Memigrasikan instance Google SecOps ke project BYOP

Didukung di:

Panduan ini membantu Google Cloud administrator dan engineer keamanan memigrasikan instance Google SecOps yang ada, termasuk datanya, ke project Google Cloud lain menggunakan model Bring Your Own Project (BYOP). Proses ini membantu Anda menggabungkan resource, menyelaraskan kembali penagihan, atau beradaptasi dengan perubahan organisasi sambil mempertahankan data keamanan dan konfigurasi instance Anda.

Terminologi utama

  • Bawa Project Anda Sendiri (BYOP): Model yang memungkinkan Anda menggunakan project sendiri Google Cloud untuk menghosting dan mengelola instance Google SecOps.
  • Bukti Konsep (POC): Instance non-produksi yang digunakan untuk evaluasi atau pengujian.
  • Kontak Teknis (TPOC): Orang yang ditunjuk sebagai kontak di organisasi Anda untuk komunikasi teknis terkait migrasi.

Sebelum memulai

Sebelum memulai migrasi, pastikan project Google Cloud target memenuhi persyaratan berikut:

  • Izin: Untuk melakukan migrasi layanan mandiri untuk instance POC, Anda harus memiliki peran IAM chroniclesm.admin, yang mencakup izin chroniclesm.projectLink.enable.

  • Akun penagihan: Anda harus menautkan instance Google SecOps ke project BYOP target yang menggunakan Google Cloud akun penagihan yang sama dengan project asli. Pastikan langganan akun penagihan aktif.

  • Ketersediaan project: Anda dapat menggunakan project Google Cloud yang sudah ada atau project baru sebagai target:

  • Kebijakan organisasi: Jika project Google Cloud saat ini memiliki kebijakan organisasi yang aktif, seperti Kontrol Layanan VPC, CMEK, FedRAMP, atau framework kepatuhan lainnya, hubungi Google SecOps Support untuk mendapatkan bantuan sebelum memulai migrasi.

  • Chronicle API: Aktifkan Chronicle API di project Google Cloud target. Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan Chronicle API.

  • Autentikasi (khusus BYOID): Jika instance Anda menggunakan Bawa Identitas Anda Sendiri (BYOID), konfigurasi kumpulan tenaga kerja di project target. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi penyedia identitas pihak ketiga.

  • Asosiasi SCC-E: Jika instance Google SecOps Anda ditautkan ke Security Command Center Enterprise (SCC-E), migrasi project BYOP tidak didukung. Hubungi Dukungan SecOps Google untuk mendapatkan bantuan.

  • Periode nonaktif: Perlu diketahui bahwa proses migrasi memerlukan periode nonaktif. Untuk menjaga integritas data, instance Google SecOps dan API-nya tidak tersedia untuk sementara dan menampilkan error HTTP 503. Penyerapan dan feed juga terpengaruh.

Memigrasikan instance ke project BYOP

Proses migrasi bergantung pada apakah Anda memigrasikan instance POC atau instance produksi non-POC.

Memigrasikan POC ke BYOP produksi

Jika Anda berpindah dari POC ke lingkungan produksi penuh, Anda dapat memulai migrasi sendiri. Proses ini dimulai secara otomatis saat kontrak produksi baru Anda dimulai. TPOC yang Anda tunjuk akan menerima email notifikasi dimulainya kontrak dengan link penyiapan.

Ikuti petunjuk di Menautkan instance Google SecOps ke langganan baru, khususnya subbagian Untuk menautkan instance Google SecOps POC yang ada ke langganan baru.

Memigrasikan project non-POC ke BYOP

Untuk project non-PoC, seperti untuk restrukturisasi organisasi internal atau transisi Penyedia Layanan Terkelola (MSP), Google SecOps Support mengelola migrasi.

  1. Mulai permintaan: Buka tiket dukungan standar untuk meminta migrasi project. Sertakan detail seperti apakah Anda memiliki langganan baru dan ingin mengubah project Google Cloud yang ditautkan untuk instance Google SecOps.
  2. Proses migrasi: Dukungan Google SecOps memicu update. Anda tidak perlu melakukan tindakan apa pun di konsol. Email status otomatis dikirim ke tim Anda saat migrasi berlangsung.

Selama proses migrasi

Masa pemeliharaan singkat diperlukan untuk memindahkan instance Anda ke project target dan menjaga integritas data.

  • Selama fase kritis, instance Google SecOps dan API-nya tidak tersedia untuk sementara dan menampilkan error HTTP 503 (Layanan Tidak Tersedia). Hal ini sudah diperkirakan. Layanan normal akan dilanjutkan secara otomatis saat update project selesai.
  • Untuk mengetahui informasi selengkapnya tentang pengaruhnya terhadap feed data, lihat Dampak perubahan Project Cloud tertaut pada feed data.

Menyelesaikan tindakan pascamigrasi

Setelah Anda menerima email notifikasi penyelesaian migrasi, TPOC Anda harus melakukan tindakan berikut untuk memulihkan fungsi penuh:

  • Konfigurasi otorisasi: Siapkan semua aturan otorisasi IAM yang diperlukan di project target. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi kontrol akses fitur menggunakan IAM.

  • Membuat ulang feed penyerapan tertentu:

    • Feed yang dimigrasikan secara otomatis: Sebagian besar feed penyerapan data dimigrasikan secara otomatis dan tidak memerlukan tindakan. Hal ini mencakup feed STS berikut, yang otomatis ditautkan ulang dan diaktifkan:

      • Non-FedAuth AMAZON_S3_V2
      • Non-FedAuth AMAZON_SQS_V2
      • Non-FedAuth AZURE_BLOBSTORE_V2

    • Feed yang memerlukan pembuatan ulang secara manual: Anda harus menghapus dan membuat ulang feed berikut secara manual di lingkungan target karena feed tersebut dinonaktifkan setelah migrasi. Ikuti langkah-langkah di Tindakan yang diperlukan bagi pelanggan:

  • Verifikasi penyerapan lainnya: Pastikan semua mekanisme penyerapan lainnya berfungsi seperti yang diharapkan. Hubungi Dukungan Google SecOps jika Anda mengalami masalah.

  • Data BigQuery: Jika Anda menyimpan data di BigQuery yang terkait dengan project lama, hubungi Dukungan SecOps Google untuk membantu memigrasikan data ini ke project target.

  • Perbarui otomatisasi: Mengonfigurasi ulang otomatisasi atau skrip eksternal yang mengandalkan Chronicle API. Perbarui dengan project ID target, buat kunci API baru, dan buat akun layanan yang diperlukan di project target.

  • Migrasikan data POC: Jika Anda memigrasikan instance POC yang ada ke langganan baru, hubungi Dukungan Google SecOps atau perwakilan Google Anda untuk mendapatkan bantuan terkait migrasi data POC setelah aktivasi.

Pemecahan masalah

  • Error HTTP 503: Error ini wajar terjadi selama periode migrasi, seperti yang disebutkan di bagian Selama proses migrasi. Layanan akan dipulihkan secara otomatis setelah selesai.
  • Masalah feed: Jika feed selain yang tercantum untuk pembuatan ulang manual tidak berfungsi setelah migrasi, hubungi Dukungan Google SecOps.
  • Error izin: Periksa kembali peran dan izin IAM di project target.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.