Memigrasikan izin SOAR ke IAM

Didukung di:

Google SecOps SOAR

Dokumen ini memandu pelanggan terpadu Google Security Operations dan pengguna mandiri SOAR yang perlu memigrasikan lingkungan mereka dari grup izin SOAR yang ada ke Google Cloud Identity and Access Management (IAM) untuk kontrol akses. Untuk melihat panduan video tentang prosedur ini, lihat video Migrasi IAM SOAR

Catatan: Alat migrasi dapat membantu Anda mengusulkan binding IAM kustom baru untuk izin Setelan SOAR yang ada. Untuk mengetahui informasi selengkapnya, lihat RBAC fitur.

Proses verifikasi konsol Google Cloud mengotomatiskan transisi dari izin SOAR ke Google Cloud IAM dengan melakukan langkah-langkah utama berikut:

• Membaca konfigurasi izin yang ada, termasuk grup izin kustom dan penetapan pengguna.
• Membuat peran IAM kustom yang mereplikasi grup izin yang ada.
• Memetakan pengguna dan grup yang ada ke peran IAM yang baru dibuat untuk memastikan semua hak istimewa akses dipertahankan.
• Membuat kebijakan IAM untuk mengikat pengguna dan grup ke peran yang ditetapkan kepada mereka.

Sebelum memulai

Sebelum memulai migrasi, pastikan persyaratan berikut terpenuhi:

• Jika Anda adalah pelanggan terpadu Google SecOps, pastikan Anda menggunakan Cloud IAM untuk mengelola peran dan izin untuk sisi SIEM platform. Untuk mengetahui informasi selengkapnya, lihat Memigrasikan RBAC lama ke RBAC fitur.

• Pastikan Anda menggunakan identitas (email atau akun) yang sama untuk konsol Google Cloud dan SOAR.

• Pemetaan grup IdP: Jika Anda menggunakan Workforce Identity Federation untuk autentikasi, verifikasi bahwa semua pengguna dipetakan ke grup Penyedia Identitas (IdP) di halaman Pemetaan Grup. Untuk mengetahui informasi tentang pemetaan grup IdP, lihat Memetakan pengguna di platform. Alat migrasi menggunakan pemetaan ini untuk membuat skrip yang mengikat email atau grup pengguna ke pokok IAM.

• Pemetaan grup email Jika Anda menggunakan Cloud Identity untuk autentikasi, pastikan semua pengguna dipetakan ke grup email di halaman Pemetaan Grup. Untuk mengetahui informasi tentang pemetaan email, lihat Memetakan pengguna di platform menggunakan Cloud Identity. Alat migrasi menggunakan pemetaan ini untuk membuat skrip yang mengikat email atau grup pengguna ke pokok IAM.

• Opsional: Kunci API SOAR. Jika Anda tidak memiliki izin SOAR untuk memetakan pengguna saat ini di halaman Group Mappings, Anda dapat meminta administrator SOAR untuk memberikan kunci API SOAR dan menggunakannya untuk membuat skrip.

Admin SOAR harus melakukan langkah-langkah dalam prosedur berikut:

1. Di platform Google SecOps, buka SOAR Settings > Advanced > Permission Groups (API Keys).
2. Buat Grup Izin, pastikan modul Setelan dan opsi di bagian Setelan dicentang semua.
3. Buka Setelan SOAR > Lanjutan > Kunci API.
4. Tambahkan kunci API baru dengan memastikan untuk memilih Grup Izin yang Anda buat.
5. Salin kunci API yang dibuat.

• Izin: Pastikan Anda memiliki izin yang diperlukan:

  • Admin Chronicle API
  • Admin Layanan Chronicle
  • Admin Chronicle SOAR

Peringatan: Setelah Anda mengaktifkan IAM, semua peran bawaan Chronicle akan diaktifkan dengan izin SOAR. Admin Chronicle API kini akan menyertakan izin Admin SOAR. Jika Anda tidak ingin akun utama (pengguna / grup) yang ditetapkan ke peran standar Chronicle memiliki izin SOAR atau jika Anda ingin membatasi izinnya, sebaiknya tetapkan akun utama tersebut ke peran khusus yang secara eksplisit mengecualikan izin SOAR.

Setelah migrasi, jika ada masalah yang belum terselesaikan, klik Nonaktifkan IAM untuk mengembalikan migrasi dari Grup Izin ke peran IAM. Binding dan peran IAM yang baru dibuat tidak akan dihapus.

Untuk mengetahui daftar lengkap izin yang diperlukan untuk setiap peran, lihat Izin IAM yang diperlukan.

Ada dua cara untuk memigrasikan izin SOAR:

• Menggunakan Google Cloud CLI
• Menggunakan Terraform

Memigrasikan izin SOAR menggunakan Google Cloud CLI

Untuk memigrasikan izin SOAR Anda ke Google Cloud IAM, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka setelan administrasi Google SecOps.
2. Klik tab SOAR IAM Migration.
3. Di bagian Migrate role bindings, salin perintah Google Cloud CLI. Saat diberi opsi untuk menentukan kondisi baru, pilih 2. Tidak ada. .
4. Di toolbar Google Cloud , klik Activate Cloud Shell.
5. Di jendela terminal, tempelkan perintah Google Cloud CLI, lalu tekan Enter.
6. Pastikan skrip berhasil dieksekusi.
7. Kembali ke konsol Google Cloud , lalu di bagian Finished with this task, klik Enable IAM.

Memigrasikan izin SOAR menggunakan Terraform

Untuk memigrasikan izin SOAR Anda ke Google Cloud IAM menggunakan terraform, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka setelan administrasi Google SecOps.
2. Klik tab SOAR IAM Migration.
3. Di bagian Migrate role bindings, salin perintah Google Cloud CLI.
4. Buka repositori Terraform Anda dan petakan perintah Google Cloud CLI ke perintah Terraform yang sesuai. Tabel berikut memetakan perintah buat peran kustom Google Cloud CLI dengan perintah Terraform.

Flag gcloud	Argumen Terraform	Catatan
ROLE_ID (Posisi)	role_id	Di Terraform, jangan sertakan awalan projects/PROJECT_ID/roles/. Gunakan hanya string ID (misalnya, myCustomRole).
--project	project	ID project tempat peran khusus ditentukan.
--title	title	Judul yang dapat dibaca manusia untuk peran tersebut.
--description	description	Ringkasan tujuan dan izin peran.
--permissions	permissions	gcloud menerima string yang dipisahkan koma. Terraform memerlukan daftar string: ["perm.a", "perm.b"].
--stage	stage	Nilai yang valid: ALPHA, BETA, GA, DEPRECATED, DISABLED, EAP.

Catatan: Pastikan setiap --flag dari command line Anda dipasangkan dengan benar dengan argumen yang sesuai dalam blok resource Terraform.

Pemetaan Google Cloud CLI ke contoh Terraform

Perintah Google Cloud CLI:

gcloud iam roles create SOAR_Custom_managedUser_google.com --project="{customer project}" 
--title="SOAR Custom managedUser Role" 
--description="SOAR Custom role generated for IDP Mapping Group ManagedUser" 
--stage=GA 
--permissions=chronicle.cases.get

Perintah Terraform:

resource "google_project_iam_custom_role" "{terraform_name}" {
  role_id     = "SOAR_Custom_managedUser_google.com"
  title       = "SOAR Custom managedUser Role"
  project     = "{customer project}"
  stage       = "GA"
  permissions = [
    #This is an example!
    "chronicle.cases.get"
  ]
}

Binding Kebijakan IAM (Menetapkan Peran)

Saat menggunakan Google Cloud CLI projects add-iam-policy-binding, Anda memberikan peran tertentu kepada anggota tertentu (pengguna, akun layanan, atau grup). Tabel berikut memetakan perintah Google Cloud CLI dengan perintah Terraform. Petakan perintah untuk menetapkan peran IAM.

Flag gcloud	Argumen Terraform	Catatan
PROJECT_ID (Posisi)	project	ID project target.
--member	member	Identitas utama (misalnya, user:email, serviceAccount:email, group:email).
--role	role	ID peran. Gunakan jalur lengkap untuk peran khusus (projects/ID/roles/NAME) dan nama pendek untuk peran standar (roles/NAME).

Contoh penetapan peran

Perintah Google Cloud CLI:

gcloud projects add-iam-policy-binding
 {customer project}
--member="user:[e-mail]" 
--role="projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"

Perintah Terraform:

resource "google_project_iam_member" "{terraform_name}" {
  project = "{customer project}"
  role    = "projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"
  member  = "user:[e-mail]"
}

Catatan: Google tidak merekomendasikan penggunaan google_project_iam_binding (satu "binding" cocok dengan nama perintah Google Cloud CLI), karena akan menghapus orang lain yang memiliki peran tersebut jika mereka tidak tercantum dalam kode Anda. Sebagai gantinya, gunakan google_project_iam_member.

Penting: Kolom Grup Izin terus ditampilkan di halaman Pemetaan Grup setelah migrasi untuk kompatibilitas mundur dengan SOAR API lama. Jangan hapus tugas ini. Kolom ini akan otomatis dihapus pada 30 November 2026 tanpa memengaruhi pelanggan.

Migrasi postingan

Setelah Anda beralih menggunakan izin IAM, setiap perintah curl yang Anda gunakan untuk memanggil API harus dikirim dengan akun layanan yang dipetakan (dipetakan dalam grup pemetaan IDP) atau dengan pengguna yang telah login ke platform setidaknya sekali.

FAQ

• Untuk mengetahui daftar mendetail tentang masalah dan praktik terbaik, lihat FAQ tentang migrasi peran IAM.