部署其他实例

支持范围：

Google SecOps

本指南可帮助平台管理员和安全工程师在现有统一订阅中部署其他 Google SecOps 实例。其中介绍了如何使用 Google Cloud 控制台中的自助服务工作流预配和关联新实例。通过遵循此方法，您可以跨业务单位、子公司或代管式客户扩缩多租户安全运维，而无需等待人工支持协助。成功部署可简化环境隔离，同时确保现有活跃实例零停机。

常见使用场景

以下用例介绍了组织如何部署其他实例来隔离环境和扩缩操作：

业务单位和子公司隔离

• 目标：根据一份合同，为不同的业务单位、子公司或运营环境（例如开发、预演和生产）部署专用实例。
• 价值：强制执行严格的数据边界和独立的访问权限控制，同时将合并结算整合到一份订阅中。

托管式安全服务提供商客户入驻

• 目标：在有效的托管式安全服务提供商 (MSSP) 订阅下，为各个受管理客户预配单独的 Google SecOps 实例。
• 价值：加快客户入驻速度并保持租户隔离，无需手动升级支持。

主要术语

• 统一实例：一个 Google SecOps 租户，将 SIEM 和 SOAR 功能整合到一个与 Google Cloud 项目关联的环境中。
• 父级合同：与您的 Cloud Billing 账号关联的有效 Google SecOps 订阅协议，用于管理所有关联实例的区域驻留、套餐层级和默认数据保留设置。
• 管理控制项目：与单个 Google SecOps 实例关联的专用 Google Cloud 项目，用于控制该租户的 (IAM) 权限、API 和资源设置。

准备工作

在开始之前，请确认您拥有所需的权限并已设置好环境：

• 权限：您必须拥有以下角色：
  • 结算账号权限：您需要对与 Google SecOps 合同关联的 Cloud Billing 账号拥有 billing.resourceAssociations.list 权限或 Billing Account User (roles/billing.user) 角色。
  • 目标项目权限：在托管新实例的目标 Google Cloud 项目中，您需要拥有以下角色：
  • Project IAM Admin (roles/resourcemanager.projectIamAdmin)
  • Editor (roles/editor)
  • Service Usage Admin (roles/serviceusage.serviceUsageAdmin)
  • Chronicle Service Admin (roles/chroniclesm.admin)
  • 身份提供方配置权限：如果您使用第三方身份提供方 (IdP)，则需要在组织级层拥有 IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) 角色。
• 环境检查：您必须将每个 Google SecOps 实例关联到一个专用 Google Cloud 项目，该项目使用的 Cloud Billing 账号与您的 Google SecOps 订阅合同相同。如需了解详情，请参阅将实例关联到 Google Cloud。

限制

自助式额外实例预配受以下可支持性限制：

• 至少有一个活跃实例：贵组织必须至少有一个已在订阅合同下完成初始配置并处于活跃状态的现有 Google SecOps 实例。如果不存在活跃实例，则会停用自助预配。
• 实例数量上限：只有当与您的 Cloud Billing 账号和订阅合同关联的实例总数少于 25 个时，才能使用自助配置。如果已关联 25 个或更多实例，添加实例按钮将保持停用状态。
• 有效订阅：您的 Google SecOps 订阅合同必须有效。如果您的订阅已过期或暂停，则无法预配其他实例。
• 标准版、企业版或企业 Plus 版：订阅必须是其中一个受支持的 Google SecOps 套餐的有效注册。
• 仅限统一实例：合同下的所有现有实例都必须是统一实例。如果协议下的任何现有实例仅为 SIEM，则不支持自助预配。
• 仅限不合规实例：自助预配仅适用于标准商业环境。如果您的合同下的任何现有实例配置了合规性控制或主权要求（例如 FedRAMP、IL4、IL5、IL6、CMEK 或 DRZ_Advanced），则自助预配功能会被停用。对于受合规性控制的环境，请与您的 Google 代表联系，或与 Google SecOps 支持团队联系，以便由合规性工程团队进行手动预配。
• 数据驻留一致性：所有其他实例都与初始实例位于同一地理区域（例如 us 或 europe）。区域选择已锁定，以与您的父级合同匹配，且无法更改。
• 数据保留继承：其他实例会自动继承父级订阅协议中约定的数据保留期限。

准备 Google Cloud 项目

准备专用 Google Cloud 项目，该项目充当新实例的管理控制层：

1. 创建或选择专用项目：我们建议您为每个新实例创建一个新的专用 Google Cloud 项目。按照创建项目中的步骤操作。
2. 验证结算账号关联： Google Cloud 项目必须使用与 Google SecOps 订阅合同完全相同的 Cloud Billing 账号。
3. 验证项目可用性： Google Cloud 项目不得已关联到其他 Google SecOps 实例。每个项目只能托管一个实例。

4. 配置 VPC Service Controls（可选）：如果您的组织使用 VPC Service Controls，请配置为 Google SecOps 配置 VPC Service Controls 中所述的入站流量和出站流量规则。

   注意： 如果项目使用其他 Cloud Billing 账号或已关联到现有实例，则在设置期间选择项目会失败。在开始部署之前，请先在结算页面上验证结算关联。

部署其他实例

如需使用Google Cloud 控制台部署其他 Google SecOps 实例，请完成以下部分中的步骤：

1. 打开 Google SecOps 页面
2. 选择目标项目
3. 添加重要联系人
4. 查看部署详情并配置单点登录
5. 开始设置实例

打开 Google SecOps 页面

在 Google Cloud 控制台中打开 Google SecOps 页面，以启动部署：

1. 在 Google Cloud 控制台中，前往 Google SecOps 页面。
2. 实例表列出了与您的结算账号关联的所有现有 Google SecOps 实例。

3. 点击添加实例。

   注意： 如果添加实例按钮不可用或已停用，则表示您的账号缺少结算权限、没有初始初始实例、有 25 个或更多实例与结算账号和合同相关联，或者属于受合规性控制的订阅。请先查看限制部分并验证您的结算账号角色，然后再重试。

选择目标项目

将准备好的 Google Cloud 项目关联到新的 Google SecOps 实例：

1. 在将 SecOps 关联到项目页面上，点击选择项目以打开选择资源对话框。
2. 从下拉列表中选择您的组织。
3. 从项目和文件夹列表中，选择您为此实例准备的 Google Cloud 项目。

4. 点击符合条件的 Google Cloud 项目的名称以将其选中。

   注意： Google Cloud 无法选择的项目会显示警告 warning 图标。将指针悬停在警告图标上，查看具体限制（例如，结算账号不匹配、权限不足或已存在 Google SecOps 实例关联），然后选择合规的项目。

添加重要联系人

分配联系人，以便接收有关技术、安全性、法律和结算主题的重要通知：

1. 在重要联系人表中，点击添加联系人（或点击现有类别旁边的修改图标）。
2. 输入联系人的邮箱。
3. 选择一个或多个通知类别。您必须为每个强制性类别至少分配一个联系人：
   • 技术
   • 安全性
   • 法律
   • 结算
4. 点击保存。

5. 将联系人分配到所有强制性类别后，点击下一步以打开部署页面。

   注意： 如果有任何强制性联系人类别仍未分配，下一步按钮将保持停用状态。请为每个类别至少分配一个有效的邮箱，然后才能继续。

查看部署详情并配置单点登录

查看继承的合同设置，并为新实例配置用户身份验证：

1. 查看部署详情：检查预填充的部署配置：

   • 区域：显示地理位置。该区域已锁定，与您的父级合同一致，无法更改。
   • 套餐层级：显示从订阅继承的 Google SecOps 套餐层级。
   • 数据保留时长：显示从订阅继承的保留时长。

   点击下一步。

2. 查看服务账号：确认系统为实例操作创建的服务账号的详细信息，然后点击下一步。

3. 配置单点登录 (SSO)：选择用于管理用户身份验证和访问权限控制的身份提供方：

   • Google Cloud Identity：如果您使用 Cloud Identity 或 Google Workspace，请选择此选项。如需了解详情，请参阅配置 Google Cloud 身份提供方。
   • 员工身份联合：如果您使用第三方身份提供方（例如 Okta 或 Microsoft Entra ID），请选择此选项。如需了解详情，请参阅配置第三方身份提供方。

   点击下一步。

4. 接受服务条款：阅读服务条款，然后选中同意复选框。

   注意： 在完成设置之前，请验证您选择的身份提供方配置是否处于活跃状态。如果员工身份池配置不当，用户在部署完成后将无法登录。

开始设置实例

启动自动化预配流水线以部署实例：

1. 点击开始设置以启动部署。
2. 自动化预配流水线会将 Google Cloud 项目关联到您的合同、配置数据存储区、设置 Service Infrastructure 并激活您的实例。

3. 部署完成后，新实例会显示在实例表中，状态为活跃。开始设置后，新实例可能需要 30 分钟到 1 小时才能显示在实例表中。

   注意： 如果部署失败，请验证是否已在目标 Google Cloud 项目中启用 Chronicle API。如果问题仍然存在，请与您的 Google 代表联系，或与 Google SecOps 支持团队联系。

示例和参考信息

使用本部分中的参考命令和链接，通过 Google Cloud CLI (gcloud CLI) 准备目标项目并完成部署后任务。

使用 Google Cloud CLI 启用 Chronicle API

在开始部署之前，请运行以下 gcloud CLI 命令，在目标 Google Cloud 项目中启用 Chronicle API：

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

将 PROJECT_ID 替换为专用 Google Cloud项目的项目 ID。

使用 Google Cloud CLI 授予项目级 IAM 角色

运行以下 gcloud CLI 命令，向执行部署的管理员授予所需的项目级角色：

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

将 PROJECT_ID 替换为您的专用项目 ID，并将 ADMIN_EMAIL 替换为管理员的邮箱。

相关文档

部署新实例后，请完成以下设置任务：

• 使用 IAM 配置功能访问权限控制。
• 为用户配置数据 RBAC。
• 登录新实例。

问题排查

本部分概述了性能预期，并提供了针对常见部署问题的自助修复方法。

延迟时间和限制

预配额外的 Google SecOps 实例通常需要 30 分钟到 1 小时，以便完成基础设施分配、存储空间关联和租户激活，并在您触发预配后，新实例才会显示在实例表中。在预配期间，合同下的现有活跃实例会继续运行，不会出现停机或会话锁定。在此期间，请避免刷新设置页面或提交重复的设置请求。

错误修复

请使用下表诊断和解决实例预配期间的问题：

问题	说明	修复
添加实例按钮已停用	Google SecOps 页面上的添加实例按钮不可用。	请验证您的合约订阅是否有效、是否已至少有一个初始实例、与您的结算账号和合约关联的实例是否少于 25 个、您的账号是否具有 roles/billing.user 角色，以及您的订阅是否不受合规性控制。
订阅配置无效或已过期	设置页面会显示警告消息“订阅配置无效或已过期”，并停用页面互动。	验证您的 Google SecOps 订阅合同是否有效，且未过期或被暂停。如果您的合同初始配置令牌（有效期为 30 天）已过期，请与您的 Google 代表或 Google SecOps 支持团队联系。
项目选择警告 warning 图标	选择一项资源对话框中的 Google Cloud 项目旁边会显示警告 warning 图标。	将指针悬停在警告 warning 图标上，即可查看限制。验证该项目使用的 Cloud Billing 账号与您的订阅合同完全相同，并且未关联到其他实例。
重要联系人页面上的下一步按钮已停用	您无法从重要联系人页面进入部署页面。	为每个强制性通知类别（技术、安全、法律和结算）至少分配一个有效的联系邮箱。
部署设置失败	点击开始设置后，配置失败。	验证目标 Google Cloud 项目中是否已启用 chronicle.googleapis.com，以及您的账号是否具有 roles/chroniclesm.admin 和 roles/serviceusage.serviceUsageAdmin 角色。

验证和测试

如需验证其他实例是否已成功部署，请执行以下操作：

1. 在 Google Cloud 控制台中，前往 Google SecOps 页面。
2. 在实例表中，确认新实例显示活跃状态。
3. 选择托管新实例的目标 Google Cloud 项目，然后点击实例链接以打开 Google SecOps 网页界面，并使用您配置的身份提供方登录。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。