追加のインスタンスをデプロイする

以下でサポートされています。

Google SecOps

このガイドは、プラットフォーム管理者とセキュリティ エンジニアが、既存の統合サブスクリプション内で追加の Google SecOps インスタンスをデプロイする際に役立ちます。 Google Cloud コンソールのセルフサービス ワークフローを使用して、新しいインスタンスをプロビジョニングしてリンクする方法について説明します。この方法に従うと、手動サポートを待つことなく、ビジネス ユニット、子会社、管理対象のお客様全体でマルチテナント セキュリティ運用をスケーリングできます。デプロイが成功すると、既存のアクティブなインスタンスのダウンタイムをゼロに維持しながら、環境の分離が効率化されます。

一般的なユースケース

次のユースケースでは、組織が追加のインスタンスをデプロイして環境を分離し、オペレーションをスケーリングする方法について説明します。

ビジネス ユニットと子会社の分離

• 目的: 1 つの契約で、個別のビジネス ユニット、子会社、運用環境（開発、ステージング、本番環境など）に専用インスタンスをデプロイします。
• 価値: 1 つのサブスクリプションで統合請求を適用しながら、厳格なデータ境界と独立したアクセス制御を適用します。

マネージド セキュリティ サービス プロバイダのお客様のオンボーディング

• 目的: 有効なマネージド セキュリティ サービス プロバイダ（MSSP）サブスクリプションで、個々のマネージド顧客に個別の Google SecOps インスタンスをプロビジョニングします。
• 価値: 手動によるサポート エスカレーションなしで、お客様のオンボーディングを加速し、テナントの分離を維持します。

主な用語

• 統合インスタンス: SIEM 機能と SOAR 機能を Google Cloud プロジェクトにリンクされた単一の環境に統合する Google SecOps テナント。
• 親契約: Cloud 請求先アカウントに関連付けられている有効な Google SecOps サブスクリプション契約。この契約により、リンクされたすべてのインスタンスのリージョン所在地、パッケージ ティア、デフォルトのデータの保持設定が管理されます。
• 管理制御プロジェクト: 個々の Google SecOps インスタンスにリンクされた専用の Google Cloud プロジェクト。このインスタンスは、そのテナントの（IAM）権限、API、リソース設定を制御します。

始める前に

始める前に、必要な権限があり、環境が設定されていることを確認します。

• 権限: 次のロールが必要です。
  • 請求先アカウントの権限: Google SecOps 契約に関連付けられている Cloud 請求先アカウントに対する billing.resourceAssociations.list 権限または請求先アカウント ユーザー（roles/billing.user）ロールが必要です。
  • ターゲット プロジェクトの権限: 新しいインスタンスをホストするターゲット Google Cloud プロジェクトには、次のロールが必要です。
  • プロジェクト IAM 管理者（roles/resourcemanager.projectIamAdmin）
  • 編集者（roles/editor）
  • Service Usage 管理者（roles/serviceusage.serviceUsageAdmin）
  • Chronicle サービス管理者（roles/chroniclesm.admin）
  • ID プロバイダの構成権限: サードパーティの ID プロバイダ（IdP）を使用する場合は、組織レベルで IAM Workforce プール管理者（roles/iam.workforcePoolAdmin）ロールが必要です。
• 環境チェック: 各 Google SecOps インスタンスを、Google SecOps サブスクリプション契約と同じ Cloud 請求先アカウントを使用する専用の Google Cloud プロジェクトにリンクする必要があります。詳細については、インスタンスを Google Cloudにリンクするをご覧ください。

制限事項

セルフサービスによる追加インスタンスのプロビジョニングには、次のサポート制約が適用されます。

• 1 つ以上のアクティブなインスタンス: 組織には、サブスクリプション契約ですでにオンボーディングされ、アクティブになっている既存の Google SecOps インスタンスが 1 つ以上必要です。アクティブなインスタンスが存在しない場合、セルフサービス プロビジョニングは無効になります。
• 最大インスタンス数の上限: セルフサービス プロビジョニングは、Cloud 請求先アカウントとサブスクリプション契約にリンクされているインスタンスの合計数が 25 未満の場合にのみ使用できます。25 個以上のインスタンスがリンクされている場合、[インスタンスを追加] ボタンは無効のままになります。
• 有効なサブスクリプション: Google SecOps サブスクリプション契約が有効である必要があります。サブスクリプションの有効期限が切れているか、停止されている場合、追加のインスタンスをプロビジョニングすることはできません。
• Standard、Enterprise、Enterprise Plus ティア: サブスクリプションは、サポートされている Google SecOps パッケージのいずれかに有効な登録である必要があります。
• 統合インスタンスのみ: 契約に基づく既存のインスタンスはすべて統合インスタンスである必要があります。契約に基づく既存のインスタンスが SIEM のみの場合は、セルフサービス プロビジョニングはサポートされません。
• 非コンプライアンス インスタンスのみ: セルフサービス プロビジョニングは、標準の商用環境でのみ使用できます。契約に基づく既存のインスタンスがコンプライアンス管理または主権要件（FedRAMP、IL4、IL5、IL6、CMEK、DRZ_Advanced など）で構成されている場合、セルフサービス プロビジョニングは無効になります。コンプライアンス管理環境の場合は、Google の担当者にお問い合わせいただくか、Google SecOps サポートに連絡して、コンプライアンス エンジニアリング チームによる手動プロビジョニングを依頼してください。
• データ所在地の整合性: 追加のインスタンスはすべて、最初のインスタンスと同じ地理的リージョン（us や europe など）に存在します。リージョンの選択は、親契約と一致するようにロックされており、変更できません。
• データの保持の継承: 追加のインスタンスは、親サブスクリプション契約の契約上のデータの保持期間を自動的に継承します。

Google Cloud プロジェクトを準備する

新しいインスタンスの管理制御レイヤとして機能する専用の Google Cloud プロジェクトを準備します。

1. 専用のプロジェクトを作成または選択する: 新しいインスタンスごとに、新しい専用の Google Cloud プロジェクトを作成することをおすすめします。プロジェクトを作成するの手順に沿って操作します。
2. 請求先アカウントの関連付けを確認する: Google Cloud プロジェクトでは、Google SecOps サブスクリプション契約とまったく同じ Cloud 請求先アカウントを使用する必要があります。
3. プロジェクトの可用性を確認する: Google Cloud プロジェクトが別の Google SecOps インスタンスにリンクされていないことを確認します。各プロジェクトでホストできるインスタンスは 1 つだけです。

4. VPC Service Controls を構成する（省略可）: 組織で VPC Service Controls を使用している場合は、Google SecOps の VPC Service Controls を構成するに記載されている上り（内向き）ルールと下り（外向き）ルールを構成します。

   注: プロジェクトで別の Cloud 請求先アカウントが使用されている場合、またはプロジェクトが既存のインスタンスにすでにリンクされている場合、設定中にプロジェクトの選択が失敗します。デプロイを開始する前に、[お支払い] ページで請求の関連付けを確認します。

追加のインスタンスをデプロイする

Google Cloud コンソールを使用して追加の Google SecOps インスタンスをデプロイするには、次のセクションの手順を完了します。

1. Google SecOps ページを開く
2. ターゲット プロジェクトを選択する
3. 重要な連絡先を追加する
4. デプロイの詳細を確認してシングル サインオンを構成する
5. インスタンスの設定を開始する

Google SecOps ページを開く

Google Cloud コンソールで [Google SecOps] ページを開き、デプロイを開始します。

1. Google Cloud コンソールで、[Google SecOps] ページに移動します。
2. [インスタンス] テーブルには、請求先アカウントに関連付けられている既存の Google SecOps インスタンスがすべて一覧表示されます。

3. [インスタンスを追加] をクリックします。

   注: [インスタンスを追加] ボタンが使用できないか無効になっている場合、アカウントに課金権限がないか、初期オンボーディング インスタンスがないか、請求先アカウントと契約にリンクされているインスタンスが 25 個以上あるか、コンプライアンス管理対象のサブスクリプションに属しています。制限事項のセクションを確認し、請求先アカウントのロールを確認してから、もう一度お試しください。

ターゲット プロジェクトを選択する

準備した Google Cloud プロジェクトを新しい Google SecOps インスタンスにリンクします。

1. [SecOps をプロジェクトにリンクする] ページで、[プロジェクトを選択] をクリックして [リソースを選択] ダイアログを開きます。
2. プルダウン リストから組織を選択します。
3. [プロジェクトとフォルダ] リストから、このインスタンス用に準備した Google Cloud プロジェクトを選択します。

4. 対象となる Google Cloud プロジェクトの名前をクリックして選択します。

   注:選択できない Google Cloud プロジェクトには、警告 warning アイコンが表示されます。警告アイコンにポインタを合わせると、特定の制限（請求先アカウントの不一致、権限不足、既存の Google SecOps インスタンスの関連付けなど）が表示されます。準拠しているプロジェクトを選択します。

重要な連絡先を追加

技術、セキュリティ、法務、課金に関する重要な通知を受け取る連絡先を割り当てます。

1. [重要な連絡先] テーブルで、[連絡先を追加] をクリックします（または、既存のカテゴリの横にある編集アイコンをクリックします）。
2. 連絡先のメールアドレスを入力します。
3. 1 つ以上の通知カテゴリを選択します。必須カテゴリごとに少なくとも 1 つの連絡先を割り当てる必要があります。
   • 技術
   • セキュリティ
   • 法的事項
   • お支払い
4. [保存] をクリックします。

5. すべての必須カテゴリに連絡先を割り当てたら、[次へ] をクリックして [デプロイ] ページを開きます。

   注: 必須の連絡先カテゴリが割り当てられていない場合、[次へ] ボタンは無効のままになります。続行するには、各カテゴリに少なくとも 1 つの有効なメールアドレスを割り当ててください。

デプロイの詳細を確認してシングル サインオンを構成する

継承された契約設定を確認し、新しいインスタンスのユーザー認証を構成します。

1. デプロイの詳細を確認する: 事前入力されたデプロイ構成を確認します。

   • リージョン: 地理的なレジデンシーの場所が表示されます。リージョンは親契約と一致するようにロックされており、変更できません。
   • パッケージ ティア: サブスクリプションから継承された Google SecOps パッケージ ティアが表示されます。
   • データの保持期間: サブスクリプションから継承されたデータの保持期間が表示されます。

   [次へ] をクリックします。

2. サービス アカウントを確認する: インスタンス オペレーション用にシステムによって作成されたサービス アカウントの詳細を確認し、[次へ] をクリックします。

3. シングル サインオン（SSO）を構成する: ユーザー認証とアクセス制御の管理に使用する ID プロバイダを選択します。

   • Google Cloud Identity: Cloud Identity または Google Workspace を使用している場合は、このオプションを選択します。詳細については、 Google Cloud ID プロバイダを構成するをご覧ください。
   • Workforce Identity 連携: サードパーティの ID プロバイダ（Okta や Microsoft Entra ID など）を使用する場合は、このオプションを選択します。詳細については、サードパーティの ID プロバイダを構成するをご覧ください。

   [次へ] をクリックします。

4. 利用規約に同意する: 利用規約を読み、同意のチェックボックスをオンにします。

   注: 設定を完了する前に、選択した ID プロバイダの構成が有効であることを確認してください。Workforce Identity プールの構成が誤っていると、デプロイの完了後にユーザーがログインできなくなります。

インスタンスの設定を開始する

自動プロビジョニング パイプラインを開始して、インスタンスをデプロイします。

1. [Start setup] をクリックしてデプロイを開始します。
2. 自動プロビジョニング パイプラインは、 Google Cloud プロジェクトを契約にリンクし、データ ストレージを構成し、サービス インフラストラクチャを設定して、インスタンスを有効にします。

3. デプロイが完了すると、新しいインスタンスが [インスタンス] テーブルに [アクティブ] ステータスで表示されます。設定を開始してから、新しいインスタンスが [インスタンス] テーブルに表示されるまでに 30 分から 1 時間ほどかかることがあります。

   注: デプロイが失敗した場合は、ターゲットの Google Cloud プロジェクトで Chronicle API が有効になっていることを確認します。問題が解決しない場合は、Google 担当者または Google SecOps サポートにお問い合わせください。

例とリファレンス情報

このセクションのリファレンス コマンドとリンクを使用して、Google Cloud CLI（gcloud CLI）を使用してターゲット プロジェクトを準備し、デプロイ後のタスクを完了します。

Google Cloud CLI を使用して Chronicle API を有効にする

デプロイを開始する前に、次の gcloud CLI コマンドを実行して、ターゲットの Google Cloud プロジェクトで Chronicle API を有効にします。

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

PROJECT_ID は、専用の Google Cloudプロジェクトのプロジェクト ID に置き換えます。

Google Cloud CLI を使用してプロジェクト レベルの IAM ロールを付与する

次の gcloud CLI コマンドを実行して、デプロイを実行する管理者に必要なプロジェクト レベルのロールを付与します。

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

PROJECT_ID は専用プロジェクト ID に、ADMIN_EMAIL は管理者のメールアドレスに置き換えます。

関連ドキュメント

新しいインスタンスがデプロイされたら、次の設定タスクを完了します。

• IAM を使用して機能アクセス制御を構成します。
• ユーザー向けにデータの RBAC を構成する。
• 新しいインスタンスにログインします。

トラブルシューティング

このセクションでは、パフォーマンスの期待値の概要と、一般的なデプロイの問題に対するセルフサービス修正について説明します。

レイテンシと上限

追加の Google SecOps インスタンスのプロビジョニングには、通常、インフラストラクチャの割り当て、ストレージのリンク、テナントの有効化が完了し、プロビジョニングをトリガーした後に新しいインスタンスが [インスタンス] テーブルに表示されるまでに 30 分～ 1 時間かかります。プロビジョニング中、契約に基づく既存のアクティブなインスタンスは、ダウンタイムやセッション ロックアウトなしで引き続き動作します。この期間中は、設定ページを更新したり、重複する設定リクエストを送信したりしないでください。

エラーの修正

次の表を使用して、インスタンスのプロビジョニング中に発生した問題を診断して解決します。

問題	説明	修正
[インスタンスを追加] ボタンが無効になっている	[Google SecOps] ページの [インスタンスを追加] ボタンは使用できません。	契約サブスクリプションが有効であること、少なくとも 1 つの初期インスタンスがすでにオンボーディングされていること、請求先アカウントと契約にリンクされているインスタンスが 25 個未満であること、アカウントに roles/billing.user ロールがあること、サブスクリプションがコンプライアンス管理されていないことを確認します。
サブスクリプションの構成が無効か、期限切れです	設定ページに「サブスクリプションの設定が無効であるか、有効期限が切れています」という警告メッセージが表示され、ページ操作が無効になります。	Google SecOps のサブスクリプション契約が有効で、期限切れや停止になっていないことを確認します。契約オンボーディング トークン（30 日間有効）の有効期限が切れている場合は、Google 担当者または Google SecOps サポートにお問い合わせください。
プロジェクト選択の警告 warning アイコン	[リソースを選択] ダイアログの Google Cloud プロジェクトの横に警告 warning アイコンが表示されます。	警告アイコン warning にカーソルを合わせると、制限が表示されます。プロジェクトがサブスクリプション契約とまったく同じ Cloud 請求先アカウントを使用しており、別のインスタンスにリンクされていないことを確認します。
[重要な連絡先] ページの [次へ] ボタンが無効になっている	[重要な連絡先] ページから [デプロイ] ページに進むことができない。	必須の通知カテゴリ（技術、セキュリティ、法務、課金）ごとに、有効な連絡先メールアドレスを 1 つ以上割り当てます。
デプロイの設定に失敗	[設定を開始] をクリックすると、プロビジョニングが失敗する。	ターゲットの Google Cloud プロジェクトで chronicle.googleapis.com が有効になっていること、アカウントに roles/chroniclesm.admin ロールと roles/serviceusage.serviceUsageAdmin ロールがあることを確認します。

検証とテスト

追加のインスタンスが正常にデプロイされたことを確認するには:

1. Google Cloud コンソールで、[Google SecOps] ページに移動します。
2. [インスタンス] テーブルで、新しいインスタンスのステータスが [アクティブ] になっていることを確認します。
3. 新しいインスタンスをホストするターゲット Google Cloud プロジェクトを選択し、インスタンス リンクをクリックして Google SecOps ウェブ インターフェースを開き、構成済みの ID プロバイダを使用してログインします。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。