העברת הרשאות SOAR ל-IAM

נתמך ב:

המסמך הזה מיועד ללקוחות של Google Security Operations המאוחדת ולמשתמשים ב-SOAR Standalone שצריכים להעביר את הסביבה שלהם מקבוצות ההרשאות הקיימות של SOAR ל Google Cloud ניהול זהויות והרשאות גישה (IAM) לצורך בקרת גישה. בסרטון SOAR IAM Migration אפשר לראות איך מבצעים את התהליך.

תהליך האימות במסוף Google Cloud הופך את המעבר מהרשאות SOAR ל-Google Cloud IAM לאוטומטי, באמצעות השלבים העיקריים הבאים:

  • קורא הגדרות קיימות של הרשאות, כולל קבוצות של הרשאות בהתאמה אישית והקצאות של משתמשים.
  • יוצר תפקידי IAM בהתאמה אישית שמשכפלים את קבוצות ההרשאות הקיימות.
  • ממפה משתמשים וקבוצות קיימים לתפקידי IAM חדשים שנוצרו, כדי לוודא שכל הרשאות הגישה נשמרות.
  • יוצר כללי מדיניות של IAM כדי לקשר משתמשים וקבוצות לתפקידים שהוקצו להם.

לפני שמתחילים

לפני שמתחילים את ההעברה, צריך לוודא שהדרישות הבאות מתקיימות:

  • אם אתם לקוחות של Google SecOps Unified, ודאו שאתם משתמשים ב-Cloud IAM כדי לנהל תפקידים והרשאות בצד של SIEM בפלטפורמה. מידע נוסף זמין במאמר מעבר מ-RBAC מדור קודם ל-RBAC של תכונות.

  • חשוב לוודא שאתם משתמשים באותה זהות (כתובת אימייל או חשבון) גם במסוף Google Cloud וגם ב-SOAR.

  • מיפוי קבוצות של ספק הזהויות (IdP): אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח עבודה, ודאו שכל המשתמשים ממופים לקבוצות של ספק הזהויות (IdP) בדף מיפוי קבוצות. מידע על מיפוי קבוצות של ספק זהויות זמין במאמר מיפוי משתמשים בפלטפורמה. כלי ההעברה משתמש במיפויים האלה כדי ליצור סקריפט שמקשר בין כתובות האימייל או הקבוצות של המשתמשים לבין חשבונות המשתמשים ב-IAM.

  • מיפוי קבוצות אימייל אם אתם משתמשים ב-Cloud Identity לאימות, ודאו שכל המשתמשים ממופים לקבוצות אימייל בדף מיפוי קבוצות. למידע על מיפוי כתובות אימייל, קראו את המאמר מיפוי משתמשים בפלטפורמה באמצעות Cloud Identity. כלי ההעברה משתמש במיפויים האלה כדי ליצור סקריפט שמקשר בין כתובות האימייל או הקבוצות של המשתמשים לבין חשבונות המשתמשים ב-IAM.

  • אופציונלי: מפתח API של SOAR. אם אין לכם הרשאות SOAR למיפוי המשתמש הנוכחי בדף מיפוי קבוצות, אתם יכולים לבקש מאדמין SOAR לספק מפתח API של SOAR ולהשתמש בו כדי ליצור את הסקריפטים.

האדמין של ה-SOAR צריך לבצע את השלבים הבאים:

  1. בפלטפורמת Google SecOps, עוברים אל הגדרות > ניהול הרשאות גישה > קבוצות הרשאות (מפתחות API).
  2. יוצרים קבוצת הרשאות ומוודאים שהמודול הגדרות והאפשרויות בקטע "הגדרות" מסומנים.
  3. עוברים אל הגדרות > ניהול גישה > מפתחות API.
  4. מוסיפים מפתח API חדש ובוחרים את קבוצת ההרשאות שיצרתם.
  5. מעתיקים את מפתח ה-API שנוצר.

אם אחרי ההעברה יש בעיות שלא נפתרו, לוחצים על השבתת IAM כדי לבטל את ההעברה מקבוצות ההרשאות לתפקידי IAM. הקישורים והתפקידים החדשים ב-IAM לא יימחקו.

לרשימה מלאה של ההרשאות שנדרשות לכל תפקיד, ראו הרשאות IAM נדרשות.

יש שתי דרכים להעביר את ההרשאות של SOAR:

העברת הרשאות SOAR באמצעות Google Cloud CLI

כדי להעביר את ההרשאות של SOAR ל- Google Cloud IAM, פועלים לפי השלבים הבאים:

  1. במסוף Google Cloud , נכנסים להגדרות הניהול של Google SecOps.
  2. לוחצים על הכרטיסייה SOAR IAM Migration. העברת IAM של SOAR
  3. בקטע Migrate role bindings, מעתיקים את הפקודות של Google Cloud CLI. כשמוצגת האפשרות לציין תנאי חדש, בוחרים באפשרות 2. אין. .
  4. בסרגל הכלים של Google Cloud , לוחצים על Activate Cloud Shell.
  5. בחלון הטרמינל, מדביקים את הפקודות של Google Cloud CLI ולוחצים על Enter. פקודות הדבקה
  6. מוודאים שהסקריפטים פועלים כמו שצריך.
  7. חוזרים למסוף Google Cloud , ובקטע Finished with this task לוחצים על Enable IAM. פקודות הדבקה

העברת הרשאות SOAR באמצעות Terraform

כדי להעביר את ההרשאות של SOAR ל- Google Cloud IAM באמצעות Terraform:

  1. במסוף Google Cloud , נכנסים להגדרות הניהול של Google SecOps.
  2. לוחצים על הכרטיסייה SOAR IAM Migration. העברת IAM של SOAR
  3. בקטע Migrate role bindings, מעתיקים את הפקודות של Google Cloud CLI.
  4. עוברים למאגר של Terraform וממפים את הפקודות של Google Cloud CLI לפקודות המקבילות ב-Terraform. בטבלה הבאה מופיע מיפוי של הפקודה ליצירת תפקיד בהתאמה אישית ב-Google Cloud CLI לפקודות ב-Terraform.
דגל gcloud ארגומנט של Terraform הערות
ROLE_ID (מיקום) role_id ב-Terraform, אל תכללו את הקידומת projects/PROJECT_ID/roles/. צריך להשתמש רק במחרוזת המזהה (לדוגמה, myCustomRole).
--project project מזהה הפרויקט שבו מוגדר התפקיד בהתאמה אישית.
--title title שם של התפקיד שקריא לאנשים.
--description description סיכום של מטרת התפקיד וההרשאות שלו.
--permissions permissions gcloud מקבל מחרוזת מופרדת בפסיקים. ב-Terraform נדרשת רשימה של מחרוזות: ["perm.a", "perm.b"].
--stage stage ערכים תקינים: ALPHA,‏ BETA,‏ GA,‏ DEPRECATED,‏ DISABLED,‏ EAP.

דוגמה למיפוי של Google Cloud CLI ל-Terraform

פקודת Google Cloud CLI: 

gcloud iam roles create SOAR_Custom_managedUser_google.com --project="{customer project}" 
--title="SOAR Custom managedUser Role" 
--description="SOAR Custom role generated for IDP Mapping Group ManagedUser" 
--stage=GA 
--permissions=chronicle.cases.get

פקודת Terraform:

resource "google_project_iam_custom_role" "{terraform_name}" {
  role_id     = "SOAR_Custom_managedUser_google.com"
  title       = "SOAR Custom managedUser Role"
  project     = "{customer project}"
  stage       = "GA"
  permissions = [
    #This is an example!
    "chronicle.cases.get"
  ]
}

קישורי מדיניות IAM (הקצאת תפקידים)

כשמשתמשים בפקודה Google Cloud CLI projects add-iam-policy-binding, מקצים תפקיד ספציפי לחבר ספציפי (משתמש, חשבון שירות או קבוצה). בטבלה הבאה מופיע מיפוי של פקודות Google Cloud CLI לפקודות Terraform. ממפים את הפקודות כדי להקצות תפקידים ב-IAM.

דגל gcloud ארגומנט של Terraform הערות
PROJECT_ID (מיקום) project המזהה של פרויקט היעד.
--member member זהות החשבון הראשי (לדוגמה, user:email, serviceAccount:email, group:email).
--role role מזהה התפקיד. לתפקידים בהתאמה אישית צריך להשתמש בנתיב המלא (projects/ID/roles/NAME), ולתפקידים רגילים צריך להשתמש בשם המקוצר (roles/NAME).

דוגמה להקצאת תפקיד

פקודת Google Cloud CLI: 

gcloud projects add-iam-policy-binding
 {customer project}
--member="user:alice@example.com" 
--role="projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"

פקודת Terraform:

resource "google_project_iam_member" "{terraform_name}" {
  project = "{customer project}"
  role    = "projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"
  member  = "user:alice@example.com"
}

אחרי ההעברה

אחרי שעוברים להשתמש בהרשאות IAM, כל פקודת curl שמשתמשים בה כדי לשלוח קריאה ל-API צריכה להישלח עם חשבון שירות ממופה (ממופה בקבוצות מיפוי של IDP) או עם משתמש שהתחבר לפלטפורמה לפחות פעם אחת.

שאלות נפוצות