Présentation de la migration SOAR

Compatible avec :

Ce document décrit le processus et le calendrier de migration de l'infrastructure SOAR vers Google Cloud. La migration vise à moderniser l'infrastructure et à améliorer son intégration aux Google Cloud services, au profit des clients unifiés de Google Security Operations et des utilisateurs autonomes de SOAR qui passent à Google Cloud.

Cette migration est nécessaire pour fournir des mises à niveau d'infrastructure critiques y compris une fiabilité accrue, une sécurité améliorée, une conformité renforcée et un contrôle des accès plus précis. Elle permet également d'accéder aux fonctionnalités d'IA agentique via l'intégration du protocole MCP (Model Context Protocol) et aux services de pointe, y compris IAM pour le contrôle des accès, Cloud Monitoring et Cloud Audit Logs.

La migration se déroule en deux phases : la phase 1 et la phase 2.

La phase 1 comprend les migrations suivantes :

  • Migration de votre projet SOAR appartenant à Google vers Google Cloud l'infrastructure. Cette opération est effectuée par Google.
  • Migration de l'authentification SOAR vers Google Cloud (applicable uniquement aux clients autonomes de SOAR).

La phase 2 comprend les migrations suivantes :

  • Migration des groupes d'autorisations et autorisations SOAR vers Google Cloud IAM.
  • Migration des API SOAR vers la nouvelle API Chronicle unifiée, nécessitant des mises à jour des scripts et intégrations existants.
  • Migration des webhooks.
  • Migration de l'infrastructure d'authentification des agents distants.

Vérifier que la migration a réussi

  • Vérifiez que la phase 1 s'est terminée correctement en accédant à SOAR Settings > License Management (Paramètres SOAR > Gestion des licences) et en vérifiant que Google.com s'affiche après le numéro de version du système.

  • Vérifiez que la phase 2 de la migration des autorisations SOAR vers les rôles IAM s'est terminée correctement en accédant à SOAR Settings > License Management et en vérifiant que Google.com et CloudIAM Enabled s'affichent après le numéro de version du système.

Phase 1 de la migration pour les clients unifiés de Google SecOps

Consultez la notification dans le produit pour connaître la date de la phase 1 de votre migration et le Google Form inclus pour confirmer le créneau horaire. La phase 1 comprend les migrations suivantes.

  • Migrer le projet SOAR appartenant à Google vers Google Cloud

La migration entraîne un temps d'arrêt pouvant durer jusqu'à 90 minutes, pendant lequel la plate-forme Google SecOps n'est pas accessible. Pendant ce temps d'arrêt, vos services SIEM continueront de fonctionner en arrière-plan, tandis que les services SOAR seront temporairement mis en pause. Une fois le temps d'arrêt terminé, la plate-forme sera accessible et les services SOAR reprendront le traitement des alertes générées ou ingérées pendant le temps d'arrêt.

Une fois la migration terminée, nous vous enverrons un e-mail.

Phase 1 de la migration pour les clients autonomes de SOAR

Vous recevrez un texte de l'avis dans le produit lorsque nous serons prêts à lancer la phase 1 pour vous. Assurez-vous de procéder comme suit :

  1. Configurez un Google Cloud projet. Vous pouvez également utiliser un Google Cloud projet qui a peut-être été configuré pour accéder à l'assistance Chronicle mais qui ne dispose pas encore d'une instance Google Security Operations.
  2. Activez l'API Chronicle.
  3. Configurez Google Cloud l'authentification pour accéder à SOAR. Consultez Configurer Google Cloud l'authentification pour accéder à SOAR.
  4. Indiquez l'ID du Google Cloud projet dans le formulaire Google de la notification dans le produit, puis confirmez la date et le créneau horaire de la migration avant d'envoyer le formulaire.
  5. Acceptez l'e-mail d'invitation à la page "Obtenir Google Security Operations" et terminez la configuration. Assurez-vous que les informations sur votre région sont exactes.
  6. Vérifiez que les étapes précédentes ont été correctement configurées en consultant le Guide de validation préalable à la migration.

Une fois ces étapes effectuées, Google effectue la migration à la date et à l'heure prévues. La migration nécessite environ deux heures d'arrêt pour les services SOAR. Une fois l'opération terminée, vous recevrez un e-mail contenant la nouvelle URL permettant d'accéder à la plate-forme SOAR. L'ancienne URL reste fonctionnelle jusqu'au 30 juin 2026 et redirige vers la nouvelle URL.

Configurer Google Cloud l'authentification pour accéder à SOAR

Selon le type d'identité que vous souhaitez utiliser, configurez l'une des options suivantes. Vous aurez peut-être besoin de l'aide de votre Google Cloud administrateur d'identité ou d'IdP pour effectuer ces étapes.

Option 1 : Configurer l'authentification Cloud Identity dans Google Cloud (comptes gérés par Google)

Ce scénario s'applique si vous gérez les comptes utilisateur directement dans Cloud Identity à l'aide de noms d'utilisateur et de mots de passe gérés par Google. Il ne s'applique pas si vous utilisez Cloud Identity pour l'authentification unique avec un fournisseur d'identité tiers tel qu'Okta ou Azure AD.

Procédez comme suit :

  1. Configurez Cloud Identity dans Google Cloud.

    Vous pouvez ignorer cette étape si vous avez déjà configuré Cloud Identity avec un nom d'utilisateur et un mot de passe gérés par Google.

  2. Assurez-vous que tous les utilisateurs SOAR existants sont configurés dans la console d'administration Cloud Identity.

  3. Attribuez les rôles requis dans IAM en suivant le format d'attribution des rôles pour les comptes Google.

    1. Attribuez les rôles IAM prédéfinis suivants dans Google Cloud au spécialiste de l'intégration :

    2. Attribuez l'un des rôles IAM prédéfinis suivants à tous les utilisateurs SOAR existants :

  4. Terminez la configuration de l'authentification dans SOAR en mappant chaque utilisateur (y compris les administrateurs) à un groupe d'utilisateurs de messagerie.

    1. Accédez à SOAR Settings > Advanced > Group Mapping (Paramètres SOAR > Avancé > Mappage de groupe).

    2. Cliquez sur add Add (Ajouter), puis saisissez les informations suivantes :

      • IdP / User group (IdP/Groupe d'utilisateurs) : nom du groupe d'utilisateurs de messagerie (par exemple, T1 analysts [Analystes T1]).
      • Permission Groups (Groupes d'autorisations) : sélectionnez les groupes d'autorisations.
      • SOC Roles (Rôles SOC) : sélectionnez les rôles SOC.
      • Environments (Environnements) : sélectionnez les environnements (par exemple, All Environments [Tous les environnements]).
      • Group Members (Membres du groupe) : saisissez les adresses e-mail des utilisateurs requis. Appuyez sur Entrée après avoir ajouté chaque adresse e-mail.

    3. Cliquez sur Add (Ajouter).

      Chaque fois qu'un utilisateur se connecte à la plate-forme, il est automatiquement ajouté à la page SOAR Settings > Organization > User Management (Paramètres SOAR > Organisation > Gestion des utilisateurs). L'instance migrée conserve ces mappages, qui servent de base pour déterminer l'accès des utilisateurs à SOAR. Vous devez vous assurer que chaque utilisateur est mappé sur cette page pour pouvoir accéder à Google SecOps.

Option 2 : Configurer l'authentification de la fédération des identités des employés dans Google Cloud

Ce scénario s'applique si vous gérez vos identités utilisateur à l'aide d'IdP tiers tels que Microsoft Azure Active Directory, Okta, Ping Identity et AD FS.

  1. Configurez la fédération des identités des employés dans Google Cloud Vous pouvez ignorer cette étape si elle a déjà été configurée.
  2. Assurez-vous que tous les utilisateurs existants dans SOAR font partie des groupes de pools d'employés configurés dans la fédération des identités des employés.

  3. Attribuez les rôles requis dans IAM en suivant le format d'attribution des rôles pour les identités des employés.

    1. Attribuez tous les rôles IAM prédéfinis suivants au spécialiste de l'intégration.

    2. Attribuez l'un des rôles suivants dans IAM à tous les utilisateurs SOAR existants :

  4. Terminez la configuration de l'authentification dans SOAR en mappant tous les groupes IdP qui doivent accéder à SOAR.

    Assurez-vous que les utilisateurs existants sont mappés à au moins l'un des groupes IdP.

    1. Accédez à SOAR Settings > Advanced > Group Mapping (Paramètres SOAR > Avancé > Mappage de groupe).
    2. Cliquez sur add Add (Ajouter), puis saisissez les informations suivantes :
      • IdP / User group (IdP/Groupe d'utilisateurs) : saisissez le nom du groupe de votre IdP.
      • Permission Groups (Groupes d'autorisations) : sélectionnez les groupes d'autorisations.
      • SOC Roles (Rôles SOC) : sélectionnez les rôles SOC.
      • Environments (Environnements) : sélectionnez les environnements (par exemple, All Environments [Tous les environnements]).
    3. Assurez-vous d'avoir ajouté le groupe IdP administrateur avec les autorisations d'administrateur pour les groupes d'autorisations et les rôles SOC, puis sélectionnez "Tous les environnements".
    4. Si vous avez des mappages de groupes IdP existants sur la page "External Authentication" (Authentification externe), vous devez les laisser tels quels afin de ne pas remplacer votre authentification SOAR existante. Pour la nouvelle Google Cloud authentification permettant d'accéder à SOAR, vous devez toujours configurer le mappage des groupes IdP sur la page Settings > SOAR Settings > Advanced > Group Mapping (Paramètres > Paramètres SOAR > Avancé > Mappage de groupe).
    5. Cliquez sur Add (Ajouter). Chaque fois qu'un utilisateur se connecte à la plate-forme, il est automatiquement ajouté à la page Settings > Organization > User Management (Paramètres > Organisation > Gestion des utilisateurs). L'instance migrée conserve ces mappages, qui servent de base pour déterminer l'accès des utilisateurs à SOAR. Vous devez vous assurer que chaque utilisateur est mappé sur cette page pour pouvoir accéder à Google SecOps.

Phase 2 de la migration pour tous les clients

Important : Vous devez effectuer la phase 1 avant de commencer la phase 2 de la migration.

La phase 2 de la migration est généralement disponible pour tous les clients à partir du 26 janvier 2026.

La date limite pour effectuer la transition vers les rôles IAM lors de la phase 2 est le 30 novembre 2026. La date limite pour la migration de l'API est prolongée jusqu'au 31 mars 2027.

Migrer les groupes d'autorisations SOAR vers Google Cloud IAM

Migrez les groupes d'autorisations et les autorisations SOAR vers IAM en un seul clic sur le script de migration dans Google Cloud. Le script crée des rôles personnalisés pour chaque groupe d'autorisations et les attribue aux utilisateurs pour les clients Cloud Identity ou aux groupes IdP pour les clients de la fédération des identités des employés. Vous pouvez également migrer les autorisations SOAR à l'aide de Terraform.

Pour obtenir des informations complètes sur le script de migration et les commandes Terraform, consultez Migrer les autorisations SOAR vers Google Cloud IAM.

Pour en savoir plus sur la configuration des autorisations, consultez Configurer l'accès aux fonctionnalités.

Une fois la migration des autorisations effectuée, les éléments suivants se produisent :

  • La page SOAR Settings > Organization > Permissions (Paramètres SOAR > Organisation > Autorisations) reste disponible jusqu'au 31 mars 2027 (pour assurer la rétrocompatibilité avec les anciennes API). N'apportez aucune modification à cette page. Les autorisations sont toutes gérées via IAM.
  • La colonne Permission Group (Groupe d'autorisations) de la page Group Mapping (Mappage de groupe) s'affiche pour assurer la rétrocompatibilité avec l'ancienne API SOAR. Ne supprimez pas ces attributions. La colonne sera automatiquement supprimée d'ici le 31 mars 2027 sans aucun impact sur le client.
  • La section des actions restreintes de la page Permissions (Autorisations) sera déplacée vers la page Group Mapping (Mappage de groupe).

Migrer les API SOAR vers l'API Chronicle

Si vous utilisez l'API SOAR par programmation à l'aide d'appels d'API ou via des intégrations, vous pouvez la migrer vers les nouveaux points de terminaison bêta de SOAR v1 disponibles dans l'API Chronicle.

Vous devez mettre à jour vos scripts et intégrations pour remplacer les points de terminaison de l'API SOAR par les points de terminaison correspondants de l'API Chronicle. L'ancienne API SOAR et les clés API sont disponibles jusqu'au 31 mars 2027, après quoi elles ne fonctionneront plus. Pour en savoir plus, consultez Migrer des points de terminaison vers l'API Chronicle.

Migrer les webhooks

Vous devez migrer les webhooks SOAR vers l'API Chronicle avant le 31 mars 2027 en procédant comme suit :

Mettez à jour l'URL de webhook côté client en remplaçant l'ancien domaine siemplify-soar.com par le nouveau domaine googleapis.com à l'aide du nouveau format de requête. L'ancien domaine siemplify-soar.com continuera de fonctionner jusqu'au 31 mars 2027.

Par exemple, un webhook défini sur : https://xxxx.siemplify-soar.com/api/external/v1/webhooks/{webhook_id}?api_key=xxxx

devra être mis à jour comme suit : https://us-chronicle.googleapis.com/v1alpha/projects/{project_id}/locations/{location}/instances/{instance/{instance_id}/webhooks/{webhook_id}?api_key=xxxx

L'authentification des webhooks reste inchangée. Les webhooks continuent d'utiliser la clé API qui a été créée initialement avec le lien du webhook.

Migrer l'infrastructure d'authentification des agents distants

Les étapes suivantes expliquent comment migrer l'infrastructure d'authentification de vos agents distants vers Google Cloud l'authentification par compte de service. Ce processus ne nécessite pas de migrer ni de remplacer les instances ou les hôtes des agents distants.

  1. Créez un compte de service au lieu d'une clé API pour l'agent distant.
  2. Effectuez une mise à niveau de version majeure de l'agent distant.

Les agents distants existants seront disponibles jusqu'au 30 novembre 2026, après quoi ils ne fonctionneront plus. Pour obtenir des instructions détaillées, consultez Migrer des agents distants vers Google Cloud.

Impact sur les journaux d'audit SOAR

Les journaux SOAR seront disponibles dans Google Cloud une fois que vous aurez effectué la migration des autorisations vers IAM. Tous les appels effectués vers l'ancienne API SOAR jusqu'au 31 mars 2027 resteront accessibles dans les journaux d'audit SOAR Pour les clients Google SecOps, consultez Collecter les journaux Google SecOps SOAR. Pour les clients autonomes de SOAR, consultez Collecter les journaux SOAR.

Autres modifications après la migration :

Type de licence Le type de licence est désormais déterminé par les autorisations attribuées à l'utilisateur dans IAM.

Page de destination La page de destination sera déplacée de la page "Autorisations" vers le menu User Preferences (Préférences utilisateur), accessible depuis votre avatar.

Étape suivante

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.