SOAR-Berechtigungen zu IAM migrieren

Unterstützt in:

Google SecOps SOAR

Dieses Dokument richtet sich sowohl an Kunden von Google Security Operations Unified als auch an eigenständige SOAR-Nutzer, die ihre Umgebung von vorhandenen SOAR-Berechtigungsgruppen zu Google Cloud Identity and Access Management (IAM) für die Zugriffssteuerung migrieren müssen. Eine Videoanleitung zu diesem Verfahren finden Sie im Video zur SOAR-IAM-Migration.

Hinweis: Mit dem Migrationstool können Sie neue benutzerdefinierte IAM-Bindungen für vorhandene SOAR-Einstellungen-Berechtigungen vorschlagen. Weitere Informationen finden Sie unter Feature-RBAC.

Der Überprüfungsprozess in der Google Cloud Console automatisiert die Umstellung von SOAR-Berechtigungen aufGoogle Cloud IAM durch die folgenden wichtigen Schritte:

• Liest vorhandene Berechtigungskonfigurationen, einschließlich benutzerdefinierter Berechtigungsgruppen und Nutzerzuweisungen.
• Generiert benutzerdefinierte IAM-Rollen, die die vorhandenen Berechtigungsgruppen replizieren.
• Ordnet vorhandene Nutzer und Gruppen neu erstellten IAM-Rollen zu, damit alle Zugriffsberechtigungen beibehalten werden.
• Erstellt IAM-Richtlinien, um Nutzer und Gruppen an ihre zugewiesenen Rollen zu binden.

Hinweis

Bestätigen Sie vor dem Start der Migration, dass die folgenden Anforderungen erfüllt sind:

• Wenn Sie ein Google SecOps Unified-Kunde sind, müssen Sie Cloud IAM verwenden, um Rollen und Berechtigungen für die SIEM-Seite der Plattform zu verwalten. Weitere Informationen finden Sie unter Legacy-RBAC zu Feature-RBAC migrieren.

• Achten Sie darauf, dass Sie für die Google Cloud Console und SOAR dieselbe Identität (E-Mail-Adresse oder Konto) verwenden.

• Zuordnung zu IdP-Gruppen: Wenn Sie die Mitarbeiteridentitätsföderation für die Authentifizierung verwenden, prüfen Sie auf der Seite Gruppenzuordnung, ob alle Nutzer entsprechenden Gruppen des Identitätsanbieters (IdP) zugeordnet sind. Informationen über die Zuordnung zu IdP-Gruppen finden Sie unter Nutzer auf der Plattform zuordnen. Das Migrationstool erstellt mithilfe dieser Zuordnungen ein Script, das Nutzer-E-Mail-Adressen oder Gruppen an IAM-Prinzipale bindet.

• Zuordnung zu E‑Mail-Gruppen: Wenn Sie Cloud Identity für die Authentifizierung verwenden, prüfen Sie auf der Seite Gruppenzuordnung, ob alle Nutzer entsprechenden E‑Mail-Gruppen zugeordnet sind. Informationen über die Zuordnung zu E‑Mail-Gruppen finden Sie unter Nutzer auf der Plattform mithilfe von Cloud Identity zuordnen. Das Migrationstool erstellt mithilfe dieser Zuordnungen ein Script, das Nutzer-E-Mail-Adressen oder Gruppen an IAM-Prinzipale bindet.

• Optional: SOAR-API-Schlüssel. Wenn Sie nicht die erforderlichen SOAR-Berechtigungen haben, um den aktuellen Nutzer auf der Seite Gruppenzuordnungen zuzuordnen, können Sie einen SOAR-Administrator bitten, Ihnen einen SOAR-API-Schlüssel zur Verfügung zu stellen, und diesen stattdessen zum Generieren der Scripts verwenden.

Der SOAR-Administrator sollte die Schritte im folgenden Verfahren ausführen:

1. Rufen Sie in der Google SecOps-Plattform SOAR-Einstellungen > Erweitert > Berechtigungsgruppen (API-Schlüssel) auf.
2. Erstellen Sie eine Berechtigungsgruppe und achten Sie darauf, dass das Modul Einstellungen und die Optionen unter „Einstellungen“ alle aktiviert sind.
3. Rufen Sie die SOAR-Einstellungen > Erweitert > API-Schlüssel auf.
4. Fügen Sie einen neuen API-Schlüssel hinzu und wählen Sie die von Ihnen erstellte Berechtigungsgruppe aus.
5. Kopieren Sie den generierten API-Schlüssel.

• Berechtigungen: Prüfen Sie, ob Sie die erforderlichen Berechtigungen haben:

  • Chronicle API Admin
  • Chronicle Service Admin
  • Chronicle SOAR Admin

Warnung: Nachdem Sie IAM aktiviert haben, werden alle vordefinierten Chronicle-Rollen mit SOAR-Berechtigungen aktiviert. „Chronicle API Admin“ enthält jetzt SOAR-Administratorberechtigungen. Wenn die Hauptkonten (Nutzer/Gruppen), die den vordefinierten Chronicle-Rollen zugewiesen sind, keine oder nur eingeschränkte SOAR-Berechtigungen haben sollen, empfiehlt sich deren Zuweisung zu einer benutzerdefinierten Rolle, die SOAR-Berechtigungen explizit ausschließt.

Wenn nach der Migration ungelöste Probleme auftreten, klicken Sie auf IAM deaktivieren, um die Migration von Berechtigungsgruppen zu IAM-Rollen rückgängig zu machen. Die neu erstellten IAM-Rollen und -Bindungen werden nicht gelöscht.

Eine vollständige Liste der für jede Rolle erforderlichen Berechtigungen finden Sie unter Erforderliche IAM-Berechtigungen.

Es gibt zwei Möglichkeiten, SOAR-Berechtigungen zu migrieren:

• Über die Google Cloud CLI
• Terraform verwenden

SOAR-Berechtigungen mit der Google Cloud CLI migrieren

So migrieren Sie Ihre SOAR-Berechtigungen zu Google Cloud IAM:

1. Rufen Sie in der Google Cloud Console die Google SecOps-Verwaltungseinstellungen auf.
2. Klicken Sie auf den Tab SOAR IAM Migration.
3. Kopieren Sie im Abschnitt Rollenbindungen migrieren die Google Cloud CLI-Befehle. Wenn Sie die Möglichkeit haben, eine neue Bedingung anzugeben, wählen Sie „2“ aus. Keine. .
4. Klicken Sie in der Symbolleiste von Google Cloud auf Cloud Shell aktivieren.
5. Fügen Sie im Terminalfenster die Google Cloud CLI-Befehle ein und drücken Sie die Eingabetaste.
6. Prüfen Sie, ob die Skripts erfolgreich ausgeführt wurden.
7. Kehren Sie zur Google Cloud Console zurück und klicken Sie im Abschnitt Aufgabe abgeschlossen auf IAM aktivieren.

SOAR-Berechtigungen mit Terraform migrieren

So migrieren Sie Ihre SOAR-Berechtigungen mit Terraform zu Google Cloud IAM:

1. Rufen Sie in der Google Cloud Console die Google SecOps-Verwaltungseinstellungen auf.
2. Klicken Sie auf den Tab SOAR IAM Migration.
3. Kopieren Sie im Abschnitt Rollenbindungen migrieren die Google Cloud CLI-Befehle.
4. Rufen Sie Ihr Terraform-Repository auf und ordnen Sie die Google Cloud CLI-Befehle den entsprechenden Terraform-Äquivalenten zu. In der folgenden Tabelle wird der Google Cloud CLI-Befehl zum Erstellen benutzerdefinierter Rollen den Terraform-Befehlen zugeordnet.

gcloud-Flag	Terraform-Argument	Hinweise
ROLE_ID (Positionsbezogen)	role_id	Geben Sie in Terraform nicht das Präfix projects/PROJECT_ID/roles/ an. Verwenden Sie nur den ID-String (z. B. myCustomRole).
--project	project	Die ID des Projekts, in dem die benutzerdefinierte Rolle definiert ist.
--title	title	Ein menschenlesbarer Titel für die Rolle.
--description	description	Eine Zusammenfassung des Zwecks und der Berechtigungen der Rolle.
--permissions	permissions	gcloud akzeptiert einen kommagetrennten String. Terraform erfordert eine Liste von Strings: ["perm.a", "perm.b"].
--stage	stage	Zulässige Werte: ALPHA, BETA, GA, DEPRECATED, DISABLED, EAP.

Hinweis: Achten Sie darauf, dass jedes --flag aus Ihrer Befehlszeile korrekt mit dem entsprechenden Argument im Terraform-Ressourcenblock verknüpft ist.

Beispiel für die Zuordnung der Google Cloud CLI zu Terraform

Google Cloud CLI-Befehl:

gcloud iam roles create SOAR_Custom_managedUser_google.com --project="{customer project}" 
--title="SOAR Custom managedUser Role" 
--description="SOAR Custom role generated for IDP Mapping Group ManagedUser" 
--stage=GA 
--permissions=chronicle.cases.get

Terraform-Befehl:

resource "google_project_iam_custom_role" "{terraform_name}" {
  role_id     = "SOAR_Custom_managedUser_google.com"
  title       = "SOAR Custom managedUser Role"
  project     = "{customer project}"
  stage       = "GA"
  permissions = [
    #This is an example!
    "chronicle.cases.get"
  ]
}

IAM-Richtlinienbindungen (Rollen zuweisen)

Wenn Sie Google Cloud CLI projects add-iam-policy-binding verwenden, weisen Sie einem bestimmten Mitglied (Nutzer, Dienstkonto oder Gruppe) eine bestimmte Rolle zu. In der folgenden Tabelle werden Google Cloud CLI-Befehle Terraform-Befehlen zugeordnet. Ordnen Sie die Befehle zu, um IAM-Rollen zuzuweisen.

gcloud-Flag	Terraform-Argument	Hinweise
PROJECT_ID (Positionsbezogen)	project	Die ID des Zielprojekts.
--member	member	Die Hauptkonto-Identität (z. B. user:email, serviceAccount:email, group:email).
--role	role	Die Rollen-ID. Verwenden Sie den vollständigen Pfad für benutzerdefinierte Rollen (projects/ID/roles/NAME) und den Kurznamen für Standardrollen (roles/NAME).

Beispiel für die Zuweisung einer Rolle

Google Cloud CLI-Befehl:

gcloud projects add-iam-policy-binding
 {customer project}
--member="user:[e-mail]" 
--role="projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"

Terraform-Befehl:

resource "google_project_iam_member" "{terraform_name}" {
  project = "{customer project}"
  role    = "projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"
  member  = "user:[e-mail]"
}

Hinweis: Google empfiehlt nicht, google_project_iam_binding zu verwenden (die Singularform „binding“ entspricht dem Namen des Google Cloud CLI-Befehls), da dadurch alle anderen Personen mit dieser Rolle entfernt werden, wenn sie nicht in Ihrem Code aufgeführt sind. Verwenden Sie stattdessen google_project_iam_member.

Wichtig: Die Spalte Berechtigungsgruppe wird nach der Migration weiterhin auf der Seite Gruppenzuordnung angezeigt, um die Abwärtskompatibilität mit der alten SOAR API zu gewährleisten. Löschen Sie diese Zuweisungen nicht. Die Spalte wird bis zum 31. März 2027 automatisch entfernt, ohne dass dies Auswirkungen auf Kunden hat.

Migration von Beiträgen

Nachdem Sie auf IAM-Berechtigungen umgestellt haben, muss jeder curl-Befehl, den Sie zum Aufrufen einer API verwenden, entweder mit einem zugeordneten Dienstkonto (zugeordnet in IDP-Zuordnungsgruppen) oder mit einem Nutzer gesendet werden, der sich mindestens einmal auf der Plattform angemeldet hat.

FAQ

• Eine detaillierte Liste der Probleme und Best Practices finden Sie in den FAQs zur Migration von IAM-Rollen.