Migra una instancia de Google SecOps a un proyecto BYOP

Se admite en los siguientes sistemas operativos:

Esta guía ayuda a los administradores y a los ingenieros de seguridad de Google Cloud Google SecOps a migrar una instancia existente, incluidos sus datos, a un proyecto Google Cloud diferente con el modelo Bring Your Own Project (BYOP). Este proceso te ayuda a consolidar recursos, realinear la facturación o adaptarte a los cambios organizacionales y, al mismo tiempo, conservar tus datos de seguridad y la configuración de la instancia.

Terminología clave

  • Usa tu propio proyecto (BYOP): Es un modelo en el que usas tu propio proyecto Google Cloud para alojar y administrar la instancia de Google SecOps.
  • Prueba de concepto (PoC): Es una instancia que no es de producción y que se usa para la evaluación o las pruebas.
  • Punto de contacto técnico (TPOC): Es la persona de contacto designada en tu organización para las comunicaciones técnicas relacionadas con la migración.

Antes de comenzar

Antes de comenzar la migración, confirma que el proyecto Google Cloud de destino cumpla con los siguientes requisitos:

  • Permisos: Para realizar una migración de autoservicio para una instancia de PDCP, debes tener el rol de IAM chroniclesm.admin, que incluye el permiso chroniclesm.projectLink.enable.

  • Cuenta de facturación: Debes vincular la instancia de Google SecOps a un proyecto BYOP de destino que use la misma Google Cloud cuenta de facturación que el proyecto original. Confirma que la suscripción de la cuenta de facturación esté activa.

  • Disponibilidad del proyecto: Puedes usar un proyecto Google Cloud existente o uno nuevo como destino:

  • Políticas de la organización: Si el proyecto Google Cloud actual tiene políticas de la organización activas, como Controles del servicio de VPC, CMEK, FedRAMP o otros marcos de cumplimiento, comunícate con el equipo de asistencia de Google SecOps para obtener ayuda antes de iniciar la migración.

  • API de Chronicle: Habilita la API de Chronicle en el proyecto Google Cloud de destino. Para obtener más información, consulta Habilita la API de Chronicle.

  • Autenticación (solo BYOID): Si tu instancia usa Bring Your Own Identity (BYOID), configura el grupo de personal en el proyecto de destino. Para obtener más información, consulta Configura un proveedor de identidad externo.

  • Asociaciones de SCC-E: Si tu instancia de Google SecOps está vinculada a Security Command Center Enterprise (SCC-E), no se admite la migración de proyectos BYOP. Comunícate con el equipo de asistencia de Google SecOps para obtener ayuda.

  • Tiempo de inactividad: Ten en cuenta que el proceso de migración requiere tiempo de inactividad. Para mantener la integridad de los datos, la instancia de Google SecOps y sus APIs no están disponibles temporalmente y devuelven un error HTTP 503. La transferencia y los feeds también se ven afectados.

Migra la instancia a un proyecto de BYOP

El proceso de migración depende de si migras una instancia de PdC o una instancia de producción que no sea de PdC.

Migra una PoC a un BYOP de producción

Si vas a pasar de una PoC a un entorno de producción completo, puedes iniciar la migración por tu cuenta. Este proceso comienza automáticamente cuando comienza tu nuevo contrato de producción. El TPOC designado recibe un correo electrónico de notificación de inicio del contrato con un vínculo de configuración.

Sigue las instrucciones que se indican en Vincula una instancia de Google SecOps a una suscripción nueva, específicamente la subsección Cómo vincular una instancia existente de Google SecOps de la PDD a una suscripción nueva.

Migra un proyecto que no es de PdC a un BYOP

En el caso de los proyectos que no son de POC, como las reestructuraciones internas de la organización o las transiciones de proveedores de servicios administrados (MSP), Google SecOps Support administra la migración.

  1. Inicia la solicitud: Abre un ticket de asistencia estándar para solicitar la migración del proyecto. Incluye detalles como si tienes una suscripción nueva y deseas cambiar el proyecto Google Cloud vinculado para la instancia de Google SecOps.
  2. Proceso de migración: El equipo de asistencia de Google SecOps activa la actualización. No es necesario que realices ninguna acción en la consola. A medida que avanza la migración, se envían correos electrónicos de estado automatizados a tu equipo.

Durante el proceso de migración

Se requiere un breve período de mantenimiento para mover tu instancia al proyecto de destino y mantener la integridad de los datos.

  • Durante la fase crítica, tu instancia de Google SecOps y sus APIs no están disponibles temporalmente y muestran un error HTTP 503 (Service Unavailable). Esta situación es esperable. El servicio normal se reanuda automáticamente cuando se completa la actualización del proyecto.
  • Para obtener más información sobre cómo se ven afectados los feeds de datos, consulta Impacto del cambio de tu proyecto de Cloud vinculado en los feeds de datos.

Completa las acciones posteriores a la migración

Después de que recibas el correo electrónico de notificación de finalización de la migración, tu TPOC debe realizar las siguientes acciones para restablecer la funcionalidad completa:

  • Configura la autorización: Establece todas las reglas de autorización de IAM necesarias en el proyecto de destino. Para obtener más información, consulta Cómo configurar el control de acceso a funciones con la IAM.

  • Vuelve a crear feeds de transferencia específicos:

    • Feeds migrados automáticamente: La mayoría de los feeds de transferencia se migran automáticamente y no requieren ninguna acción. Esto incluye los siguientes feeds de STS, que se vuelven a vincular y habilitar automáticamente:

      • Non-FedAuth AMAZON_S3_V2
      • Non-FedAuth AMAZON_SQS_V2
      • Non-FedAuth AZURE_BLOBSTORE_V2

    • Feeds que requieren una recreación manual: Debes borrar y volver a crear manualmente los siguientes feeds en el entorno de destino, ya que se inhabilitan después de la migración. Sigue los pasos que se indican en Acciones obligatorias para los clientes:

  • Verifica otras incorporaciones: Confirma que todos los demás mecanismos de incorporación funcionen según lo esperado. Si tienes problemas, comunícate con el equipo de asistencia de Google SecOps.

  • Datos de BigQuery: Si almacenas datos en BigQuery asociados con el proyecto anterior, comunícate con el Equipo de asistencia de Google SecOps para que te ayude a migrar estos datos al proyecto de destino.

  • Actualiza las automatizaciones: Vuelve a configurar las automatizaciones o los lenguajes de secuencias de comandos externos que dependan de la API de Chronicle. Actualízalos con el ID del proyecto de destino, genera nuevas claves de API y crea las cuentas de servicio necesarias en el proyecto de destino.

  • Migra los datos de la PDV: Si migraste una instancia de PDV existente a una suscripción nueva, comunícate con el equipo de asistencia de Google SecOps o con tu representante de Google para que te ayuden a migrar los datos de la PDV después de la activación.

Soluciona problemas

  • Error HTTP 503: Se espera que se produzca este error durante el período de migración, como se menciona en la sección Durante el proceso de migración. El servicio debería restablecerse automáticamente cuando se complete el proceso.
  • Problemas con los feeds: Si los feeds que no son los que se enumeran para la recreación manual no funcionan después de la migración, comunícate con el equipo de asistencia de Google SecOps.
  • Errores de permisos: Vuelve a verificar los roles y permisos de IAM en el proyecto de destino.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.