部署其他執行個體

支援的服務：

Google SecOps

本指南可協助平台管理員和資安工程師，在現有的統一訂閱方案中部署額外的 Google SecOps 執行個體。說明如何使用 Google Cloud 控制台中的自助工作流程，佈建及連結新執行個體。採用這種方法，您就能在業務單位、子公司或代管客戶之間，擴充多租戶資安營運，不必等待人工支援協助。成功部署後，環境隔離作業會簡化，同時現有執行中的執行個體不會停機。

常見用途

下列用途說明組織如何部署額外執行個體，以隔離環境及擴充作業：

業務單位和子公司隔離

• 目標：在單一合約下，為不同的業務單位、子公司或作業環境 (例如開發、測試和正式環境) 部署專屬執行個體。
• 價值：強制執行嚴格的資料邊界和獨立存取控管，同時將帳單合併至單一訂閱方案。

代管資安服務供應商客戶新手上路

• 目標：為個別代管客戶佈建獨立的 Google SecOps 執行個體，並啟用代管安全服務供應商 (MSSP) 訂閱方案。
• 價值：加速客戶新手上路流程，並維持租戶隔離，無需手動提報支援。

重要術語

• 統合執行個體：Google SecOps 租戶，將 SIEM 和 SOAR 功能整合至連結 Google Cloud 專案的單一環境。
• 上層合約：與 Cloud Billing 帳戶相關聯的有效 Google SecOps 訂閱協議，規範所有連結執行個體的區域資料落地、套件層級和預設資料保留設定。
• 管理控制專案：連結至個別 Google SecOps 執行個體的專用 Google Cloud 專案，可控管該租戶的 (IAM) 權限、API 和資源設定。

事前準備

開始之前，請確認您具備必要權限，並已設定環境：

• 權限：您必須具備下列角色：
  • 帳單帳戶權限：您必須具備 billing.resourceAssociations.list 權限，或與 Google SecOps 合約相關聯的 Cloud Billing 帳戶帳單帳戶使用者 (roles/billing.user) 角色。
  • 目標專案權限：在託管新執行個體的目標 Google Cloud 專案中，您需要下列角色：
  • 專案 IAM 管理員 (roles/resourcemanager.projectIamAdmin)
  • 編輯者 (roles/editor)
  • 服務使用情形管理員 (roles/serviceusage.serviceUsageAdmin)
  • Chronicle 服務管理員 (roles/chroniclesm.admin)
  • 識別資訊提供者設定權限：如果您使用第三方識別資訊提供者 (IdP)，則必須具備組織層級的 IAM 工作團隊集區管理員 (roles/iam.workforcePoolAdmin) 角色。
• 環境檢查：每個 Google SecOps 執行個體都必須連結至專屬 Google Cloud 專案，且該專案使用的 Cloud Billing 帳戶必須與 Google SecOps 訂閱合約相同。詳情請參閱「將執行個體連結至 Google Cloud」。

限制

自行佈建額外執行個體時，須遵守下列支援限制：

• 至少一個有效執行個體：貴組織必須至少有一個現有的 Google SecOps 執行個體，且該執行個體已在訂閱合約下啟用。如果沒有任何有效執行個體，自助佈建功能就會停用。
• 執行個體數量上限：只有在連結至 Cloud Billing 帳戶和訂閱合約的執行個體總數少於 25 個時，才能使用自助佈建功能。如果連結的執行個體數量達到 25 個以上，「Add instance」(新增執行個體) 按鈕會維持停用狀態。
• 有效訂閱：Google SecOps 訂閱合約必須有效。如果訂閱方案已過期或遭停權，就無法佈建其他執行個體。
• Standard、Enterprise 或 Enterprise Plus 級別：訂閱項目必須是已啟用註冊的支援 Google SecOps 套件。
• 僅限統合執行個體：合約中的所有現有執行個體都必須是統合執行個體。如果協議下的任何現有執行個體僅限 SIEM，則不支援自助佈建。
• 僅限非規範執行個體：自助佈建功能僅適用於標準商業環境。如果合約中的任何現有執行個體已設定法規遵循控管機制或主權要求 (例如 FedRAMP、IL4、IL5、IL6、CMEK 或 DRZ_Advanced)，自助佈建功能就會停用。如果是法規遵循控管環境，請與 Google 代表聯絡，或洽詢 Google SecOps 支援團隊，由法規遵循工程團隊手動佈建。
• 資料落地一致性：所有額外執行個體都位於與初始執行個體相同的地理區域 (例如 us 或 europe)。區域選項已鎖定，必須與上層合約相符，無法變更。
• 資料保留繼承：額外執行個體會自動繼承上層訂閱協議的合約資料保留期限。

準備 Google Cloud 專案

準備專用 Google Cloud 專案，做為新執行個體的管理控制層：

1. 建立或選取專用專案：建議您為每個新執行個體建立新的專用 Google Cloud 專案。請按照「建立專案」中的步驟操作。
2. 驗證帳單帳戶關聯： Google Cloud 專案必須使用與 Google SecOps 訂閱合約完全相同的 Cloud Billing 帳戶。
3. 確認專案可用性： Google Cloud 專案不得連結至其他 Google SecOps 執行個體。每項專案只能託管一個執行個體。

4. 設定 VPC Service Controls (選用)：如果貴組織使用 VPC Service Controls，請按照「設定 Google SecOps 的 VPC Service Controls」一文所述，設定輸入和輸出規則。

   注意： 如果專案使用不同的 Cloud Billing 帳戶，或已連結至現有執行個體，則在設定期間無法選取專案。開始部署前，請先在「Billing」(帳單) 頁面驗證帳單關聯。

部署其他執行個體

如要使用Google Cloud 控制台部署其他 Google SecOps 執行個體，請完成下列各節的程序：

1. 開啟 Google SecOps 頁面
2. 選取目標專案
3. 新增重要聯絡人
4. 查看部署作業詳細資料並設定單一登入服務
5. 開始設定執行個體

開啟 Google SecOps 頁面

在 Google Cloud 控制台中開啟「Google SecOps」頁面，啟動部署作業：

1. 前往 Google Cloud 控制台的「Google SecOps」頁面。
2. 「Instances」(執行個體) 表格會列出與帳單帳戶相關聯的所有現有 Google SecOps 執行個體。

3. 按一下「Add instance」。

   注意： 如果「Add instance」(新增執行個體) 按鈕無法使用或已停用，表示您的帳戶可能缺少帳單權限、沒有初始上線執行個體、有 25 個以上的執行個體連結至帳單帳戶和合約，或屬於受法規遵循控管的訂閱方案。請先詳閱「限制」一節，並確認帳單帳戶角色，然後再重試。

選取目標專案

將準備好的 Google Cloud 專案連結至新的 Google SecOps 執行個體：

1. 在「Link SecOps to a project」(將 SecOps 連結至專案) 頁面，按一下「Select a project」(選取專案)，開啟「Select a resource」(選取資源) 對話方塊。
2. 從下拉式選單中選取您的 Organization。
3. 從「Projects and folders」(專案和資料夾) 清單中，選取您為這個執行個體準備的 Google Cloud 專案。

4. 按一下符合資格的 Google Cloud 專案名稱，選取該專案。

   注意： Google Cloud 無法選取的專案會顯示警告 warning 圖示。將滑鼠游標懸停在警告圖示上，即可查看具體限制 (例如帳單帳戶不符、權限不足或現有的 Google SecOps 執行個體關聯)，然後選取符合規定的專案。

新增重要聯絡人

指派聯絡人接收技術、安全性、法律和帳單等主題的重大通知：

1. 在「Essential contacts」(重要聯絡人) 表格中，按一下「Add contact」(新增聯絡人) (或按一下現有類別旁的編輯圖示)。
2. 輸入聯絡人的電子郵件地址。
3. 選取一或多個通知類別。您必須為每個必要類別指派至少一位聯絡人：
   • 技術
   • 安全性
   • 法律
   • 帳單
4. 按一下「儲存」。

5. 將聯絡人指派給所有必要類別後，按一下「Next」(下一步)，開啟「Deployment」(部署) 頁面。

   注意： 如有任何必填聯絡人類別未指派，「Next」(下一步) 按鈕會保持停用狀態。請為每個類別指派至少一個有效的電子郵件地址，才能繼續操作。

查看部署作業詳細資料並設定單一登入

查看沿用的合約設定，並為新執行個體設定使用者驗證：

1. 查看部署作業詳細資料： 檢查預先填入的部署作業設定：

   • 區域：顯示地理位置。區域會鎖定為與上層合約相符，無法變更。
   • 套件層級：顯示從訂閱項目繼承的 Google SecOps 套件層級。
   • 資料保留時間長度：顯示從訂閱項目沿用的保留時間長度。

   點選「下一步」。

2. 查看服務帳戶：確認系統為執行個體作業建立的服務帳戶詳細資料，然後按一下「Next」(下一步)。

3. 設定單一登入 (SSO)：選取用於管理使用者驗證和存取控管的識別資訊提供者：

   • Google Cloud Identity：如果您使用 Cloud Identity 或 Google Workspace，請選取這個選項。詳情請參閱「設定 Google Cloud 識別資訊提供者」。
   • 員工身分聯盟：如果您使用第三方識別資訊提供者 (例如 Okta 或 Microsoft Entra ID)，請選取這個選項。詳情請參閱「設定第三方識別資訊提供者」。

   點選「下一步」。

4. 接受服務條款： 詳閱服務條款，然後勾選同意核取方塊。

   注意： 請先確認所選識別資訊提供者設定已啟用，再完成設定。如果員工身分集區設定錯誤，使用者在部署作業完成後將無法登入。

開始設定執行個體

啟動自動佈建管道，部署執行個體：

1. 按一下「Start setup」(開始設定) 即可啟動部署作業。
2. 自動佈建管道會將 Google Cloud 專案連結至合約、設定資料儲存庫、設定 Service Infrastructure，並啟用執行個體。

3. 部署完成後，新的執行個體會顯示在「Instances」(執行個體) 表格中，狀態為「Active」(有效)。開始設定後，新執行個體可能需要 30 分鐘到 1 小時才會顯示在「Instances」(執行個體) 表格中。

   注意： 如果部署失敗，請確認目標 Google Cloud 專案已啟用 Chronicle API。如果問題仍未解決，請與 Google 代表或 Google SecOps 支援團隊聯絡。

範例和參考資訊

請使用本節中的參考指令和連結，透過 Google Cloud CLI (gcloud CLI) 準備目標專案，並完成部署後工作。

使用 Google Cloud CLI 啟用 Chronicle API

開始部署前，請執行下列 gcloud CLI 指令，在目標 Google Cloud 專案啟用 Chronicle API：

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

將 PROJECT_ID 替換為專用 Google Cloud專案的專案 ID。

使用 Google Cloud CLI 授予專案層級的 IAM 角色

執行下列 gcloud CLI 指令，將必要的專案層級角色授予執行部署作業的管理員：

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

將 PROJECT_ID 替換為專屬專案 ID，並將 ADMIN_EMAIL 替換為管理員的電子郵件地址。

相關說明文件

部署新執行個體後，請完成下列設定工作：

• 使用 IAM 設定功能存取控管機制。
• 為使用者設定資料 RBAC。
• 登入新的執行個體。

疑難排解

本節說明預期效能，並提供常見部署問題的自助修正方法。

延遲時間和限制

佈建額外的 Google SecOps 執行個體時，基礎架構分配、儲存空間連結和租戶啟用作業通常需要 30 分鐘到 1 小時才能完成，且在觸發布建作業後，新的執行個體才會顯示在「Instances」(執行個體) 表格中。在佈建期間，合約中現有的有效執行個體會繼續運作，不會停機或鎖定工作階段。在此期間，請避免重新整理設定頁面或重複提交設定要求。

錯誤修正

請參閱下表，診斷及解決執行個體佈建期間的問題：

問題	說明	修正
「Add instance」(新增執行個體) 按鈕已停用	「Google SecOps」頁面上的「新增執行個體」按鈕無法使用。	確認合約訂閱方案有效、至少已啟用一個初始執行個體、連結至帳單帳戶和合約的執行個體少於 25 個、帳戶具備 roles/billing.user 角色，且訂閱方案不受法規遵循控管。
訂閱設定無效或已過期	設定頁面會顯示警告訊息「訂閱設定無效或已過期」，並停用頁面互動功能。	確認 Google SecOps 訂閱合約有效，且未過期或遭停用。如果合約新手上路權杖 (效期 30 天) 已過期，請與 Google 代表或 Google SecOps 支援團隊聯絡。
專案選取警告 warning 圖示	在「Select a resource」(選取資源) 對話方塊中， Google Cloud 專案旁會顯示警告 warning 圖示。	將游標懸停在警告 warning 圖示上，即可查看限制。確認專案使用的 Cloud Billing 帳戶與訂閱合約完全相同，且未連結至其他執行個體。
「重要聯絡人」頁面上的「下一步」按鈕已停用	無法從「重要聯絡人」頁面前往「部署作業」頁面。	請為每個必要通知類別 (技術、安全性、法律和帳單) 指派至少一個有效的聯絡電子郵件地址。
部署設定失敗	點選「開始設定」後，佈建失敗。	確認目標 Google Cloud 專案已啟用 chronicle.googleapis.com，且您的帳戶具備 roles/chroniclesm.admin 和 roles/serviceusage.serviceUsageAdmin 角色。

驗證與測試

如要確認額外執行個體是否部署成功，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「Google SecOps」頁面。
2. 在「Instances」(執行個體) 表格中，確認新執行個體顯示「Active」(有效) 狀態。
3. 選取託管新執行個體的目標 Google Cloud 專案，然後按一下執行個體連結，開啟 Google SecOps 網頁介面，並使用設定的識別資訊提供者登入。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。