Zusätzliche Instanz bereitstellen

Unterstützt in:

Google SecOps

In diesem Leitfaden wird beschrieben, wie Plattformadministratoren und Sicherheitstechniker zusätzliche Google SecOps-Instanzen in einem vorhandenen einheitlichen Abo bereitstellen können. Es wird beschrieben, wie Sie neue Instanzen über den Self-Service-Workflow in der Google Cloud Console bereitstellen und verknüpfen. Mit dieser Methode können Sie mandantenfähige Sicherheitsvorgänge über Geschäftseinheiten, Tochtergesellschaften oder verwaltete Kunden hinweg skalieren, ohne auf manuelle Unterstützung warten zu müssen. Eine erfolgreiche Bereitstellung optimiert die Umgebungsisolation und sorgt gleichzeitig dafür, dass für vorhandene aktive Instanzen keine Ausfallzeiten entstehen.

Gängige Anwendungsfälle

In den folgenden Anwendungsfällen wird beschrieben, wie Organisationen zusätzliche Instanzen bereitstellen, um Umgebungen zu isolieren und Vorgänge zu skalieren:

Isolation von Geschäftseinheiten und Tochtergesellschaften

• Ziel: Dedizierte Instanzen für verschiedene Geschäftseinheiten, Tochtergesellschaften oder Betriebsumgebungen (z. B. Entwicklung, Staging und Produktion) im Rahmen eines einzigen Vertrags bereitstellen.
• Wert: Strenge Datengrenzen und unabhängige Zugriffssteuerungen erzwingen und gleichzeitig die konsolidierte Abrechnung in einem Abo konsolidieren.

Onboarding von Kunden für Anbieter verwalteter Sicherheitsdienste

• Ziel: Separate Google SecOps-Instanzen für einzelne verwaltete Kunden im Rahmen eines aktiven Abos für Managed Security Service Provider (MSSP) bereitstellen.
• Wert: Beschleunigen Sie das Onboarding von Kunden und sorgen Sie für die Mandantenisolation ohne manuelle Supporteskalation.

Schlüsselterminologie

• Einheitliche Instanz: Ein Google SecOps-Mandant, der SIEM- und SOAR-Funktionen in einer einzigen Umgebung kombiniert, die mit einem Google Cloud -Projekt verknüpft ist.
• Übergeordneter Vertrag: Die aktive Google SecOps-Abovereinbarung, die mit Ihrem Cloud-Rechnungskonto verknüpft ist und den regionalen Standort, die Paketstufe und die Standardeinstellungen für die Datenaufbewahrung für alle verknüpften Instanzen regelt.
• Projekt für administrative Kontrolle: Das dedizierte Google Cloud -Projekt, das mit einer einzelnen Google SecOps-Instanz verknüpft ist und die (IAM-)Berechtigungen, APIs und Ressourceneinstellungen für diesen Mandanten steuert.

Hinweis

Prüfen Sie zuerst, ob Sie die erforderlichen Berechtigungen haben und die Umgebung eingerichtet ist:

• Berechtigungen: Sie benötigen die folgenden Rollen:
  • Berechtigungen für das Rechnungskonto: Sie benötigen die Berechtigung billing.resourceAssociations.list oder die Rolle Billing Account User (roles/billing.user) für das Cloud-Rechnungskonto, das mit Ihrem Google SecOps-Vertrag verknüpft ist.
  • Berechtigungen für das Zielprojekt: Für das Zielprojekt von Google Cloud , auf dem die neue Instanz gehostet wird, benötigen Sie die folgenden Rollen:
  • Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
  • Bearbeiter (roles/editor)
  • Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin)
  • Chronicle Service Admin (roles/chroniclesm.admin)
  • Berechtigungen für die Konfiguration des Identitätsanbieters: Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, benötigen Sie die Rolle IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) auf Organisationsebene.
• Umgebungsprüfung: Sie müssen jede Google SecOps-Instanz mit einem dedizierten Google Cloud -Projekt verknüpfen, das dasselbe Cloud-Rechnungskonto wie Ihr Google SecOps-Abovertrag verwendet. Weitere Informationen finden Sie unter Instanz mit Google Cloudverknüpfen.

Beschränkungen

Für die Bereitstellung zusätzlicher Instanzen im Self-Service gelten die folgenden Einschränkungen:

• Mindestens eine aktive Instanz: Ihre Organisation muss mindestens eine vorhandene Google SecOps-Instanz haben, die bereits eingerichtet und im Rahmen Ihres Abovertrags aktiv ist. Die Self-Service-Bereitstellung ist deaktiviert, wenn keine aktive Instanz vorhanden ist.
• Maximale Anzahl von Instanzen: Die Selfservice-Bereitstellung ist nur verfügbar, wenn die Gesamtzahl der mit Ihrem Cloud-Rechnungskonto und Abovertrag verknüpften Instanzen weniger als 25 beträgt. Wenn 25 oder mehr Instanzen verknüpft sind, bleibt der Button Instanz hinzufügen deaktiviert.
• Aktives Abo: Ihr Google SecOps-Abovertrag muss aktiv und gültig sein. Sie können keine zusätzlichen Instanzen bereitstellen, wenn Ihr Abo abgelaufen oder gesperrt ist.
• Standard-, Enterprise- oder Enterprise Plus-Stufe: Das Abo muss eine aktive Registrierung für eines der unterstützten Google SecOps-Pakete sein.
• Nur vereinheitlichte Instanzen: Alle vorhandenen Instanzen im Rahmen Ihres Vertrags müssen vereinheitlichte Instanzen sein. Die Self-Service-Bereitstellung wird nicht unterstützt, wenn eine vorhandene Instanz im Rahmen der Vereinbarung nur SIEM-fähig ist.
• Nur Instanzen, die nicht konform sind: Die Selfservice-Bereitstellung ist nur für standardmäßige kommerzielle Umgebungen verfügbar. Wenn eine vorhandene Instanz im Rahmen Ihres Vertrags mit Compliance-Kontrollen oder Souveränitätsanforderungen (z. B. FedRAMP, IL4, IL5, IL6, CMEK oder DRZ_Advanced) konfiguriert ist, ist die Self-Service-Bereitstellung deaktiviert. Wenden Sie sich für compliancegesteuerte Umgebungen an Ihren Google-Ansprechpartner oder an den Google SecOps-Support, um eine manuelle Bereitstellung durch das Compliance-Engineering-Team zu veranlassen.
• Abstimmung des Datenstandorts: Alle zusätzlichen Instanzen befinden sich in derselben geografischen Region (z. B. us oder europe) wie Ihre ursprüngliche Instanz. Die Region ist entsprechend Ihrem übergeordneten Vertrag festgelegt und kann nicht geändert werden.
• Übernahme der Datenaufbewahrung: Zusätzliche Instanzen übernehmen automatisch die vertragliche Datenaufbewahrungsdauer Ihrer übergeordneten Abovereinbarung.

Projekt in Google Cloud vorbereiten

Bereiten Sie das dedizierte Google Cloud -Projekt vor, das als administrative Steuerungsebene für die neue Instanz dient:

1. Dediziertes Projekt erstellen oder auswählen: Wir empfehlen, für jede neue Instanz ein neues, dediziertes Google Cloud -Projekt zu erstellen. Folgen Sie der Anleitung unter Projekt erstellen.
2. Verknüpfung mit dem Rechnungskonto prüfen: Das Google Cloud -Projekt muss genau dasselbe Cloud-Rechnungskonto wie Ihr Google SecOps-Abovertrag verwenden.
3. Projektverfügbarkeit prüfen: Das Google Cloud -Projekt darf noch nicht mit einer anderen Google SecOps-Instanz verknüpft sein. In jedem Projekt kann nur eine Instanz gehostet werden.

4. VPC Service Controls konfigurieren (optional): Wenn Ihre Organisation VPC Service Controls verwendet, konfigurieren Sie die Regeln für ein- und ausgehenden Traffic, die unter VPC Service Controls für Google SecOps konfigurieren dokumentiert sind.

   Hinweis: Wenn das Projekt ein anderes Cloud-Rechnungskonto verwendet oder bereits mit einer vorhandenen Instanz verknüpft ist, schlägt die Projektauswahl während der Einrichtung fehl. Prüfen Sie die Abrechnungsverknüpfung auf der Seite Abrechnung, bevor Sie mit der Bereitstellung beginnen.

Zusätzliche Instanz bereitstellen

Wenn Sie eine zusätzliche Google SecOps-Instanz über dieGoogle Cloud Console bereitstellen möchten, führen Sie die Schritte in den folgenden Abschnitten aus:

1. Google SecOps-Seite öffnen
2. Zielprojekt auswählen
3. Wichtige Kontakte hinzufügen
4. Bereitstellungsdetails prüfen und Einmalanmeldung (SSO) konfigurieren
5. Instanzeinrichtung starten

Google SecOps-Seite öffnen

Öffnen Sie in der Google Cloud Console die Seite Google SecOps, um die Bereitstellung zu starten:

1. Rufen Sie in der Google Cloud Console die Seite Google SecOps auf.
2. In der Tabelle Instanzen sind alle vorhandenen Google SecOps-Instanzen aufgeführt, die mit Ihrem Rechnungskonto verknüpft sind.

3. Klicken Sie auf Instanz hinzufügen.

   Hinweis: Wenn der Button Instanz hinzufügen nicht verfügbar oder deaktiviert ist, fehlen Ihrem Konto entweder Abrechnungsberechtigungen, es wurde keine erste Instanz eingerichtet, es sind 25 oder mehr Instanzen mit dem Rechnungskonto und dem Vertrag verknüpft oder es gehört zu einem Abo, das der Compliance unterliegt. Lesen Sie den Abschnitt Einschränkungen und prüfen Sie Ihre Rechnungskontorollen, bevor Sie es noch einmal versuchen.

Zielprojekt auswählen

Verknüpfen Sie das vorbereitete Google Cloud -Projekt mit Ihrer neuen Google SecOps-Instanz:

1. Klicken Sie auf der Seite SecOps mit einem Projekt verknüpfen auf Projekt auswählen, um das Dialogfeld Ressource auswählen zu öffnen.
2. Wählen Sie Ihre Organisation aus der Drop-down-Liste aus.
3. Wählen Sie in der Liste Projekte und Ordner das Projekt Google Cloud aus, das Sie für diese Instanz vorbereitet haben.

4. Klicken Sie auf den Namen des infrage kommenden Projekts von Google Cloud , um es auszuwählen.

   Hinweis: Google Cloud Projekte, die nicht ausgewählt werden können, werden mit einem Warnsymbol warning angezeigt. Bewegen Sie den Mauszeiger auf das Warnsymbol, um die jeweilige Einschränkung zu sehen (z. B. nicht übereinstimmendes Rechnungskonto, unzureichende Berechtigungen oder eine vorhandene Google SecOps-Instanzverknüpfung). Wählen Sie dann ein konformes Projekt aus.

Wichtige Kontakte hinzufügen

Weisen Sie Kontakte zu, die wichtige Benachrichtigungen zu technischen, sicherheitsrelevanten, rechtlichen und abrechnungsbezogenen Themen erhalten sollen:

1. Klicken Sie in der Tabelle Wichtige Kontakte auf Kontakt hinzufügen oder auf das Bearbeitungssymbol neben einer vorhandenen Kategorie.
2. Geben Sie die E‑Mail-Adresse der Kontaktperson ein.
3. Wählen Sie eine oder mehrere Benachrichtigungskategorien aus. Sie müssen für jede der obligatorischen Kategorien mindestens einen Kontakt zuweisen:
   • Technisch
   • Sicherheit
   • Legal
   • Abrechnung
4. Klicken Sie auf Speichern.

5. Nachdem Sie allen obligatorischen Kategorien Kontakte zugewiesen haben, klicken Sie auf Weiter, um die Seite Bereitstellung zu öffnen.

   Hinweis: Wenn eine obligatorische Kontaktkategorie nicht zugewiesen ist, bleibt der Button Weiter deaktiviert. Weisen Sie jeder Kategorie mindestens eine gültige E‑Mail-Adresse zu, um fortzufahren.

Bereitstellungsdetails prüfen und Einmalanmeldung (SSO) konfigurieren

Prüfen Sie die übernommenen Vertragseinstellungen und konfigurieren Sie die Nutzerauthentifizierung für die neue Instanz:

1. Bereitstellungsdetails prüfen: Prüfen Sie die vorausgefüllte Bereitstellungskonfiguration:

   • Region: Zeigt den geografischen Speicherort an. Die Region ist gesperrt, damit sie mit Ihrem übergeordneten Vertrag übereinstimmt, und kann nicht geändert werden.
   • Paketstufe: Zeigt die Google SecOps-Paketstufe an, die von Ihrem Abo übernommen wurde.
   • Datenaufbewahrungsdauer: Zeigt die Datenaufbewahrungsdauer an, die von Ihrem Abo übernommen wurde.

   Klicken Sie auf Weiter.

2. Dienstkonto prüfen: Bestätigen Sie die Details des Dienstkontos, das vom System für Instanzvorgänge erstellt wurde, und klicken Sie dann auf Weiter.

3. Einmalanmeldung (SSO) konfigurieren: Wählen Sie den Identitätsanbieter aus, der für die Verwaltung der Nutzerauthentifizierung und der Zugriffssteuerung verwendet wird:

   • Google Cloud Identity: Wählen Sie diese Option aus, wenn Sie Cloud Identity oder Google Workspace verwenden. Weitere Informationen finden Sie unter Google Cloud -Identitätsanbieter konfigurieren.
   • Workforce Identity-Föderation: Wählen Sie diese Option aus, wenn Sie einen externen Identitätsanbieter wie Okta oder Microsoft Entra ID verwenden. Weitere Informationen finden Sie unter Externen Identitätsanbieter konfigurieren.

   Klicken Sie auf Weiter.

4. Nutzungsbedingungen akzeptieren: Lesen Sie die Nutzungsbedingungen und setzen Sie ein Häkchen, um ihnen zuzustimmen.

   Hinweis: Prüfen Sie, ob die von Ihnen ausgewählte Identitätsanbieterkonfiguration aktiv ist, bevor Sie die Einrichtung abschließen. Falsch konfigurierte Workforce Identity-Pools verhindern, dass sich Nutzer nach Abschluss der Bereitstellung anmelden können.

Instanzeinrichtung starten

Starten Sie die automatisierte Bereitstellungspipeline, um Ihre Instanz bereitzustellen:

1. Klicken Sie auf Einrichtung starten, um die Bereitstellung zu starten.
2. Die automatisierte Bereitstellungspipeline verknüpft das Google Cloud Projekt mit Ihrem Vertrag, konfiguriert den Datenspeicher, richtet die Service Infrastructure ein und aktiviert Ihre Instanz.

3. Nach Abschluss der Bereitstellung wird die neue Instanz in der Tabelle Instanzen mit dem Status Aktiv angezeigt. Nachdem Sie die Einrichtung gestartet haben, kann es zwischen 30 Minuten und 1 Stunde dauern, bis die neue Instanz in der Tabelle Instanzen angezeigt wird.

   Hinweis: Wenn die Bereitstellung fehlschlägt, prüfen Sie, ob die Chronicle API in Ihrem Zielprojekt in Google Cloud aktiviert ist. Wenn das Problem weiterhin auftritt, wenden Sie sich an Ihren Google-Ansprechpartner oder an den Google SecOps-Support.

Beispiele und Referenzinformationen

Verwenden Sie die Referenzbefehle und Links in diesem Abschnitt, um Ihr Zielprojekt mit der Google Cloud CLI (gcloud CLI) vorzubereiten und Aufgaben nach der Bereitstellung auszuführen.

Chronicle API mit der Google Cloud CLI aktivieren

Führen Sie den folgenden gcloud-CLI-Befehl aus, um die Chronicle API in Ihrem Google Cloud -Zielprojekt zu aktivieren, bevor Sie mit der Bereitstellung beginnen:

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

Ersetzen Sie PROJECT_ID durch die Projekt-ID Ihres dedizierten Google Cloud-Projekts.

IAM-Rollen auf Projektebene mit der Google Cloud CLI zuweisen

Führen Sie die folgenden gcloud-Befehle aus, um dem Administrator, der die Bereitstellung ausführt, die erforderlichen Rollen auf Projektebene zuzuweisen:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

Ersetzen Sie PROJECT_ID durch Ihre dedizierte Projekt-ID und ADMIN_EMAIL durch die E-Mail-Adresse des Administrators.

Weitere Dokumentation

Führen Sie nach der Bereitstellung der neuen Instanz die folgenden Einrichtungsschritte aus:

• Funktionszugriffssteuerung mit IAM konfigurieren
• Daten-RBAC für Nutzer konfigurieren
• Melden Sie sich bei Ihrer neuen Instanz an.

Fehlerbehebung

In diesem Abschnitt werden die Leistungserwartungen beschrieben und Self-Service-Lösungen für häufige Bereitstellungsprobleme vorgestellt.

Latenz und Limits

Die Bereitstellung einer zusätzlichen Google SecOps-Instanz dauert in der Regel zwischen 30 Minuten und 1 Stunde, bis die Infrastrukturzuweisung, die Speicherverknüpfung und die Mandantenaktivierung abgeschlossen sind und die neue Instanz in der Tabelle Instanzen angezeigt wird, nachdem Sie die Bereitstellung ausgelöst haben. Während der Bereitstellung werden vorhandene aktive Instanzen im Rahmen Ihres Vertrags ohne Ausfallzeiten oder Sitzungssperren weiter ausgeführt. Aktualisieren Sie die Einrichtungsseite während dieser Zeit nicht und senden Sie keine doppelten Einrichtungsanfragen.

Fehlerbehebung

Verwenden Sie die folgende Tabelle, um Probleme bei der Instanzbereitstellung zu diagnostizieren und zu beheben:

Problem	Beschreibung	Korrigieren
Button Instanz hinzufügen deaktiviert	Die Schaltfläche Instanz hinzufügen auf der Seite Google SecOps ist nicht verfügbar.	Prüfen Sie, ob Ihr Vertragsabo aktiv ist, mindestens eine erste Instanz bereits eingerichtet ist, weniger als 25 Instanzen mit Ihrem Rechnungskonto und Vertrag verknüpft sind, Ihr Konto die Rolle roles/billing.user hat und Ihr Abo nicht Compliance-gesteuert ist.
Die Abokonfiguration ist ungültig oder abgelaufen	Auf der Einrichtungsseite wird die Warnmeldung „Die Abokonfiguration ist ungültig oder abgelaufen“ angezeigt und Seiteninteraktionen werden deaktiviert.	Prüfen Sie, ob Ihr Google SecOps-Abovertrag aktiv ist und nicht abgelaufen ist oder gesperrt wurde. Wenn Ihr Token für die Vertragseinrichtung (30 Tage gültig) abgelaufen ist, wenden Sie sich an Ihren Google-Ansprechpartner oder den Google SecOps-Support.
Warnsymbol warning für die Projektauswahl	Im Dialogfeld Ressource auswählen wird neben einem Google Cloud -Projekt ein Warnsymbol warning angezeigt.	Bewegen Sie den Mauszeiger auf das Warnsymbol warning, um die Einschränkung aufzurufen. Prüfen Sie, ob das Projekt genau dasselbe Cloud-Rechnungskonto wie Ihr Abovertrag verwendet und nicht mit einer anderen Instanz verknüpft ist.
Schaltfläche Weiter auf der Seite Wichtige Kontakte deaktiviert	Sie können nicht von der Seite Wichtige Kontakte zur Seite Bereitstellung wechseln.	Weisen Sie jeder der obligatorischen Benachrichtigungskategorien mindestens eine gültige Kontakt-E‑Mail-Adresse zu: Technisch, Sicherheit, Rechtliche Hinweise und Abrechnung.
Fehler bei der Bereitstellungseinrichtung	Die Bereitstellung schlägt fehl, nachdem Sie auf Jetzt einrichten geklickt haben.	Prüfen Sie, ob chronicle.googleapis.com im Zielprojekt von Google Cloud aktiviert ist und Ihr Konto die Rollen roles/chroniclesm.admin und roles/serviceusage.serviceUsageAdmin hat.

Validierung und Tests

So prüfen Sie, ob die zusätzliche Instanz erfolgreich bereitgestellt wurde:

1. Rufen Sie in der Google Cloud Console die Seite Google SecOps auf.
2. Prüfen Sie in der Tabelle Instanzen, ob die neue Instanz den Status Aktiv hat.
3. Wählen Sie das Zielprojekt von Google Cloud aus, in dem die neue Instanz gehostet wird, und klicken Sie dann auf den Instanzlink, um die Google SecOps-Weboberfläche zu öffnen und sich mit Ihrem konfigurierten Identitätsanbieter anzumelden.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten