Présentation de la migration SOAR

Compatible avec :

Ce document décrit le processus et les délais de migration de l'infrastructure SOAR vers Google Cloud. La migration vise à moderniser l'infrastructure et à améliorer son intégration aux services Google Cloud , ce qui profitera à la fois aux clients unifiés de Google Security Operations et aux utilisateurs de SOAR autonomes qui passent à Google Cloud.

Cette migration est nécessaire pour fournir des mises à niveau d'infrastructure critiques, y compris une fiabilité accrue, une sécurité renforcée, une meilleure conformité et un contrôle des accès plus précis. Il permet également d'accéder aux fonctionnalités d'IA agentive grâce à l'intégration du protocole MCP (Model Context Protocol) et à des services de pointe, y compris IAM pour le contrôle des accès, Cloud Monitoring et Cloud Audit Logs.

La migration se déroule en deux étapes : l'étape 1 et l'étape 2.

L'étape 1 comprend les migrations suivantes :

  • Migration de votre projet SOAR appartenant à Google vers l'infrastructure Google Cloud . Cette opération est effectuée par Google.
  • Migration de l'authentification SOAR vers Google Cloud (applicable uniquement aux clients SOAR autonomes).

L'étape 2 comprend les migrations suivantes :

  • Migration des groupes d'autorisations et des autorisations SOAR vers Google Cloud IAM.
  • Migration des API SOAR vers la nouvelle API Chronicle unifiée, nécessitant des mises à jour des scripts et intégrations existants.
  • Migration des webhooks.
  • Migration de l'infrastructure d'authentification des agents distants.

Vérifier que la migration a réussi

  • Vérifiez que l'étape 1 s'est bien déroulée en accédant à Paramètres SOAR > Gestion des licences et en vérifiant que la mention Google.com s'affiche après le numéro de version du système.

  • Vérifiez que l'étape 2 de la migration des autorisations SOAR vers les rôles IAM s'est bien déroulée en accédant à Paramètres SOAR > Gestion des licences et en vérifiant que la mention Google.com et CloudIAM activé s'affiche après le numéro de version du système.

Étape 1 de la migration pour les clients Google SecOps unifié

Consultez la notification dans le produit pour connaître la date de votre migration de l'étape 1 et le Google Form inclus pour confirmer le créneau horaire. L'étape 1 inclut les migrations suivantes.

  • Migrer le projet SOAR appartenant à Google vers Google Cloud

La migration implique un temps d'arrêt pouvant durer jusqu'à 90 minutes, pendant lequel la plate-forme Google SecOps n'est pas accessible. Pendant cette période d'indisponibilité, vos services SIEM continueront de fonctionner en arrière-plan, tandis que les services SOAR seront temporairement suspendus. Après le temps d'arrêt, la plate-forme sera accessible et les services SOAR reprendront le traitement des alertes générées ou ingérées pendant le temps d'arrêt.

Une fois la migration terminée, nous vous enverrons un e-mail.

Phase 1 de la migration pour les clients SOAR autonomes

En fonction de vos besoins et de vos cas d'utilisation, vous pouvez choisir l'une des options de migration suivantes :

  • Option 1 (recommandée) : Unifier votre instance SOAR avec une instance SIEM existante : si vous disposez d'une instance SIEM existante sur laquelle SOAR n'est pas activé, nous vous recommandons d'unifier votre instance SOAR dans votre déploiement SIEM existant chaque fois que possible. Cette option utilise le projet Google Cloud associé à votre instance SIEM existante et unifie les deux produits sous une seule interface Google SecOps avec authentification, contrôle des accès et journalisation d'audit partagés.

  • Option 2 : Déployer une nouvelle instance Google SecOps : si vous ne disposez pas d'une instance SIEM existante ou si vous devez séparer vos déploiements SOAR et SIEM, vous pouvez déployer une nouvelle instance Google SecOps dans un projet Google Cloud dédié.

Vous recevrez une notification dans le produit lorsque nous serons prêts à lancer l'étape 1 pour vous. Assurez-vous de procéder comme suit :

  1. Identifiez ou configurez votre projet Google Cloud en fonction de l'option de migration choisie :
    • Option 1 (unification avec un SIEM existant) : utilisez le projet Google Cloud existant associé à votre instance SIEM.
    • Option 2 (Déployer une nouvelle instance Google SecOps) : configurez un projet Google Cloud . Vous pouvez également utiliser un projet Google Cloud configuré pour accéder à l'assistance Google SecOps, mais qui ne dispose pas encore d'une instance Google Security Operations.
  2. Activez l'API Chronicle dans le projet Google Cloud (si ce n'est pas déjà fait).
  3. Configurez l'authentification Google Cloud pour accéder à SOAR. Consultez Configurer l'authentification Google Cloud pour accéder à SOAR.
  4. Indiquez l'ID du projet Google Cloud dans le formulaire Google Forms de la notification dans le produit, puis confirmez la date et le créneau horaire de la migration avant d'envoyer le formulaire.
  5. Acceptez l'e-mail d'invitation à la page "Obtenir Google Security Operations" et terminez la configuration (si vous déployez une nouvelle instance Google SecOps). Assurez-vous que les informations sur votre région sont exactes.
  6. Vérifiez que les étapes précédentes ont été correctement configurées en consultant le guide de validation préalable à la migration.

Une fois ces étapes terminées, Google effectue la migration à la date et à l'heure prévues. La migration nécessite environ deux heures d'arrêt pour les services SOAR. Une fois l'opération terminée, vous recevrez un e-mail contenant la nouvelle URL permettant d'accéder à la plate-forme SOAR. L'ancienne URL reste fonctionnelle jusqu'au 30 juin 2026 et redirige vers la nouvelle URL.

Configurer l'authentification Google Cloud pour accéder à SOAR

Selon le type d'identité que vous souhaitez utiliser, configurez l'une des options suivantes. Pour effectuer ces étapes, vous aurez peut-être besoin de l'aide de votre administrateur Google Cloud et de votre administrateur d'identité ou d'IdP.

Option 1 : Configurer l'authentification Cloud Identity dans Google Cloud (comptes gérés par Google)

Ce scénario s'applique si vous gérez les comptes utilisateur directement dans Cloud Identity à l'aide de noms d'utilisateur et de mots de passe gérés par Google. Il ne s'applique pas si vous utilisez Cloud Identity pour l'authentification unique avec un fournisseur d'identité tiers tel qu'Okta ou Azure AD.

Procédez comme suit :

  1. Configurez Cloud Identity dans Google Cloud.

    Vous pouvez ignorer cette étape si vous avez déjà configuré Cloud Identity avec un nom d'utilisateur et un mot de passe gérés par Google.

  2. Assurez-vous que tous les utilisateurs SOAR existants sont configurés dans la console d'administration Cloud Identity.

  3. Attribuez les rôles requis dans IAM en suivant le format d'attribution de rôles pour les comptes Google.

    1. Attribuez les rôles IAM prédéfinis suivants dans Google Cloud à l'expert en intégration :

    2. Attribuez l'un des rôles IAM prédéfinis suivants à tous les utilisateurs SOAR existants :

  4. Terminez la configuration de l'authentification dans SOAR en mappant chaque utilisateur (y compris les administrateurs) à un groupe d'utilisateurs de messagerie.

    1. Accédez à Paramètres SOAR > Avancé > Mappage de groupe.

    2. Cliquez sur add Ajouter, puis renseignez les informations suivantes :

      • IdP / Groupe d'utilisateurs : nom du groupe d'utilisateurs de messagerie (par exemple, Analystes T1).
      • Groupes d'autorisations : sélectionnez les groupes d'autorisations.
      • Rôles SOC : sélectionnez les rôles SOC.
      • Environnements : sélectionnez les environnements (par exemple, Tous les environnements).
      • Membres du groupe : saisissez les adresses e-mail des utilisateurs requis. Appuyez sur Entrée après avoir ajouté chaque adresse e-mail.

    3. Cliquez sur Ajouter.

      Chaque fois qu'un utilisateur se connecte à la plate-forme, il est automatiquement ajouté à la page Paramètres SOAR> Organisation> Gestion des utilisateurs. L'instance migrée conserve ces mappages, qui servent de base pour déterminer l'accès des utilisateurs à SOAR. Vous devez vous assurer que chaque utilisateur est mappé sur cette page pour pouvoir accéder à Google SecOps.

Option 2 : Configurer l'authentification par fédération des identités des employés dans Google Cloud

Ce scénario s'applique si vous gérez vos identités utilisateur à l'aide de fournisseurs d'identité tiers tels que Microsoft Azure Active Directory, Okta, Ping Identity et AD FS.

  1. Configurez la fédération des identités des employés dans Google Cloud. Vous pouvez ignorer cette étape si elle a déjà été effectuée.
  2. Assurez-vous que tous les utilisateurs existants dans SOAR font partie des groupes de pools d'employés configurés dans la fédération d'identité de personnel.

  3. Attribuez les rôles requis dans IAM en suivant le format d'attribution de rôles pour les identités de personnel.

    1. Attribuez tous les rôles IAM prédéfinis suivants à l'expert en intégration.

    2. Attribuez l'un des rôles suivants dans IAM à tous les utilisateurs SOAR existants :

  4. Terminez la configuration de l'authentification dans SOAR en mappant tous les groupes IdP qui ont besoin d'accéder à SOAR.

    Assurez-vous que les utilisateurs existants sont mappés à au moins un des groupes IdP.

    1. Accédez à Paramètres SOAR > Avancé > Mappage de groupe.
    2. Cliquez sur add Ajouter et renseignez les informations suivantes :
      • IdP / Groupe d'utilisateurs : saisissez le nom du groupe de votre IdP.
      • Groupes d'autorisations : sélectionnez les groupes d'autorisations.
      • Rôles SOC : sélectionnez les rôles SOC.
      • Environnements : sélectionnez les environnements (par exemple, Tous les environnements).
    3. Assurez-vous d'avoir ajouté le groupe IdP d'administrateurs avec des autorisations d'administrateur pour les groupes d'autorisations et les rôles SOC, et sélectionnez "Tous les environnements".
    4. Si vous avez déjà des mappages de groupes IdP sur la page "External Authentication" (Authentification externe), ne les modifiez pas pour ne pas remplacer votre authentification SOAR existante. Pour que la nouvelle authentification Google Cloud accède à SOAR, vous devez toujours configurer le mappage de groupe IdP sur la page Paramètres> Paramètres SOAR> Avancé> Mappage de groupe.
    5. Cliquez sur Ajouter. Chaque fois qu'un utilisateur se connecte à la plate-forme, il est automatiquement ajouté à la page Paramètres>Organisation>Gestion des utilisateurs. L'instance migrée conserve ces mappages, qui servent de base pour déterminer l'accès des utilisateurs à SOAR. Vous devez vous assurer que chaque utilisateur est mappé sur cette page pour pouvoir accéder à Google SecOps.

Étape 2 de la migration pour tous les clients

Important : Vous devez terminer l'étape 1 avant de commencer la migration de l'étape 2.

La phase 2 de la migration sera disponible pour tous les clients à partir du 26 janvier 2026.

La date limite pour effectuer la transition vers les rôles IAM (étape 2) est fixée au 30 novembre 2026. La date limite de migration de l'API est repoussée au 31 mars 2027.

Migrer les groupes d'autorisations SOAR vers Google Cloud IAM

Migrez les groupes d'autorisations et les autorisations SOAR vers IAM en un seul clic sur le script de migration dans Google Cloud. Le script crée des rôles personnalisés pour chaque groupe d'autorisations et les attribue aux utilisateurs pour les clients Cloud Identity ou aux groupes IdP pour les clients de la fédération des identités des employés. Vous pouvez également migrer les autorisations SOAR à l'aide de Terraform.

Pour en savoir plus sur le script de migration et les commandes Terraform, consultez Migrer les autorisations SOAR vers Google Cloud IAM.

Pour en savoir plus sur la configuration des autorisations, consultez Configurer l'accès aux fonctionnalités.

Une fois les autorisations migrées, les événements suivants se produisent :

  • La page Paramètres SOAR > Organisation > Autorisations reste disponible jusqu'au 31 mars 2027 (pour assurer la rétrocompatibilité avec les anciennes API). N'apportez aucune modification à cette page. Les autorisations sont toutes gérées via IAM.
  • La colonne Groupe d'autorisations de la page Mappage de groupes s'affiche pour assurer la rétrocompatibilité avec l'ancienne API SOAR. Ne supprimez pas ces devoirs. La colonne sera automatiquement supprimée d'ici le 31 mars 2027, sans aucune incidence pour les clients.
  • La section des actions limitées de la page Autorisations sera déplacée vers la page Mappage de groupes.

Migrer les API SOAR vers l'API Chronicle

Si vous utilisez l'API SOAR de manière programmatique à l'aide d'appels d'API ou d'intégrations, vous pouvez la migrer vers les nouveaux points de terminaison bêta SOAR v1 disponibles dans l'API Chronicle.

Vous devez mettre à jour vos scripts et intégrations pour remplacer les points de terminaison de l'API SOAR par les points de terminaison de l'API Chronicle correspondants. L'ancienne API SOAR et les anciennes clés API seront disponibles jusqu'au 31 mars 2027, après quoi elles ne fonctionneront plus. Pour en savoir plus, consultez Migrer des points de terminaison vers l'API Chronicle.

Migrer des webhooks

Vous devez migrer les webhooks SOAR vers l'API Chronicle en procédant comme suit avant le 31 mars 2027 :

Mettez à jour l'URL de webhook côté client en remplaçant l'ancien domaine siemplify-soar.com par le nouveau domaine googleapis.com à l'aide du nouveau format de requête. L'ancien domaine siemplify-soar.com continuera de fonctionner jusqu'au 31 mars 2027.

Par exemple, un webhook défini sur https://xxxx.siemplify-soar.com/api/external/v1/webhooks/{webhook_id}?api_key=xxxx

doit être remplacé par : https://us-chronicle.googleapis.com/v1alpha/projects/{project_id}/locations/{location}/instances/{instance/{instance_id}/webhooks/{webhook_id}?api_key=xxxx

L'authentification des webhooks reste inchangée. Les webhooks continuent d'utiliser la clé API qui a été créée initialement avec le lien du webhook.

Migrer l'infrastructure d'authentification de l'agent distant

Les étapes suivantes expliquent comment migrer l'infrastructure d'authentification de vos agents distants vers l'authentification par compte de service Google Cloud . Ce processus ne nécessite pas de migrer ni de remplacer les instances ou les hôtes de l'agent distant.

  1. Créez un compte de service au lieu d'une clé API pour l'agent distant.
  2. Effectuez une mise à niveau de version majeure de l'agent distant.

Les agents distants existants seront disponibles jusqu'au 30 novembre 2026, après quoi ils ne fonctionneront plus. Pour obtenir des instructions détaillées, consultez Migrer des agents distants vers Google Cloud.

Impact sur les journaux d'audit SOAR

Les journaux SOAR seront disponibles dans Google Cloud une fois que vous aurez terminé la migration des autorisations vers IAM. Tous les appels passés à l'ancienne API SOAR jusqu'au 31 mars 2027 resteront accessibles dans les journaux d'audit SOAR. Pour les clients Google SecOps, consultez Collecter les journaux Google SecOps SOAR. Pour les clients SOAR autonomes, consultez Collecter les journaux SOAR.

Autres modifications après la migration :

Type de licence Le type de licence est désormais déterminé par les autorisations attribuées à l'utilisateur dans IAM.

Page de destination La page de destination sera déplacée de la page "Autorisations" vers le menu Préférences de l'utilisateur, accessible depuis votre avatar.

Étape suivante

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.