SOAR 移行に関するよくある質問
SOAR 移行プロセスに関するよくある質問とその回答をご紹介します。よくある問題の解決策と、移行を成功させるためのベスト プラクティスをご紹介します。
移行の範囲と影響
Q: この移行が必要なのはなぜですか？
Google Cloudに移行することで、SOAR インフラストラクチャをモダナイズしています。この重要なアップグレードにより、信頼性の向上、セキュリティの強化、コンプライアンスの向上、きめ細かいアクセス制御など、重要なメリットが得られます。また、Model Context Protocol（MCP）の統合により、エージェント型 AI 機能にアクセスできます。
移行により、次のことが可能になります。
- Google の最高水準の API レイヤを活用して、SOAR の信頼性とモニタリング機能を強化します。このレイヤは、割り当て管理、監査、オブザーバビリティのための高度な機能を備えた、最先端の API ソリューションを提供します。
- プラットフォーム全体の機能とデータに対するロールベース アクセス制御（RBAC）を有効にします。
- VPC Service Controls、データ所在地、顧客管理の暗号鍵（CMEK）などの高度なコンプライアンス機能を提供します。
Q: 移行の対象範囲を教えてください。
移行には次のコンポーネントが含まれます。
- SOAR プロジェクトをお客様所有の Google Cloud プロジェクトに移行する。
- SOAR の認証と権限を Google Cloud IAM に移行する。
- SOAR API を Chronicle API に移行する。
- リモート エージェントの認証インフラストラクチャを移行する。
Q: 移行直後にどのような変更がありますか？
移行直後に、いくつかの重要な変更が適用されます。
- GCP プロジェクトの所有権: SOAR プロジェクトは、Google の所有権からお客様が所有する Google Cloud プロジェクトに移行されます。
- 認証:
- 統合 SecOps のお客様: 変更はありません。認証は引き続き Google Cloud IAM によって管理されます。
- SOAR スタンドアロンのお客様: 認証は Google Cloud IAM で管理されるようになります。SAML を使用しているユーザーの場合、Workforce Identity 連携を採用することになります。SAML 構成は SOAR システム自体に保存および管理されなくなるため、セキュリティ管理が強化されます。
- RBAC: ユーザー権限がよりきめ細かくなり、IAM を使用して管理されるようになります。環境と SOC ロールは、引き続き Identity Provider（IdP）グループを使用して SOAR モジュール内で管理されます。
- 監査ロギング: 監査ログはより詳細になり、**Cloud Audit Logs ** 内で管理されます。
- 新しい URL（SOAR のみ）: SOAR スタンドアロン ユーザーには、SOAR にアクセスするための新しい URL（新しいドメイン）が提供されます。
Q: この移行について、お客様やパートナーにはどのように通知されますか？
すべてのお客様とパートナー様に、移行日と記入フォームへのリンクを含むプロダクト内ポップアップが表示されます。移行の日時を確認するよう求められます。
Q: SOAR が Google Cloud プロジェクトにバインドされることで、インフラストラクチャの費用は変わりますか？
いいえ。費用に影響はありません。フロントエンドに変更は生じません。プロジェクトで新しいリソースが実行されることはないため、関連する費用は発生しません。
Q: プロジェクトを SOAR に接続するにはどうすればよいですか？
Google は、SOAR プロジェクトを Google Cloud プロジェクトに移行します。Unified SecOps をご利用のお客様の場合、 Google Cloud プロジェクト ID はすでに取得されています。SOAR スタンドアロンのお客様は、 Google Cloud プロジェクト ID を Google と共有する必要があります。
Q: すでに Google SecOps をデプロイしているお客様の場合、SIEM と同じプロジェクト ID を使用する必要がありますか？それとも別のプロジェクトが必要ですか？
統合された Google SecOps デプロイ（1 つの SIEM、1 つの SOAR）の場合、SIEM に関連付けられている既存の Google Cloud プロジェクト ID を使用する必要があります。これにより、RBAC やログなどの管理フローを一元管理できます。
Q: VPC Service Controls（VPC-SC）などの特別な考慮事項がある Google SecOps インスタンスの場合、どのような手順が必要ですか？
移行を有効にするには、VPC-SC ポリシー内で上り（内向き）ルールと下り（外向き）ルールの両方を定義する必要があります。 Google Cloud プロジェクトに VPC SC がある場合は、これらの特定のルールに関する詳細なガイダンスについて、サポートチームにお問い合わせください。
VPC-SC を使用してサポートされていない API 機能が 2 つあります。
- Webhook
- ハンドブックの承認リンク
Q: 移行が成功したことを確認するにはどうすればよいですか？
[SOAR Settings] > [License Management] に移動して、正常に完了したことを確認します。ステージ 1 の後は、システム バージョン番号の後に Google.com と表示されます。 SOAR 権限の IAM ロールへのステージ 2 の移行が完了すると、システム バージョン番号の後に Google.com と CloudIAM Enabled の両方が表示されます。
ダウンタイムと継続性
Q: 移行中にダウンタイムは発生しますか？また、その影響はどのようなものですか？
はい。想定されるダウンタイムは次のとおりです。
- SOAR スタンドアロンのお客様の場合は最大 2 時間。
- Google SecOps のお客様の場合は最大 1.5 時間。
この期間中は、プラットフォームにログインできません。SOAR サービス（取り込み、ハンドブック、ジョブなど）は一時停止されますが、SIEM サービスはバックグラウンドで引き続き実行されます。
Q: ダウンタイム中に生成されたデータは、SOAR サービスが再開されると自動的に取り込まれますか？
はい。システムがオンラインに戻ると、取り込みとハンドブックが再開され、ダウンタイム中に生成または取り込まれたアラートが処理されます。
Q: ダウンタイムの開始時に実行されているハンドブックはどうなりますか？
移行が開始される前にハンドブック サービスがオフになります。実行中のハンドブックの一部が失敗する可能性があり、手動で再起動するか、移行の完了後に再開する必要があります。
Q: 移行中に問題が発生した場合のロールバック プランやコンティンジェンシー プランはありますか？
はい。移行プロセスでは、既存の SOAR インスタンスは完全にそのまま維持されます（ただし、オフになります）。移行プロセスが正常に完了しなかった場合は、既存のインスタンスに切り替えて、新しいインスタンスを削除できます。このロールバック プロセスには最大 30 分かかります。移行を確実に成功させるために、広範囲にわたるテストと綿密なモニタリングを実施し、オンコール スタッフが待機します。
移行後にアクセスに関する問題が発生した場合は、認証の設定が正しくない可能性があります。トラブルシューティング ガイドを使用して問題を特定して解決するには、ID、IDP、または Google Cloud の管理者と連携する必要があります。問題が解決しない場合や、アクセスに関連していない場合は、サポート チケットを開いて懸念事項を記録し、解決状況をモニタリングします。
Q: Chronicle API の新しい SOAR エンドポイント v1 に移行できるのはいつですか？
2026 年 1 月中旬より、Chronicle API の新しい SOAR エンドポイント v1 に移行できます。
従来の SOAR API と API キーは非推奨となり、2027 年 3 月 31 日以降は機能しなくなります。円滑に移行できるよう、次の 2 つの必須手順を実施してください。
- まず、SOAR 権限グループの Cloud IAM への移行を完了する必要があります。
- 既存のスクリプトと統合を更新して、以前の SOAR API エンドポイントを対応する Chronicle API エンドポイントに置き換えます。
認証と権限
Q: SOAR の権限グループと権限を移行するにはどうすればよいですか？
Google Cloud コンソールの移行スクリプトを使用して、既存の権限グループを IAM カスタムロールに移行します。このスクリプトは、ユーザー（Cloud Identity のお客様の場合）または IdP グループ（Workforce Identity 連携のお客様の場合）にカスタムロールを割り当てます。
Q: カスタム権限グループを移行せず、事前定義ロールのみを使用したい場合はどうすればよいですか？
自動移行をオプトアウトして、代わりに IdP グループを Cloud IAM ロールに手動でマッピングすることもできます。
Q: 当社は SOAR スタンドアロンのお客様で、手動認証を使用するカスタム SAML プロバイダを利用しています。これを IdP マッピングの IdP グループに変更した場合、既存のユーザー アカウントにどのような影響がありますか？
既存のユーザーがグループのいずれかに一致し、権限が正しくマッピングされている場合、既存のユーザー アカウントに影響はありません。ただし、ユーザーがグループにマッピングされていない場合、ユーザーはログインできません。権限が異なる方法でマッピングされている場合、ユーザーは新しいマッピングに基づいて新しい権限を受け取ります。
Q: 複数の ID プロバイダを使用する MSSP には、特定の前提条件がありますか？
SOAR の外部認証ページで複数の ID プロバイダを構成しているお客様は、認証用に Workforce Identity 連携を定義し、プロバイダごとに個別の Workforce プールを作成する必要があります。各プロバイダは異なるサブドメインに関連付けられています。詳細については、MSSP 移行ガイドをご覧ください。
Q: Chronicle API に対して認証するにはどうすればよいですか？
Chronicle API に対する認証の手順に沿って操作します。
Q: 新しい SOAR API にアクセスするために必要な新しい IP は何ですか？
Chronicle API にアクセスするために IP アドレスを許可リストに登録する必要はありません。必要に応じて、こちらとこちらに記載されている IP アドレスの範囲を許可リストに登録できます。
ロギングとモニタリング
Q: 移行の最初のステージを完了しましたが、Cloud Audit Logs にログが表示されません。
ログは、最初の移行ステージの完了後に SOAR プラットフォームに保存されます。ログは、2 番目の移行ステージの完了後に Google Cloud プロジェクトで使用できるようになります。
Q: SOAR データをマネージド BigQuery（BQ）インスタンスに送信しているお客様は、移行後もこの BigQuery データにアクセスできますか？
はい。既存のマネージド BigQuery は引き続き機能します。
ロジスティクスとサポート
Q: 移行に別の時間帯を選択できますか？
いいえ。推奨される時間枠以外での移行はできません。
Q: 移行中にリアルタイムのステータス更新はありますか？
移行プロセスの開始時と終了時にメール通知が届きます。
Q: 移行後に問題が発生した場合、どこに問い合わせればよいですか？
移行後にアクセスに関する問題が発生した場合は、認証の設定が正しくない可能性があります。トラブルシューティング ガイドを使用して問題を特定して解決するには、ID、IDP、または Google Cloud の管理者と連携する必要があります。問題が解決しない場合や、アクセスに関連していない場合は、サポート チケットを開いて懸念事項を記録し、解決状況をモニタリングします。
SOAR 権限グループを IAM に移行する
次のセクションでは、権限を IAM に移行する際、または移行後に発生する一般的な問題について説明します。
移行ツールとスクリプトに関する問題
Q: Google Cloud コンソールで移行スクリプトが表示または読み込まれないのはなぜですか？
これには、次の 2 つの理由が考えられます。
権限がない: 移行ツールを使用するには、ユーザー アカウントに Google Cloud と Google SecOps インスタンスの両方で十分な権限が必要です。 Google Cloud で必要な IAM ロールを持ち、Google SecOps SOAR で認識されているユーザーのアカウントでログインしていることを確認します。 Google Cloud と SOAR で異なるアカウントを使用すると、認可エラーが発生する可能性があります。必要な権限があるにもかかわらず、移行スクリプトを読み込めない場合は、サポート チケットを開いてください。
SIEM が Cloud IAM を使用していない: Google SecOps の統合版をご利用の場合は、IAM を使用してプラットフォームの SIEM 側のロールと権限を管理していることを確認してください。詳細については、以前の RBAC から機能 RBAC への移行ガイドをご覧ください。
Q 移行スクリプトを実行しようとするとエラーが発生します。どうすればよいですか？
エラー - 「グループが存在しません」:
add-iam-policy-binding commandsを使用する場合は、--memberフラグに短いグループ名ではなく、完全なグループのメールアドレス（例:your-group@example.com）を使用していることを確認してください。既存のロールに関連するエラー: 条件付きバインディングがすでに存在するプリンシパルにバインドすると、競合が発生することがあります。この問題を解決するには、スクリプトを再実行し、[新しい条件を指定する] ではなく [なし] を選択します。
移行後のアクセスに関する問題
Q: IAM 移行後に特定のページや機能（ハンドブックや IDE など）にアクセスしようとすると、「403 Forbidden」エラーが表示されるのはなぜですか？
移行後に 403 エラーが発生した場合は、ユーザーに割り当てられた Google Cloud IAM ロールに、Google SecOps プラットフォームの SOAR 側で必要な権限がない可能性があります。これは、カスタム IAM ロールを使用している場合によく発生します。
Google SecOps のロールと権限を確認します。カスタム IAM ロールに、必要な SOAR 機能にアクセスするために必要なすべての権限が含まれていることを確認します。
必要に応じて、ブラウザのデベロッパー ツールで、403 エラーを返す特定の API 呼び出しを特定します。レスポンス ペイロードには、不足している権限が記載されています。また、必要なアクセス権の詳細を示す通知バナーがインターフェース内に表示されます。
これらの解決策を試しても問題が解決しない場合は、サポート チケットを作成してください。
権限とロール
Q: 提供されたツールを使用せずに IAM の移行を手動で行ったところ、権限の問題が発生しました。どうすれば解決できますか？
IAM の手動移行では、SOAR ロールに必要な権限が不足することがあります。必要な権限がすべて正しく設定されるように、提供されている移行スクリプトを使用することを強くおすすめします。手動移行を行う場合は、Google SecOps IAM 権限を慎重に確認し、必要な権限を持つカスタムロールを作成してください。
Q: 移行後、一部のユーザーに想定よりも多くの権限が SOAR で付与されているようです。なぜですか？
これは、移行前にユーザーまたはグループが事前定義された Chronicle の広範な Google Cloud ロールにすでに割り当てられている場合に発生することがあります。移行が完了すると、Chronicle の事前定義ロール（chronicle.apiAdmin など）に SOAR 権限が自動的に含まれます。たとえば、Chronicle API 管理者ロールに SOAR 管理者権限が含まれるようになります。
最小権限アクセスを確保するには、次の手順に従います。
- [IAM ロール] ページで、Chronicle API 管理者を含む事前定義ロールを確認し、割り当てられているすべてのプリンシパル（ユーザーとグループ）を特定します。
- SOAR 権限を必要とするユーザーのみがこれらのロールに割り当てられていることを確認します。
- 特定のプリンシパルの SOAR アクセスを制限するには、事前定義ロールから削除し、SOAR 管理者権限を明示的に除外するカスタムロールに割り当てます。
Q: 移行は成功しましたが、[Group Mapping] ページに [権限グループ] 列が表示されたままです。なぜですか？
移行が成功した後も、下位互換性のために [権限グループ] 列が [グループ マッピング] ページに表示されます。これらの割り当ては削除しないでください。この列は 2027 年 3 月 31 日までに削除されます。お客様への影響はありません。
ベスト プラクティス
- 移行スクリプトを使用する: 可能な限り、 Google Cloud の公式移行スクリプトを使用して、SOAR 権限グループから IAM ロールへの移行を処理します。
- IAM 権限を確認する: さまざまな SOAR 機能とロールに必要な Google Cloud IAM 権限を理解します。
- 徹底的にテストする: 移行後、さまざまなユーザーロールとペルソナのアクセスをテストして、すべてが想定どおりに動作することを確認します。
- サポートに問い合わせる: エラーが解消されない場合や、予期しない動作が発生した場合は、サポートに問い合わせ、できるだけ詳しく状況を説明してください。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。