Mapper des utilisateurs avec une identité tierce

Compatible avec :

Google SecOps

Remarque : Si vous avez déjà terminé la phase 2 de la migration SOAR vers Google Cloud, vous devez utiliser IAM pour gérer l'accès aux fonctionnalités de Google SecOps, y compris SOAR. La colonne Groupe d'autorisations s'affiche toujours après la migration sur la page Mappage des groupes pour assurer la rétrocompatibilité. Ne supprimez pas ces attributions. La colonne sera supprimée d'ici le 30 novembre 2026, sans impact sur les clients. Pour en savoir plus, consultez Migrer vers Google Cloud.

Ce document explique comment provisionner, authentifier et mapper des utilisateurs avec une identification sécurisée sur la plate-forme Google Security Operations. Il décrit le processus de configuration avec Google Workspace en tant que fournisseur d'identité (IdP) externe, bien que les étapes soient similaires pour les autres IdP. Lorsque vous utilisez le fournisseur d'identité Cloud, vous devez configurer le service avec des groupes de messagerie au lieu de groupes IdP. Pour en savoir plus, consultez Mapper les utilisateurs de la plate-forme Google SecOps à l'aide de Cloud Identity.

Configurer les attributs SAML pour le provisionnement

Cette section ne s'applique qu'avant la phase 1 de la migration SOAR vers Google Cloud. Une fois l'étape 1 de la migration terminée, consultez Google Cloud Authentification de l'identité tierce.

Pour configurer les attributs et les groupes SAML dans le fournisseur d'identité externe, procédez comme suit :

1. Dans Google Workspace, accédez à la section de mappage Attributs SAML.
2. Ajoutez les attributs obligatoires suivants :
• first_name
• last_name
• user_email
• groups
3. Dans Groupes Google, saisissez les noms des groupes de l'IdP. Par exemple, Google SecOps administrators ou Gcp-security-admins. Notez ces noms de groupes, car vous en aurez besoin plus tard pour le mappage dans la plate-forme Google SecOps. (Dans d'autres fournisseurs externes, tels qu'Okta, on parle de groupes IdP.)

Figure 1 : Mappage des attributs SAML

Configurer le provisionnement de l'IdP

Cette section ne s'applique qu'avant la phase 1 de la migration SOAR vers Google Cloud. Une fois l'étape 1 terminée, consultez Google Cloud Authentification de l'identité par un tiers.

Pour configurer le provisionnement de l'IdP, suivez les étapes décrites dans Configurer l'IdP et Créer un fournisseur de pool d'identités de personnel.

L'exemple suivant est la commande de création workforce pool pour la configuration de l'application décrite dans Configurer la fédération des identités des employés :

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool=WORKFORCE_POOL_ID \
  --location="global" \
  --display-name=WORKFORCE_PROVIDER_DISPLAY_NAME \
  --description=WORKFORCE_PROVIDER_DESCRIPTION \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="google.subject=assertion.subject,attribute.first_name=assertion.attributes.first_name[0],attribute.last_name=assertion.attributes.last_name[0],attribute.user_email=assertion.attributes.user_email[0],google.groups=assertion.attributes.groups"

Contrôler l'accès des utilisateurs

Il existe plusieurs façons de gérer l'accès des utilisateurs aux différents aspects de la plate-forme :

• Groupes d'autorisations : définissez les niveaux d'accès des utilisateurs en les attribuant à des groupes d'autorisations spécifiques. Ces groupes déterminent les modules et sous-modules que les utilisateurs peuvent afficher ou modifier. Par exemple, un utilisateur peut avoir accès aux pages Demandes et Espace de travail, mais pas à Playbooks ni à Paramètres. Pour en savoir plus, consultez Utiliser des groupes d'autorisations.
Important : Tout groupe d'autorisations attribué à des utilisateurs doit avoir au moins un module de destination par défaut activé dans ses paramètres Autorisations. Par exemple, Page d'accueil, Tableaux de bord ou Demandes. Si vous désactivez tous les modules de page de destination par défaut, des erreurs de backend se produiront et une boucle de redirection de connexion infinie sera générée.
• Rôles SOC : définissez le rôle d'un groupe d'utilisateurs. Vous pouvez attribuer des rôles SOC aux utilisateurs pour simplifier la gestion des tâches. Au lieu d'attribuer des requêtes, des actions ou des playbooks à des personnes, vous pouvez les attribuer à un rôle SOC. Les utilisateurs peuvent voir les demandes qui leur sont attribuées, ainsi que celles attribuées à leur rôle ou à des rôles supplémentaires. Pour en savoir plus, consultez Utiliser des rôles.
• Environnements ou groupes d'environnements : configurez des environnements ou des groupes d'environnements pour segmenter les données sur différents réseaux ou unités commerciales. Cette option est couramment utilisée par les entreprises et les fournisseurs de services de sécurité gérés (MSSP). Les utilisateurs ne peuvent accéder aux données que dans les environnements ou les groupes qui leur sont attribués. Pour en savoir plus, consultez Utiliser des environnements.

Mappez et authentifiez les utilisateurs

La combinaison de groupes d'autorisations, de rôles SOC et d'environnements détermine le parcours utilisateur Google SecOps pour chaque groupe IdP sur la plate-forme Google SecOps.

• Pour les clients qui utilisent un fournisseur tiers, mappez chaque groupe IdP défini dans les paramètres SAML sur la page Mappage de groupe.
• Pour les clients qui utilisent Cloud Identity Provider, mappez les groupes de messagerie sur la page Mappage de groupe. Pour en savoir plus, consultez Mapper les utilisateurs de la plate-forme Google SecOps à l'aide de Cloud Identity.

Vous pouvez mapper des groupes IdP avec plusieurs groupes d'autorisations, rôles SOC et environnements. Cela permet de s'assurer que les différents utilisateurs mappés à différents groupes IdP dans le fournisseur SAML héritent de tous les niveaux d'autorisation requis. Pour en savoir plus, y compris sur la façon dont Google SecOps gère cela, consultez Autorisations multiples dans le mappage de groupes IdP.

Vous pouvez également choisir de mapper des groupes IdP à des paramètres d'accès individuels. Cela permet un niveau de mappage plus précis et peut être utile pour les clients de grande taille. Pour en savoir plus, consultez Mapper des groupes IdP à des paramètres de contrôle des accès.

Par défaut, la plate-forme Google SecOps inclut un groupe IdP d'administrateurs par défaut.

Pour mapper des groupes IdP, procédez comme suit :

1. Dans Google SecOps, accédez à Paramètres SOAR > Avancé > Mappage des groupes.
2. Assurez-vous d'avoir les noms des groupes IdP à portée de main.
3. Cliquez sur Ajouter Ajouter, puis commencez à mapper les paramètres pour chaque groupe d'IdP.
4. Lorsque vous avez terminé, cliquez sur Ajouter. Chaque fois qu'un utilisateur se connecte à la plate-forme, il est automatiquement ajouté à la page Gestion des utilisateurs, qui se trouve sous Paramètres > Organisation.

Lorsque des utilisateurs tentent de se connecter à la plate-forme Google SecOps, mais que leur groupe IdP n'a pas été mappé, nous vous recommandons d'activer les paramètres d'accès par défaut et de définir des autorisations d'administrateur sur cette page pour que les utilisateurs ne soient pas refusés. Une fois la configuration initiale de l'administrateur terminée, nous vous suggérons de réduire les autorisations de l'administrateur.

Mapper les groupes IdP sur les paramètres de contrôle des accès

Cette section explique comment mapper différents groupes IdP à un ou plusieurs paramètres de contrôle des accès sur la page Mappage des groupes IdP. Cette approche est utile pour les clients qui souhaitent intégrer et provisionner des groupes d'utilisateurs en fonction de personnalisations spécifiques, plutôt que de respecter la standardisation de la plate-forme Google SecOps SOAR. Bien que le mappage de groupes à des paramètres puisse vous obliger à créer plus de groupes au départ, une fois le mappage défini, les nouveaux utilisateurs peuvent rejoindre Google SecOps sans avoir à créer de groupes supplémentaires.

Pour en savoir plus sur les autorisations multiples dans le mappage de groupes, consultez Mapper des utilisateurs avec plusieurs paramètres de contrôle d'accès.

Supprimer des comptes utilisateur

Si vous supprimez des groupes ici, veillez à supprimer les utilisateurs individuels de l'écran Gestion des utilisateurs. Pour en savoir plus, consultez Supprimer des utilisateurs Google SecOps.

Cas d'utilisation : attribuer des champs d'autorisation uniques à chaque groupe d'IdP

L'exemple suivant illustre comment utiliser cette fonctionnalité pour faciliter l'intégration et le provisionnement des utilisateurs en fonction des besoins de votre entreprise.

Votre entreprise dispose de trois personas différents :

• Analystes de la sécurité (Sasha et Tal)
• Ingénieurs SOC (dont Quinn et Noam)
• Ingénieurs NOC (contenant les membres du groupe Kim et Kai)

Les analystes de sécurité et les ingénieurs SOC ont les mêmes groupes d'autorisations Google SecOps (Analyste) et rôles SOC (Niveau 1). Toutefois, les analystes de sécurité ont des autorisations pour l'environnement de Londres, tandis que les ingénieurs SOC ont des autorisations pour l'environnement de Manchester. Les ingénieurs NOC, quant à eux, disposent d'autorisations pour l'environnement Londres, mais sont affectés au groupe d'autorisations Basique et au rôle SOC Niveau 2.

Ce scénario est illustré dans le tableau suivant :

Persona	Groupe d'autorisations	Rôle dans le SOC	Environnement
Analystes de sécurité	Analyste	Niveau 1	Londres
Ingénieurs SOC	Analyste	Niveau 1	Manchester
Ingénieurs NOC	De base	Niveau 2	Londres

Pour cet exemple, supposons que vous avez déjà configuré les groupes d'autorisations, les rôles SOC et les environnements nécessaires dans Google SecOps.

Voici comment configurer les groupes IdP dans le fournisseur SAML et dans la plate-forme Google SecOps :

1. Dans votre fournisseur SAML, créez les groupes d'utilisateurs suivants :
   • Analystes de sécurité (contenant Sasha et Tal)
   • Ingénieurs SOC (dont Quinn et Noam)
   • Ingénieurs NOC (contenant Kim et Kai)
   • Londres (avec Sasha, Tal, Kim et Kai)
   • Manchester (avec Quinn et Noam)
2. Accédez à Paramètres> Paramètres SOAR> Avancé> Mappage des groupes.
3. Cliquez sur Ajouter Ajouter.
4. Saisissez les informations suivantes dans la boîte de dialogue :
• IdP / Groupe d'utilisateurs : Security analysts
• Groupe d'autorisations : Analyst
• Rôle dans le SOC : Tier 1
• Environnement : laissez le champ vide
5. Dans la boîte de dialogue suivante, saisissez les informations suivantes :
• Groupe IdP : SOC engineers
• Groupe d'autorisations : Analyst
• Rôle dans le SOC : Tier 1
• Environnement : laissez le champ vide
6. Dans la boîte de dialogue suivante, saisissez les informations suivantes :
• Groupe IdP : NOC engineers
• Groupe d'autorisations : Basic
• Rôle dans le SOC : Tier 2
• Environnement : laissez le champ vide
7. Dans la boîte de dialogue suivante, saisissez les informations suivantes :
• Groupe IdP : London
• Groupe d'autorisations : laissez ce champ vide
• Rôle dans le SOC : laisser vide
• Environnement : London
8. Saisissez les informations suivantes dans la boîte de dialogue suivante :
• Groupe IdP : Manchester
• Groupe d'autorisations : laissez ce champ vide
• Rôle dans le SOC : laisser vide
• Environnement : Manchester

Pour les clients qui utilisent la fonctionnalité de fédération des demandes, consultez Configurer l'accès aux demandes fédérées pour Google SecOps.

Mapper les comptes de service pour l'accès à l'API

Pour accorder l'accès à un compte de service ou l'accès à la fédération d'identité de charge de travail à Google SecOps, vous devez mapper l'identité aux paramètres de contrôle des accès de la plate-forme. Ce mappage est une étape obligatoire pour fournir à l'identité l'accès nécessaire aux rôles SOC et aux environnements requis pour effectuer des tâches automatisées ou des opérations d'API.

1. Accédez à Paramètres SOAR> Avancé> Mappage des groupes.
2. Cliquez sur Ajouter Ajouter.

3. Remplissez les champs de la boîte de dialogue Ajouter un mappage pour mapper l'identité aux paramètres de contrôle des accès de la plate-forme.

   1. Dans le champ IdP / User group (IdP/Groupe d'utilisateurs), saisissez l'une des valeurs suivantes :
      • Adresse e-mail complète de votre compte de service, si l'identité a été configurée à l'aide de Cloud Identity.
      • Chaîne du compte principal Workload Identity, si l'identité a été configurée à l'aide de la fédération d'identité de personnel.

   2. Configurez les champs de contrôle des accès suivants :

      Champ	Description
      Groupes d'autorisations	Sélectionnez les groupes d'autorisations pour définir les modules et sous-modules auxquels l'identité peut accéder.
      Rôles SOC	Sélectionnez les rôles SOC pour définir le rôle de l'identité (par exemple, "Niveau 1").
      Environnements	Sélectionnez les environnements ou les groupes d'environnements auxquels l'identité peut accéder (par exemple, Tous les environnements).
      Membres du groupe	Saisissez les adresses e-mail des utilisateurs requis, le cas échéant. Appuyez sur Entrée après avoir ajouté chaque adresse e-mail.
      Actions limitées	Sélectionnez les actions restreintes pour limiter des opérations spécifiques dans les modules.

4. Cliquez sur Ajouter.

Pour en savoir plus sur la configuration des comptes de service, consultez le guide de migration de l'API.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.