使用 Cloud Identity 映射用户

支持范围：

Google SecOps

注意：如果您已完成 SOAR 迁移至 Google Cloud的第 2 阶段，则需要使用 IAM 来管理对 Google SecOps（包括 SOAR）的功能访问权限。迁移后，权限组列仍会显示在群组映射页面中，以实现向后兼容。请勿删除这些分配。该列将于 2027 年 3 月 31 日之前移除，不会对客户造成任何影响。如需了解详情，请参阅迁移到 Google Cloud。

本文档介绍了如何使用安全身份验证和映射用户到 Google Security Operations。

控制用户访问权限

您可以通过多种方式管理用户对平台不同方面的访问权限：

• 权限组：通过将用户分配到特定权限组来设置其访问权限级别。这些群组决定了用户可以查看或修改哪些模块和子模块。例如，用户可能有权访问案例和工作台页面，但无法访问 playbook 和设置。 如需了解详情，请参阅使用权限组。
重要提示：分配给用户的任何权限组都必须在其权限设置中至少启用一个默认着陆模块。例如首页、信息中心或支持请求。如果您停用所有默认着陆模块，则会导致后端错误，并导致无限登录重定向循环。
• SOC 角色：定义一组用户的角色。您可以将用户分配到 SOC 角色，以简化任务管理。您可以将支持请求、操作或 playbook 分配给 SOC 角色，而不是分配给个人。用户可以查看分配给他们、其角色或其他角色的支持请求。 如需了解详情，请参阅 使用角色。
• 环境或环境组：配置环境或环境组，以在不同的网络或业务单位之间细分数据，这通常由企业和代管式安全服务提供商 (MSSP) 使用。用户只能访问分配给他们的环境或群组中的数据。如需了解详情，请参阅 使用环境。

映射电子邮件用户群组

在此部分中，您可以将用户邮箱或员工身份联合主题属性映射到群组，以控制 Google SecOps 中的用户访问权限。

权限组、SOC 角色和环境的组合决定了平台中每个群组的 Google SecOps 用户体验历程。

映射有多种选项。您可以将用户映射到一个或多个权限组、SOC 角色和环境。此过程可确保映射到不同群组的不同用户继承所有必要的权限级别。

默认情况下，Google SecOps 包含一组默认管理员。

注意：IAM 角色（预定义或自定义）不能作为群组名称添加到群组映射中。

如需映射电子邮件群组，请按以下步骤操作：

1. 前往设置 > SOAR 设置 > 高级 > 群组映射。
2. 请确保您已备好以下各项：
   • 群组名称：您为电子邮件群组指定的名称，例如 T1 analysts。
   • 群组成员：构成该群组的用户邮箱或员工身份联合主题属性的集合。
3. 点击 添加 添加，然后为每个群组映射电子邮件或员工身份联合主题属性。每添加一项后，请按添加。
4. 完成后，点击添加。用户每次登录平台时，都会自动添加到用户管理页面（位于设置 > 组织下）。

当用户尝试登录 Google SecOps 平台，但其电子邮件群组尚未映射时，为防止这些用户被拒绝，我们建议您启用默认访问权限设置，并在此页面上设置管理员权限。完成初始管理员设置后，我们建议您将管理员权限调整为更低的权限级别。

如需了解群组映射中的多项权限，请参阅使用多个控制访问权限参数映射用户。

将群组映射到访问权限控制参数

本部分介绍了如何在群组映射页面中将不同的电子邮件群组映射到一个或多个访问权限控制参数。这种方法对希望根据特定自定义设置（而不是遵循 Google SecOps 平台的标准化设置）来配置和预配用户群组的客户很有帮助。虽然将群组映射到参数可能需要您在初始阶段创建更多群组，但映射设置完成后，新用户无需创建其他群组即可加入 Google SecOps。

删除用户

如果您在此处删除了群组，请务必在用户管理界面中删除各个用户。如需了解详情，请参阅停用或删除用户账号。

应用场景：为每个电子邮件群组分配唯一的权限字段

以下用例说明了如何使用此功能根据贵公司的需求帮助用户完成初始配置和预配。

贵公司有三种不同的角色：

• 安全分析师（包含群组成员 Sasha 和 Tal）
• SOC 工程师（包含群组成员 Quinn 和 Noam）
• NOC 工程师（包含群组成员 Kim 和 Kai）

安全分析师和 SOC 工程师具有相同的 Google SecOps 权限组（分析师）和 SOC 角色（一级）。安全分析师拥有伦敦环境的权限，而 SOC 工程师拥有曼彻斯特环境的权限。与此同时，NOC 工程师拥有伦敦环境的权限，但被分配了基本权限组和第 2 层 SOC 角色。

下表说明了这种情况：

群组	权限组	SOC 中的角色	环境	组成员
安全分析师	分析师	层级 1	伦敦	[e-mail], [e-mail]
SOC 工程师	分析师	层级 1	曼彻斯特	[e-mail], [e-mail]
NOC 工程师	基本	层级 2	伦敦	[e-mail], [e-mail]

设置电子邮件群组

如需在 Google SecOps 中设置电子邮件群组，请执行以下操作：

1. 创建以下电子邮件群组：
   • 安全分析师（包含 Sasha 和 Tal）
   • SOC 工程师（包括 Quinn 和 Noam）
   • NOC 工程师（包含 Kim 和 Kai）
2. 前往设置 > SOAR 设置 > 高级 > 群组映射。
3. 点击添加群组。
4. 在对话框中输入以下详细信息：
• 群组：Security analysts
• 权限组：Analyst
• SOC 角色：Tier 1
• 环境：留空
• 群组成员：[e-mail], [e-mail]
5. 在下一个对话框中输入以下详细信息：
• 群组：SOC engineers
• 权限组：Analyst
• SOC 角色：Tier 1
• 环境：留空
• 群组成员： [e-mail], [e-mail]
6. 在下一个对话框中输入以下详细信息：
• 群组：NOC engineers
• 权限组：Basic
• SOC 角色：Tier 2
• 环境：留空
• 群组成员：[e-mail]、[e-mail]
7. 在下一个对话框中输入以下详细信息：
• 群组：London
• 权限组： 留空
• SOC 中的角色：留空
• 群组成员：留空
• 环境： London
8. 在下一个对话框中输入以下详细信息：
• 群组：Manchester
• 权限组： 留空
• SOC 中的角色：留空
• 群组成员：留空
• 环境： Manchester

对于使用案例联合功能的客户，请参阅 为 Google SecOps 设置联合案例访问权限。

映射服务账号以进行 API 访问

如需向 Google SecOps 授予服务账号访问权限或工作负载身份联合访问权限，您必须将该身份映射到平台的访问权限控制参数。此映射是强制性步骤，旨在为身份提供必要的访问权限，以便其能够访问执行自动化任务或 API 操作所需的 SOC 角色和环境。

1. 前往 SOAR 设置 > 高级 > 群组映射。
2. 点击添加 添加。

3. 填写添加映射对话框中的字段，将身份映射到平台的访问权限控制参数。

   1. 在 IdP/用户群组字段中，输入以下内容之一：
      • 服务账号的完整邮箱（如果身份是使用 Cloud Identity 设置的）。
      • Workload Identity 主账号字符串（如果身份是使用员工身份联合设置的）。

   2. 配置以下访问权限控制字段：

      字段	说明
      权限组	选择权限组，以定义该身份可以访问哪些模块和子模块。
      SOC 角色	选择 SOC 角色以定义身份的角色（例如第 1 层）。
      环境	选择该身份可以访问的环境或环境组（例如所有环境）。
      群组成员	输入所需的用户邮箱（如适用）。每添加一个邮箱后按 Enter 键。
      受限操作	选择受限操作，以限制模块内的特定操作。

4. 点击 Add（添加）。

问题排查

无限登录重定向循环

在 Google SecOps 中，即使 IdP 组映射、JWT 断言和 IAM 权限配置正确，登录也可能导致无限加载或重定向循环。

如果用户遇到无限加载循环，请检查其分配的权限组是否已停用所有默认着陆模块。例如首页、信息中心或支持请求。前往 SOAR 设置 > 权限，然后至少启用一个默认着陆模块以恢复访问权限。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。