フェデレーション アクセスを有効にする

以下でサポートされています。

ケース管理連携機能を使用すると、セカンダリのお客様は、Google SecOps インスタンスを共有インスタンス内の環境として運用するのではなく、独自の独立した Google Security Operations プラットフォームを使用できます。この設定は、マネージド セキュリティ サービス プロバイダ（MSSP）や、地理的リージョン全体で独立したプラットフォームを必要とする企業に最適です。

すべてのケース メタデータは、次のようにセカンダリ（リモート）プラットフォームからプライマリ プロバイダのプラットフォームに同期されます。

  • プライマリ プラットフォームのアナリストは、アクセス権が付与されている場合、フェデレーション ケースを表示、アクセス、操作できます。
  • セカンダリのお客様は、プライマリ プラットフォームからアクセスできる環境とケースを制御できます。

プライマリ プラットフォームのアナリストがリモート ケースのリンクを開くと、ケースの環境にアクセスするために必要な権限がある場合、リモート プラットフォームにリダイレクトされます。リモート プラットフォームで、プライマリ プラットフォームのアナリストはメールアドレスとパスワードでログインできます。アクセスには有効な認証情報が必要で、現在のセッションに対してのみ付与されます。

プライマリ プラットフォーム ユーザーにセカンダリ プラットフォームへのアクセス権を付与する

1 つ以上のリモート（セカンダリ）プラットフォームへのアクセス権を割り当てる手順は次のとおりです。

  1. プライマリ プラットフォームで、[SOAR 設定] [>] [詳細] [>] [グループ マッピング] に移動します。
  2. 必要に応じて、ユーザーを追加または編集します。ユーザーを追加する方法について詳しくは、SecOps プラットフォームでユーザーをマッピングするをご覧ください。
  3. [プラットフォーム] フィールドで、必要な数のリモート プラットフォームを選択します。
  4. [保存] をクリックします。

プライマリ プラットフォームに新しいセカンダリ プラットフォームを登録する

セカンダリ プラットフォームを登録するには、プライマリ プラットフォームの Admin API キーが必要です。また、同期 API キーを生成する API 呼び出しを行う必要があります。

まだ Admin API キーがない場合は、次の手順で新しい Admin API キーを作成します。API キーの管理について詳しくは、こちらをご覧ください。

  1. [SOAR 設定]> [詳細]> [API キー] に移動します。
  2. 新しい Admin API キーを作成します。

次の手順で同期 API キーを生成します。

  1. 次の API 呼び出しを実行します。変数 $PRIMARY_INSTANCE_URL はプライマリ SOAR インスタンスのルート URL（https://primaryinstance.siemplify-soar.com など）で、"host" の値です。データ ペイロードで、https 接頭辞なしで、セカンダリ SOAR インスタンスに「host」値を設定します（例: mysecondary.siemplify-soar.com）。

    curl --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms" \
--header 'Content-Type: application/json' \
--header "AppKey: $ADMIN_API_KEY" \
--data '{
"displayName": "My Secondary Platform",
"host": "mysecondary.siemplify-soar.com"
}'

    これにより、セカンダリ プラットフォームごとに一意の同期 API キーが返されます。このキーは、プライマリ プラットフォームに対する認証に使用されます。

セカンダリ（リモート）プラットフォームでメタデータの同期を設定する

セカンダリ プラットフォームで同期を有効にするには、セカンダリ SecOps インスタンスで次の操作を行います。

ケース フェデレーション統合をダウンロードする

ケース フェデレーション統合をダウンロードする手順は次のとおりです。

  1. プラットフォームで、[コンテンツ ハブ] に移動します。
  2. [レスポンス統合] タブを選択し、ケース フェデレーション を検索します。
  3. [ケース フェデレーション統合の構成] をクリックし、[保存] をクリックします。[プライマリ] チェックボックスはオンにしないでください。
  4. [レスポンス] > [ジョブ スケジューラ] に移動し、[add][追加] をクリックします。
  5. [ジョブ名] フィールドで、[ケース 連携 同期ジョブ] を選択します。
  6. [統合] フィールドで、[ケース フェデレーション] を選択します。
  7. [作成] をクリックします。
  8. [ターゲット プラットフォーム] フィールドに、一次販売業者のホスト名を入力します。ホスト名は、https:// 接頭辞のないプラットフォーム URL です（例: primaryinstance.siemplify-soar.com）。
  9. [API キー] フィールドに、先ほど作成した同期 API キーを入力します。
  10. デフォルトの同期時間を 1 分に設定します。
  11. [保存] をクリックします。

プライマリ ユーザーにアクセス権を付与する

この手順では、関連するプライマリ プラットフォームのペルソナに対して、特定の環境に対する権限を付与できます。これにより、プライマリ アナリストはセカンダリ プラットフォームの関連ケースにピボットできます。

セカンダリ プラットフォームでユーザーを作成または編集する手順は次のとおりです。

  1. セカンダリ プラットフォームで、[SOAR 設定] > [詳細] > [IAM ロール マッピング] に移動します。
  2. 必要に応じて、ユーザーを追加または編集します。ユーザーを追加または編集する方法について詳しくは、Google SecOps プラットフォームでユーザーをマッピングするをご覧ください。
  3. [環境] フィールドで、プライマリ プラットフォームのアナリストがアクセスできる環境を選択します。
  4. [保存] をクリックします。

プライマリ プラットフォームからリモート ケースにアクセスする

プライマリ プラットフォームのユーザーは、[ケース] ページのリストビューまたは並べて表示ビューでリモート ケースを表示できます。

リモート プラットフォームでケースを開く手順は次のとおりです。

  1. [ケース] ページで、[リストビュー] または [並べて表示ビュー] を選択します。

  2. 次のいずれかを行います。

    • 並べて表示ビュー
      1. ケースキューで、「R」（リモート）とマークされたケースを探します。
      2. リモート ケースをクリックして、対応するリモート プラットフォームで開きます。
    • リストビュー
      1. [プラットフォーム] 列でリモート ケースを見つけます。
      2. [ケース ID] をクリックして、リモート プラットフォームでケースを開きます。

  3. メールアドレスとパスワードでリモート プラットフォームにログインします。

    ログインできない場合は、セカンダリのお客様がケースのソース環境へのアクセス権を付与していない可能性があります。

セカンダリ プラットフォームを一覧表示する

次のコマンドを実行すると、プライマリ プラットフォームからセカンダリ プラットフォームを一覧表示できます。このコマンドは、プラットフォーム名と ID のリストを返します。

curl --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms/{platform_id}" \
      --header 'Content-Type: application/json' \
      --header "AppKey: $ADMIN_API_KEY"

セカンダリ プラットフォームを削除する

次のコマンドを実行すると、プライマリ プラットフォームからセカンダリ プラットフォームを削除できます。

curl -X DELETE --location "$PRIMARY_INSTANCE_URL/api/external/v1/federation/platforms/{platform_id}" \
      --header "AppKey: $ADMIN_API_KEY"

さらにサポートが必要な場合コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。