Memetakan pengguna dengan identitas pihak ketiga

Didukung di:

Google secops

Catatan: "Jika Anda telah menyelesaikan Tahap 2 migrasi SOAR ke Google Cloud, Anda harus menggunakan IAM untuk mengelola akses fitur ke Google SecOps, termasuk SOAR. Kolom Grup Izin masih ditampilkan setelah migrasi di halaman Pemetaan Grup untuk kompatibilitas mundur. Jangan hapus penetapan ini. Kolom ini akan dihapus pada 30 November 2026 tanpa memengaruhi pelanggan. Untuk mengetahui informasi selengkapnya, lihat Bermigrasi ke Google Cloud.

Dokumen ini menjelaskan cara menyediakan, mengautentikasi, dan memetakan pengguna dengan identifikasi aman ke platform Google Security Operations. Dokumen ini menguraikan proses konfigurasi dengan Google Workspace sebagai Penyedia Identitas (IdP) eksternal, meskipun langkah-langkahnya serupa untuk IdP lainnya. Saat menggunakan Cloud Identity Provider, Anda harus mengonfigurasi layanan dengan grup email, bukan grup IdP. Untuk mengetahui detailnya, lihat Memetakan pengguna di platform Google SecOps menggunakan Cloud Identity.

Menyiapkan atribut SAML untuk penyediaan

Bagian ini hanya berlaku sebelum Tahap 1 Migrasi SOAR ke Google Cloud. Setelah menyelesaikan Tahap 1 migrasi, lihat Google Cloud Autentikasi Identitas Pihak Ketiga.

Untuk menyiapkan atribut dan grup SAML di IdP eksternal, lakukan hal berikut:

1. Di Google Workspace, buka bagian pemetaan Atribut SAML.
2. Tambahkan atribut wajib berikut:
• first_name
• last_name
• user_email
• groups
3. Di Google Grup, masukkan nama grup IdP. Misalnya, Google SecOps administrators atau Gcp-security-admins. Catat nama grup ini; Anda akan memerlukannya nanti untuk pemetaan di platform Google SecOps. (Di penyedia eksternal lainnya, seperti Okta, hal ini disebut sebagai Grup IdP).

Gambar 1. Pemetaan atribut SAML

Menyiapkan penyediaan IdP

Bagian ini hanya berlaku sebelum Tahap 1 Migrasi SOAR ke Google Cloud. Setelah menyelesaikan Tahap 1, lihat Google Cloud Autentikasi Identitas Pihak Ketiga.

Untuk menyiapkan penyediaan IdP, ikuti langkah-langkah di Mengonfigurasi IdP dan Membuat penyedia workforce identity pool.

Contoh berikut adalah perintah pembuatan workforce pool untuk konfigurasi aplikasi yang dijelaskan di Mengonfigurasi Workforce Identity Federation:

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool=WORKFORCE_POOL_ID \
  --location="global" \
  --display-name=WORKFORCE_PROVIDER_DISPLAY_NAME \
  --description=WORKFORCE_PROVIDER_DESCRIPTION \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="google.subject=assertion.subject,attribute.first_name=assertion.attributes.first_name[0],attribute.last_name=assertion.attributes.last_name[0],attribute.user_email=assertion.attributes.user_email[0],google.groups=assertion.attributes.groups"

Mengontrol akses pengguna

Ada beberapa cara untuk mengelola akses pengguna ke berbagai aspek platform:

• Grup izin: Tetapkan tingkat akses pengguna dengan menetapkannya ke grup izin tertentu. Grup ini menentukan modul dan submodul yang dapat dilihat atau diedit pengguna. Misalnya, pengguna mungkin memiliki akses ke halaman Kasus dan Workdesk, tetapi dibatasi dari Playbook dan Setelan. Untuk mengetahui informasi selengkapnya, lihat Bekerja dengan grup izin.
• Peran SOC: Tentukan peran grup pengguna. Anda dapat menetapkan pengguna ke peran SOC untuk menyederhanakan pengelolaan tugas. Daripada menetapkan kasus, tindakan, atau playbook kepada individu, kasus, tindakan, atau playbook tersebut dapat ditetapkan ke peran SOC. Pengguna dapat melihat kasus yang ditetapkan kepada mereka, peran mereka, atau peran tambahan. Untuk mengetahui informasi selengkapnya, lihat Bekerja dengan peran.
• Lingkungan atau grup lingkungan: Konfigurasi lingkungan atau grup lingkungan untuk menyegmentasikan data di berbagai jaringan atau unit bisnis, yang biasanya digunakan oleh bisnis dan Penyedia Layanan Keamanan Terkelola (MSSP). Pengguna hanya dapat mengakses data dalam lingkungan atau grup yang ditetapkan kepada mereka. Untuk mengetahui informasi selengkapnya, lihat Bekerja dengan lingkungan.

Memetakan dan mengautentikasi pengguna

Kombinasi grup izin, peran SOC, dan lingkungan menentukan perjalanan pengguna Google SecOps untuk setiap grup IdP di platform Google SecOps.

• Untuk pelanggan yang menggunakan penyedia pihak ketiga, petakan setiap grup IdP yang ditentukan dalam setelan SAML di halaman Pemetaan Grup.
• Untuk pelanggan yang menggunakan Cloud Identity Provider, petakan grup email di halaman Pemetaan Grup. Untuk mengetahui informasi selengkapnya, lihat Memetakan pengguna di platform Google SecOps menggunakan Cloud Identity.

Anda dapat memetakan grup IdP dengan beberapa grup izin, peran SOC, dan lingkungan. Hal ini memastikan bahwa pengguna yang berbeda yang dipetakan ke grup IdP yang berbeda di penyedia SAML mewarisi semua tingkat izin yang diperlukan. Untuk mengetahui informasi selengkapnya, termasuk cara Google SecOps mengelola hal ini, lihat Beberapa izin dalam pemetaan grup IdP.

Anda juga dapat memilih untuk memetakan grup IdP ke parameter kontrol akses individual. Hal ini memungkinkan tingkat pemetaan yang lebih terperinci dan dapat bermanfaat bagi pelanggan besar. Untuk mengetahui informasi selengkapnya, lihat Memetakan grup IdP ke parameter kontrol akses.

Secara default, platform Google SecOps menyertakan grup IdP administrator default.

Untuk memetakan grup IdP, ikuti langkah-langkah berikut:

1. Di Google SecOps, buka Setelan SOAR > Lanjutan > Pemetaan Grup.
2. Pastikan Anda memiliki nama grup IdP.
3. Klik Tambahkan Tambahkan dan mulai petakan parameter untuk setiap grup IdP.
4. Setelah selesai, klik Tambahkan. Setiap kali pengguna login ke platform, mereka akan otomatis ditambahkan ke halaman Pengelolaan Pengguna, yang dapat ditemukan di bagian Setelan > Organisasi.

Saat pengguna mencoba login ke platform Google SecOps, tetapi grup IdP mereka belum dipetakan, sebaiknya aktifkan Setelan Akses Default dan tetapkan izin administrator di halaman ini agar pengguna tidak ditolak. Setelah penyiapan administrator awal selesai, sebaiknya sesuaikan izin administrator ke tingkat yang lebih minimal.

Memetakan grup IdP ke parameter kontrol akses

Bagian ini menjelaskan cara memetakan grup IdP yang berbeda ke satu atau beberapa parameter kontrol akses dalam halaman Pemetaan Grup IdP. Pendekatan ini bermanfaat bagi pelanggan yang ingin mengaktifkan dan menyediakan grup pengguna berdasarkan penyesuaian tertentu, bukan mematuhi standarisasi platform Google SecOps SOAR. Meskipun pemetaan grup ke parameter mungkin mengharuskan Anda membuat lebih banyak grup pada awalnya, setelah pemetaan ditetapkan, pengguna baru dapat bergabung dengan Google SecOps tanpa perlu membuat grup tambahan.

Untuk mengetahui informasi tentang beberapa izin dalam pemetaan grup, lihat Memetakan pengguna dengan beberapa parameter kontrol akses.

Menghapus pengguna

Jika Anda menghapus grup dari sini, pastikan untuk menghapus setiap pengguna dari layar Pengelolaan Pengguna. Untuk mengetahui informasi selengkapnya, lihat Menghapus pengguna Google SecOps.

Kasus Penggunaan: Menetapkan kolom izin unik ke setiap grup IdP

Contoh berikut mengilustrasikan cara menggunakan fitur ini untuk membantu mengaktifkan dan menyediakan pengguna sesuai dengan kebutuhan perusahaan Anda.

Perusahaan Anda memiliki tiga persona yang berbeda:

• Analis keamanan (berisi anggota grup Sasha dan Tal)
• Engineer SOC (berisi anggota grup Quinn dan Noam)
• Engineer NOC (berisi anggota grup Kim dan Kai)

Analis Keamanan dan Engineer SOC memiliki Grup Izin Google SecOps (Analis) dan Peran SOC (Tingkat 1) yang sama, tetapi Analis Keamanan memiliki izin untuk lingkungan London, sedangkan Engineer SOC memiliki izin untuk lingkungan Manchester. Sementara itu, Engineer NOC memiliki izin untuk lingkungan London, tetapi ditetapkan ke Grup Izin Dasar dan Peran SOC Tingkat 2.

Skenario ini diilustrasikan dalam tabel berikut:

Persona	Grup Izin	Peran SOC	Lingkungan
Analis keamanan	Analis	Tingkat 1	London
Engineer SOC	Analis	Tingkat 1	Manchester
Engineer NOC	Dasar	Tingkat 2	London

Untuk contoh ini, asumsikan bahwa Anda telah menyiapkan grup izin, peran SOC, dan lingkungan yang diperlukan di Google SecOps.

Berikut cara menyiapkan grup IdP di penyedia SAML dan di platform Google SecOps:

1. Di penyedia SAML, buat grup pengguna berikut:
   • Analis keamanan (berisi Sasha dan Tal)
   • Engineer SOC (berisi Quinn dan Noam)
   • Engineer NOC (berisi Kim dan Kai)
   • London (berisi Sasha, Tal, Kim, dan Kai)
   • Manchester (berisi Quinn dan Noam)
2. Buka Setelan > Setelan SOAR > Lanjutan > Pemetaan Grup.
3. Klik Tambahkan Tambahkan.
4. Masukkan detail berikut dalam dialog:
• Grup Pengguna / IdP: Security analysts
• Grup Izin: Analyst
• Peran SOC: Tier 1
• Lingkungan: kosongkan
5. Masukkan detail berikut dalam dialog berikutnya:
• Grup IdP: SOC engineers
• Grup Izin: Analyst
• Peran SOC: Tier 1
• Lingkungan: kosongkan
6. Masukkan detail berikut dalam dialog berikutnya:
• Grup IdP: NOC engineers
• Grup Izin: Basic
• Peran SOC: Tier 2
• Lingkungan: kosongkan
7. Masukkan detail berikut dalam dialog berikutnya:
• Grup IdP: London
• Grup Izin: kosongkan
• Peran SOC: kosongkan
• Lingkungan: London
8. Masukkan detail berikut dalam dialog berikutnya:
• Grup IdP: Manchester
• Grup Izin: kosongkan
• Peran SOC: kosongkan
• Lingkungan: Manchester

Untuk pelanggan yang menggunakan fitur Case Federation, lihat Menyiapkan akses kasus gabungan untuk Google SecOps.

Memetakan akun layanan untuk akses API

Untuk memberikan akses akun layanan atau akses workforce identity federation ke Google SecOps, Anda harus memetakan alamat emailnya ke parameter kontrol akses platform. Langkah ini wajib dilakukan untuk memberikan identitas dengan akses yang diperlukan ke Peran SOC, dan Lingkungan yang diperlukan untuk melakukan tugas otomatis atau operasi API.

1. Di Google SecOps, buka Setelan SOAR > Lanjutan > Pemetaan Grup.
2. Klik tambahkan Tambahkan.
3. Di dialog Tambahkan Peran, masukkan alamat email lengkap akun layanan Anda atau string utama Workload Identity di kolom Peran IAM / grup IdP.
4. Pilih Peran SOC dan Lingkungan yang sesuai.
5. Klik Tambahkan.

Untuk mengetahui informasi selengkapnya tentang cara menyiapkan akun layanan, lihat panduan migrasi API.

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.