SOAR 遷移作業常見問題

支援的國家/地區：

取得 SOAR 遷移程序常見問題的解答。瞭解常見問題的解決方法，以及順利轉換的最佳做法。

遷移範圍和影響

問：為什麼必須遷移？

我們正在翻新 SOAR 基礎架構，將其遷移至 Google Cloud。這項重大升級可帶來多項重要優勢，包括提升可靠性、強化安全性、提高法規遵循程度，以及更精細的存取控管。此外，這項服務也整合 Model Context Protocol (MCP)，可讓您存取代理式 AI 功能。

遷移作業包括：

  • 運用 Google 頂尖的 API 層，提升 SOAR 的可靠性和監控能力。這個層級提供領先的 API 解決方案，具備配額管理、稽核和可觀測性等進階功能。
  • 解鎖角色式存取控管 (RBAC) 功能，控管整個平台的功能和資料。
  • 提供更完善的法規遵循功能，例如 VPC Service Controls、資料落地和客戶自行管理的加密金鑰 (CMEK)。

問：遷移範圍為何？

遷移作業涉及下列元件：

  • 將 SOAR 專案遷移至客戶擁有的 Google Cloud 專案。
  • 將 SOAR 驗證和權限遷移至 Google Cloud IAM。
  • 將 SOAR API 遷移至 Chronicle API。
  • 遷移遠端代理驗證基礎架構。

問：遷移後會立即發生哪些變化？

遷移完成後，您會立即看到幾項重大變化：

  • GCP 專案擁有權：SOAR 專案會從 Google 擁有的專案，遷移至客戶擁有的 Google Cloud 專案。
  • 驗證：
    • Unified SecOps 客戶：不會有任何變更。驗證作業仍由 Google Cloud IAM 管理。
    • SOAR 獨立版客戶：驗證作業現在由 Google Cloud IAM 管理。如果使用者採用 SAML，這表示您需要採用員工身分聯盟，且 SAML 設定不會再儲存於 SOAR 系統本身並由該系統管理，進而強化安全控管。
  • RBAC：使用者授權將更精細，並透過 IAM 管理。環境和 SOC 角色會繼續在 SOAR 模組中，使用身分識別提供者 (IdP) 群組進行管理。
  • 稽核記錄：稽核記錄會更詳細，並在 **Cloud 稽核記錄 **中管理。
  • 新網址 (僅限 SOAR)：SOAR 獨立版使用者會收到新網址 (新網域)，用來存取 SOAR。

問：Google 如何通知客戶 / 合作夥伴這項遷移作業？

所有客戶和合作夥伴都會看到產品內彈出式視窗，其中包含遷移日期和表單連結。系統會提示他們確認遷移日期和時段。

問：SOAR 繫結至 Google Cloud 專案後，基礎架構費用會變更嗎？

不會，費用不會受到影響。前端不會有任何變更。專案不會執行任何新資源，因此不會產生相關費用。

問：如何將專案連結至 SOAR？

Google 會將 SOAR 專案遷移至您的 Google Cloud 專案。如果您是 Unified SecOps 客戶，我們已有您的 Google Cloud 專案 ID。如果您是 SOAR 獨立客戶，則須提供 Google Cloud 專案 ID。

問：如果客戶已部署 Google SecOps，是否應使用與 SIEM 相同的專案 ID，還是需要另外建立專案？

如要部署統一的 Google SecOps (一個 SIEM、一個 SOAR)，請使用與 SIEM 相關聯的現有 Google Cloud 專案 ID。這樣一來，您就能統一管理管理流程，例如 RBAC 和記錄。

問：如果 Google SecOps 執行個體有特殊考量 (例如 VPC Service Controls)，需要採取哪些步驟？

如要啟用遷移作業，您需要在 VPC-SC 政策中定義輸入和輸出規則。如果您的 Google Cloud 專案有 VPC SC，請與支援團隊聯絡，取得這些特定規則的詳細指引。

VPC-SC 不支援下列兩項 API 功能：

  • Webhook
  • 應對手冊核准連結

問：如何確認遷移作業是否成功？

前往「SOAR 設定」>「授權管理」，確認是否已順利完成。 第 1 階段結束後，系統版本號碼後方會顯示 Google.com。 將 SOAR 權限遷移至 IAM 角色的第 2 階段完成後，系統版本號碼後方會顯示「Google.com」和「CloudIAM Enabled」。

停機時間和連續性

問：遷移期間是否會停機？影響為何？

可以。預計停機時間如下：

  • SOAR 獨立客戶最多 2 小時。
  • Google SecOps 客戶最多 1.5 小時。

在這段期間，您將無法登入平台。SOAR 服務 (包括擷取、playbook、工作) 將暫停，但 SIEM 服務會在背景繼續執行。

問：SOAR 服務恢復運作後，系統會自動擷取停機期間產生的資料嗎？

可以。系統恢復上線後，擷取作業和應對手冊就會恢復運作，並處理停機期間產生或擷取的警告。

問：停機時間開始時，正在執行的應對手冊會受到什麼影響？

遷移作業開始前，應對手冊服務會關閉，部分執行中的應對手冊可能會失敗，您必須手動重新啟動，或在遷移作業完成後繼續執行。

問：如果遷移期間發生問題，是否有復原或應變計畫？

可以。遷移程序會完整保留現有的 SOAR 執行個體 (但會關閉)。如果遷移程序未順利完成，我們可以切換回現有執行個體，並移除新的執行個體。這項復原程序最多需要 30 分鐘。我們會進行廣泛測試並密切監控，同時安排值班人員待命，確保遷移順利完成。

如果遷移後發生存取問題，可能是驗證設定有誤。您需要與身分、IDP 或 Google Cloud 管理員協調，使用疑難排解指南找出並解決問題。如果問題仍未解決，或與存取權無關，請開啟支援單，記錄問題並追蹤解決進度。

問：我何時可以將 Chronicle API 中的 SOAR 端點遷移至新版第 1 版？

2026 年 1 月中旬起，您可以遷移至 Chronicle API 的新版 SOAR 端點 v1。

舊版 SOAR API 和 API 金鑰將於 2027 年 3 月 31 日淘汰，屆時將無法再使用。為確保轉換順利，請務必完成下列兩個步驟：

  1. 您必須先完成將 SOAR 權限群組遷移至 Cloud IAM 的作業。
  2. 更新現有指令碼和整合項目，將舊版 SOAR API 端點替換為對應的 Chronicle API 端點。

驗證和權限

問：如何遷移 SOAR 權限群組和權限？

您將在 Google Cloud 控制台使用遷移指令碼，將現有權限群組遷移至 IAM 自訂角色。此外，這個指令碼也會將自訂角色指派給使用者 (適用於 Cloud Identity 客戶)，或指派給 IdP 群組 (適用於員工身分聯盟客戶)。

問：如果我不想遷移自訂權限群組，只想使用預先定義的角色，該怎麼做？

您可以選擇不採用自動遷移功能，改為手動將 IdP 群組對應至 Cloud IAM 角色。

問：我們是 SOAR 獨立客戶，使用自訂 SAML 提供者進行手動驗證。如果我們將這項設定變更為 IdP 群組，以便進行 IdP 對應，對現有使用者帳戶會有什麼影響？

假設現有使用者符合其中一個群組，且權限對應正確，則現有使用者帳戶應不會受到任何影響。不過，如果使用者未對應至群組，就無法登入。如果權限對應方式不同，使用者會根據新的對應方式取得新權限。

問：MSSP 使用多個識別資訊提供者時，是否有特定先決條件？

如果客戶在 SOAR 外部驗證頁面設定多個身分提供者，應為驗證定義 Workforce Identity Federation，並為每個提供者建立個別的 Workforce Pool。每個供應商都與不同的子網域相關聯。詳情請參閱 MSSP 遷移指南。

問：如何驗證 Chronicle API？

請按照「驗證 Chronicle API」中的說明操作。

問：存取新版 SOAR API 需要哪些新 IP？

您不需將任何 IP 位址加入許可清單，即可存取 Chronicle API。您也可以選擇將這裡和這裡列出的 IP 位址範圍加入允許清單。

記錄和監控

問：我們已完成第一階段遷移，但 Cloud 稽核記錄中沒有記錄。

完成第一階段遷移後，記錄會儲存在 SOAR 平台。第二階段遷移作業完成後，您就可以在 Google Cloud 專案中查看記錄。

問：將 SOAR 資料傳送至代管 BigQuery (BQ) 執行個體的客戶，在遷移後是否仍可存取這項 BigQuery 資料？

可以。現有的受管理 BigQuery 仍會繼續運作。

物流與支援

問：我可以選擇其他遷移時間嗎？

不行，您無法在建議時段以外的時間遷移。

問：遷移期間會收到即時狀態更新嗎？

遷移程序開始和結束時，您都會收到電子郵件通知。

問：如果遷移後發生問題，該與誰聯絡？

如果遷移後發生存取問題，可能是驗證設定有誤。您需要與身分、IDP 或 Google Cloud 管理員協調，使用疑難排解指南找出並解決問題。如果問題仍未解決，或與存取權無關，請提交支援單，記錄問題並追蹤解決進度。

將 SOAR 權限群組遷移至 IAM

以下章節說明將權限遷移至 IAM 期間和之後常見的問題。

遷移工具和指令碼問題

問：為什麼我無法在 Google Cloud 控制台中查看或載入遷移指令碼？

可能原因有兩個：

  • 缺少權限：遷移工具需要使用者帳戶在 Google Cloud 和 Google SecOps 執行個體中具備足夠權限。請務必使用具備 Google Cloud 必要 IAM 角色的帳戶登入，且該帳戶必須是 Google SecOps SOAR 的認可使用者。如果 Google Cloud 和 SOAR 使用不同帳戶，可能會導致授權失敗。如果您有必要權限，但仍無法載入遷移指令碼，請開啟支援單。

  • SIEM 不會使用 Cloud IAM：如果您是 Google SecOps 整合式客戶，請務必使用 IAM 管理平台 SIEM 端的角色和權限。詳情請參閱舊版 RBAC 至功能 RBAC 遷移指南。

Q：嘗試執行遷移指令碼時發生錯誤。我該怎麼做？

  • 錯誤 -「群組不存在」：使用 add-iam-policy-binding commands 時，請務必為 --member 旗標使用完整的群組電子郵件地址 (例如 your-group@example.com)，而不只是簡短的群組名稱。

  • 與既有角色相關的錯誤：繫結至已有條件式繫結的主體時，可能會發生衝突。如要解決這個問題，請重新執行指令碼，並確保選取「無」，而非「指定新條件」。

遷移後存取問題

問：為什麼在 IAM 遷移後，嘗試存取特定頁面或功能 (例如 Playbook 或 IDE) 時，會收到「403 Forbidden」錯誤？

遷移後發生 403 錯誤，可能表示指派給使用者的 Google Cloud IAM 角色缺少 Google SecOps 平台 SOAR 端所需的權限。如果您使用自訂 IAM 角色，就可能發生這種情況。

查看 Google SecOps 角色和權限。請確認自訂 IAM 角色具備存取所需 SOAR 功能的所有權限。

您也可以使用瀏覽器的開發人員工具，找出傳回 403 錯誤的特定 API 呼叫。回應酬載會記錄缺少的權限，介面中也會顯示通知橫幅，詳細說明所需存取權。

如果上述方法都無法解決問題，請建立支援單。

權限與角色

問：我手動執行 IAM 遷移作業，沒有使用提供的工具，現在發生權限問題。該如何解決這個問題？

手動遷移 IAM 時，有時可能會導致 SOAR 角色缺少必要權限。強烈建議您使用提供的遷移指令碼，確保所有必要權限都已正確設定。如果仍打算手動遷移，請仔細檢查 Google SecOps IAM 權限，建立具有必要權限的自訂角色。

問：遷移後，部分使用者在 SOAR 中的權限似乎比預期多。為什麼會這樣？

如果使用者或群組在遷移前已指派給預先定義的 Chronicle 廣泛角色，就可能發生這種情況。 Google Cloud 完成遷移後，Chronicle 預先定義的角色 (例如 chronicle.apiAdmin) 就會自動取得 SOAR 權限。舉例來說，Chronicle API 管理員角色現在會具備 SOAR 管理員權限。

為確保符合最小權限原則，請按照下列步驟操作：

  1. 在「IAM 角色」頁面查看預先定義的角色 (包括 Chronicle API 管理員)，找出所有獲派角色的主體 (使用者和群組)。
  2. 確認只有需要 SOAR 權限的使用者會指派給這些角色。
  3. 如要限制特定主體的 SOAR 存取權，請將主體從預先定義的角色中移除，並指派給明確排除 SOAR 管理員權限的自訂角色。

問：遷移作業已成功，但「群組對應」頁面仍顯示「權限群組」欄。為什麼？

遷移成功後，「群組對應」頁面仍會顯示「權限群組」欄，以確保回溯相容性。請勿刪除這些指派作業。這個資料欄將於 2026 年 11 月 30 日移除，不會對客戶造成任何影響。

最佳做法

  • 使用遷移指令碼：請盡可能使用 Google Cloud 中的官方遷移指令碼，處理從 SOAR 權限群組轉換至 IAM 角色的作業。
  • 查看 IAM 權限：熟悉不同 SOAR 函式和角色所需的 Google Cloud IAM 權限。
  • 全面測試：遷移後，請測試不同使用者角色和人物誌的存取權，確保一切運作正常。
  • 聯絡支援團隊：如果錯誤持續發生或出現非預期行為，請與支援團隊聯絡，並盡可能提供詳細資訊。

還有其他問題嗎？向社群成員和 Google SecOps 專家尋求解答。