העברת הרשאות SOAR ל-IAM

נתמך ב:

המסמך הזה מיועד ללקוחות של Google Security Operations Unified ולמשתמשים ב-SOAR עצמאיים שצריכים להעביר את הסביבה שלהם מקבוצות הרשאות קיימות ב-SOAR אל Google Cloud ניהול זהויות והרשאות גישה (IAM) לצורך בקרת גישה. בסרטון הזה מוסבר איך לבצע את התהליך הזה.

תהליך האימות במסוף Google Cloud הופך את המעבר מהרשאות SOAR ל- Google Cloud IAM לאוטומטי, באמצעות השלבים העיקריים הבאים:

  • קריאה של הגדרות הרשאות קיימות, כולל קבוצות הרשאות בהתאמה אישית והקצאות משתמשים.
  • יוצר תפקידי IAM בהתאמה אישית שמשכפלים את קבוצות ההרשאות הקיימות.
  • ממפה משתמשים וקבוצות קיימים לתפקידי IAM שנוצרו לאחרונה כדי לוודא שכל הרשאות הגישה נשמרות.
  • יוצר כללי מדיניות ב-IAM כדי לקשר משתמשים וקבוצות לתפקידים שהוקצו להם.

לפני שמתחילים

לפני שמתחילים בהעברה, חשוב לוודא שהדרישות הבאות מתקיימות:

  • אם אתם לקוחות של Google SecOps Unified, הקפידו להשתמש ב-Cloud IAM כדי לנהל תפקידים והרשאות בצד ה-SIEM של הפלטפורמה. מידע נוסף זמין במאמר בנושא העברת RBAC מדור קודם ל-RBAC של תכונות.

  • חשוב לוודא שאתם משתמשים באותו חשבון (כתובת אימייל או חשבון) גם ב- Google Cloud console וגם ב-SOAR.

  • מיפוי קבוצות בספק הזהויות (IdP): אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה לצורך אימות, ודאו שכל המשתמשים ממופים לקבוצות בספק הזהויות בדף מיפוי קבוצות. מידע על מיפוי קבוצות ב-IdP זמין במאמר מיפוי משתמשים בפלטפורמה. כלי ההעברה משתמש במיפויים האלה כדי ליצור סקריפט שמקשר בין כתובות אימייל או קבוצות של משתמשים לבין ישויות ב-IAM.

  • מיפוי קבוצות באימייל אם אתם משתמשים ב-Cloud Identity לאימות, ודאו שכל המשתמשים ממופים לקבוצות באימייל בדף מיפוי קבוצות. מידע על מיפוי כתובות אימייל זמין במאמר מיפוי משתמשים בפלטפורמה באמצעות Cloud Identity. כלי ההעברה משתמש במיפויים האלה כדי ליצור סקריפט שמקשר בין כתובות אימייל או קבוצות של משתמשים לבין ישויות ב-IAM.

  • אופציונלי: מפתח SOAR API. אם אין לכם הרשאות SOAR למפות את המשתמש הנוכחי בדף Group Mappings, אתם יכולים לבקש מאדמין SOAR לספק מפתח SOAR API ולהשתמש בו כדי ליצור את הסקריפטים.

אדמין SOAR צריך לבצע את השלבים הבאים:

  1. בפלטפורמת Google SecOps, עוברים אל SOAR Settings > Advanced > Permission Groups (API Keys).
  2. יוצרים קבוצת הרשאות ומוודאים שסימנתם את המודול הגדרות ואת האפשרויות שמופיעות בקטע 'הגדרות'.
  3. עוברים אל SOAR Settings > Advanced > API Keys (הגדרות SOAR > מתקדם > מפתחות API).
  4. מוסיפים מפתח API חדש ובוחרים את קבוצת ההרשאות שיצרתם.
  5. מעתיקים את מפתח ה-API שנוצר.

אחרי ההעברה, אם יש בעיות שלא נפתרו, לוחצים על השבתת IAM כדי לבטל את ההעברה מקבוצות הרשאות לתפקידי IAM. תפקידי ה-IAM והקישורים שנוצרו לא יימחקו.

רשימה מלאה של ההרשאות שנדרשות לכל תפקיד זמינה במאמר הרשאות IAM נדרשות.

יש שתי דרכים להעביר הרשאות SOAR:

העברת הרשאות SOAR באמצעות Google Cloud CLI

כדי להעביר את הרשאות ה-SOAR ל- Google Cloud IAM, פועלים לפי השלבים הבאים:

  1. במסוף Google Cloud , עוברים להגדרות הניהול של Google SecOps.
  2. לוחצים על הכרטיסייה SOAR IAM Migration (העברת SOAR IAM). SOAR IAM Migration
  3. בקטע Migrate role bindings (העברת הקצאות תפקידים), מעתיקים את הפקודות של Google Cloud CLI. כשמוצגת האפשרות לציין תנאי חדש, בוחרים באפשרות 2. אין. .
  4. בסרגל Google Cloud הכלים, לוחצים על Activate Cloud Shell (הפעלת Cloud Shell).
  5. בחלון המסוף, מדביקים את הפקודות של Google Cloud CLI ומקישים על Enter. הדבקת פקודות
  6. מוודאים שהסקריפטים מופעלים בהצלחה.
  7. חוזרים למסוף Google Cloud ובקטע Finished with this task (סיימתי את המשימה הזו), לוחצים על Enable IAM (הפעלת IAM). הדבקת פקודות

העברת הרשאות SOAR באמצעות Terraform

כדי להעביר את הרשאות ה-SOAR ל- Google Cloud IAM באמצעות Terraform, פועלים לפי השלבים הבאים:

  1. במסוף Google Cloud , עוברים להגדרות הניהול של Google SecOps.
  2. לוחצים על הכרטיסייה SOAR IAM Migration (העברת SOAR IAM). SOAR IAM Migration
  3. בקטע Migrate role bindings (העברת הקצאות תפקידים), מעתיקים את הפקודות של Google Cloud CLI.
  4. עוברים למאגר Terraform וממפים את הפקודות של Google Cloud CLI למקבילות שלהן ב-Terraform. בטבלה הבאה מפורטות פקודות Terraform שמתאימות לפקודה ליצירת תפקיד בהתאמה אישית ב-Google Cloud CLI.
דגל gcloud ארגומנט Terraform הערות
‫ROLE_ID (מיקום) role_id ב-Terraform, לא כוללים את התחילית projects/PROJECT_ID/roles/. משתמשים רק במחרוזת המזהה (לדוגמה, myCustomRole).
--project project מזהה הפרויקט שבו מוגדר התפקיד בהתאמה אישית.
--title title שם של התפקיד שקריא לבני אדם.
--description description סיכום של מטרת התפקיד וההרשאות שלו.
--permissions permissions ‫gcloud מקבל מחרוזת מופרדת בפסיקים. ‫Terraform דורש רשימה של מחרוזות: ["perm.a", "perm.b"].
--stage stage ערכים תקפים: ALPHA, ‏ BETA, ‏ GA,‏ DEPRECATED, ‏ DISABLED, ‏ EAP.

מיפוי של Google Cloud CLI לדוגמה של Terraform

פקודת Google Cloud CLI: 

gcloud iam roles create SOAR_Custom_managedUser_google.com --project="{customer project}" 
--title="SOAR Custom managedUser Role" 
--description="SOAR Custom role generated for IDP Mapping Group ManagedUser" 
--stage=GA 
--permissions=chronicle.cases.get

פקודת Terraform:

resource "google_project_iam_custom_role" "{terraform_name}" {
  role_id     = "SOAR_Custom_managedUser_google.com"
  title       = "SOAR Custom managedUser Role"
  project     = "{customer project}"
  stage       = "GA"
  permissions = [
    #This is an example!
    "chronicle.cases.get"
  ]
}

קישורי מדיניות IAM (הקצאת תפקידים)

כשמשתמשים בפקודה Google Cloud CLI projects add-iam-policy-binding, מקצים תפקיד ספציפי לחבר ספציפי (משתמש, חשבון שירות או קבוצה). בטבלה הבאה מפורטות פקודות של Google Cloud CLI עם פקודות של Terraform. ממפים את הפקודות כדי להקצות תפקידי IAM.

דגל gcloud ארגומנט Terraform הערות
‫PROJECT_ID (מיקום) project המזהה של פרויקט היעד.
--member member הזהות העיקרית (לדוגמה, user:email, serviceAccount:email, group:email).
--role role מזהה התפקיד. משתמשים בנתיב המלא לתפקידים בהתאמה אישית (projects/ID/roles/NAME) ובשם הקצר לתפקידים רגילים (roles/NAME).

דוגמה להקצאת תפקיד

פקודת Google Cloud CLI: 

gcloud projects add-iam-policy-binding
 {customer project}
--member="user:alice@example.com" 
--role="projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"

פקודת Terraform:

resource "google_project_iam_member" "{terraform_name}" {
  project = "{customer project}"
  role    = "projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"
  member  = "user:alice@example.com"
}

אחרי ההעברה

אחרי שעוברים לשימוש בהרשאות IAM, כל פקודת curl שמשמשת לקריאה ל-API צריכה להישלח עם חשבון שירות ממופה (שממופה בקבוצות מיפוי של ספק זהויות) או עם משתמש שהתחבר לפלטפורמה לפחות פעם אחת.

שאלות נפוצות