Cloud Identity でユーザーをマッピングする

以下でサポートされています。

Google SecOps

注: 「 Google Cloudへの SOAR 移行のステージ 2 をすでに完了している場合は、IAM を使用して、SOAR を含む Google SecOps への機能アクセスを管理する必要があります。下位互換性を確保するため、移行後も [グループ マッピング] ページに [権限グループ] 列が表示されます。これらの割り当ては削除しないでください。この列は 2027 年 3 月 31 日までに削除されます。お客様への影響はありません。詳細については、 Google Cloudに移行するをご覧ください。

このドキュメントでは、安全な識別を使用してユーザーを認証し、Google Security Operations にマッピングする方法について説明します。

ユーザー アクセスを制御する

プラットフォームのさまざまな側面へのユーザー アクセスを管理する方法はいくつかあります。

• 権限グループ: ユーザーを特定の権限グループに割り当てて、ユーザーのアクセスレベルを設定します。これらのグループによって、ユーザーが表示または編集できるモジュールとサブモジュールが決まります。たとえば、ユーザーは [ケース] ページと [ワークデスク] ページにアクセスできますが、[ハンドブック] と [設定] へのアクセスは制限されます。詳細については、権限グループを操作するをご覧ください。
重要: ユーザーに割り当てられた権限グループには、[権限] 設定で少なくとも 1 つのデフォルトのランディング モジュールが有効になっている必要があります。たとえば、[ホームページ]、[ダッシュボード]、[ケース] などがあります。すべてのデフォルトのランディング モジュールを無効にすると、バックエンド エラーが発生し、ログイン リダイレクト ループが無限に発生します。
• SOC ロール: ユーザー グループのロールを定義します。ユーザーを SOC ロールに割り当てて、タスク管理を効率化できます。ケース、アクション、ハンドブックを個人に割り当てる代わりに、SOC ロールに割り当てることができます。ユーザーは、自分、自分のロール、または追加ロールに割り当てられたケースを確認できます。詳細については、 ロールを操作するをご覧ください。
• 環境または環境グループ: 環境または環境グループを構成して、異なるネットワークまたはビジネス ユニット間でデータをセグメント化します。これは、企業やマネージド セキュリティ サービス プロバイダ（MSSP）で一般的に使用されます。ユーザーは、割り当てられた環境またはグループ内のデータにのみアクセスできます。詳細については、 環境を操作するをご覧ください。

メール ユーザー グループをマッピングする

このセクションでは、ユーザーのメールアドレスまたは Workforce Identity 連携のサブジェクト属性をグループにマッピングして、Google SecOps 内のユーザー アクセスを制御できます。

権限グループ、SOC ロール、環境の組み合わせによって、プラットフォーム内の各グループの Google SecOps ユーザー ジャーニーが決まります。

マッピングにはさまざまなオプションがあります。ユーザーは、1 つまたは複数の権限グループ、SOC ロール、環境にマッピングできます。このプロセスにより、異なるグループにマッピングされた異なるユーザーが、必要なすべての権限レベルを継承するようになります。

デフォルトでは、Google SecOps にはデフォルトの管理者グループが含まれています。

注: IAM ロール（事前定義またはカスタム）をグループ マッピングのグループ名として追加することはできません。

メールグループをマッピングする手順は次のとおりです。

1. [設定] > [SOAR 設定] > [詳細] > [グループ マッピング] に移動します。
2. 以下のものが揃っていることを確認してください。
   • グループ名: メールグループに割り当てる名前（T1 analysts など）。
   • グループ メンバー: そのグループを構成するユーザーのメールアドレスまたは Workforce Identity 連携のサブジェクト属性のコレクション。
3. [ 追加 ] 追加をクリックし、各グループのメールアドレスまたは Workforce Identity 連携のサブジェクト属性をマッピングします。各項目を追加したら、[追加] を押します。
4. 完了したら、[追加] をクリックします。ユーザーがプラットフォームにログインするたびに、[ユーザー管理] ページ（[設定] > [組織]）に自動的に追加されます。

ユーザーが Google SecOps プラットフォームにログインしようとしたときに、メールグループがマッピングされていない場合、これらのユーザーが拒否されないようにするには、このページで [デフォルトのアクセス設定] を有効にして、管理者権限を設定することをおすすめします。初期の管理者設定が完了したら、管理者権限をより最小限のレベルに調整することをおすすめします。

グループ マッピングでの複数の権限については、複数の制御アクセス パラメータを使用してユーザーをマッピングするをご覧ください。

グループをアクセス制御パラメータにマッピングする

このセクションでは、[グループ マッピング] ページで、さまざまなメールグループを 1 つ以上のアクセス制御パラメータにマッピングする方法について説明します。このアプローチは、Google SecOps プラットフォームの標準化に準拠するのではなく、特定のカスタマイズに基づいてユーザー グループをオンボーディングしてプロビジョニングする場合に役立ちます。グループをパラメータにマッピングするには、最初にさらに多くのグループを作成する必要がありますが、マッピングが設定されると、新規ユーザーは追加のグループを作成することなく Google SecOps に参加できます。

ユーザーを削除する

ここでグループを削除する場合は、[ユーザー管理] 画面から個々のユーザーを削除してください。詳細については、「ユーザーアカウントを無効にするか削除する」を参照してください。

ユースケース: 各メールグループに固有の権限フィールドを割り当てる

次のユースケースは、この機能を使用して、会社のニーズに応じてユーザーのオンボーディングとプロビジョニングを行う方法を示しています。

あなたの会社には、次の 3 つの異なるペルソナがあります。

• セキュリティ アナリスト（グループ メンバーの Sasha と Tal を含む）
• SOC エンジニア（グループ メンバーの Quinn と Noam を含む）
• NOC エンジニア（グループ メンバーの Kim と Kai を含む）

セキュリティ アナリストと SOC エンジニアには、同じ Google SecOps 権限グループ（アナリスト）と SOC ロール（ティア 1）があります。セキュリティ アナリストにはロンドン環境の権限があり、SOC エンジニアにはマンチェスター環境の権限があります。一方、NOC エンジニアには London 環境の権限がありますが、Basic 権限グループと Tier 2 SOC ロールが割り当てられています。

このシナリオを次の表に示します。

グループ	権限グループ	SOC ロール	環境	グループ メンバー
セキュリティ アナリスト	アナリスト	Tier 1	ロンドン	[e-mail], [e-mail]
SOC エンジニア	アナリスト	Tier 1	マンチェスター	[e-mail], [e-mail]
NOC エンジニア	基本	Tier 2	ロンドン	[e-mail], [e-mail]

メールグループを設定する

Google SecOps でメールグループを設定する手順は次のとおりです。

1. 次のメールグループを作成します。
   • セキュリティ アナリスト（Sasha と Tal を含む）
   • SOC エンジニア（Quinn と Noam を含む）
   • NOC エンジニア（Kim と Kai を含む）
2. [設定] > [SOAR 設定] > [詳細] > [グループ マッピング] に移動します。
3. [グループを追加] をクリックします。
4. ダイアログに次の詳細を入力します。
• グループ: Security analysts
• 権限グループ: Analyst
• SOC ロール: Tier 1
• 環境: 空白のままにする
• グループ メンバー: [e-mail], [e-mail]
5. 次のダイアログで、以下の詳細を入力します。
• グループ: SOC engineers
• 権限グループ: Analyst
• SOC ロール: Tier 1
• 環境: 空白のままにする
• グループ メンバー: [e-mail], [e-mail]
6. 次のダイアログで、以下の詳細情報を入力します。
• グループ: NOC engineers
• 権限グループ: Basic
• SOC ロール: Tier 2
• 環境: 空白のままにする
• グループ メンバー: [e-mail]、[e-mail]
7. 次のダイアログで、以下の詳細情報を入力します。
• グループ: London
• [パーミッション グループ]: 空白のままにします
• SOC ロール: 空白のままにする
• グループ メンバー: 空白のままにする
• 環境: London
8. 次のダイアログで、以下の詳細情報を入力します。
• グループ: Manchester
• 権限グループ: 空白のままにする
• SOC ロール: 空白のままにする
• グループ メンバー: 空白のままにする
• 環境: Manchester

ケース連携機能を使用するお客様は、 Google SecOps の連携ケースアクセスを設定するをご覧ください。

API アクセス用のサービス アカウントをマッピングする

Google SecOps へのサービス アカウント アクセスまたは Workload Identity 連携アクセスを付与するには、ID をプラットフォームのアクセス制御パラメータにマッピングする必要があります。このマッピングは、自動タスクや API オペレーションの実行に必要な SOC ロールと環境へのアクセス権を ID に付与するために必要なステップです。

1. [SOAR 設定] > [詳細] > [グループ マッピング] に移動します。
2. [追加] 追加 をクリックします。

3. [マッピングを追加] ダイアログのフィールドに値を入力して、ID をプラットフォームのアクセス制御パラメータにマッピングします。

   1. [IdP / ユーザー グループ] フィールドに、次のいずれかを入力します。
      • Cloud Identity を使用して ID が設定されている場合は、サービス アカウントの完全なメールアドレス。
      • Workload Identity プリンシパル文字列（Workforce Identity 連携を使用して ID が設定されている場合）。

   2. 次のアクセス制御フィールドを構成します。

      フィールド	説明
      権限グループ	権限グループを選択して、ID がアクセスできるモジュールとサブモジュールを定義します。
      SOC ロール	SOC ロールを選択して、ID のロール（Tier 1 など）を定義します。
      環境	ID がアクセスできる環境または環境グループ（[すべての環境] など）を選択します。
      グループ メンバー	必要に応じて、必要なユーザーのメールアドレスを入力します。メールアドレスを追加するごとに Enter キーを押します。
      制限される操作	制限付きアクションを選択して、モジュール内の特定の操作を制限します。

4. [追加] をクリックします。

トラブルシューティング

ログイン リダイレクトの無限ループ

Google SecOps では、IdP グループ マッピング、JWT アサーション、IAM 権限が正しく構成されている場合でも、ログインすると無限の読み込みループやリダイレクト ループが発生することがあります。

ユーザーが無限の読み込みループに遭遇した場合は、割り当てられた権限グループでデフォルトのランディング モジュールがすべて無効になっているかどうかを確認します。たとえば、[ホームページ]、[ダッシュボード]、[ケース] などがあります。[SOAR 設定] > [権限] に移動し、少なくとも 1 つのデフォルトのランディング モジュールを有効にしてアクセスを復元します。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。