Memigrasikan izin SOAR ke IAM

Didukung di:

Google SecOps SOAR

Dokumen ini memandu pelanggan terpadu Google Security Operations dan pengguna mandiri SOAR yang perlu memigrasikan lingkungan mereka dari grup izin SOAR yang ada ke Google Cloud Identity and Access Management (IAM) untuk kontrol akses. Untuk panduan video tentang prosedur ini, lihat video Migrasi IAM SOAR

Catatan: Alat migrasi dapat membantu Anda mengusulkan binding IAM kustom baru untuk izin Setelan SOAR yang ada. Untuk mengetahui informasi selengkapnya, lihat RBAC Fitur.

Proses verifikasi konsol Google Cloud mengotomatiskan transisi dari izin SOAR ke Google Cloud IAM dengan melakukan langkah-langkah penting berikut:

• Membaca konfigurasi izin yang ada, termasuk grup izin kustom dan penetapan pengguna.
• Membuat peran IAM kustom yang mereplikasi grup izin yang ada.
• Memetakan pengguna dan grup yang ada ke peran IAM yang baru dibuat untuk memastikan semua hak istimewa akses dipertahankan.
• Membuat kebijakan IAM untuk mengikat pengguna dan grup ke peran yang ditetapkan.

Sebelum memulai

Sebelum memulai migrasi, pastikan persyaratan berikut terpenuhi:

• Jika Anda adalah pelanggan terpadu Google SecOps, pastikan Anda menggunakan Cloud IAM untuk mengelola peran dan izin untuk sisi SIEM platform. Untuk mengetahui informasi selengkapnya, lihat Memigrasikan RBAC lama ke RBAC fitur.

• Pastikan Anda menggunakan identitas (email atau akun) yang sama untuk konsol Google Cloud dan SOAR.

• Pemetaan grup IdP: Jika Anda menggunakan Workforce Identity Federation untuk autentikasi, pastikan semua pengguna dipetakan ke grup Penyedia Identitas (IdP) di halaman Pemetaan Grup. Untuk mengetahui informasi tentang pemetaan grup IdP, lihat Memetakan pengguna di platform. Alat migrasi menggunakan pemetaan ini untuk membuat skrip yang mengikat email atau grup pengguna ke akun utama IAM.

• Pemetaan grup email Jika Anda menggunakan Cloud Identity untuk autentikasi, pastikan semua pengguna dipetakan ke grup email di halaman Pemetaan Grup. Untuk mengetahui informasi tentang pemetaan email, lihat Memetakan pengguna di platform menggunakan Cloud Identity. Alat migrasi menggunakan pemetaan ini untuk membuat skrip yang mengikat email atau grup pengguna ke akun utama IAM.

• Opsional: Kunci API SOAR. Jika Anda tidak memiliki izin SOAR untuk memetakan pengguna saat ini di halaman Group Mappings, Anda dapat meminta administrator SOAR untuk memberikan kunci API SOAR dan menggunakannya untuk membuat skrip.

Admin SOAR harus melakukan langkah-langkah dalam prosedur berikut:

1. Di platform Google SecOps, buka SOAR Settings > Lanjutan > Grup Izin (Kunci API).
2. Buat Grup Izin dengan memastikan bahwa modul Setelan dan opsi di bagian Setelan semuanya dicentang.
3. Buka SOAR Settings > Advanced > API Keys.
4. Tambahkan kunci API baru dan pastikan untuk memilih Grup Izin yang Anda buat.
5. Salin kunci API yang dibuat.

• Izin: Pastikan Anda memiliki izin yang diperlukan:

  • Chronicle API Admin
  • Chronicle Service Admin
  • Admin Chronicle SOAR

Peringatan: Setelah Anda mengaktifkan IAM, semua peran bawaan Chronicle akan diaktifkan dengan izin SOAR. Admin Chronicle API kini akan menyertakan izin Admin SOAR. Jika Anda tidak ingin akun utama (pengguna/grup) yang ditetapkan ke peran bawaan Chronicle memiliki izin SOAR atau jika Anda ingin membatasi izin mereka, sebaiknya tetapkan akun utama tersebut ke peran khusus yang secara eksplisit mengecualikan izin SOAR.

Setelah migrasi, jika ada masalah yang belum terselesaikan, klik Nonaktifkan IAM untuk mengembalikan migrasi dari Grup Izin ke peran IAM. Peran dan binding IAM yang baru dibuat tidak akan dihapus.

Untuk mengetahui daftar lengkap izin yang diperlukan untuk setiap peran, lihat Izin IAM yang diperlukan.

Ada dua cara untuk memigrasikan izin SOAR:

• Menggunakan Google Cloud CLI
• Menggunakan Terraform

Memigrasikan izin SOAR menggunakan Google Cloud CLI

Untuk memigrasikan izin SOAR Anda ke IAM Google Cloud , ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka setelan administrasi Google SecOps.
2. Klik tab SOAR IAM Migration.
3. Di bagian Migrate role bindings, salin perintah Google Cloud CLI. Saat diberi opsi untuk menentukan kondisi baru, pilih 2. Tidak ada. .
4. Di toolbar Google Cloud , klik Activate Cloud Shell.
5. Di jendela terminal, tempel perintah Google Cloud CLI dan tekan Enter.
6. Pastikan skrip berhasil dijalankan.
7. Kembali ke konsol Google Cloud , dan di bagian Finished with this task, klik Enable IAM.

Memigrasikan izin SOAR menggunakan Terraform

Untuk memigrasikan izin SOAR Anda ke Google Cloud IAM menggunakan terraform, ikuti langkah-langkah berikut:

1. Di konsol Google Cloud , buka setelan administrasi Google SecOps.
2. Klik tab SOAR IAM Migration.
3. Di bagian Migrate role bindings, salin perintah Google Cloud CLI.
4. Buka repositori Terraform Anda dan petakan perintah Google Cloud CLI ke Terraform yang setara. Tabel berikut memetakan perintah pembuatan peran khusus Google Cloud CLI dengan perintah Terraform.

Flag gcloud	Argumen Terraform	Catatan
ROLE_ID (Posisi)	role_id	Di Terraform, jangan sertakan awalan projects/PROJECT_ID/roles/. Hanya gunakan string ID (misalnya, myCustomRole).
--project	project	ID project tempat peran khusus ditentukan.
--title	title	Judul yang dapat dibaca manusia untuk peran tersebut.
--description	description	Ringkasan tujuan dan izin peran.
--permissions	permissions	gcloud menerima string yang dipisahkan koma. Terraform memerlukan daftar string: ["perm.a", "perm.b"].
--stage	stage	Nilai yang valid: ALPHA, BETA, GA, DEPRECATED, DISABLED, EAP.

Catatan: Pastikan setiap --flag dari command line Anda dipasangkan dengan benar dengan argumen yang sesuai dalam blok resource Terraform.

Contoh pemetaan Google Cloud CLI ke Terraform

Perintah Google Cloud CLI:

gcloud iam roles create SOAR_Custom_managedUser_google.com --project="{customer project}" 
--title="SOAR Custom managedUser Role" 
--description="SOAR Custom role generated for IDP Mapping Group ManagedUser" 
--stage=GA 
--permissions=chronicle.cases.get

Perintah Terraform:

resource "google_project_iam_custom_role" "{terraform_name}" {
  role_id     = "SOAR_Custom_managedUser_google.com"
  title       = "SOAR Custom managedUser Role"
  project     = "{customer project}"
  stage       = "GA"
  permissions = [
    #This is an example!
    "chronicle.cases.get"
  ]
}

Binding Kebijakan IAM (Menetapkan Peran)

Saat menggunakan Google Cloud CLI projects add-iam-policy-binding, Anda memberikan peran tertentu kepada anggota tertentu (pengguna, akun layanan, atau grup). Tabel berikut memetakan perintah Google Cloud CLI dengan perintah Terraform. Petakan perintah untuk menetapkan peran IAM.

Flag gcloud	Argumen Terraform	Catatan
PROJECT_ID (Posisi)	project	ID project target.
--member	member	Identitas utama (misalnya, user:email, serviceAccount:email, group:email).
--role	role	ID peran. Gunakan jalur lengkap untuk peran khusus (projects/ID/roles/NAME) dan nama pendek untuk peran standar (roles/NAME).

Contoh penetapan peran

Perintah Google Cloud CLI:

gcloud projects add-iam-policy-binding
 {customer project}
--member="user:[e-mail]" 
--role="projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"

Perintah Terraform:

resource "google_project_iam_member" "{terraform_name}" {
  project = "{customer project}"
  role    = "projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"
  member  = "user:[e-mail]"
}

Catatan: Google tidak merekomendasikan penggunaan google_project_iam_binding ("binding" tunggal cocok dengan nama perintah Google Cloud CLI), karena akan menghapus orang lain yang memiliki peran tersebut jika mereka tidak tercantum dalam kode Anda. Sebagai gantinya, gunakan google_project_iam_member.

Penting: Kolom Permission Group akan terus ditampilkan di halaman Group Mapping setelah migrasi untuk kompatibilitas mundur dengan SOAR API lama. Jangan hapus tugas ini. Kolom ini akan otomatis dihapus paling lambat 31 Maret 2027 tanpa dampak apa pun bagi pelanggan.

Migrasi postingan

Setelah Anda beralih menggunakan izin IAM, setiap perintah curl yang Anda gunakan untuk memanggil API harus dikirim dengan akun layanan yang dipetakan (dipetakan dalam grup pemetaan IDP) atau dengan pengguna yang telah login ke platform setidaknya sekali.

FAQ

• Untuk mengetahui daftar mendetail tentang masalah dan praktik terbaik, lihat FAQ tentang migrasi peran IAM.