Implantar uma instância adicional

Compatível com:

Google SecOps

Este guia ajuda administradores de plataforma e engenheiros de segurança a implantar outras instâncias do Google SecOps em uma assinatura unificada atual. Ele explica como provisionar e vincular novas instâncias usando o fluxo de trabalho de autoatendimento no console do Google Cloud . Ao seguir esse método, você escalona as operações de segurança multilocatárias em unidades de negócios, subsidiárias ou clientes gerenciados sem esperar pela assistência de suporte manual. A implantação bem-sucedida simplifica o isolamento do ambiente e mantém o tempo de inatividade zero para as instâncias ativas.

Casos de uso comuns

Os casos de uso a seguir descrevem como as organizações implantam instâncias adicionais para isolar ambientes e escalonar operações:

Isolamento de unidades de negócios e subsidiárias

• Objetivo: implantar instâncias dedicadas para unidades de negócios, subsidiárias ou ambientes operacionais distintos (como desenvolvimento, preparo e produção) em um único contrato.
• Valor: aplique limites de dados rigorosos e controles de acesso independentes, além de consolidar o faturamento em uma única assinatura.

Integração de clientes de provedores de serviços de segurança gerenciados

• Objetivo: provisionar instâncias separadas do Google SecOps para clientes gerenciados individuais em uma assinatura ativa de provedor de serviços de segurança gerenciados (MSSP).
• Valor: acelere a integração de clientes e mantenha o isolamento de locatários sem encaminhamento manual de suporte.

Terminologia importante

• Instância unificada: um locatário do Google SecOps que combina recursos de SIEM e SOAR em um único ambiente vinculado a um projeto do Google Cloud .
• Contrato principal: o contrato de assinatura ativo do Google SecOps associado à sua conta do Cloud Billing que rege a residência regional, o nível do pacote e as configurações padrão de retenção de dados em todas as instâncias vinculadas.
• Projeto de controle administrativo: o projeto dedicado do Google Cloud vinculado a uma instância individual do Google SecOps que controla as permissões (IAM), as APIs e as configurações de recursos desse locatário.

Antes de começar

Antes de começar, confirme se você tem as permissões necessárias e a configuração do ambiente:

• Permissões: você precisa ter os seguintes papéis:
  • Permissões da conta de faturamento: você precisa da permissão billing.resourceAssociations.list ou do papel Usuário da conta de faturamento (roles/billing.user) na conta do Cloud Billing associada ao seu contrato do Google SecOps.
  • Permissões do projeto de destino: no projeto de destino do Google Cloud que hospeda a nova instância, você precisa dos seguintes papéis:
  • Administrador de IAM do projeto (roles/resourcemanager.projectIamAdmin)
  • Editor (roles/editor)
  • Administrador do Service Usage (roles/serviceusage.serviceUsageAdmin)
  • Administrador de serviço do Chronicle (roles/chroniclesm.admin)
  • Permissões de configuração do provedor de identidade: se você usa um provedor de identidade (IdP) de terceiros, precisa do papel de Administrador de pool de colaboradores do IAM (roles/iam.workforcePoolAdmin) no nível da organização.
• Verificação do ambiente: é necessário vincular cada instância do Google SecOps a um projeto dedicado do Google Cloud que use a mesma conta do Cloud Billing do seu contrato de assinatura do Google SecOps. Para mais informações, consulte Vincular uma instância ao Google Cloud.

Limitações

O provisionamento de instâncias adicionais de autoatendimento está sujeito às seguintes restrições de suporte:

• Pelo menos uma instância ativa: sua organização precisa ter pelo menos uma instância do Google SecOps que já esteja integrada e ativa no seu contrato de assinatura. O provisionamento de autoatendimento será desativado se não houver uma instância ativa.
• Limite máximo de instâncias: o provisionamento de autoatendimento só está disponível quando o número total de instâncias vinculadas à sua conta do Cloud Billing e ao contrato de assinatura é menor que 25. Se 25 ou mais instâncias estiverem vinculadas, o botão Adicionar instância vai permanecer desativado.
• Assinatura ativa: seu contrato de assinatura do Google SecOps precisa estar ativo e válido. Não será possível provisionar outras instâncias se a assinatura estiver expirada ou suspensa.
• Nível Standard, Enterprise ou Enterprise Plus: a assinatura precisa ser um registro ativo de um dos pacotes compatíveis do Google SecOps.
• Somente instâncias unificadas: todas as instâncias do seu contrato precisam ser unificadas. O provisionamento de autoatendimento não será aceito se alguma instância no contrato for somente SIEM.
• Somente instâncias sem conformidade: o provisionamento de autoatendimento está disponível apenas para ambientes comerciais padrão. Se alguma instância atual do seu contrato estiver configurada com controles de conformidade ou requisitos soberanos (por exemplo, FedRAMP, IL4, IL5, IL6, CMEK ou DRZ_Advanced), o provisionamento de autoatendimento será desativado. Para ambientes controlados por compliance, entre em contato com seu representante do Google ou com o suporte do Google SecOps para provisionamento manual pela equipe de engenharia de compliance.
• Alinhamento da residência de dados: todas as instâncias adicionais residem na mesma região geográfica (por exemplo, us ou europe) que a instância inicial. A seleção de região está bloqueada para corresponder ao contrato principal e não pode ser alterada.
• Herança de retenção de dados: as instâncias adicionais herdam automaticamente a duração contratual de retenção de dados do seu contrato de assinatura principal.

Preparar um projeto do Google Cloud

Prepare o projeto dedicado do Google Cloud que atua como a camada de controle administrativo para a nova instância:

1. Crie ou selecione um projeto dedicado: recomendamos criar um novo projeto dedicado do Google Cloud para cada nova instância. Siga as etapas em Criar um projeto.
2. Verifique a associação da conta de faturamento: o projeto do Google Cloud precisa usar exatamente a mesma conta do Cloud Billing que o contrato de assinatura do Google SecOps.
3. Verifique a disponibilidade do projeto: o projeto do Google Cloud não pode estar vinculado a outra instância do Google SecOps. Cada projeto pode hospedar apenas uma instância.

4. Configurar o VPC Service Controls (opcional): se a organização usa o VPC Service Controls, configure as regras de entrada e saída documentadas em Configurar o VPC Service Controls para o Google SecOps.

   Observação : se o projeto usar uma conta do Cloud Billing diferente ou já estiver vinculado a uma instância, a seleção do projeto vai falhar durante a configuração. Verifique a associação de faturamento na página Faturamento antes de iniciar a implantação.

Implantar uma instância adicional

Para implantar outra instância do Google SecOps usando o console doGoogle Cloud , conclua os procedimentos nas seções a seguir:

1. Abra a página do Google SecOps
2. Selecionar o projeto de destino
3. Adicionar contatos essenciais
4. Analisar os detalhes da implantação e configurar o Logon único
5. Iniciar a configuração da instância

Abrir a página do Google SecOps

Abra a página do Google SecOps no console do Google Cloud para iniciar a implantação:

1. No console do Google Cloud , acesse a página do Google SecOps.
2. A tabela Instâncias lista todas as instâncias do Google SecOps associadas à sua conta de faturamento.

3. Clique em Adicionar instância.

   Observação: se o botão Adicionar instância estiver indisponível ou desativado, sua conta não tem permissões de faturamento, não tem uma instância inicial integrada, tem 25 ou mais instâncias vinculadas à conta de faturamento e ao contrato ou pertence a uma assinatura controlada por compliance. Consulte a seção Limitações e verifique os papéis da sua conta de faturamento antes de tentar novamente.

Selecione o projeto de destino.

Vincule o projeto do Google Cloud preparado à nova instância do Google SecOps:

1. Na página Vincular o SecOps a um projeto, clique em Selecionar um projeto para abrir a caixa de diálogo Selecionar um recurso.
2. Selecione sua Organização na lista suspensa.
3. Na lista Projetos e pastas, selecione o projeto do Google Cloud que você preparou para essa instância.

4. Clique no nome do projeto do Google Cloud qualificado para selecioná-lo.

   Observação:os projetos do Google Cloud que não podem ser selecionados mostram um ícone de aviso . Mantenha o ponteiro sobre o ícone de aviso para conferir a restrição específica (por exemplo, incompatibilidade de conta de faturamento, permissões insuficientes ou uma associação de instância do Google SecOps) e selecione um projeto compatível.

Adicionar contatos essenciais

Atribua contatos para receber notificações críticas sobre assuntos técnicos, de segurança, jurídicos e de faturamento:

1. Na tabela Contatos essenciais, clique em Adicionar contato ou no ícone de edição ao lado de uma categoria.
2. Insira o endereço de e-mail da pessoa de contato.
3. Selecione uma ou mais categorias de notificação. É preciso atribuir pelo menos um contato para cada uma das categorias obrigatórias:
   • Técnico
   • Segurança
   • Legal
   • Faturamento
4. Clique em Salvar.

5. Depois de atribuir contatos a todas as categorias obrigatórias, clique em Próxima para abrir a página Implantação.

   Observação: se alguma categoria de contato obrigatória não for atribuída, o botão Próxima vai continuar desativado. Atribua pelo menos um endereço de e-mail válido a cada categoria para continuar.

Revisar detalhes da implantação e configurar o Logon único

Revise as configurações de contrato herdadas e configure a autenticação do usuário para a nova instância:

1. Revise os detalhes da implantação: verifique a configuração de implantação preenchida automaticamente:

   • Região: exibe o local de residência geográfica. A região está bloqueada para corresponder ao contrato principal e não pode ser alterada.
   • Nível do pacote: mostra o nível do pacote do Google SecOps herdado da sua assinatura.
   • Duração da retenção de dados: mostra a duração da retenção herdada da sua assinatura.

   Clique em Próxima.

2. Revisar conta de serviço: confirme os detalhes da conta de serviço criada pelo sistema para operações de instância e clique em Próxima.

3. Configurar o Logon único (SSO): selecione o provedor de identidade usado para gerenciar a autenticação de usuários e os controles de acesso:

   • Google Cloud Identity: selecione essa opção se você usa o Cloud Identity ou o Google Workspace. Para mais detalhes, consulte Configurar um provedor de identidade do Google Cloud .
   • Federação de identidade de colaboradores: selecione essa opção se você usa um provedor de identidade de terceiros (como Okta ou Microsoft Entra ID). Para mais detalhes, consulte Configurar um provedor de identidade de terceiros.

   Clique em Próxima.

4. Aceitar os Termos de Serviço: leia os Termos de Serviço e marque a caixa de seleção de concordância.

   Observação: verifique se a configuração do provedor de identidade escolhido está ativa antes de concluir a configuração. Pools de identidade de colaboradores configurados incorretamente impedem que os usuários façam login após a conclusão da implantação.

Iniciar a configuração da instância

Inicie o pipeline de provisionamento automatizado para implantar sua instância:

1. Clique em Iniciar configuração para iniciar a implantação.
2. O pipeline de provisionamento automatizado vincula o Google Cloud projeto ao seu contrato, configura o repositório de dados, define a Service Infrastructure e ativa sua instância.

3. Quando a implantação for concluída, a nova instância vai aparecer na tabela Instâncias com o status Ativa. Depois de iniciar a configuração, pode levar entre 30 minutos e 1 hora para que a nova instância apareça na tabela Instâncias.

   Observação : se a implantação falhar, verifique se a API Chronicle está ativada no projeto de destino do Google Cloud . Se o problema persistir, entre em contato com seu representante do Google ou com o suporte do Google SecOps.

Exemplos e informações de referência

Use os comandos de referência e os links nesta seção para preparar o projeto de destino usando a Google Cloud CLI (CLI gcloud) e concluir as tarefas pós-implantação.

Ativar a API Chronicle usando a Google Cloud CLI

Execute o seguinte comando da CLI gcloud para ativar a API Chronicle no projeto de destino do Google Cloud antes de iniciar a implantação:

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

Substitua PROJECT_ID pelo ID do projeto dedicado do Google Cloud.

Conceder papéis do IAM no nível do projeto usando a Google Cloud CLI

Execute os seguintes comandos da CLI gcloud para conceder os papéis necessários no nível do projeto ao administrador que está realizando a implantação:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

Substitua PROJECT_ID pelo ID do projeto dedicado e ADMIN_EMAIL pelo endereço de e-mail do administrador.

Documentação relacionada

Depois que a nova instância for implantada, conclua as seguintes tarefas de configuração:

• Configurar o controle de acesso a recursos usando o IAM.
• Configurar o RBAC de dados para usuários.
• Faça login na nova instância.

Solução de problemas

Nesta seção, descrevemos as expectativas de desempenho e fornecemos correções de autoatendimento para problemas comuns de implantação.

Latência e limites

O provisionamento de uma instância extra do Google SecOps geralmente leva entre 30 minutos e 1 hora para que a alocação de infraestrutura, a vinculação de armazenamento e a ativação do locatário sejam concluídas e para que a nova instância apareça na tabela Instâncias depois que você acionar o provisionamento. Durante o provisionamento, as instâncias ativas no seu contrato continuam operando sem tempo de inatividade ou bloqueios de sessão. Evite atualizar a página de configuração ou enviar solicitações de configuração duplicadas durante esse período.

Correção de erros

Use a tabela a seguir para diagnosticar e resolver problemas durante o provisionamento de instâncias:

Problema	Descrição	Corrigir
Botão Adicionar instância desativado	O botão Adicionar instância na página do Google SecOps está indisponível.	Verifique se a assinatura do contrato está ativa, se pelo menos uma instância inicial já foi integrada, se menos de 25 instâncias estão vinculadas à sua conta de faturamento e ao contrato, se sua conta tem o papel roles/billing.user e se a assinatura não é controlada por compliance.
A configuração da assinatura é inválida ou expirou	A página de configuração mostra a mensagem de aviso "A configuração da assinatura é inválida ou expirou" e desativa as interações na página.	Verifique se o contrato de assinatura do Google SecOps está ativo e não expirou nem foi suspenso. Se o token de integração do contrato (válido por 30 dias) tiver expirado, entre em contato com seu representante do Google ou com o suporte do Google SecOps.
Ícone de aviso de seleção de projeto	Um ícone de aviso warning aparece ao lado de um projeto do Google Cloud na caixa de diálogo Selecionar um recurso.	Mantenha o ponteiro sobre o ícone de aviso warning para ver a restrição. Verifique se o projeto usa exatamente a mesma conta do Cloud Billing que o contrato de assinatura e não está vinculado a outra instância.
Botão Próxima desativado na página Contatos essenciais	Não é possível prosseguir da página Contatos essenciais para a página Implantação.	Atribua pelo menos um endereço de e-mail para contato válido a cada uma das categorias de notificação obrigatórias: Técnico, Segurança, Jurídico e Faturamento.
Falha na configuração da implantação	O provisionamento falha depois de clicar em Iniciar configuração.	Verifique se chronicle.googleapis.com está ativado no projeto de destino Google Cloud e se sua conta tem os papéis roles/chroniclesm.admin e roles/serviceusage.serviceUsageAdmin.

Validação e teste

Para verificar se a instância adicional foi implantada:

1. No console do Google Cloud , acesse a página do Google SecOps.
2. Na tabela Instâncias, confirme se a nova instância mostra o status Ativa.
3. Selecione o projeto de destino Google Cloud que hospeda a nova instância e clique no link da instância para abrir a interface da Web do Google SecOps e fazer login usando o provedor de identidade configurado.

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.