Google SecOps-Instanz zu einem BYOP-Projekt migrieren

Unterstützt in:

In dieser Anleitung wird Google Cloud Administratoren und Sicherheitsexperten gezeigt, wie sie eine vorhandene Google SecOps-Instanz einschließlich ihrer Daten mithilfe des BYOP-Modells (Bring Your Own Project) zu einem anderen Google Cloud Projekt migrieren. So können Sie Ressourcen konsolidieren, die Abrechnung neu ausrichten oder sich an organisatorische Änderungen anpassen und gleichzeitig Ihre Sicherheitsdaten und Instanzkonfiguration beibehalten.

Schlüsselterminologie

  • Eigenes Projekt verwenden (Bring Your Own Project, BYOP): Ein Modell, bei dem Sie Ihr eigenes Google Cloud -Projekt zum Hosten und Verwalten der Google SecOps-Instanz verwenden.
  • Proof of Concept (PoC): Eine Nicht-Produktionsinstanz, die für die Bewertung oder das Testen verwendet wird.
  • Technischer Ansprechpartner (Technical Point of Contact, TPOC): Die in Ihrer Organisation für die technische Kommunikation im Zusammenhang mit der Migration zuständige Kontaktperson.

Hinweis

Bestätigen Sie vor dem Start der Migration, dass das Zielprojekt Google Cloud die folgenden Anforderungen erfüllt:

  • Berechtigungen: Für die Self-Service-Migration einer POC-Instanz benötigen Sie die IAM-Rolle chroniclesm.admin, die die Berechtigung chroniclesm.projectLink.enable enthält.

  • Rechnungskonto: Sie müssen die Google SecOps-Instanz mit einem BYOP-Zielprojekt verknüpfen, das dasselbe Google Cloud Rechnungskonto wie das ursprüngliche Projekt verwendet. Prüfen Sie, ob das Abo für das Rechnungskonto aktiv ist.

  • Projektverfügbarkeit: Sie können ein vorhandenes oder ein neues Google Cloud Projekt als Ziel verwenden:

    • Vorhandenes Projekt: Bestätigen Sie, dass es sich um ein gültiges Google Cloud -Projekt handelt und es nicht bereits mit einer aktiven Google SecOps-Instanz verknüpft ist.
    • Neues Projekt: Konfigurieren Sie das Projekt wie unter Google Cloud -Projekt für Google SecOps konfigurieren beschrieben.

  • Organisationsrichtlinien: Wenn für das aktuelle Google Cloud Projekt aktive Organisationsrichtlinien wie VPC Service Controls, CMEK, FedRAMP oder andere Compliance-Frameworks gelten, wenden Sie sich vor der Migration an den Google SecOps-Support.

  • Chronicle API: Aktivieren Sie die Chronicle API im Ziel Google Cloud projekt. Weitere Informationen finden Sie unter Chronicle API aktivieren.

  • Authentifizierung (nur BYOID): Wenn für Ihre Instanz BYOID (Bring Your Own Identity) verwendet wird, konfigurieren Sie den Personalpool im Zielprojekt. Weitere Informationen finden Sie unter Drittanbieter-Identitätsanbieter konfigurieren.

  • SCC-E-Verknüpfungen: Wenn Ihre Google SecOps-Instanz mit Security Command Center Enterprise (SCC-E) verknüpft ist, wird die BYOP-Projektmigration nicht unterstützt. Wenden Sie sich an den Google SecOps-Support, um Unterstützung zu erhalten.

  • Ausfallzeit: Beachten Sie, dass für den Migrationsprozess eine Ausfallzeit erforderlich ist. Um die Datenintegrität aufrechtzuerhalten, sind die Google SecOps-Instanz und ihre APIs vorübergehend nicht verfügbar und geben einen HTTP-503-Fehler zurück. Auch die Aufnahme und Feeds sind betroffen.

Instanz zu einem BYOP-Projekt migrieren

Der Migrationsprozess hängt davon ab, ob Sie eine POC-Instanz oder eine Produktionsinstanz ohne POC migrieren.

POC zu einer BYOP-Produktionsumgebung migrieren

Wenn Sie von einem POC zu einer vollständigen Produktionsumgebung wechseln, können Sie die Migration selbst starten. Dieser Prozess beginnt automatisch, wenn Ihr neuer Produktionsvertrag in Kraft tritt. Ihr benannter TPOC erhält eine E-Mail-Benachrichtigung zum Vertragsbeginn mit einem Einrichtungslink.

Folgen Sie der Anleitung unter Google SecOps-Instanz mit einem neuen Abo verknüpfen, insbesondere dem Unterabschnitt Vorhandene POC-Google SecOps-Instanz mit einem neuen Abo verknüpfen.

Nicht-POC-Projekt zu BYOP migrieren

Bei Projekten, die nicht auf einem POC basieren, z. B. bei der Umstrukturierung einer internen Organisation oder bei der Umstellung auf einen Managed Service Provider (MSP), wird die Migration vom Google SecOps-Support verwaltet.

  1. Anfrage initiieren: Erstellen Sie ein Standard-Support-Ticket, um die Projektmigration anzufordern. Geben Sie Details an, z. B. ob Sie ein neues Abo haben und das verknüpfte Google Cloud Projekt für die Google SecOps-Instanz ändern möchten.
  2. Migrationsprozess: Der Google SecOps-Support löst das Update aus. Sie müssen in der Konsole nichts weiter tun. Während der Migration werden automatische Status-E‑Mails an Ihr Team gesendet.

Während der Migration

Für die Migration Ihrer Instanz zum Zielprojekt und die Aufrechterhaltung der Datenintegrität ist ein kurzes Wartungsfenster erforderlich.

  • Während der kritischen Phase sind Ihre Google SecOps-Instanz und die zugehörigen APIs vorübergehend nicht verfügbar und geben den Fehler HTTP 503 (Service Unavailable) zurück. Dies ist zu erwarten. Der normale Dienstbetrieb wird automatisch wieder aufgenommen, wenn das Projektupdate abgeschlossen ist.
  • Weitere Informationen dazu, wie sich die Änderung des verknüpften Cloud-Projekts auf Datenfeeds auswirkt, finden Sie unter Auswirkungen der Änderung des verknüpften Cloud-Projekts auf Datenfeeds.

Aktionen nach der Migration ausführen

Nachdem Sie die E‑Mail-Benachrichtigung über den Abschluss der Migration erhalten haben, muss Ihr TPOC die folgenden Aktionen ausführen, um die volle Funktionalität wiederherzustellen:

  • Autorisierung konfigurieren: Richten Sie alle erforderlichen IAM-Autorisierungsregeln für das Zielprojekt ein. Weitere Informationen finden Sie unter Funktionszugriffssteuerung mit IAM konfigurieren.

  • Bestimmte Aufnahme-Feeds neu erstellen:

    • Automatisch migrierte Feeds: Die meisten Ingest-Feeds werden automatisch migriert. Es sind keine Maßnahmen erforderlich. Dazu gehören die folgenden STS-Feeds, die automatisch neu verknüpft und aktiviert werden:

      • Nicht-FedAuth AMAZON_S3_V2
      • Nicht-FedAuth AMAZON_SQS_V2
      • Non-FedAuth AZURE_BLOBSTORE_V2

    • Feeds, die manuell neu erstellt werden müssen: Die folgenden Feeds müssen in der Zielumgebung gelöscht und manuell neu erstellt werden, da sie nach der Migration deaktiviert sind. Folgen Sie der Anleitung unter Erforderliche Maßnahmen für Kunden:

  • Andere Aufnahmen prüfen: Prüfen Sie, ob alle anderen Aufnahmemechanismen wie erwartet funktionieren. Wenden Sie sich bei Problemen an den Google SecOps-Support.

  • BigQuery-Daten: Wenn Sie Daten im alten Projekt speichern, die mit BigQuery verknüpft sind, wenden Sie sich an den Google SecOps-Support, um diese Daten in das Zielprojekt zu migrieren.

  • Automatisierte Abläufe aktualisieren: Konfigurieren Sie alle externen automatisierten Abläufe oder Skripts neu, die auf der Chronicle API basieren. Aktualisieren Sie sie mit der Zielprojekt-ID, generieren Sie neue API-Schlüssel und erstellen Sie alle erforderlichen Dienstkonten im Zielprojekt.

  • POC-Daten migrieren: Wenn Sie eine vorhandene POC-Instanz zu einem neuen Abo migriert haben, wenden Sie sich nach der Aktivierung an den Google SecOps-Support oder Ihren Google-Ansprechpartner, um Hilfe bei der Migration der POC-Daten zu erhalten.

Fehlerbehebung

  • HTTP 503-Fehler: Dieser Fehler ist während des Migrationszeitraums zu erwarten, wie im Abschnitt Während der Migration beschrieben. Der Dienst sollte nach Abschluss automatisch wiederhergestellt werden.
  • Probleme mit Feeds: Wenn Feeds, die nicht in der Liste für die manuelle Neuerstellung aufgeführt sind, nach der Migration nicht funktionieren, wenden Sie sich an den Google SecOps-Support.
  • Berechtigungsfehler: Prüfen Sie die IAM-Rollen und -Berechtigungen im Zielprojekt noch einmal.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten