Google SecOps-Instanz zu einem BYOP-Projekt migrieren

Unterstützt in:

Diese Anleitung hilft Google Cloud Administratoren und Sicherheitsexperten, eine vorhandene Google SecOps-Instanz einschließlich ihrer Daten mithilfe des BYOP-Modells (Bring Your Own Project) zu einem anderen Google Cloud Projekt zu migrieren. So können Sie Ressourcen konsolidieren, die Abrechnung neu ausrichten oder sich an organisatorische Änderungen anpassen und gleichzeitig Ihre Sicherheitsdaten und die Instanzkonfiguration beibehalten.

Schlüsselterminologie

  • Bring Your Own Project (BYOP): Ein Modell, bei dem Sie Ihr eigenes Google Cloud Projekt verwenden, um die Google SecOps-Instanz zu hosten und zu verwalten.
  • Proof of Concept (POC): Eine Nicht-Produktionsinstanz, die für die Bewertung oder das Testen verwendet wird.
  • Technischer Ansprechpartner (Technical Point of Contact, TPOC): Die benannte Kontaktperson in Ihrer Organisation für die technische Kommunikation im Zusammenhang mit der Migration.

Hinweis

Bestätigen Sie vor dem Start der Migration, dass das Ziel Google Cloud projekt die folgenden Anforderungen erfüllt:

  • Berechtigungen: Wenn Sie eine Self-Service-Migration für eine POC-Instanz durchführen möchten, benötigen Sie die IAM-Rolle chroniclesm.admin, die die Berechtigung chroniclesm.projectLink.enable umfasst.

  • Rechnungskonto: Sie müssen die Google SecOps-Instanz mit einem BYOP-Zielprojekt verknüpfen, das dasselbe Google Cloud Rechnungskonto wie das ursprüngliche Projekt verwendet. Bestätigen Sie, dass das Abo des Rechnungskontos aktiv ist.

  • Projektverfügbarkeit: Sie können ein vorhandenes oder ein neues Google Cloud Projekt als Ziel verwenden:

    • Vorhandenes Projekt: Bestätigen Sie, dass es sich um ein gültiges Google Cloud Projekt handelt und es noch nicht mit einer aktiven Google SecOps-Instanz verknüpft ist.
    • Neues Projekt: Konfigurieren Sie das Projekt wie unter Projekt für Google SecOps konfigurieren beschrieben. Google Cloud

  • Organisationsrichtlinien: Wenn das aktuelle Google Cloud Projekt aktive Organisationsrichtlinien hat, z. B. VPC Service Controls, CMEK, FedRAMP oder andere Compliance-Frameworks, wenden Sie sich vor dem Start der Migration an den Google SecOps-Support.

  • Chronicle API: Aktivieren Sie die Chronicle API im Ziel Google Cloud projekt. Weitere Informationen finden Sie unter Chronicle API aktivieren.

  • Authentifizierung (nur BYOID): Wenn Ihre Instanz Bring Your Own Identity (BYOID) verwendet, konfigurieren Sie den Mitarbeiterpool im Zielprojekt. Weitere Informationen finden Sie unter Identitätsanbieter eines Drittanbieters konfigurieren.

  • SCC-E-Verknüpfungen: Wenn Ihre Google SecOps-Instanz mit Security Command Center Enterprise (SCC-E) verknüpft ist, wird die BYOP-Projektmigration nicht unterstützt. Wenden Sie sich an den Google SecOps-Support.

  • Ausfallzeit: Beachten Sie, dass für die Migration eine Ausfallzeit erforderlich ist. Um die Datenintegrität zu gewährleisten, sind die Google SecOps-Instanz und ihre APIs vorübergehend nicht verfügbar und geben den HTTP-Fehler 503 zurück. Auch die Aufnahme und Feeds sind betroffen.

Instanz zu einem BYOP-Projekt migrieren

Der Migrationsprozess hängt davon ab, ob Sie eine POC-Instanz oder eine Nicht-POC-Produktionsinstanz migrieren.

POC zu einem BYOP für die Produktion migrieren

Wenn Sie von einem POC zu einer vollständigen Produktionsumgebung wechseln, können Sie die Migration selbst starten. Dieser Vorgang beginnt automatisch, wenn Ihr neuer Produktionsvertrag beginnt. Ihr benannter TPOC erhält eine E-Mail mit einer Benachrichtigung zum Vertragsbeginn und einem Einrichtungslink.

Folgen Sie der Anleitung unter Google SecOps-Instanz mit einem neuen Abo verknüpfen, insbesondere dem Unterabschnitt Vorhandene POC-Google SecOps-Instanz mit einem neuen Abo verknüpfen.

Nicht-POC-Projekt zu einem BYOP migrieren

Bei Nicht-POC-Projekten, z. B. bei der Umstrukturierung interner Organisationen oder Übergängen von Managed Service Providern (MSPs), wird die Migration von Google SecOps-Support verwaltet.

  1. Anfrage starten: Öffnen Sie ein Standard-Supportticket, um die Projektmigration anzufordern. Geben Sie Details an, z. B. ob Sie ein neues Abo haben und das verknüpfte Google Cloud Projekt für die Google SecOps-Instanz ändern möchten.
  2. Migrationsprozess: Der Google SecOps-Support löst das Update aus. Sie müssen in der Console keine Maßnahmen ergreifen. Während der Migration werden automatische Status-E-Mails an Ihr Team gesendet.

Während der Migration

Für die Migration Ihrer Instanz zum Zielprojekt und die Aufrechterhaltung der Datenintegrität ist ein kurzes Wartungsfenster erforderlich.

  • Während der kritischen Phase sind Ihre Google SecOps-Instanz und ihre APIs vorübergehend nicht verfügbar und geben den Fehler HTTP 503 (Dienst nicht verfügbar) zurück. Dies ist zu erwarten. Der normale Dienst wird automatisch wieder aufgenommen, wenn das Projektupdate abgeschlossen ist.
  • Weitere Informationen zu den Auswirkungen auf Datenfeeds finden Sie unter Auswirkungen der Änderung des verknüpften Cloud-Projekts auf Datenfeeds.

Aktionen nach der Migration ausführen

Nachdem Sie die E-Mail mit der Benachrichtigung über den Abschluss der Migration erhalten haben, muss Ihr TPOC die folgenden Aktionen ausführen, um die volle Funktionalität wiederherzustellen:

  • Autorisierung konfigurieren: Richten Sie alle erforderlichen IAM-Autorisierungsregeln für das Zielprojekt ein. Weitere Informationen finden Sie unter Funktionszugriffssteuerung mit IAM konfigurieren.

  • Bestimmte Aufnahmefeeds neu erstellen:

    • Automatisch migrierte Feeds: Die meisten Aufnahmefeeds werden automatisch migriert und erfordern keine Maßnahmen. Dazu gehören die folgenden STS-Feeds, die automatisch neu verknüpft und aktiviert werden:

      • Non-FedAuth AMAZON_S3_V2
      • Non-FedAuth AMAZON_SQS_V2
      • Non-FedAuth AZURE_BLOBSTORE_V2

    • Feeds, die manuell neu erstellt werden müssen: Sie müssen die folgenden Feeds löschen und manuell in der Zielumgebung neu erstellen, da sie nach der Migration deaktiviert sind. Folgen Sie der Anleitung unter Erforderliche Maßnahmen für Kunden:

  • Andere Aufnahme überprüfen: Bestätigen Sie, dass alle anderen Aufnahmemechanismen wie erwartet funktionieren. Wenden Sie sich an den Google SecOps-Support, wenn Probleme auftreten.

  • BigQuery-Daten: Wenn Sie Daten in BigQuery speichern, die mit dem alten Projekt verknüpft sind, wenden Sie sich an den Google SecOps-Support, um diese Daten zum Zielprojekt zu migrieren.

  • Automatisierungen aktualisieren: Konfigurieren Sie alle externen Automatisierungen oder Skripts neu, die auf der Chronicle API basieren. Aktualisieren Sie sie mit der Zielprojekt-ID, generieren Sie neue API-Schlüssel und erstellen Sie alle erforderlichen Dienstkonten im Zielprojekt.

  • POC-Daten migrieren: Wenn Sie eine vorhandene POC-Instanz zu einem neuen Abo migriert haben, wenden Sie sich an den Google SecOps-Support oder Ihren Google-Ansprechpartner, um Unterstützung bei der Migration der POC-Daten nach der Aktivierung zu erhalten.

Fehlerbehebung

  • HTTP-Fehler 503: Dieser Fehler ist während des Migrationszeitraums zu erwarten, wie im Abschnitt Während der Migration beschrieben. Der Dienst sollte nach Abschluss automatisch wiederhergestellt werden.
  • Probleme mit Feeds: Wenn andere Feeds als die für die manuelle Neuerstellung aufgeführten nach der Migration nicht funktionieren, wenden Sie sich an den Google SecOps-Support.
  • Berechtigungsfehler: Prüfen Sie die IAM-Rollen und ‑Berechtigungen im Zielprojekt noch einmal.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten