SOAR 権限を IAM に移行する

以下でサポートされています。

Google SecOps SOAR

このドキュメントは、アクセス制御のために既存の SOAR 権限グループから Google Cloud Identity and Access Management（IAM）に環境を移行する必要がある Google Security Operations の統合されたお客様と SOAR スタンドアロン ユーザーの両方を対象としています。この手順の動画チュートリアルについては、SOAR IAM 移行動画をご覧ください。

注: 移行ツールを使用すると、既存の SOAR 設定権限に新しいカスタム IAM バインディングを提案できます。詳細については、機能 RBAC をご覧ください。

Google Cloud コンソールの検証プロセスでは、次の主要な手順を実行して、SOAR 権限からGoogle Cloud IAM への移行を自動化します。

• カスタム権限グループやユーザー割り当てなど、既存の権限構成を読み取ります。
• 既存の権限グループを複製するカスタム IAM ロールを生成します。
• 既存のユーザーとグループを新しく作成した IAM ロールにマッピングして、すべてのアクセス権限が保持されるようにします。
• ユーザーとグループを割り当てられたロールにバインドする IAM ポリシーを作成します。

始める前に

移行を開始する前に、次の要件が満たされていることを確認してください。

• Google SecOps の統合版をご利用の場合は、Cloud IAM を使用してプラットフォームの SIEM 側のロールと権限を管理していることを確認してください。詳細については、以前の RBAC から機能 RBAC に移行するをご覧ください。

• Google Cloud コンソールと SOAR の両方で同じ ID（メールアドレスまたはアカウント）を使用していることを確認します。

• IdP グループ マッピング: 認証に Workforce Identity 連携を使用している場合は、すべてのユーザーが [グループ マッピング] ページで ID プロバイダ（IdP）グループにマッピングされていることを確認します。IdP グループ マッピングについては、プラットフォームでのユーザーのマッピングをご覧ください。移行ツールはこれらのマッピングを使用して、ユーザーのメールアドレスまたはグループを IAM プリンシパルにバインドするスクリプトを作成します。

• メールグループのマッピング: 認証に Cloud Identity を使用している場合は、[グループ マッピング] ページですべてのユーザーがメールグループにマッピングされていることを確認します。メールアドレス マッピングについては、Cloud Identity を使用してプラットフォームでユーザーをマッピングする方法をご覧ください。移行ツールはこれらのマッピングを使用して、ユーザーのメールアドレスまたはグループを IAM プリンシパルにバインドするスクリプトを作成します。

• 省略可: SOAR API キー。[グループ マッピング] ページで現在のユーザーをマッピングする SOAR 権限がない場合は、SOAR 管理者に SOAR API キーの提供を依頼し、代わりにそれを使用してスクリプトを生成できます。

SOAR 管理者は、次の手順に沿って操作する必要があります。

1. Google SecOps プラットフォームで、[SOAR 設定] > [詳細] > [権限グループ（API キー）] に移動します。
2. 権限グループを作成し、[設定] モジュールと [設定] のオプションがすべてオンになっていることを確認します。
3. [SOAR 設定] > [詳細] > [API キー] に移動します。
4. 新しい API キーを追加し、作成した権限グループを選択します。
5. 生成された API キーをコピーします。

• 権限: 必要な権限があることを確認します。

  • Chronicle API 管理者
  • Chronicle サービス管理者
  • Chronicle SOAR 管理者

警告: IAM を有効にすると、すべての Chronicle 事前定義ロールが SOAR 権限で有効になります。Chronicle API 管理者に SOAR 管理者の権限が含まれるようになります。Chronicle 事前定義ロールに割り当てられたプリンシパル（ユーザー / グループ）に SOAR 権限を付与しない場合、または権限を制限する場合は、SOAR 権限を明示的に除外するカスタムロールに、該当するプリンシパルを割り当てることをおすすめします。

移行後に未解決の問題がある場合は、[IAM を無効にする] をクリックして、権限グループから IAM ロールへの移行を元に戻します。新しく作成された IAM ロールとバインディングは削除されません。

各ロールに必要な権限の一覧については、必要な IAM 権限をご覧ください。

SOAR 権限を移行する方法は 2 つあります。

• Google Cloud CLI を使用する
• Terraform の使用

Google Cloud CLI を使用して SOAR 権限を移行する

SOAR 権限を Google Cloud IAM に移行する手順は次のとおりです。

1. Google Cloud コンソールで、Google SecOps の管理設定に移動します。
2. [SOAR IAM Migration] タブをクリックします。
3. [ロール バインディングを移行する] セクションで、Google Cloud CLI コマンドをコピーします。新しい条件を指定するオプションが表示されたら、2 を選択します。なし。。
4. Google Cloud ツールバーで、[Cloud Shell をアクティブにする] をクリックします。
5. ターミナル ウィンドウで、Google Cloud CLI コマンドを貼り付けて Enter キーを押します。
6. スクリプトが正常に実行されていることを確認します。
7. Google Cloud コンソールに戻り、[このタスクを完了しました] セクションで [IAM を有効にする] をクリックします。

Terraform を使用して SOAR 権限を移行する

Terraform を使用して SOAR 権限を Google Cloud IAM に移行する手順は次のとおりです。

1. Google Cloud コンソールで、Google SecOps の管理設定に移動します。
2. [SOAR IAM Migration] タブをクリックします。
3. [ロール バインディングを移行する] セクションで、Google Cloud CLI コマンドをコピーします。
4. Terraform リポジトリに移動し、Google Cloud CLI コマンドを対応する Terraform のコマンドにマッピングします。次の表に、Google Cloud CLI のカスタムロール作成コマンドと Terraform コマンドのマッピングを示します。

gcloud フラグ	Terraform 引数	メモ
ROLE_ID（位置）	role_id	Terraform では、projects/PROJECT_ID/roles/ 接頭辞は含めないでください。ID 文字列（例: myCustomRole）のみを使用します。
--project	project	カスタムロールが定義されているプロジェクトの ID。
--title	title	人が読める形式のロールのタイトル。
--description	description	ロールの目的と権限の概要。
--permissions	permissions	gcloud には、カンマ区切りの文字列を指定します。Terraform には、文字列のリスト ["perm.a", "perm.b"] が必要です。
--stage	stage	有効な値: ALPHA、BETA、GA、DEPRECATED、DISABLED、EAP。

注: コマンドラインの各 --flag が、Terraform リソース ブロック内の対応する引数と正しくペアになっていることを確認してください。

Google Cloud CLI から Terraform へのマッピングの例

Google Cloud CLI コマンド:

gcloud iam roles create SOAR_Custom_managedUser_google.com --project="{customer project}" 
--title="SOAR Custom managedUser Role" 
--description="SOAR Custom role generated for IDP Mapping Group ManagedUser" 
--stage=GA 
--permissions=chronicle.cases.get

Terraform コマンド:

resource "google_project_iam_custom_role" "{terraform_name}" {
  role_id     = "SOAR_Custom_managedUser_google.com"
  title       = "SOAR Custom managedUser Role"
  project     = "{customer project}"
  stage       = "GA"
  permissions = [
    #This is an example!
    "chronicle.cases.get"
  ]
}

IAM ポリシー バインディング（ロールの割り当て）

Google Cloud CLI の projects add-iam-policy-binding を使用すると、特定のメンバー（ユーザー、サービス アカウント、グループ）に特定のロールを付与できます。次の表に、Google Cloud CLI コマンドと Terraform コマンドのマッピングを示します。IAM ロールを割り当てるためにコマンドをマッピングします。

gcloud フラグ	Terraform 引数	メモ
PROJECT_ID（位置）	project	ターゲット プロジェクトの ID。
--member	member	プリンシパル ID（user:email、serviceAccount:email、group:email など）。
--role	role	ロール ID。カスタムロールには完全なパス（projects/ID/roles/NAME）を使用し、標準ロールには略称（roles/NAME）を使用します。

ロールの割り当ての例

Google Cloud CLI コマンド:

gcloud projects add-iam-policy-binding
 {customer project}
--member="user:[e-mail]" 
--role="projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"

Terraform コマンド:

resource "google_project_iam_member" "{terraform_name}" {
  project = "{customer project}"
  role    = "projects/{customer project}/roles/SOAR_Custom_managedUser_google.com"
  member  = "user:[e-mail]"
}

注: google_project_iam_binding（単数形の「binding」は Google Cloud CLI コマンド名と一致します）の使用はおすすめしません。コードに記載されていない場合、そのロールを持つ他のユーザーが削除されるためです。代わりに google_project_iam_member を使用してください。

重要: 以前の SOAR API との下位互換性を確保するため、移行後も [グループ マッピング] ページに [権限グループ] 列が表示されます。これらの割り当ては削除しないでください。この列は 2027 年 3 月 31 日までに自動的に削除されます。お客様への影響はありません。

移行後

IAM 権限の使用に切り替えた後、API の呼び出しに使用する各 curl コマンドは、マッピングされたサービス アカウント（IDP マッピング グループでマッピングされたもの）またはプラットフォームに少なくとも 1 回ログインしたユーザーを使用して送信する必要があります。

よくある質問

• 問題とベスト プラクティスの詳細なリストについては、IAM ロールの移行に関するよくある質問をご覧ください。