador de consultas, haz clic en y selecciona un recurso o un hallazgo como el nodo principal de tu consulta. Luego, haz clic en Continuar.

  4. Para definir mejor tu consulta, haz clic en el botón de activación de cualquier filtro o conexión para habilitarlo en el nodo seleccionado. Define el valor de cada filtro que habilites.

  5. Para realizar cambios en la búsqueda, agrega, edita o quita componentes.

    • Para agregar un componente a la consulta, haz clic en el ícono de signo más () junto al nodo.
    • Para quitar un componente, haz clic en el ícono de cerrar .
    • Para cambiar el valor de una cláusula Where, haz clic en el valor.

    Puedes hacer clic en Deshacer para revertir un cambio o en Rehacer para volver a aplicar los cambios que revertiste con Deshacer.

    A medida que creas tu consulta, se actualizan los nodos, los filtros y las conexiones disponibles.

  6. Cuando termines de editar la consulta, haz clic en Ejecutar consulta. Si los resultados de tu búsqueda incluyen Cloud de Confiance recursos descubiertos o recursos registrados en Agent Registry, se mostrará un gráfico de topología.

    Los gráficos no están disponibles para los resultados de la búsqueda que solo incluyen tipos de datos, como cadenas o recuentos.

    Según los resultados, puedes editar la consulta y, luego, hacer clic en Ejecutar consulta para actualizar el gráfico de topología.

  7. Explora el gráfico de topología. En el gráfico, se muestran los recursos que coinciden con tu búsqueda y las relaciones entre ellos.

    • Los íconos representan nodos, recursos descubiertos y registrados, y su tipo de recurso.
    • Las líneas representan las conexiones, es decir, las relaciones entre los nodos.

    Ejemplo de un gráfico de topología con un nodo seleccionado

    Puedes interactuar con una topología de las siguientes maneras:

    • Cambia la visualización acercando o alejando el zoom, o bien reposicionando los nodos.
    • Para ver la etiqueta de una conexión, coloca el cursor sobre la línea de conexión entre dos nodos.
    • Selecciona un nodo o una conexión para obtener información sobre ellos.
    • Para ocultar o mostrar el panel de consultas, haz clic en Toggle panel .

Se aplican algunas limitaciones a las búsquedas. Si no hay resultados, intenta definir mejor tu búsqueda.

¿Qué sigue?