Mappa gli utenti con Cloud Identity

Supportata in:

Google SecOps

Nota: se hai già completato la fase 2 della migrazione SOAR a Google Cloud, devi utilizzare IAM per gestire l'accesso alle funzionalità di Google SecOps, incluso SOAR. La colonna Gruppo di autorizzazioni viene ancora visualizzata dopo la migrazione nella pagina Mappatura dei gruppi per garantire la compatibilità con le versioni precedenti. Non eliminare queste assegnazioni. La colonna verrà rimossa entro il 31 marzo 2027 senza alcun impatto sui clienti. Per saperne di più, consulta Esegui la migrazione a Google Cloud.

Questo documento spiega come autenticare e mappare gli utenti con un'identificazione sicura a Google Security Operations.

Gestisci l'accesso degli utenti

Esistono diversi modi per gestire l'accesso degli utenti ai diversi aspetti della piattaforma:

• Gruppi di autorizzazioni: imposta i livelli di accesso degli utenti assegnandoli a gruppi di autorizzazioni specifici. Questi gruppi determinano i moduli e i sottomoduli che gli utenti possono visualizzare o modificare. Ad esempio, un utente potrebbe avere accesso alle pagine Casi e Workdesk, ma non a Playbook e Impostazioni. Per saperne di più, consulta Utilizza i gruppi di autorizzazioni.
Importante: ogni gruppo di autorizzazioni assegnato agli utenti deve avere almeno un modulo di destinazione predefinito attivato nelle impostazioni Autorizzazioni. Ad esempio, Home page, Dashboard o Richieste. Se disattivi tutti i moduli di destinazione predefiniti, si verificheranno errori di backend e un loop di reindirizzamento dell'accesso infinito.
• Ruoli SOC: definisci il ruolo di un gruppo di utenti. Puoi assegnare agli utenti ruoli SOC per semplificare la gestione delle attività. Anziché assegnare casi, azioni o playbook a singoli utenti, è possibile assegnarli a un ruolo SOC. Gli utenti possono visualizzare le richieste assegnate a loro, al loro ruolo o a ruoli aggiuntivi. Per saperne di più, consulta Utilizza i ruoli.
• Ambienti o gruppi di ambienti: configura ambienti o gruppi di ambienti per segmentare i dati tra reti o unità aziendali diverse, di uso comune dalle aziende e dai fornitori di servizi di sicurezza gestiti (MSSP). Gli utenti possono accedere solo ai dati all'interno degli ambienti o dei gruppi assegnati. Per saperne di più, consulta Utilizza gli ambienti.

Mappa i gruppi di utenti email

In questa sezione puoi mappare le email degli utenti o gli attributi dell'oggetto della federazione delle identità per la forza lavoro in gruppi per controllare l'accesso degli utenti all'interno di Google SecOps.

La combinazione di gruppi di autorizzazioni, ruoli SOC e ambienti determina lo user journey di Google SecOps per ogni gruppo nella piattaforma.

Esistono varie opzioni per la mappatura. Puoi mappare gli utenti con uno o più gruppi di autorizzazioni, ruoli SOC e ambienti. Questo processo garantisce che utenti diversi mappati a gruppi diversi ereditino tutti i livelli di autorizzazione necessari.

Per impostazione predefinita, Google SecOps include un gruppo di amministratori predefiniti.

Nota: i ruoli IAM (predefiniti o personalizzati) non possono essere aggiunti come nomi dei gruppi nella mappatura dei gruppi.

Per mappare i gruppi di email, segui questi passaggi:

1. Vai a Impostazioni > Impostazioni SOAR > Avanzate > Mappatura dei gruppi.
2. Assicurati di avere a disposizione quanto segue:
   • Nomi dei gruppi: il nome che assegni a un gruppo email, ad esempio T1 analysts.
   • Membri del gruppo: la raccolta di indirizzi email degli utenti o di attributi del soggetto della federazione delle identità della forza lavoro che compongono il gruppo.
3. Fai clic su Aggiungi Aggiungi e mappa gli indirizzi email o gli attributi dell'oggetto della federazione delle identità per la forza lavoro per ogni gruppo. Premi Aggiungi dopo aver aggiunto ogni elemento.
4. Al termine, fai clic su Aggiungi. Ogni volta che un utente accede alla piattaforma, viene aggiunto automaticamente alla pagina Gestione utenti, disponibile in Impostazioni > Organizzazione.

Quando gli utenti tentano di accedere alla piattaforma Google SecOps, ma il loro gruppo email non è stato mappato, per evitare che questi utenti vengano rifiutati, ti consigliamo di attivare le Impostazioni di accesso predefinite e di impostare le autorizzazioni di amministratore in questa pagina. Una volta completata la configurazione iniziale dell'amministratore, ti consigliamo di modificare le autorizzazioni dell'amministratore impostandole su un livello più basso.

Per informazioni sulle autorizzazioni multiple nella mappatura dei gruppi, consulta Mappa gli utenti con più parametri di controllo dell'accesso.

Mappa i gruppi ai parametri di controllo dell'accesso

Questa sezione descrive come mappare diversi gruppi email a uno o più parametri di controllo dell'accesso nella pagina Mappatura dei gruppi. Questo approccio è vantaggioso per i clienti che vogliono eseguire l'onboarding e il provisioning di gruppi di utenti in base a personalizzazioni specifiche, anziché aderire alla standardizzazione della piattaforma Google SecOps. Sebbene la mappatura dei gruppi ai parametri possa richiedere la creazione di più gruppi inizialmente, una volta impostata la mappatura, i nuovi utenti possono unirsi a Google SecOps senza la necessità di creare gruppi aggiuntivi.

Elimina un utente

Se elimini i gruppi da qui, assicurati di eliminare i singoli utenti dalla schermata Gestione utenti. Per saperne di più, vedi Disattiva o elimina un account utente.

Caso d'uso: assegnare campi di autorizzazione univoci a ciascun gruppo email

Il seguente caso d'uso illustra come utilizzare questa funzionalità per facilitare l'onboarding e il provisioning degli utenti in base alle esigenze della tua azienda.

La tua azienda ha tre utenti tipo diversi:

• Analisti della sicurezza (contenente i membri del gruppo Sasha e Tal)
• Ingegneri SOC (contenente i membri del gruppo Quinn e Noam)
• Ingegneri NOC (contenente i membri del gruppo Kim e Kai)

Gli analisti della sicurezza e gli ingegneri SOC hanno gli stessi gruppi di autorizzazioni Google SecOps (analista) e ruoli SOC (livello 1). Mentre gli analisti della sicurezza hanno le autorizzazioni per l'ambiente di Londra, i tecnici del SOC hanno le autorizzazioni per l'ambiente di Manchester. Nel frattempo, gli ingegneri NOC hanno le autorizzazioni per l'ambiente Londra, ma sono assegnati al gruppo di autorizzazioni Base e al ruolo SOC Livello 2.

Questo scenario è illustrato nella tabella seguente:

Gruppo	Gruppo di autorizzazioni	Ruolo SOC	Ambiente	Membri del gruppo
Analisti sicurezza	Analista	Livello 1	Londra	[e-mail], [e-mail]
Ingegneri SOC	Analista	Livello 1	Manchester	[e-mail], [e-mail]
Ingegneri NOC	Base	Livello 2	Londra	[e-mail], [e-mail]

Configura i gruppi email

Per configurare i gruppi email in Google SecOps, segui questi passaggi:

1. Crea i seguenti gruppi di email:
   • Analisti della sicurezza (contenente Sasha e Tal)
   • Ingegneri SOC (contenente Quinn e Noam)
   • Ingegneri NOC (contenente Kim e Kai)
2. Vai a Impostazioni > Impostazioni SOAR > Avanzate > Mappatura dei gruppi.
3. Fai clic su Aggiungi gruppo.
4. Inserisci i seguenti dettagli nella finestra di dialogo:
• Gruppo: Security analysts
• Gruppo di autorizzazioni: Analyst
• Ruolo SOC: Tier 1
• Ambiente: lascia vuoto
• Membri del gruppo: [e-mail], [e-mail]
5. Inserisci i seguenti dettagli nella finestra di dialogo successiva:
• Gruppo: SOC engineers
• Gruppo di autorizzazioni: Analyst
• Ruolo SOC: Tier 1
• Ambiente: lascia vuoto
• Membri del gruppo: [e-mail], [e-mail]
6. Inserisci i seguenti dettagli nella finestra di dialogo successiva:
• Gruppo: NOC engineers
• Gruppo di autorizzazioni: Basic
• Ruolo SOC: Tier 2
• Ambiente: lascia vuoto
• Membri del gruppo: [e-mail], [e-mail]
7. Inserisci i seguenti dettagli nella finestra di dialogo successiva:
• Gruppo: London
• Gruppo di autorizzazioni: lascia vuoto
• Ruolo SOC: lascia vuoto
• Membri del gruppo: lascia vuoto
• Ambiente: London
8. Inserisci i seguenti dettagli nella finestra di dialogo successiva:
• Gruppo: Manchester
• Gruppo di autorizzazioni: lascia vuoto
• Ruolo SOC: lascia vuoto
• Membri del gruppo: lascia vuoto
• Ambiente: Manchester

Per i clienti che utilizzano la funzionalità di federazione delle richieste, consulta Configura l'accesso alle richieste federate per Google SecOps.

Mappa i service account per l'accesso API

Per concedere l'accesso a un service account o l'accesso alla federazione delle identità dei workload a Google SecOps, devi mappare l'identità ai parametri di controllo dell'accesso della piattaforma. Questa mappatura è un passaggio obbligatorio per fornire all'identità l'accesso necessario ai ruoli SOC e agli ambienti richiesti per eseguire attività automatizzate o operazioni API.

1. Vai a Impostazioni SOAR > Avanzate > Mappatura dei gruppi.
2. Fai clic su add Aggiungi.

3. Completa i campi nella finestra di dialogo Aggiungi mappatura per mappare l'identità ai parametri di controllo dell'accesso della piattaforma.

   1. Nel campo IdP / User group (IdP/Gruppo di utenti), inserisci uno dei seguenti valori:
      • L'indirizzo email completo del tuo account di servizio, se l'identità è stata configurata utilizzando Cloud Identity.
      • La stringa dell'entità Workload Identity, se l'identità è stata configurata utilizzando la federazione delle identità per la forza lavoro.

   2. Configura i seguenti campi di controllo dell'accesso:

      Campo	Descrizione
      Gruppi di autorizzazioni	Seleziona i gruppi di autorizzazioni per definire i moduli e i sottomoduli a cui l'identità può accedere.
      Ruoli del SOC	Seleziona i ruoli SOC per definire il ruolo dell'identità (ad esempio Tier 1).
      Ambienti	Seleziona gli ambienti o i gruppi di ambienti a cui l'identità può accedere (ad esempio Tutti gli ambienti).
      Membri del gruppo	Inserisci le email degli utenti richieste, se applicabile. Premi Invio dopo aver aggiunto ogni email.
      Azioni limitate	Seleziona le azioni limitate per limitare operazioni specifiche all'interno dei moduli.

4. Fai clic su Aggiungi.

Risoluzione dei problemi

Loop di reindirizzamento di accesso infinito

In Google SecOps, l'accesso può comportare un loop di caricamento o loop di reindirizzamento infinito anche se le mappature dei gruppi IdP, le asserzioni JWT e le autorizzazioni IAM sono configurate correttamente.

Se un utente riscontra un loop di caricamento infinito, verifica se tutti i moduli di destinazione predefiniti del gruppo di autorizzazioni assegnato sono disattivati. Ad esempio, Home page, Dashboard o Richieste. Vai a Impostazioni SOAR > Autorizzazioni e attiva almeno un modulo di destinazione predefinito per ripristinare l'accesso.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.