Eseguire la migrazione di un'istanza Google SecOps a un progetto BYOP

Supportato in:

Questa guida aiuta gli Google Cloud amministratori e gli ingegneri della sicurezza a eseguire la migrazione di un'istanza Google SecOps esistente, inclusi i relativi dati, a un progetto Google Cloud diverso utilizzando il modello Bring Your Own Project (BYOP). Questa procedura ti aiuta a consolidare le risorse, riallineare la fatturazione o adattarti alle modifiche organizzative mantenendo i dati di sicurezza e la configurazione dell'istanza.

Terminologia chiave

  • Bring Your Own Project (BYOP): un modello in cui utilizzi il tuo Google Cloud progetto per ospitare e gestire l'istanza Google SecOps.
  • Proof of Concept (POC): un'istanza non di produzione utilizzata per la valutazione o il test.
  • Punto di contatto tecnico (TPOC): la persona di contatto designata nella tua organizzazione per le comunicazioni tecniche relative alla migrazione.

Prima di iniziare

Prima di iniziare la migrazione, verifica che il progetto di destinazione Google Cloud soddisfi i seguenti requisiti:

  • Autorizzazioni: per eseguire una migrazione self-service per un'istanza POC, devi disporre del ruolo IAM chroniclesm.admin, che include l'autorizzazione chroniclesm.projectLink.enable.

  • Account di fatturazione: devi collegare l'istanza Google SecOps a un progetto BYOP di destinazione che utilizza lo stesso Google Cloud account di fatturazione del progetto originale. Verifica che l'abbonamento all'account di fatturazione sia attivo.

  • Disponibilità del progetto: puoi utilizzare un progetto esistente o nuovo Google Cloud come destinazione:

  • Policy dell'organizzazione: se il progetto corrente ha policy dell'organizzazione attive, come Controlli di servizio VPC, CMEK, FedRAMP o altri framework di conformità, contatta l'assistenza Google SecOps per ricevere assistenza prima di avviare la migrazione. Google Cloud

  • API Chronicle: abilita l'API Chronicle nel progetto di destinazione Google Cloud . Per saperne di più, consulta Abilitare l'API Chronicle.

  • Autenticazione (solo BYOID): se la tua istanza utilizza Bring Your Own Identity (BYOID), configura il pool di forza lavoro nel progetto di destinazione. Per saperne di più, consulta Configurare un provider di identità di terze parti.

  • Associazioni SCC-E: se la tua istanza Google SecOps è collegata a Security Command Center Enterprise (SCC-E), la migrazione del progetto BYOP non è supportata. Contatta l'assistenza Google SecOps per ricevere assistenza.

  • Tempi di inattività: tieni presente che la procedura di migrazione richiede tempi di inattività. Per mantenere l'integrità dei dati, l'istanza Google SecOps e le relative API non sono temporaneamente disponibili e restituiscono un errore HTTP 503. Anche l'importazione e i feed sono interessati.

Eseguire la migrazione dell'istanza a un progetto BYOP

La procedura di migrazione dipende dal fatto che tu stia eseguendo la migrazione di un'istanza POC o di un'istanza di produzione non POC.

Eseguire la migrazione di un POC a un BYOP di produzione

Se stai passando da un POC a un ambiente di produzione completo, puoi avviare la migrazione autonomamente. Questa procedura inizia automaticamente all'inizio del nuovo contratto di produzione. Il TPOC designato riceve un'email di notifica di inizio contratto con un link di configurazione.

Segui le istruzioni riportate in Collegare un'istanza Google SecOps a un nuovo abbonamento, in particolare la sottosezione Per collegare un'istanza Google SecOps POC esistente a un nuovo abbonamento.

Eseguire la migrazione di un progetto non POC a un BYOP

Per i progetti non POC, ad esempio per la ristrutturazione interna dell'organizzazione o le transizioni del provider di servizi gestiti (MSP), l'assistenza Google SecOps gestisce la migrazione.

  1. Avviare la richiesta: apri un ticket di assistenza standard per richiedere la migrazione del progetto. Includi dettagli come se hai un nuovo abbonamento e vuoi modificare il progetto collegato per l'istanza Google SecOps. Google Cloud
  2. Procedura di migrazione: l'assistenza Google SecOps attiva l'aggiornamento. Non devi intraprendere alcuna azione nella console. Man mano che la migrazione procede, vengono inviate email di stato automatiche al tuo team.

Durante la procedura di migrazione

È necessario un breve periodo di manutenzione per spostare l'istanza nel progetto di destinazione e mantenere l'integrità dei dati.

  • Durante la fase critica, l'istanza Google SecOps e le relative API non sono temporaneamente disponibili e restituiscono un errore HTTP 503 (Servizio non disponibile). È previsto. Il servizio normale riprende automaticamente al termine dell'aggiornamento del progetto.
  • Per saperne di più su come vengono interessati i feed di dati, consulta Impatto della modifica del progetto Cloud collegato sui feed di dati.

Completare le azioni post-migrazione

Dopo aver ricevuto l'email di notifica del completamento della migrazione, il TPOC deve eseguire le seguenti azioni per ripristinare la funzionalità completa:

  • Configurare l'autorizzazione: configura tutte le regole di autorizzazione IAM richieste nel progetto di destinazione. Per saperne di più, consulta Configurare il controllo dell'accesso alle funzionalità utilizzando IAM.

  • Ricreare feed di importazione specifici:

    • Feed migrati automaticamente: la maggior parte dei feed di importazione viene migrata automaticamente e non richiede alcuna azione. Sono inclusi i seguenti feed STS, che vengono ricollegati e abilitati automaticamente:

      • Non-FedAuth AMAZON_S3_V2
      • Non-FedAuth AMAZON_SQS_V2
      • Non-FedAuth AZURE_BLOBSTORE_V2

    • Feed che richiedono la ricreazione manuale: devi eliminare e ricreare manualmente i seguenti feed nell'ambiente di destinazione perché vengono disabilitati dopo la migrazione. Segui i passaggi descritti in Azioni richieste per i clienti:

  • Verificare altre importazioni: verifica che tutti gli altri meccanismi di importazione funzionino come previsto. Contatta l'assistenza Google SecOps se riscontri problemi.

  • Dati BigQuery: se memorizzi i dati in BigQuery associati al vecchio progetto, contatta l'assistenza Google SecOps per eseguire la migrazione di questi dati al progetto di destinazione.

  • Aggiornare le automazioni: riconfigura eventuali automazioni o script esterni che si basano sull'API Chronicle. Aggiornali con l'ID progetto di destinazione, genera nuove chiavi API e crea eventuali service account necessari nel progetto di destinazione.

  • Eseguire la migrazione dei dati POC: se hai eseguito la migrazione di un'istanza POC esistente a un nuovo abbonamento, contatta l'assistenza Google SecOps o il tuo rappresentante di Google per ricevere assistenza per la migrazione dei dati POC dopo l'attivazione.

Risoluzione dei problemi

  • Errore HTTP 503: questo errore è previsto durante la finestra di migrazione, come indicato nella sezione Durante la procedura di mig1razione. Il servizio dovrebbe essere ripristinato automaticamente al termine.
  • Problemi con i feed: se i feed diversi da quelli elencati per la ricreazione manuale non funzionano dopo la migrazione, contatta l'assistenza Google SecOps.
  • Errori di autorizzazione: controlla i ruoli e le autorizzazioni IAM nel progetto di destinazione.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.