מיפוי משתמשים עם זהות של צד שלישי

נתמך ב:

Google SecOps

הערה: אם כבר השלמתם את שלב 2 של המעבר של SOAR אל Google Cloud, אתם צריכים להשתמש ב-IAM כדי לנהל את הגישה לתכונות ב-Google SecOps, כולל SOAR. העמודה קבוצת הרשאות עדיין מוצגת אחרי ההעברה בדף מיפוי קבוצות לצורך תאימות לדורות קודמים. אל תמחקו את המטלות האלה. העמודה תוסר עד 31 במרץ 2027 בלי להשפיע על הלקוחות. מידע נוסף זמין במאמר מעבר אל Google Cloud.

במאמר הזה מוסבר איך להקצות, לאמת ולמפות משתמשים עם זיהוי מאובטח לפלטפורמת Google Security Operations. הוא מתאר את תהליך ההגדרה עם Google Workspace כספק הזהויות (IdP) החיצוני, אבל השלבים דומים גם לספקי זהויות אחרים. כשמשתמשים ב-Cloud Identity, צריך להגדיר את השירות עם קבוצות אימייל במקום קבוצות IdP. פרטים נוספים זמינים במאמר מיפוי משתמשים בפלטפורמת Google SecOps באמצעות Cloud Identity.

הגדרת מאפייני SAML לניהול הקצאות הרשאות ידני

הקטע הזה רלוונטי רק לפני שלב 1 של המעבר ל- Google Cloud. אחרי שתשלימו את שלב 1 של ההעברה, עיינו במאמר Google Cloud אימות זהות של צד שלישי.

כדי להגדיר מאפיינים וקבוצות של SAML ב-IdP החיצוני:

1. ב-Google Workspace, עוברים לקטע המיפוי מאפייני SAML.
2. מוסיפים את מאפייני החובה הבאים:
• first_name
• last_name
• user_email
• groups
3. בקבוצות Google, מזינים את שמות הקבוצות ב-IdP. לדוגמה, Google SecOps administrators או Gcp-security-admins. שימו לב לשמות הקבוצות האלה, כי תצטרכו אותם בהמשך כדי למפות אותם בפלטפורמת Google SecOps. (בספקים חיצוניים אחרים, כמו Okta, המאפיין הזה נקרא קבוצות IdP).

תרשים 1. מיפוי מאפיינים של SAML

הגדרת הקצאת הרשאות ב-IdP

הקטע הזה רלוונטי רק לפני שלב 1 של המעבר ל- Google Cloud. אחרי שתסיימו את שלב 1, עיינו במאמר Google Cloud אימות זהות של צד שלישי.

כדי להגדיר הקצאת הרשאות ב-IdP, פועלים לפי השלבים שמפורטים בקטעים הגדרת ה-IdP ויצירת ספק של מאגר זהויות של כוח עבודה.

הדוגמה הבאה היא פקודת היצירה של workforce pool להגדרת האפליקציה שמתוארת במאמר הגדרת איחוד שירותי אימות הזהות של כוח העבודה:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool=WORKFORCE_POOL_ID \
  --location="global" \
  --display-name=WORKFORCE_PROVIDER_DISPLAY_NAME \
  --description=WORKFORCE_PROVIDER_DESCRIPTION \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="google.subject=assertion.subject,attribute.first_name=assertion.attributes.first_name[0],attribute.last_name=assertion.attributes.last_name[0],attribute.user_email=assertion.attributes.user_email[0],google.groups=assertion.attributes.groups"

שליטה בגישת המשתמשים

יש כמה דרכים לנהל את הגישה של המשתמשים להיבטים שונים של הפלטפורמה:

• קבוצות הרשאות: מגדירים את רמות הגישה של המשתמשים על ידי הקצאה שלהם לקבוצות הרשאות ספציפיות. הקבוצות האלה קובעות אילו מודולים ומודולי משנה המשתמשים יכולים לראות או לערוך. לדוגמה, למשתמש יכולה להיות גישה לדפים Cases ו-Workdesk, אבל לא לדפים Playbooks ו-Settings. מידע נוסף זמין במאמר עבודה עם קבוצות הרשאות.
חשוב: בכל קבוצת הרשאות שמוקצית למשתמשים, צריך להפעיל לפחות מודול אחד של דף נחיתה שמוגדר כברירת מחדל בהגדרות ההרשאות של הקבוצה. לדוגמה, דף הבית, מרכזי בקרה או בקשות תמיכה. אם משביתים את כל מודולי הנחיתה שמוגדרים כברירת מחדל, זה יגרום לשגיאות בקצה העורפי וללולאה אינסופית של הפניות להתחברות.
• תפקידי SOC: הגדרת התפקיד של קבוצת משתמשים. כדי לייעל את ניהול המשימות, אתם יכולים להקצות למשתמשים תפקידים ב-SOC. במקום להקצות פניות, פעולות או פלייבוקים לאנשים ספציפיים, אפשר להקצות אותם לתפקיד ב-SOC. המשתמשים יכולים לראות את הבקשות שהוקצו להם, לתפקיד שלהם או לתפקידים נוספים. מידע נוסף זמין במאמר עבודה עם תפקידים.
• סביבות או קבוצות של סביבות: מגדירים סביבות או קבוצות של סביבות כדי לפלח נתונים ברשתות או ביחידות עסקיות שונות, בדרך כלל בשימוש על ידי עסקים וספקי שירותי אבטחה מנוהלים (MSSP). המשתמשים יכולים לגשת רק לנתונים בסביבות או בקבוצות שהוקצו להם. מידע נוסף זמין במאמר עבודה עם סביבות.

מיפוי ואימות של משתמשים

השילוב של קבוצות ההרשאות, התפקידים ב-SOC והסביבות קובע את התהליך שעובר המשתמש ב-Google SecOps לכל קבוצת IdP בפלטפורמת Google SecOps.

• לקוחות שמשתמשים בספק צד שלישי צריכים למפות כל קבוצת IdP שמוגדרת בהגדרות SAML בדף מיפוי קבוצות.
• לקוחות המשתמשים ב-Cloud Identity Provider יכולים למפות קבוצות אימייל בדף מיפוי קבוצות. מידע נוסף זמין במאמר מיפוי משתמשים בפלטפורמת Google SecOps באמצעות Cloud Identity.

אפשר למפות קבוצות של IdP עם כמה קבוצות הרשאות, תפקידי SOC וסביבות. כך משתמשים שונים שממופים לקבוצות IdP שונות בספק ה-SAML יקבלו את כל רמות ההרשאה הנדרשות. למידע נוסף, כולל איך Google SecOps מנהלת את זה, ראו הרשאות מרובות במיפוי קבוצות של IdP.

אפשר גם למפות קבוצות של ספק הזהויות לפרמטרים נפרדים של בקרת גישה. כך אפשר למפות ברמה פרטנית יותר, וזה יכול לעזור ללקוחות גדולים. מידע נוסף זמין במאמר מיפוי קבוצות של ספק זהויות לפרמטרים של בקרת גישה.

כברירת מחדל, פלטפורמת Google SecOps כוללת קבוצת IdP של אדמינים כברירת מחדל.

כדי למפות קבוצות של ספק זהויות, מבצעים את השלבים הבאים:

1. ב-Google SecOps, עוברים אל הגדרות > ניהול הרשאות גישה > מיפוי קבוצות.
2. חשוב לוודא שהשמות של קבוצות ספק הזהויות זמינים.
3. לוחצים על הוספה הוספה ומתחילים למפות את הפרמטרים לכל קבוצת IdP.
4. כשמסיימים, לוחצים על הוספה. בכל פעם שמשתמש נכנס לפלטפורמה, הוא מתווסף באופן אוטומטי לדף SOAR User Management, שנמצא בקטע Settings > ניהול הרשאות גישה > User Management.

כדי שמשתמשים לא יידחו כשהם מנסים להיכנס לפלטפורמת Google SecOps אבל קבוצת ה-IdP שלהם לא ממופה, מומלץ להפעיל את הגדרות ברירת המחדל של הגישה ולהגדיר הרשאות אדמין בדף הזה. אחרי שמסיימים את ההגדרה הראשונית של האדמין, מומלץ לשנות את הרשאות האדמין לרמה מינימלית יותר.

מיפוי קבוצות של ספקי זהויות לפרמטרים של בקרת גישה

בקטע הזה מוסבר איך למפות קבוצות שונות של IdP לפרמטר אחד או יותר של בקרת גישה בדף מיפוי קבוצות של IdP. הגישה הזו מתאימה ללקוחות שרוצים להוסיף ולהקצות קבוצות משתמשים על סמך התאמות אישיות ספציפיות, במקום להשתמש בסטנדרטיזציה של פלטפורמת Google SecOps SOAR. יכול להיות שתצטרכו ליצור יותר קבוצות בהתחלה כדי למפות קבוצות לפרמטרים, אבל אחרי שהמיפוי מוגדר, משתמשים חדשים יכולים להצטרף ל-Google SecOps בלי ליצור קבוצות נוספות.

למידע על הרשאות מרובות במיפוי קבוצות, קראו את המאמר מיפוי משתמשים עם כמה פרמטרים של בקרת גישה.

מחק משתמשים

אם מוחקים קבוצות מכאן, צריך לוודא שמוחקים את המשתמשים הספציפיים מהמסך ניהול משתמשים. מידע נוסף זמין במאמר מחיקת משתמשים ב-Google SecOps.

תרחיש לדוגמה: הקצאת שדות הרשאה ייחודיים לכל קבוצת IdP

הדוגמה הבאה ממחישה איך להשתמש בתכונה הזו כדי להוסיף משתמשים ולהקצות להם הרשאות בהתאם לצרכים של החברה.

בחברה שלכם יש שלושה סוגי משתמשים:

• מנתחי אבטחה (כולל חברי הקבוצה סשה וטל)
• מהנדסי SOC (כולל חברי הקבוצה קווין ונועם)
• מהנדסי NOC (כולל חברי הקבוצה קים וקאי)

למנתחי אבטחה ולמהנדסי SOC יש את אותן קבוצות הרשאות (מנתח) ותפקידי SOC (רמה 1) ב-Google SecOps, אבל למנתחי האבטחה יש הרשאות לסביבה של לונדון, ולמהנדסי SOC יש הרשאות לסביבה של מנצ'סטר. בינתיים, למהנדסי NOC יש הרשאות לסביבת London, אבל הם מוקצים לקבוצת ההרשאות Basic ולתפקיד SOC Tier 2.

התרחיש הזה מוצג בטבלה הבאה:

פרסונה	קבוצת הרשאות	תפקיד SOC	סביבה
מנתחי אבטחה	ניתוח נתונים	רמה 1	לונדון
מהנדסי SOC	ניתוח נתונים	רמה 1	מנצ'סטר
מהנדסי NOC	בסיסי	רמה 2	לונדון

בדוגמה הזו, נניח שכבר הגדרתם את קבוצות ההרשאות, התפקידים ב-SOC והסביבות הנדרשים ב-Google SecOps.

כך מגדירים את קבוצות ה-IdP בספק ה-SAML ובפלטפורמת Google SecOps:

1. בספק ה-SAML, יוצרים את קבוצות המשתמשים הבאות:
   • מנתחי אבטחה (כולל שיר וטל)
   • מהנדסי SOC (כולל קווין ונועם)
   • מהנדסי NOC (כולל קים וקאי)
   • לונדון (מכילה את אלכס, טל, נועה וגיא)
   • מנצ'סטר (כולל את קווין ונועם)
2. עוברים אל הגדרות > ניהול גישה > מיפוי קבוצות.
3. לוחצים על הוספה הוספה.
4. מזינים את הפרטים הבאים בתיבת הדו-שיח:
• ספק זהויות / קבוצת משתמשים: Security analysts
• קבוצת הרשאות: Analyst
• תפקיד SOC: ‏Tier 1
• סביבה: משאירים את השדה ריק
5. מזינים את הפרטים הבאים בתיבת הדו-שיח הבאה:
• קבוצת IdP: ‏ SOC engineers
• קבוצת הרשאות: Analyst
• תפקיד SOC: ‏ Tier 1
• סביבה: משאירים את השדה ריק
6. מזינים את הפרטים הבאים בתיבת הדו-שיח הבאה:
• קבוצת IdP: ‏NOC engineers
• קבוצת הרשאות: Basic
• תפקיד SOC: ‏Tier 2
• סביבה: משאירים את השדה ריק
7. מזינים את הפרטים הבאים בתיבת הדו-שיח הבאה:
• קבוצת IdP: ‏London
• קבוצת הרשאות: משאירים את השדה ריק
• תפקיד SOC: משאירים את השדה ריק
• סביבה: London
8. מזינים את הפרטים הבאים בתיבת הדו-שיח הבאה:
• קבוצת IdP: ‏Manchester
• קבוצת הרשאות: משאירים את השדה ריק
• תפקיד SOC: משאירים את השדה ריק
• סביבה: Manchester

אם אתם משתמשים בתכונה "איחוד בקשות תמיכה", קראו את המאמר הגדרת גישה מאוחדת לבקשות תמיכה ב-Google SecOps.

מיפוי חשבונות שירות לגישה ל-API

כדי לתת לחשבון שירות או לאיחוד שירותי אימות הזהות של עומסי עבודה גישה ל-Google SecOps, צריך למפות את הזהות לפרמטרים של בקרת הגישה בפלטפורמה. המיפוי הזה הוא שלב חובה כדי לספק לזהות את הגישה הנדרשת לתפקידי SOC ולסביבות שנדרשות לביצוע משימות אוטומטיות או פעולות API.

1. עוברים אל הגדרות > ניהול גישה > מיפוי קבוצות.
2. לוחצים על סמל ההוספה הוספה.

3. ממלאים את השדות בתיבת הדו-שיח Add Mapping כדי למפות את הזהות לפרמטרים של בקרת הגישה של הפלטפורמה.

   1. בשדה IdP / User group, מזינים אחת מהאפשרויות הבאות:
      • כתובת האימייל המלאה של חשבון השירות, אם הזהות הוגדרה באמצעות Cloud Identity.
      • מחרוזת חשבון המשתמש של Workload Identity, אם הזהות הוגדרה באמצעות איחוד שירותי אימות הזהות של כוח העבודה.

   2. מגדירים את השדות הבאים של בקרת הגישה:

      שדה	תיאור
      קבוצות הרשאות	בוחרים את קבוצות ההרשאות כדי להגדיר לאילו מודולים ומודולי משנה הזהות יכולה לגשת.
      תפקידים ב-SOC	בוחרים את התפקידים ב-SOC כדי להגדיר את התפקיד של הזהות (למשל, רמה 1).
      סביבות	בוחרים את הסביבות או את קבוצות הסביבות שהזהות יכולה לגשת אליהן (למשל All Environments).
      חברי הקבוצה	אם רלוונטי, מזינים את כתובות האימייל של המשתמשים הנדרשים. אחרי שמוסיפים כל כתובת אימייל, לוחצים על Enter.
      פעולות מוגבלות	כדי להגביל פעולות ספציפיות במודולים, בוחרים את הפעולות המוגבלות.

4. לוחצים על הוספה.

מידע נוסף על הגדרת חשבונות שירות זמין במדריך להעברת נתונים (מיגרציה) של API.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.