Google uses AI technology to translate content into your preferred language. AI translations can contain errors.

配置 Google Cloud 身份提供方

支持的环境：

Google SecOps SIEM

您可以使用 Cloud Identity、Google Workspace 或第三方身份提供方（例如 Okta 或 Azure AD）管理用户、群组和身份验证。

本页介绍了如何使用 Cloud Identity 或 Google Workspace。

使用 Cloud Identity 或 Google Workspace 时，您可以创建受管理的用户账号以控制对 Google Cloud 资源和 Google SecOps 的访问权限。

您可以创建 IAM 政策，以定义哪些用户和群组有权访问 Google SecOps 功能。这些 IAM 政策使用 Google SecOps 提供的预定义角色和权限或您创建的自定义角色进行定义。

在将 Google SecOps 实例关联到 Google Cloud 服务时，请配置与 Google Cloud 身份提供方的连接。Google SecOps 实例直接与 Cloud Identity 或 Google Workspace 集成，以根据您配置的 IAM 政策对用户进行身份验证并强制执行访问权限控制。

如需详细了解如何创建 Cloud Identity 或 Google Workspace 账号，请参阅用户身份。

常见使用场景

Google SecOps 需要使用 Cloud Identity 或 Google Workspace 作为 SSO 代理，以满足各种使用场景。

遵守严格的安全标准

目标：满足系统和云访问的严格监管标准。
价值：通过安全地代理 SSO，帮助满足 FedRAMP High（或更高）合规性要求。

管理企业访问权限控制

目标：在整个组织内集中控制功能和数据访问权限。
价值：通过使用 IAM 在 Google SecOps 中启用企业级 RBAC。

自动执行 API 程序化访问

目标：提供自助服务方法，以便安全地与 Chronicle API 进行交互。
价值：通过让客户以程序化方式管理其凭据，减少手动管理开销。

授予角色以启用登录 Google SecOps

以下步骤介绍了如何使用 IAM 授予特定角色，以便用户可以登录 Google SecOps。请使用您之前创建的 Google SecOps 绑定 Google Cloud 项目执行配置。

向应有权访问 Google Security Operations 应用的用户或群组授予 Chronicle API Viewer (roles/chronicle.viewer) 角色。

注意：以下示例使用 gcloud 命令。如需使用控制台，请参阅授予单个角色。
重要提示：以下示例不会配置对 Google SecOps 功能的授权。 Google Cloud 这是通过 IAM 进行功能访问权限控制。
- 以下示例会向特定群组授予 Chronicle API Viewer 角色：
```
gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "group:GROUP_EMAIL"
```
  替换以下内容：
  - PROJECT_ID：替换为您在为 Google Security Operations 配置项目中所配置的 Google Security Operations 绑定项目的项目 ID。 Google Cloud 如需了解用于标识项目的字段的说明，请参阅创建和管理项目。
  - GROUP_EMAIL：群组的邮箱别名，例如 analyst-t1@example.com。
- 如需向特定用户授予 Chronicle API Viewer 角色，请运行以下命令：
```
gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "user:USER_EMAIL"
```
  替换 USER_EMAIL：用户的用户电子邮件地址，例如 alice@example.com。
- 如需查看如何向其他成员（例如群组或网域）授予角色的示例，请参阅 gcloud projects add-iam-policy-binding 和 Principal identifiers 参考文档。
配置其他 IAM 政策，以满足您的组织访问权限和安全要求。

后续步骤

完成本文档中的步骤后，请执行以下操作：

执行将 Google Security Operations 实例关联到服务的步骤。 Google Cloud
如果您尚未设置审核日志记录，请继续启用 Google Security Operations 审核日志记录。
如果您要为 Google Security Operations 进行配置，请在 Google Security Operations 中预配、验证用户身份和映射用户中执行其他步骤。
如需配置对功能的访问权限，请在“使用 IAM 配置功能访问权限控制”和“IAM 中的 Google Security Operations 权限”中执行其他步骤。