Men-deploy instance tambahan

Didukung di:

Google SecOps

Panduan ini membantu administrator platform dan engineer keamanan men-deploy instance Google SecOps tambahan dalam langganan terpadu yang ada. Panduan ini menjelaskan cara menyediakan dan menautkan instance baru menggunakan alur kerja layanan mandiri di konsol Google Cloud . Dengan mengikuti metode ini, Anda dapat menskalakan operasi keamanan multi-tenant di seluruh unit bisnis, anak perusahaan, atau pelanggan terkelola tanpa menunggu bantuan dukungan manual. Deployment yang berhasil akan menyederhanakan isolasi lingkungan sekaligus mempertahankan periode nonaktif nol untuk instance aktif yang ada.

Kasus penggunaan umum

Kasus penggunaan berikut menjelaskan cara organisasi men-deploy instance tambahan untuk mengisolasi lingkungan dan menskalakan operasi:

Isolasi unit bisnis dan anak perusahaan

• Tujuan: Men-deploy instance khusus untuk unit bisnis, anak perusahaan, atau lingkungan operasional yang berbeda (seperti pengembangan, staging, dan produksi) dalam satu kontrak.
• Nilai: Terapkan batasan data yang ketat dan kontrol akses independen sambil menggabungkan penagihan dalam satu langganan.

Orientasi pelanggan penyedia layanan keamanan terkelola

• Tujuan: Menyediakan instance Google SecOps terpisah untuk masing-masing pelanggan terkelola berdasarkan langganan penyedia layanan keamanan terkelola (MSSP) yang aktif.
• Nilai: Mempercepat orientasi pelanggan dan mempertahankan isolasi tenant tanpa eskalasi dukungan manual.

Terminologi utama

• Instance terpadu: Tenant Google SecOps yang menggabungkan kemampuan SIEM dan SOAR ke dalam satu lingkungan yang ditautkan ke project Google Cloud .
• Kontrak induk: Perjanjian langganan Google SecOps aktif yang terkait dengan akun Penagihan Cloud Anda yang mengatur residensi regional, paket, dan setelan retensi data default di semua instance yang ditautkan.
• Project kontrol administratif: Project Google Cloud khusus yang ditautkan ke setiap instance Google SecOps yang mengontrol izin (IAM), API, dan setelan resource untuk tenant tersebut.

Sebelum memulai

Sebelum memulai, pastikan Anda memiliki izin dan penyiapan lingkungan yang diperlukan:

• Izin: Anda harus memiliki peran berikut:
  • Izin akun penagihan: Anda memerlukan izin billing.resourceAssociations.list atau peran Billing Account User (roles/billing.user) di akun Penagihan Cloud yang terkait dengan kontrak Google SecOps Anda.
  • Izin project target: Pada project Google Cloud target yang menghosting instance baru, Anda memerlukan peran berikut:
  • Project IAM Admin (roles/resourcemanager.projectIamAdmin)
  • Editor (roles/editor)
  • Service Usage Admin (roles/serviceusage.serviceUsageAdmin)
  • Chronicle Service Admin (roles/chroniclesm.admin)
  • Izin konfigurasi penyedia identitas: Jika Anda menggunakan penyedia identitas (IdP) pihak ketiga, Anda memerlukan peran IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) di tingkat organisasi.
• Pemeriksaan lingkungan: Anda harus menautkan setiap instance Google SecOps ke project Google Cloud khusus yang menggunakan akun Penagihan Cloud yang sama dengan kontrak langganan Google SecOps Anda. Untuk mengetahui informasi selengkapnya, lihat Menautkan instance ke Google Cloud.

Batasan

Penyediaan instance tambahan layanan mandiri tunduk pada batasan dukungan berikut:

• Setidaknya satu instance aktif: Organisasi Anda harus memiliki setidaknya satu instance Google SecOps yang sudah diaktivasi dan aktif berdasarkan kontrak langganan Anda. Penyediaan layanan mandiri dinonaktifkan jika tidak ada instance aktif.
• Batas instance maksimum: Penyediaan layanan mandiri hanya tersedia jika jumlah total instance yang ditautkan ke akun Penagihan Cloud dan kontrak langganan Anda kurang dari 25. Jika 25 instance atau lebih ditautkan, tombol Add instance akan tetap dinonaktifkan.
• Langganan aktif: Kontrak langganan Google SecOps Anda harus aktif dan valid. Anda tidak dapat menyediakan instance tambahan jika langganan Anda sudah tidak berlaku atau ditangguhkan.
• Paket Standard, Enterprise, atau Enterprise Plus: Langganan harus berupa pendaftaran aktif untuk salah satu paket Google SecOps yang didukung.
• Hanya instance terpadu: Semua instance yang ada dalam kontrak Anda harus berupa instance terpadu. Penyediaan layanan mandiri tidak didukung jika ada instance yang ada berdasarkan perjanjian yang hanya SIEM.
• Khusus instance non-kepatuhan: Penyediaan mandiri hanya tersedia untuk lingkungan komersial standar. Jika ada instance yang ada dalam kontrak Anda yang dikonfigurasi dengan kontrol kepatuhan atau persyaratan kedaulatan (misalnya, FedRAMP, IL4, IL5, IL6, CMEK, atau DRZ_Advanced), penyediaan layanan mandiri akan dinonaktifkan. Untuk lingkungan yang dikontrol kepatuhan, hubungi perwakilan Google Anda atau hubungi Dukungan Google SecOps untuk penyediaan manual oleh tim engineering kepatuhan.
• Penyelarasan residensi data: Semua instance tambahan berada di region geografis yang sama (misalnya, us atau europe) dengan instance awal Anda. Pilihan wilayah dikunci agar sesuai dengan kontrak induk Anda dan tidak dapat diubah.
• Pewarisan retensi data: Instance tambahan otomatis mewarisi durasi retensi data kontraktual dari perjanjian langganan induk Anda.

Menyiapkan project Google Cloud

Siapkan project Google Cloud khusus yang bertindak sebagai lapisan kontrol administratif untuk instance baru:

1. Buat atau pilih project khusus: Sebaiknya buat project Google Cloud baru yang khusus untuk setiap instance baru. Ikuti langkah-langkah di Membuat project.
2. Verifikasi pengaitan akun penagihan: Project Google Cloud harus menggunakan akun Penagihan Cloud yang sama persis dengan kontrak langganan Google SecOps Anda.
3. Memverifikasi ketersediaan project: Project Google Cloud tidak boleh ditautkan ke instance Google SecOps lain. Setiap project hanya dapat menghosting satu instance.

4. Konfigurasi Kontrol Layanan VPC (opsional): Jika organisasi Anda menggunakan Kontrol Layanan VPC, konfigurasikan aturan ingress dan egress yang didokumentasikan dalam Mengonfigurasi Kontrol Layanan VPC untuk Google SecOps.

   Catatan: Jika project menggunakan akun Penagihan Cloud yang berbeda atau sudah ditautkan ke instance yang ada, pemilihan project akan gagal selama penyiapan. Verifikasi pengaitan penagihan di halaman Penagihan sebelum memulai deployment.

Men-deploy instance tambahan

Untuk men-deploy instance Google SecOps tambahan menggunakan konsolGoogle Cloud , selesaikan prosedur di bagian berikut:

1. Buka halaman Google SecOps
2. Memilih project target
3. Menambahkan kontak penting
4. Meninjau detail deployment dan mengonfigurasi single sign-on
5. Memulai penyiapan instance

Membuka halaman Google SecOps

Buka halaman Google SecOps di konsol Google Cloud untuk memulai deployment:

1. Di konsol Google Cloud , buka halaman Google SecOps.
2. Tabel Instance mencantumkan semua instance Google SecOps yang ada yang terkait dengan akun penagihan Anda.

3. Klik Tambahkan instance.

   Catatan: Jika tombol Add instance tidak tersedia atau dinonaktifkan, akun Anda tidak memiliki izin penagihan, tidak memiliki instance awal yang diaktivasi, memiliki 25 instance atau lebih yang ditautkan ke akun penagihan dan kontrak, atau termasuk dalam langganan yang dikontrol kepatuhan. Tinjau bagian Batasan dan verifikasi peran akun penagihan Anda sebelum mencoba lagi.

Memilih project target

Tautkan project Google Cloud yang telah disiapkan ke instance Google SecOps baru Anda:

1. Di halaman Link SecOps to a project, klik Select a project untuk membuka dialog Select a resource.
2. Pilih Organisasi Anda dari menu drop-down.
3. Dari daftar Projects and folders, pilih project Google Cloud yang Anda siapkan untuk instance ini.

4. Klik nama project Google Cloud yang memenuhi syarat untuk memilihnya.

   Catatan: Google Cloud project yang tidak dapat dipilih akan menampilkan ikon peringatan warning. Tahan pointer di atas ikon peringatan untuk melihat batasan tertentu (misalnya, ketidakcocokan akun penagihan, izin yang tidak memadai, atau pengaitan instance Google SecOps yang ada) dan pilih project yang sesuai.

Menambahkan kontak penting

Tetapkan kontak untuk menerima notifikasi penting tentang topik teknis, keamanan, hukum, dan penagihan:

1. Di tabel Kontak penting, klik Tambahkan kontak (atau klik ikon edit di samping kategori yang ada).
2. Masukkan alamat email kontak.
3. Pilih satu atau beberapa kategori notifikasi. Anda harus menetapkan setidaknya satu kontak untuk setiap kategori wajib:
   • Teknis
   • Keamanan
   • Legal
   • Penagihan
4. Klik Simpan.

5. Setelah menetapkan kontak ke semua kategori wajib, klik Berikutnya untuk membuka halaman Deployment.

   Catatan: Jika ada kategori kontak wajib yang belum ditetapkan, tombol Berikutnya akan tetap dinonaktifkan. Tetapkan setidaknya satu alamat email yang valid ke setiap kategori untuk melanjutkan.

Meninjau detail deployment dan mengonfigurasi single sign-on

Tinjau setelan kontrak yang diwarisi dan konfigurasikan autentikasi pengguna untuk instance baru:

1. Tinjau detail deployment: Periksa konfigurasi deployment yang telah diisi otomatis:

   • Region: Menampilkan lokasi residensi geografis. Wilayah dikunci agar sesuai dengan kontrak induk Anda dan tidak dapat diubah.
   • Paket tingkat: Menampilkan paket tingkat Google SecOps yang diwarisi dari langganan Anda.
   • Durasi retensi data: Menampilkan durasi retensi yang diwarisi dari langganan Anda.

   Klik Berikutnya.

2. Tinjau akun layanan: Konfirmasi detail akun layanan yang dibuat oleh sistem untuk operasi instance, lalu klik Berikutnya.

3. Konfigurasi single sign-on (SSO): Pilih penyedia identitas yang digunakan untuk mengelola autentikasi pengguna dan kontrol akses:

   • Google Cloud Identity: Pilih opsi ini jika Anda menggunakan Cloud Identity atau Google Workspace. Untuk mengetahui detailnya, lihat Mengonfigurasi penyedia identitas Google Cloud .
   • Workforce identity federation: Pilih opsi ini jika Anda menggunakan penyedia identitas pihak ketiga (seperti Okta atau Microsoft Entra ID). Untuk mengetahui detailnya, lihat Mengonfigurasi penyedia identitas pihak ketiga.

   Klik Berikutnya.

4. Setujui persyaratan layanan: Baca persyaratan layanan dan pilih kotak centang persetujuan.

   Catatan: Pastikan konfigurasi penyedia identitas yang Anda pilih aktif sebelum menyelesaikan penyiapan. Workforce identity pool yang salah dikonfigurasi mencegah pengguna login setelah deployment selesai.

Memulai penyiapan instance

Mulai pipeline penyediaan otomatis untuk men-deploy instance Anda:

1. Klik Start setup untuk memulai deployment.
2. Pipeline penyediaan otomatis menautkan project Google Cloud ke kontrak Anda, mengonfigurasi penyimpanan data, menyiapkan infrastruktur layanan, dan mengaktifkan instance Anda.

3. Setelah deployment selesai, instance baru akan muncul di tabel Instances dengan status Active. Setelah Anda memulai penyiapan, mungkin perlu waktu antara 30 menit hingga 1 jam agar instance baru muncul di tabel Instances.

   Catatan: Jika deployment gagal, pastikan Chronicle API diaktifkan di project Google Cloud target Anda. Jika masalah berlanjut, hubungi perwakilan Google Anda atau hubungi Dukungan Google SecOps.

Contoh dan informasi referensi

Gunakan perintah dan link referensi di bagian ini untuk menyiapkan project target Anda menggunakan Google Cloud CLI (gcloud CLI) dan menyelesaikan tugas pasca-deployment.

Mengaktifkan Chronicle API menggunakan Google Cloud CLI

Jalankan perintah CLI gcloud berikut untuk mengaktifkan Chronicle API di project target Google Cloud Anda sebelum memulai deployment:

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

Ganti PROJECT_ID dengan project ID dari project Google Cloud khusus Anda.

Memberikan peran IAM level project menggunakan Google Cloud CLI

Jalankan perintah CLI gcloud berikut untuk memberikan peran tingkat project yang diperlukan kepada administrator yang melakukan deployment:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

Ganti PROJECT_ID dengan project ID khusus Anda dan ADMIN_EMAIL dengan alamat email administrator.

Dokumentasi terkait

Setelah instance baru Anda di-deploy, selesaikan tugas penyiapan berikut:

• Konfigurasikan kontrol akses fitur menggunakan IAM.
• Mengonfigurasi RBAC data untuk pengguna.
• Login ke instance baru Anda.

Pemecahan masalah

Bagian ini menguraikan ekspektasi performa dan memberikan perbaikan mandiri untuk masalah deployment umum.

Latensi dan batas

Penyediaan instance Google SecOps tambahan biasanya memerlukan waktu antara 30 menit hingga 1 jam untuk alokasi infrastruktur, penautan penyimpanan, dan aktivasi tenant, serta agar instance baru muncul di tabel Instance setelah Anda memicu penyediaan. Selama penyediaan, instance aktif yang ada berdasarkan kontrak Anda akan terus beroperasi tanpa periode nonaktif atau penguncian sesi. Hindari memuat ulang halaman penyiapan atau mengirimkan permintaan penyiapan duplikat selama periode ini.

Perbaikan error

Gunakan tabel berikut untuk mendiagnosis dan menyelesaikan masalah selama penyediaan instance:

Masalah	Deskripsi	Perbaiki
Tombol Add instance dinonaktifkan	Tombol Tambahkan instance di halaman Google SecOps tidak tersedia.	Pastikan langganan kontrak Anda aktif, setidaknya satu instance awal sudah diaktivasi, kurang dari 25 instance ditautkan ke akun penagihan dan kontrak Anda, akun Anda memiliki peran roles/billing.user, dan langganan Anda tidak dikontrol kepatuhan.
Konfigurasi langganan tidak valid atau sudah tidak berlaku	Halaman penyiapan menampilkan pesan peringatan "Konfigurasi langganan tidak valid atau telah habis masa berlakunya". dan menonaktifkan interaksi halaman.	Pastikan kontrak langganan Google SecOps Anda aktif dan belum habis masa berlakunya atau ditangguhkan. Jika masa berlaku token aktivasi kontrak Anda (berlaku selama 30 hari) telah berakhir, hubungi perwakilan Google Anda atau Dukungan Google SecOps.
Ikon peringatan warning pemilihan project	Ikon peringatan warning muncul di samping project Google Cloud di dialog Select a resource.	Arahkan kursor ke ikon peringatan warning untuk melihat pembatasan. Pastikan project menggunakan akun Penagihan Cloud yang sama persis dengan kontrak langganan Anda dan tidak ditautkan ke instance lain.
Tombol Berikutnya dinonaktifkan di halaman Kontak penting	Anda tidak dapat melanjutkan dari halaman Kontak penting ke halaman Deployment.	Tetapkan setidaknya satu alamat email kontak yang valid ke setiap kategori notifikasi wajib: Teknis, Keamanan, Hukum, dan Penagihan.
Kegagalan penyiapan deployment	Penyediaan gagal setelah mengklik Mulai penyiapan.	Pastikan chronicle.googleapis.com diaktifkan di project target Google Cloud dan akun Anda memiliki peran roles/chroniclesm.admin dan roles/serviceusage.serviceUsageAdmin.

Validasi dan pengujian

Untuk memverifikasi bahwa instance tambahan Anda berhasil di-deploy:

1. Di konsol Google Cloud , buka halaman Google SecOps.
2. Di tabel Instances, pastikan instance baru menampilkan status Active.
3. Pilih project Google Cloud target yang menghosting instance baru, lalu klik link instance untuk membuka antarmuka web Google SecOps dan login menggunakan penyedia identitas yang telah dikonfigurasi.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.