Kontextsensitive Zugriffsdaten von Chrome Enterprise Premium erfassen

Unterstützt in:

In diesem Dokument wird beschrieben, wie Sie Ihre Organisation mit Google Security Operations verbinden, die Identity-Aware Proxy (IAP) API aktivieren und Feeds einrichten, um die folgenden Daten in Google Security Operations aufzunehmen. Die Feeds enthalten Chrome Enterprise Premium-Inhalte, die sich speziell auf IAP und kontextsensitive Zugriffsdaten beziehen.

Hinweis

Bevor Sie Feeds zum Erfassen von Chrome Enterprise Premium-Daten einrichten, führen Sie die folgenden Aufgaben aus:

Cloud Identity API aktivieren und Dienstkonto erstellen

  1. Wählen Sie in der Google Cloud Console das Google Cloud Projekt aus, für das Sie die API aktivieren möchten, und rufen Sie dann die Seite APIs & Dienste auf:

    APIs & Dienste aufrufen

  2. Klicken Sie auf APIs und Dienste aktivieren.

  3. Suchen Sie nach „Cloud Identity API“.

  4. Klicken Sie in den Suchergebnissen auf Cloud Identity API.

  5. Klicken Sie auf Aktivieren.

  6. Erstellen Sie ein Dienstkonto:

    1. Wählen Sie in der Google Cloud Console IAM & Verwaltung > Dienstkonten aus.
    2. Klicken Sie auf Dienstkonto erstellen.
    3. Geben Sie auf der Seite Dienstkonto erstellen einen Namen für das Dienstkonto ein.
    4. Klicken Sie auf Fertig.

  7. Wählen Sie das Dienstkonto aus, das Sie erstellt haben.

  8. Kopieren und speichern Sie die ID, die im Feld Eindeutige ID angezeigt wird. Sie verwenden diese ID, wenn Sie eine domainweite Delegierung erstellen.

  9. Wählen Sie den Tab Keys aus.

  10. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.

  11. Wählen Sie JSON als Schlüsseltyp aus.

  12. Klicken Sie auf Erstellen.

  13. Kopieren und speichern Sie den JSON-Schlüssel. Sie verwenden diesen Schlüssel, wenn Sie Feeds einrichten.

Weitere Informationen finden Sie unter Cloud Identity API aktivieren und Dienstkonto zum Authentifizieren der API erstellen.

Domainweite Delegierung erstellen

So verwalten Sie den API-Zugriff für das Dienstkonto mit domainweiter Delegierung:

  1. Wählen Sie auf der Startseite der Admin-Konsole Sicherheit > Zugriffs- und Datenkontrolle > API-Steuerung aus.
  2. Wählen Sie Domainweite Delegierung > Domainweite Delegierung verwalten aus.
  3. Klicken Sie auf Neu hinzufügen.
  4. Geben Sie die Client-ID des Dienstkontos ein. Die Client-ID des Dienstkontos ist die eindeutige ID, die Sie beim Erstellen eines Dienstkontos erhalten haben.
  5. Geben Sie unter OAuth-Bereiche https://www.googleapis.com/auth/cloud-identity.devices.readonly ein.
  6. Klicken Sie auf Autorisieren.

Weitere Informationen finden Sie unter Zugriff auf die API mit domainweiter Delegierung verwalten.

Nutzer für die Identitätsübernahme erstellen

  1. Wählen Sie auf der Startseite der Admin-Konsole Verzeichnis > Nutzer aus.
  2. So fügen Sie einen neuen Nutzer hinzu:
    1. Klicken Sie auf Neuen Nutzer hinzufügen.
    2. Geben Sie einen Namen für den Nutzer ein.
    3. Geben Sie die E‑Mail-Adresse ein, die mit dem Nutzer verknüpft ist.
    4. Klicken Sie auf Erstellen und dann auf Fertig.
  3. So erstellen Sie eine neue Rolle und weisen ihr eine Berechtigung zu:
    1. Wählen Sie den neu erstellten Nutzernamen aus.
    2. Klicken Sie auf Administratorrollen und Berechtigungen.
    3. Klicken Sie auf Benutzerdefinierte Rolle erstellen.
    4. Klicken Sie auf Neue Rolle erstellen.
    5. Geben Sie einen Namen für die Rolle ein.
    6. Wählen Sie Dienste> Mobilgeräteverwaltung und dann die Berechtigung Geräte und Einstellungen verwalten aus.
    7. Klicken Sie auf Weiter.
  4. So weisen Sie dem Nutzer die Rolle zu:
    1. Klicken Sie auf Nutzer zuweisen.
    2. Rufen Sie den neu erstellten Nutzer auf und klicken Sie auf Rolle zuweisen.

Feeds einrichten

So konfigurieren Sie einen Feed:

  1. Rufen Sie die SIEM-Einstellungen > Feeds auf.
  2. Klicken Sie auf Neuen Feed hinzufügen.
  3. Klicken Sie auf der nächsten Seite auf Einen einzelnen Feed konfigurieren.
  4. Geben Sie einen eindeutigen Namen für Feldname ein, z. B. Chrome Enterprise Premium-Logs.
  5. Wählen Sie Drittanbieter-API als Quelltyp aus.
  6. Wählen Sie in der Liste Log type (Protokolltyp) entweder GCP Cloud Identity Devices (GCP Cloud Identity-Geräte) oder GCP Cloud Identity Device Users (GCP Cloud Identity-Gerätenutzer) aus.
  7. Klicken Sie auf Weiter.

  8. Geben Sie auf dem Tab Eingabeparameter die folgenden Details an:

    • OAuth-JWT-Endpunkt Geben Sie https://oauth2.googleapis.com/token ein.
    • JWT-Anforderungen für den Aussteller. Geben Sie <insert_service_account@project.iam.gserviceaccount.com> an. Das ist das Dienstkonto, das Sie im Abschnitt Cloud Identity API aktivieren und Dienstkonto erstellen erstellt haben.
    • JWT-Ansprüche für das Subjekt. Geben Sie die E-Mail-Adresse des Nutzers ein, den Sie im Abschnitt Nutzer für die Identitätsübernahme erstellen erstellt haben.
    • JWT-Anforderungen für die Zielgruppe Geben Sie https://oauth2.googleapis.com/token ein.
    • Privater RSA-Schlüssel Geben Sie den JSON-Schlüssel ein, der beim Erstellen eines Dienstkontos zur Authentifizierung der API erstellt wurde.
    • API-Version Optional. Sie können dieses Feld leer lassen.

  9. Klicken Sie auf Weiter.

  10. Prüfen Sie auf dem Tab Abschließen die eingegebenen Werte und klicken Sie dann auf Senden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten