Google menggunakan teknologi AI untuk menerjemahkan konten ke dalam bahasa pilihan Anda. Terjemahan AI mungkin mengandung kesalahan.

Mengumpulkan log Pengguna Perangkat Cloud Identity

Parser Version: 1.0

Didukung di:

Google SecOps SIEM

Dokumen ini menjelaskan cara mengumpulkan log Pengguna Perangkat Cloud Identity ke Google Security Operations menggunakan metode Third Party API, yang merupakan pendekatan yang direkomendasikan. Pengurai pertama-tama mengekstrak data dari log Cloud Identity Device Users yang diformat JSON dan mengubah stempel waktu ke format standar. Kemudian, alat ini memetakan kolom tertentu dari data log mentah ke kolom yang sesuai dalam model data terpadu (UDM) untuk entity pengguna, hubungannya dengan aset, dan atribut pengguna tambahan seperti status pengelolaan dan sandi.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

Instance Google SecOps
Penyiapan Delegasi Seluruh Domain untuk Akun Layanan. Akun Layanan harus diberi otorisasi untuk cakupan berikut:
- https://www.googleapis.com/auth/cloud-identity.devices.readonly
API berikut diaktifkan di project Google Cloud Anda:
- Cloud Identity API
- Google Workspace Admin SDK
- Alert Center API

Direkomendasikan: Menyiapkan Feed API Pihak Ketiga

Ada dua titik entri yang berbeda untuk menyiapkan feed di platform Google SecOps:

Setelan SIEM > Feed > Tambahkan Feed Baru
Hub Konten > Paket Konten > Mulai

Cara menyiapkan feed Google Cloud Identity Device Users

Klik paket Google Cloud Compute platform.
Cari jenis log Google Cloud Identity Device Users, lalu klik Add new feed.
Tentukan nilai untuk kolom berikut:
- Jenis Sumber: Pilih API pihak ketiga.
- Endpoint JWT OAuth: Masukkan endpoint token OAuth: https://oauth2.googleapis.com/token
- Penerbit klaim JWT: Masukkan alamat email Akun Layanan (ditemukan di file kunci JSON Akun Layanan).
- Subjek klaim JWT: Masukkan alamat email pengguna yang diberi peran admin layanan atau admin super di konsol Workspace (pengguna yang identitasnya ditiru melalui Delegasi Tingkat Domain).
- JWT claims audience: Masukkan endpoint lagi: https://oauth2.googleapis.com/token
- Kunci pribadi RSA: Tempelkan konten lengkap kunci pribadi dari file kunci JSON Akun Layanan (termasuk baris -----BEGIN PRIVATE KEY----- dan -----END PRIVATE KEY-----).

Opsi lanjutan

Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
Namespace Aset: Namespace yang terkait dengan feed.
Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.

Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Metode Alternatif: Penyerapan melalui Cloud Storage

Login ke Google Cloud konsol.
Buka halaman bucket Cloud Storage.

Buka Bucket
Klik Buat.
Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah menyelesaikan setiap langkah berikut, klik Continue untuk melanjutkan ke langkah berikutnya:
1. Di bagian Mulai, lakukan tindakan berikut:
  1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, gcp-cloudidentity-users-logs.
  2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimize for file oriented and data-intensive workloads, lalu pilih Enable Hierarchical namespace on this bucket.
    
    Catatan: Anda tidak dapat mengaktifkan namespace hierarkis pada bucket yang ada.
  3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Label.
  4. Klik Add label, lalu tentukan kunci dan nilai untuk label Anda.
2. Di bagian Pilih tempat untuk menyimpan data Anda, lakukan tindakan berikut:
  1. Pilih Location type.
  2. Gunakan menu jenis lokasi untuk memilih Location tempat data objek dalam bucket Anda akan disimpan secara permanen.
    
    Catatan: Jika memilih jenis lokasi dual-region, Anda juga dapat memilih untuk mengaktifkan replikasi turbo menggunakan kotak centang yang relevan.
  3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Set up cross-bucket replication.
3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.
4. Di bagian Pilih cara mengontrol akses ke objek, hapus centang pada Terapkan pencegahan akses publik, lalu pilih model Kontrol akses untuk objek bucket Anda.
  
  Catatan: Jika pencegahan akses publik sudah diterapkan oleh kebijakan organisasi project Anda, kotak centang Enforce public access prevention on this bucket akan dikunci.
5. Di bagian Pilih cara melindungi data objek, lakukan hal berikut:
  1. Pilih salah satu opsi di bagian Perlindungan data yang ingin Anda tetapkan untuk bucket Anda.
  2. Untuk memilih cara mengenkripsi data objek Anda, klik panah peluas berlabel Enkripsi data, lalu pilih metode enkripsi data.
Klik Create.

Mengonfigurasi ekspor log Pengguna Perangkat Cloud Identity

Login ke Google Cloud konsol.
Buka Logging > Log Router.
Klik Create Sink.
Berikan parameter konfigurasi berikut:
- Sink Name: masukkan nama yang bermakna; misalnya, Cloudidentity-Users-Sink.
- Sink Destination: pilih Cloud Storage Storage dan masukkan URI untuk bucket Anda; misalnya, gs://gcp-cloudidentity-users-logs/.
- Filter Log:
```
logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_user"
```
- Setel Opsi Ekspor: menyertakan semua entri log.
Klik Create.

Mengonfigurasi izin untuk Cloud Storage

Buka IAM & Admin > IAM.
Temukan akun layanan Cloud Logging.
Berikan roles/storage.admin di bucket.

Tabel Pemetaan UDM

Kolom Log	Pemetaan UDM	Logika
collection_time.nanos	timestamp.nanos	Dipetakan langsung dari kolom log. Mewakili stempel waktu peristiwa dalam nanodetik.
collection_time.seconds	timestamp.seconds	Dipetakan langsung dari kolom log. Menunjukkan stempel waktu peristiwa dalam detik.
Waktu pembuatan	entity.metadata.creation_timestamp	Dipetakan langsung dari kolom log setelah diuraikan oleh filter `date`. Merepresentasikan stempel waktu pembuatan pengguna.
managementState	entity.additional.fields.value.string_value	Dipetakan langsung dari kolom log. Merepresentasikan status pengelolaan pengguna.
nama	entity.entity.resource.name	Dipetakan langsung dari kolom log. Mewakili nama resource lengkap pengguna perangkat.
passwordState	entity.additional.fields.value.string_value	Dipetakan langsung dari kolom log. Menunjukkan status sandi pengguna. Kolom ini hanya dipetakan jika kolom `passwordState` ada dalam log mentah.
userEmail	entity.entity.user.email_addresses	Dipetakan langsung dari kolom log. Mewakili alamat email pengguna.
	entity.additional.fields.key	Tetapkan ke nilai konstan `Management State` dalam parser. Kolom ini digunakan untuk memberikan konteks pada nilai `managementState`.
	entity.additional.fields.key	Ditetapkan ke nilai konstan `Password State` dalam parser. Kolom ini digunakan untuk memberikan konteks pada nilai `passwordState` dan hanya ada jika `passwordState` ada di log mentah.
	entity.entity.user.product_object_id	Diekstrak dari kolom `name` menggunakan filter `grok`, yang mengambil bagian `deviceuser_id`. Merepresentasikan ID unik pengguna perangkat.
	entity.metadata.collected_timestamp.nanos	Disalin dari `collection_time.nanos`. Menampilkan stempel waktu saat log dikumpulkan.
	entity.metadata.collected_timestamp.seconds	Disalin dari `collection_time.seconds`. Menampilkan stempel waktu saat log dikumpulkan.
	entity.metadata.entity_type	Tetapkan ke nilai konstan `USER` dalam parser.
	entity.metadata.product_name	Ditetapkan ke nilai konstan `GCP Cloud Identity Device Users` dalam parser.
	entity.metadata.vendor_name	Ditetapkan ke nilai konstan `Google Cloud Platform` dalam parser.
	relations.entity.asset.product_object_id	Diekstrak dari kolom `name` menggunakan filter `grok`, yang mengambil bagian `device_id`. Menunjukkan ID unik perangkat.
	relations.entity_type	Tetapkan ke nilai konstan `ASSET` dalam parser.
	relations.relationship	Ditetapkan ke nilai konstanta `MEMBER` dalam parser.

Log Perubahan

Melihat Log Perubahan untuk parser ini

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.