Nutzer mit Identitäten von Drittanbietern zuordnen

Unterstützt in:

Google SecOps

Hinweis: "Wenn Sie Phase 2 der SOAR-Migration zu Google Cloudbereits abgeschlossen haben, müssen Sie IAM verwenden, um den Featurezugriff auf Google SecOps einschließlich SOAR zu verwalten. Die Spalte Berechtigungsgruppe wird nach der Migration auf der Seite Gruppenzuordnung aus Gründen der Abwärtskompatibilität weiterhin angezeigt. Löschen Sie diese Zuweisungen nicht. Die Spalte wird bis zum 30. September 2026 entfernt, ohne dass dies Auswirkungen auf die Kunden hat. Weitere Informationen finden Sie unter Zu migrieren Google Cloud.

In diesem Dokument wird erläutert, wie Sie Nutzer mit sicherer Identifizierung für die Google Security Operations-Plattform bereitstellen, authentifizieren und zuordnen. Es wird der Konfigurationsprozess mit Google Workspace als externem Identitätsanbieter (Identity Provider, IdP) beschrieben. Die Schritte sind jedoch für andere IdPs ähnlich. Wenn Sie den Cloud Identity-Anbieter verwenden, sollten Sie den Dienst mit E‑Mail-Gruppen anstelle von IdP-Gruppen konfigurieren. Weitere Informationen finden Sie unter Nutzer in der Google SecOps Plattform mit Cloud Identity zuordnen.

SAML-Attribute für die Bereitstellung einrichten

Dieser Abschnitt gilt nur vor Phase 1 der SOAR-Migration zu Google Cloud. Nach Abschluss von Phase 1 der Migration finden Sie weitere Informationen unter Google Cloud Authentifizierung mit Identitäten von Drittanbietern.

So richten Sie SAML-Attribute und -Gruppen im externen IdP ein:

1. Rufen Sie in Google Workspace den Abschnitt SAML-Attributzuordnung auf.
2. Fügen Sie die folgenden obligatorischen Attribute hinzu:
• first_name
• last_name
• user_email
• groups
3. Geben Sie in Google Groups die Namen der IdP-Gruppen ein. Beispiel: Google SecOps administrators oder Gcp-security-admins. Notieren Sie sich diese Gruppennamen. Sie benötigen sie später für die Zuordnung in der Google SecOps-Plattform. Bei anderen externen Anbietern wie Okta werden diese als IdP-Gruppen bezeichnet.

Abbildung 1. SAML-Attributzuordnung

IdP-Bereitstellung einrichten

Dieser Abschnitt gilt nur vor Phase 1 der SOAR-Migration zu Google Cloud. Nach Abschluss von Phase 1 finden Sie weitere Informationen unter Google Cloud Authentifizierung mit Identitäten von Drittanbietern.

Folgen Sie der Anleitung unter IdP konfigurieren und Workforce Identity-Pool-Anbieter erstellen, um die IdP-Bereitstellung einzurichten.

Das folgende Beispiel zeigt den Befehl zum Erstellen des workforce pool für die App-Konfiguration, die unter Workforce Identity-Föderation konfigurieren beschrieben wird:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool=WORKFORCE_POOL_ID \
  --location="global" \
  --display-name=WORKFORCE_PROVIDER_DISPLAY_NAME \
  --description=WORKFORCE_PROVIDER_DESCRIPTION \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="google.subject=assertion.subject,attribute.first_name=assertion.attributes.first_name[0],attribute.last_name=assertion.attributes.last_name[0],attribute.user_email=assertion.attributes.user_email[0],google.groups=assertion.attributes.groups"

Nutzerzugriff kontrollieren

Es gibt mehrere Möglichkeiten, den Nutzerzugriff auf verschiedene Aspekte der Plattform zu verwalten:

• Berechtigungsgruppen: Legen Sie Zugriffsebenen für Nutzer fest, indem Sie sie bestimmten Berechtigungsgruppen zuweisen. Diese Gruppen bestimmen, welche Module und Untermodule Nutzer aufrufen oder bearbeiten können. Ein Nutzer hat beispielsweise Zugriff auf die Seiten Fälle und Arbeitsplatz, aber keinen Zugriff auf Playbooks und Einstellungen. Weitere Informationen finden Sie unter Mit Berechtigungsgruppen arbeiten.
• SOC-Rollen: Definieren Sie die Rolle einer Nutzergruppe. Sie können Nutzern SOC-Rollen zuweisen, um die Aufgabenverwaltung zu optimieren. Anstatt Fälle, Aktionen, oder Playbooks einzelnen Nutzern zuzuweisen, können sie einer SOC-Rolle zugewiesen werden. Nutzer können Fälle sehen, die ihnen, ihrer Rolle oder zusätzlichen Rollen zugewiesen sind. Weitere Informationen finden Sie unter Mit Rollen arbeiten.
• Umgebungen oder Umgebungsgruppen: Konfigurieren Sie Umgebungen oder Umgebungs gruppen, um Daten in verschiedenen Netzwerken oder Geschäftseinheiten zu segmentieren. Dies wird häufig von Unternehmen und Managed Security Service Providers (MSSPs) verwendet. Nutzer können nur auf Daten in den Umgebungen oder Gruppen zugreifen, die ihnen zugewiesen sind. Weitere Informationen finden Sie unter Mit Umgebungen arbeiten.

Nutzer zuordnen und authentifizieren

Die Kombination aus Berechtigungsgruppen, SOC-Rollen und Umgebungen bestimmt die Google SecOps-Nutzerreise für jede IdP-Gruppe in der Google SecOps-Plattform.

• Kunden, die einen Drittanbieter verwenden, müssen jede IdP-Gruppe, die in den SAML-Einstellungen definiert ist, auf der Seite Gruppenzuordnung zuordnen.
• Kunden, die den Cloud Identity-Anbieter verwenden, müssen E‑Mail-Gruppen auf der Seite Gruppenzuordnung zuordnen. Weitere Informationen finden Sie unter Nutzer in der Google SecOps Plattform mit Cloud Identity zuordnen.

Sie können IdP-Gruppen mehreren Berechtigungsgruppen, SOC-Rollen und Umgebungen zuordnen. So wird sichergestellt, dass verschiedene Nutzer, die verschiedenen IdP-Gruppen im SAML-Anbieter zugeordnet sind, alle erforderlichen Berechtigungsstufen erben. Weitere Informationen, einschließlich der Funktionsweise in Google SecOps, finden Sie unter Mehrere Berechtigungen in der IdP-Gruppenzuordnung.

Sie können IdP-Gruppen auch einzelnen Parametern für die Zugriffssteuerung zuordnen. Dies ermöglicht eine detailliertere Zuordnung und kann für große Kunden hilfreich sein. Weitere Informationen finden Sie unter IdP-Gruppen Parametern für die Zugriffssteuerung zuordnen.

Standardmäßig enthält die Google SecOps-Plattform eine IdP-Gruppe von Standardadministratoren.

So ordnen Sie IdP-Gruppen zu:

1. Rufen Sie in Google SecOps SOAR-Einstellungen > Erweitert > Gruppenzuordnung auf.
2. Die Namen der IdP-Gruppen müssen verfügbar sein.
3. Klicken Sie auf Hinzufügen Hinzufügen und beginnen Sie mit der Zuordnung der Parameter für jede IdP-Gruppe.
4. Wenn Sie fertig sind, klicken Sie auf Hinzufügen. Jedes Mal, wenn sich ein Nutzer in der Plattform anmeldet, wird er automatisch auf der Seite Nutzerverwaltung hinzugefügt, die Sie unter Einstellungen > Organisation finden.

Wenn sich Nutzer in der Google SecOps-Plattform anmelden möchten, ihre IdP-Gruppe aber nicht zugeordnet wurde, empfehlen wir, die Standardeinstellungen für den Zugriff zu aktivieren und auf dieser Seite Administratorberechtigungen festzulegen, damit die Nutzer nicht abgewiesen werden. Nachdem die erste Administratoreinrichtung abgeschlossen ist, empfehlen wir, die Administratorberechtigungen auf ein Minimum zu reduzieren.

IdP-Gruppen Parametern für die Zugriffssteuerung zuordnen

In diesem Abschnitt wird beschrieben, wie Sie verschiedene IdP-Gruppen auf der Seite IdP-Gruppenzuordnung einem oder mehreren Parametern für die Zugriffssteuerung zuordnen. Dieser Ansatz ist für Kunden von Vorteil, die Nutzergruppen basierend auf bestimmten Anpassungen einbinden und bereitstellen möchten, anstatt sich an die Standardisierung der Google SecOps SOAR-Plattform zu halten. Durch die Zuordnung von Gruppen zu Parametern müssen Sie möglicherweise zunächst mehr Gruppen erstellen. Sobald die Zuordnung eingerichtet ist, können neue Nutzer Google SecOps beitreten, ohne dass zusätzliche Gruppen erstellt werden müssen.

Informationen zu mehreren Berechtigungen in der Gruppenzuordnung finden Sie unter Nutzer mit mehreren Parametern für die Zugriffssteuerung zuordnen.

Nutzer löschen

Wenn Sie hier Gruppen löschen, müssen Sie die einzelnen Nutzer auf dem Bildschirm Nutzerverwaltung löschen. Weitere Informationen finden Sie unter Google SecOps-Nutzer löschen.

Anwendungsfall: Jeder IdP-Gruppe eindeutige Berechtigungsfelder zuweisen

Das folgende Beispiel veranschaulicht, wie Sie diese Funktion nutzen können, um Nutzer entsprechend den Anforderungen Ihres Unternehmens einzubinden und bereitzustellen.

Ihr Unternehmen hat drei verschiedene Personas:

• Sicherheitsanalysten (mit den Gruppenmitgliedern Sasha und Tal)
• SOC-Engineers (mit den Gruppenmitgliedern Quinn und Noam)
• NOC-Engineers (mit den Gruppenmitgliedern Kim und Kai)

Sicherheitsanalysten und SOC-Engineers haben dieselben Google SecOps Berechtigungsgruppen (Analyst) und SOC-Rollen (Preisstufe 1). Während die Sicherheitsanalysten Berechtigungen für die Umgebung „London“ haben, haben die SOC-Engineers Berechtigungen für die Umgebung „Manchester“. NOC-Engineers haben Berechtigungen für die London Umgebung, sind aber der Berechtigungsgruppe Einfach und der SOC-Rolle Preisstufe 2 zugewiesen.

Dieses Szenario wird in der folgenden Tabelle veranschaulicht:

Persona	Berechtigungsgruppe	SOC-Rolle	Umgebung
Sicherheitsanalysten	Analyst	Preisstufe 1	London
SOC-Engineers	Analyst	Preisstufe 1	Manchester
NOC-Engineers	Einfach	Preisstufe 2	London

In diesem Beispiel wird davon ausgegangen, dass Sie die erforderlichen Berechtigungsgruppen, SOC-Rollen und Umgebungen bereits in Google SecOps eingerichtet haben.

So richten Sie die IdP-Gruppen im SAML-Anbieter und in der Google SecOps-Plattform ein:

1. Erstellen Sie in Ihrem SAML-Anbieter die folgenden Nutzergruppen:
   • Sicherheitsanalysten (mit Sasha und Tal)
   • SOC-Engineers (mit Quinn und Noam)
   • NOC-Engineers (mit Kim und Kai)
   • London (mit Sasha, Tal, Kim und Kai)
   • Manchester (mit Quinn und Noam)
2. Rufen Sie Einstellungen > SOAR Einstellungen > Erweitert > Gruppenzuordnung auf.
3. Klicken Sie auf Hinzufügen Hinzufügen.
4. Geben Sie im Dialogfeld die folgenden Informationen ein:
• IdP / Nutzergruppe: Security analysts
• Berechtigungsgruppe: Analyst
• SOC-Rolle: Tier 1
• Umgebung: leer lassen
5. Geben Sie im nächsten Dialogfeld die folgenden Informationen ein:
• IdP-Gruppe: SOC engineers
• Berechtigungsgruppe: Analyst
• SOC-Rolle: Tier 1
• Umgebung: leer lassen
6. Geben Sie im nächsten Dialogfeld die folgenden Informationen ein:
• IdP-Gruppe: NOC engineers
• Berechtigungsgruppe: Basic
• SOC-Rolle: Tier 2
• Umgebung: leer lassen
7. Geben Sie im nächsten Dialogfeld die folgenden Informationen ein:
• IdP-Gruppe: London
• Berechtigungsgruppe: leer lassen
• SOC-Rolle: leer lassen
• Umgebung: London
8. Geben Sie im nächsten Dialogfeld die folgenden Informationen ein:
• IdP-Gruppe: Manchester
• Berechtigungsgruppe: leer lassen
• SOC-Rolle: leer lassen
• Umgebung: Manchester

Informationen für Kunden, die die Funktion „Case Federation“ verwenden, finden Sie unter Föderierten Fallzugriff für Google SecOps einrichten.

Dienstkonten für API-Zugriff zuordnen

Wenn Sie einem Dienstkonto Zugriff auf Google SecOps oder Zugriff auf die Identitätsföderation von Arbeitslasten gewähren möchten, müssen Sie die E‑Mail-Adresse des Dienstkontos den Parametern für die Zugriffssteuerung der Plattform zuordnen. Dieser Schritt ist obligatorisch, um der Identität den erforderlichen Zugriff auf SOC-Rollen und Umgebungen zu gewähren, die für die Ausführung automatisierter Aufgaben oder API-Vorgänge erforderlich sind.

1. Rufen Sie in Google SecOps SOAR-Einstellungen > Erweitert > Gruppenzuordnung auf.
2. Klicken Sie auf „Hinzufügen“ Hinzufügen.
3. Geben Sie im Dialogfeld Rolle hinzufügen die vollständige E‑Mail-Adresse Ihres Dienstkontos oder den Workload Identity-Prinzipalstring in das Feld IAM-Rolle / IdP-Gruppe ein.
4. Wählen Sie die entsprechenden SOC-Rollen und Umgebungen aus.
5. Klicken Sie auf Hinzufügen.

Weitere Informationen zum Einrichten von Dienstkonten finden Sie im Migrationsleitfaden für APIs.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten