Esegui la migrazione delle autorizzazioni SOAR a IAM

Supportato in:

Questo documento guida sia i clienti unificati di Google Security Operations sia gli utenti autonomi di SOAR che devono eseguire la migrazione del proprio ambiente dai gruppi di autorizzazioni SOAR esistenti a Google Cloud Identity and Access Management (IAM) per controllo dell'accesso. Per una procedura dettagliata in video, guarda il video sulla migrazione IAM SOAR.

La procedura di verifica della console Google Cloud automatizza la transizione dalle autorizzazioni SOAR aGoogle Cloud IAM eseguendo i seguenti passaggi chiave:

  • Legge le configurazioni delle autorizzazioni esistenti, inclusi i gruppi di autorizzazioni personalizzati e le assegnazioni degli utenti.
  • Genera ruoli IAM personalizzati che replicano i gruppi di autorizzazioni esistenti.
  • Mappa gli utenti e i gruppi esistenti ai ruoli IAM appena creati per assicurarsi che tutti i privilegi di accesso vengano mantenuti.
  • Crea policy IAM per associare utenti e gruppi ai ruoli assegnati.

Prima di iniziare

Prima di iniziare la migrazione, verifica che siano soddisfatti i seguenti requisiti:

  • Se sei un cliente Google SecOps Unified, assicurati di utilizzare Cloud IAM per gestire ruoli e autorizzazioni per la parte SIEM della piattaforma. Per maggiori informazioni, consulta la pagina Eseguire la migrazione di RBAC legacy a RBAC delle funzionalità.

  • Assicurati di utilizzare la stessa identità (email o account) sia per la console Google Cloud che per SOAR.

  • Mappatura gruppi di IdP: se utilizzi la federazione delle identità per la forza lavoro per l'autenticazione, verifica che tutti gli utenti siano mappati a gruppi del provider di identità (IdP) nella pagina Mappatura gruppi. Per informazioni sulla mappatura di gruppi IdP, consulta Mappa gli utenti nella piattaforma. Lo strumento di migrazione utilizza queste mappature per creare uno script che associa email o gruppi di utenti a entità IAM.

  • Mappatura gruppi di email: se utilizzi Cloud Identity per l'autenticazione, verifica che tutti gli utenti siano mappati a gruppi di email nella pagina Mappatura gruppi. Per informazioni sulla mappatura di email, consulta Mappa gli utenti nella piattaforma utilizzando Cloud Identity. Lo strumento di migrazione utilizza queste mappature per creare uno script che associa email o gruppi di utenti a entità IAM.

  • (Facoltativo) Chiave API SOAR. Se non disponi delle autorizzazioni SOAR per mappare l'utente corrente nella pagina Mappature di gruppi, puoi chiedere a un amministratore SOAR di fornire una chiave API SOAR e utilizzarla per generare gli script.

L'amministratore SOAR deve eseguire i passaggi della seguente procedura:

  1. Nella piattaforma Google SecOps, vai a Impostazioni SOAR > Avanzate > Gruppi di autorizzazioni (chiavi API).
  2. Crea un gruppo di autorizzazioni assicurandoti che il modulo Impostazioni e le opzioni in Impostazioni siano tutti selezionati.
  3. Vai a Impostazioni SOAR > Avanzate > Chiavi API.
  4. Aggiungi una nuova chiave API assicurandoti di selezionare il gruppo di autorizzazioni che hai creato.
  5. Copia la chiave API generata.

Dopo la migrazione, se ci sono problemi irrisolti, fai clic su Disattiva IAM per ripristinare la migrazione dai gruppi di autorizzazioni ai ruoli IAM. I ruoli e i binding IAM appena creati non verranno eliminati.

Per un elenco completo delle autorizzazioni necessarie per ogni ruolo, consulta la sezione Autorizzazioni IAM richieste.

Esistono due modi per eseguire la migrazione delle autorizzazioni SOAR:

Eseguire la migrazione delle autorizzazioni SOAR utilizzando Google Cloud CLI

Per eseguire la migrazione delle autorizzazioni SOAR a Google Cloud IAM:

  1. Nella Google Cloud console, vai alle impostazioni di amministrazione di Google SecOps.
  2. Fai clic sulla scheda Migrazione IAM SOAR. Migrazione IAM SOAR
  3. Nella sezione Migra associazioni di ruoli, copia i comandi Google Cloud CLI. Quando ti viene data la possibilità di specificare una nuova condizione, seleziona 2. Nessuno. .
  4. Nella barra degli strumenti Google Cloud , fai clic su Attiva Cloud Shell.
  5. Nella finestra del terminale, incolla i comandi Google Cloud CLI e premi Invio. Comandi Incolla
  6. Assicurati che gli script vengano eseguiti correttamente.
  7. Torna alla console Google Cloud e, nella sezione Operazione completata, fai clic su Abilita IAM. Comandi Incolla

Esegui la migrazione delle autorizzazioni SOAR utilizzando Terraform

Per eseguire la migrazione delle autorizzazioni SOAR a Google Cloud IAM utilizzando Terraform, segui questi passaggi:

  1. Nella Google Cloud console, vai alle impostazioni di amministrazione di Google SecOps.
  2. Fai clic sulla scheda Migrazione IAM SOAR. Migrazione IAM SOAR
  3. Nella sezione Migra associazioni di ruoli, copia i comandi Google Cloud CLI.
  4. Vai al repository Terraform e mappa i comandi Google Cloud CLI ai relativi equivalenti Terraform. La seguente tabella mappa il comando Google Cloud CLI create custom role con i comandi Terraform.
Flag gcloud Argomento Terraform Note
ROLE_ID (posizionale) role_id In Terraform, non includere il prefisso projects/PROJECT_ID/roles/. Utilizza solo la stringa ID (ad esempio, myCustomRole).
--project project L'ID del progetto in cui è definito il ruolo personalizzato.
--title title Un titolo leggibile per il ruolo.
--description description Un riepilogo dello scopo e delle autorizzazioni del ruolo.
--permissions permissions gcloud accetta una stringa separata da virgole. Terraform richiede un elenco di stringhe: ["perm.a", "perm.b"].
--stage stage Valori validi: ALPHA, BETA, GA, DEPRECATED, DISABLED, EAP.

Mappatura di Google Cloud CLI all'esempio di Terraform

Comando Google Cloud CLI: 

gcloud iam roles create SOAR_Custom_managedUser_google.com --project="{customer project}" 
--title="SOAR Custom managedUser Role" 
--description="SOAR Custom role generated for IDP Mapping Group ManagedUser" 
--stage=GA 
--permissions=chronicle.cases.get

Comando Terraform:

resource "google_project_iam_custom_role" "{terraform_name}" {
  role_id     = "SOAR_Custom_managedUser_google.com"
  title       = "SOAR Custom managedUser Role"
  project     = "{customer project}"
  stage       = "GA"
  permissions = [
    #This is an example!
    "chronicle.cases.get"
  ]
}

Associazioni di policy IAM (assegna ruoli)

Quando utilizzi Google Cloud CLI projects add-iam-policy-binding, concedi un ruolo specifico a un membro specifico (utente, account di servizio o gruppo). La tabella seguente mette in corrispondenza i comandi Google Cloud CLI con i comandi Terraform. Mappa i comandi per assegnare i ruoli IAM.

Flag gcloud Argomento Terraform Note
PROJECT_ID (posizionale) project L'ID del progetto di destinazione.
--member member L'identità principale (ad esempio, user:email, serviceAccount:email, group:email).
--role role L'ID ruolo. Utilizza il percorso completo per i ruoli personalizzati (projects/ID/roles/NAME) e il nome breve per i ruoli standard (roles/NAME).

Esempio di assegnazione dei ruoli

Comando Google Cloud CLI: 

gcloud projects add-iam-policy-binding
 {customer project}
--member="user:alice@example.com" 
--role="projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"

Comando Terraform:

resource "google_project_iam_member" "{terraform_name}" {
  project = "{customer project}"
  role    = "projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"
  member  = "user:alice@example.com"
}

Migrazione dei post

Dopo aver eseguito il passaggio all'utilizzo delle autorizzazioni IAM, ogni comando curl che utilizzi per chiamare un'API deve essere inviato con un account di servizio mappato (mappato nei gruppi di mapping IDP) o con un utente che ha eseguito l'accesso alla piattaforma almeno una volta.

Domande frequenti