Migrer les autorisations SOAR vers IAM

Compatible avec :

Ce document s'adresse aux clients Google Security Operations unifiés et aux utilisateurs autonomes de SOAR qui doivent migrer leur environnement des groupes d'autorisations SOAR existants vers Google Cloud Identity and Access Management (IAM) pour le contrôle des accès. Pour obtenir une présentation vidéo de cette procédure, consultez la vidéo Migration IAM SOAR.

Le processus de validation de la console Google Cloud automatise la transition des autorisations SOAR versGoogle Cloud IAM en effectuant les étapes clés suivantes :

  • Lit les configurations d'autorisation existantes, y compris les groupes d'autorisations personnalisés et les attributions d'utilisateurs.
  • Génère des rôles IAM personnalisés qui reproduisent les groupes d'autorisations existants.
  • Mappe les utilisateurs et groupes existants aux rôles IAM nouvellement créés pour s'assurer que tous les droits d'accès sont conservés.
  • Crée des stratégies IAM pour associer les utilisateurs et les groupes à leurs rôles attribués.

Avant de commencer

Avant de commencer la migration, assurez-vous que les conditions suivantes sont remplies :

  • Si vous êtes un client Google SecOps Unified, assurez-vous d'utiliser Cloud IAM pour gérer les rôles et les autorisations du côté SIEM de la plate-forme. Pour en savoir plus, consultez Migrer l'ancien RBAC vers le RBAC des fonctionnalités.

  • Assurez-vous d'utiliser la même identité (adresse e-mail ou compte) pour la console Google Cloud et SOAR.

  • Mappage des groupes IdP : si vous utilisez la fédération des identités des employés pour l'authentification, vérifiez que tous les utilisateurs sont mappés à des groupes de fournisseurs d'identité (IdP) sur la page Mappage de groupe. Pour en savoir plus sur le mappage des groupes IdP, consultez Mapper les utilisateurs de la plate-forme. L'outil de migration utilise ces mappages pour créer un script qui lie les adresses e-mail ou les groupes d'utilisateurs aux principaux IAM.

  • Mappage des groupes de messagerie : si vous utilisez Cloud Identity pour l'authentification, vérifiez que tous les utilisateurs sont mappés à des groupes de messagerie sur la page Mappage de groupe. Pour en savoir plus sur le mappage des adresses e-mail, consultez Mapper les utilisateurs de la plate-forme à l'aide de Cloud Identity. L'outil de migration utilise ces mappages pour créer un script qui lie les adresses e-mail ou les groupes d'utilisateurs aux principaux IAM.

  • Facultatif : clé API SOAR. Si vous ne disposez pas des autorisations SOAR nécessaires pour mapper l'utilisateur actuel sur la page Mappages de groupe, vous pouvez demander à un administrateur SOAR de vous fournir une clé API SOAR et de l'utiliser pour générer les scripts.

L'administrateur SOAR doit suivre les étapes de la procédure suivante :

  1. Dans la plate-forme Google SecOps, accédez à Paramètres SOAR> Avancé > Groupes d'autorisations (clés API).
  2. Créez un groupe d'autorisations en vous assurant que le module Paramètres et les options associées sont tous cochés.
  3. Accédez à Paramètres SOAR> Avancé> Clés API.
  4. Ajoutez une clé API en veillant à sélectionner le groupe d'autorisations que vous avez créé.
  5. Copiez la clé API générée.

Après la migration, si des problèmes ne sont pas résolus, cliquez sur Désactiver IAM pour revenir à la migration des groupes d'autorisations vers les rôles IAM. Les rôles et liaisons IAM nouvellement créés ne seront pas supprimés.

Pour obtenir la liste complète des autorisations requises pour chaque rôle, consultez Autorisations IAM requises.

Il existe deux façons de migrer les autorisations SOAR :

Migrer les autorisations SOAR à l'aide de Google Cloud CLI

Pour migrer vos autorisations SOAR vers IAM Google Cloud , procédez comme suit :

  1. Dans la console Google Cloud , accédez aux paramètres d'administration Google SecOps.
  2. Cliquez sur l'onglet Migration SOAR IAM. Migration IAM SOAR
  3. Dans la section Migrate role bindings (Migrer les liaisons de rôle), copiez les commandes Google Cloud CLI. Lorsque vous avez la possibilité de spécifier une nouvelle condition, sélectionnez "2". Aucune. .
  4. Dans la barre d'outils Google Cloud , cliquez sur Activer Cloud Shell.
  5. Dans la fenêtre du terminal, collez les commandes Google Cloud CLI et appuyez sur Entrée. Commandes de collage
  6. Assurez-vous que les scripts sont exécutés correctement.
  7. Revenez à la console Google Cloud , puis, dans la section Terminer cette tâche, cliquez sur Activer IAM. Commandes de collage

Migrer les autorisations SOAR à l'aide de Terraform

Pour migrer vos autorisations SOAR vers Google Cloud  IAM à l'aide de Terraform, procédez comme suit :

  1. Dans la console Google Cloud , accédez aux paramètres d'administration Google SecOps.
  2. Cliquez sur l'onglet Migration SOAR IAM. Migration IAM SOAR
  3. Dans la section Migrate role bindings (Migrer les liaisons de rôle), copiez les commandes Google Cloud CLI.
  4. Accédez à votre dépôt Terraform et mappez les commandes Google Cloud CLI à leurs équivalents Terraform. Le tableau suivant mappe la commande Google Cloud CLI permettant de créer un rôle personnalisé avec les commandes Terraform.
Indicateur gcloud Argument Terraform Remarques
ROLE_ID (positionnel) role_id Dans Terraform, n'incluez pas le préfixe projects/PROJECT_ID/roles/. N'utilisez que la chaîne d'ID (par exemple, myCustomRole).
--project project ID du projet dans lequel le rôle personnalisé est défini.
--title title Titre du rôle lisible par l'humain.
--description description Résumé de l'objectif et des autorisations du rôle.
--permissions permissions gcloud accepte une chaîne séparée par une virgule. Terraform requires a list of strings: ["perm.a", "perm.b"].
--stage stage Valeurs valides : ALPHA, BETA, GA, DEPRECATED, DISABLED, EAP.

Exemple de mappage Google Cloud CLI vers Terraform

Commande Google Cloud CLI : 

gcloud iam roles create SOAR_Custom_managedUser_google.com --project="{customer project}" 
--title="SOAR Custom managedUser Role" 
--description="SOAR Custom role generated for IDP Mapping Group ManagedUser" 
--stage=GA 
--permissions=chronicle.cases.get

Commande Terraform :

resource "google_project_iam_custom_role" "{terraform_name}" {
  role_id     = "SOAR_Custom_managedUser_google.com"
  title       = "SOAR Custom managedUser Role"
  project     = "{customer project}"
  stage       = "GA"
  permissions = [
    #This is an example!
    "chronicle.cases.get"
  ]
}

Liaisons de stratégie IAM (attribuer des rôles)

Lorsque vous utilisez Google Cloud CLI projects add-iam-policy-binding, vous accordez un rôle spécifique à un membre spécifique (utilisateur, compte de service ou groupe). Le tableau suivant mappe les commandes Google Cloud CLI avec les commandes Terraform. Mappez les commandes pour attribuer des rôles IAM.

Indicateur gcloud Argument Terraform Remarques
PROJECT_ID (positionnel) project ID du projet cible.
--member member Identité principale (par exemple, user:email, serviceAccount:email, group:email).
--role role ID du rôle. Utilisez le chemin d'accès complet pour les rôles personnalisés (projects/ID/roles/NAME) et le nom abrégé pour les rôles standards (roles/NAME).

Exemple d'attribution de rôle

Commande Google Cloud CLI : 

gcloud projects add-iam-policy-binding
 {customer project}
--member="user:alice@example.com" 
--role="projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"

Commande Terraform :

resource "google_project_iam_member" "{terraform_name}" {
  project = "{customer project}"
  role    = "projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"
  member  = "user:alice@example.com"
}

Migration des posts

Une fois que vous êtes passé à l'utilisation des autorisations IAM, chaque commande curl que vous utilisez pour appeler une API doit être envoyée avec un compte de service mappé (mappé dans les groupes de mappage IDP) ou avec un utilisateur qui s'est connecté à la plate-forme au moins une fois.

Questions fréquentes