サードパーティの ID を使用してユーザーをマッピングする

以下でサポートされています。

このドキュメントでは、安全な識別を使用してユーザーをプロビジョニング、認証、Google Security Operations プラットフォームにマッピングする方法について説明します。ここでは、外部 ID プロバイダ（IdP）として Google Workspace を使用する構成プロセスについて説明します。他の IdP の場合も手順は同様です。Cloud Identity プロバイダを使用する場合は、IdP グループではなくメールグループを使用してサービスを構成する必要があります。詳細については、Cloud Identity を使用して Google SecOps プラットフォームでユーザーをマッピングするをご覧ください。

プロビジョニング用の SAML 属性を設定する

このセクションは、 Google Cloudへの SOAR 移行のステージ 1 の前にのみ適用されます。移行のステージ 1 を完了したら、Google Cloud サードパーティの ID 認証を参照してください。

外部 IdP で SAML 属性とグループを設定する手順は次のとおりです。

  1. Google Workspace で、[SAML 属性] のマッピング セクションに移動します。
  2. 次の必須属性を追加します。
    • first_name
    • last_name
    • user_email
    • groups
  3. Google グループで、IdP グループ名を入力します。例: Google SecOps administrators または Gcp-security-admins。これらのグループ名をメモしておきます。これらの名前は、後で Google SecOps プラットフォームでマッピングする際に必要になります。（Okta などの他の外部プロバイダでは、これは IdP グループと呼ばれます）。

samlattrributes
図 1. SAML 属性マッピング

IdP プロビジョニングを設定する

このセクションは、 Google Cloudへの SOAR 移行のステージ 1 の前にのみ適用されます。ステージ 1 の完了後、Google Cloud サードパーティの ID 認証を参照してください。

IdP プロビジョニングを設定するには、 IdP を構成すると Workforce Identity プール プロバイダを作成するの手順に沿って操作します。

次の例は、 Workforce Identity 連携を構成するで説明されているアプリ構成の workforce pool 作成コマンドです。

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool=WORKFORCE_POOL_ID \
  --location="global" \
  --display-name=WORKFORCE_PROVIDER_DISPLAY_NAME \
  --description=WORKFORCE_PROVIDER_DESCRIPTION \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="google.subject=assertion.subject,attribute.first_name=assertion.attributes.first_name[0],attribute.last_name=assertion.attributes.last_name[0],attribute.user_email=assertion.attributes.user_email[0],google.groups=assertion.attributes.groups"

ユーザー アクセスを制御する

プラットフォームのさまざまな側面へのユーザー アクセスを管理する方法はいくつかあります。

  • 権限グループ: ユーザーを特定の権限グループに割り当てて、ユーザーのアクセスレベルを設定します。これらのグループによって、ユーザーが表示または編集できるモジュールとサブモジュールが決まります。たとえば、ユーザーは [ケース] ページと [ワークデスク] ページにアクセスできますが、[ハンドブック] と [設定] へのアクセスは制限されます。詳細については、権限グループを操作するをご覧ください。
  • SOC ロール: ユーザー グループのロールを定義します。ユーザーを SOC ロールに割り当てて、タスク管理を効率化できます。ケース、アクション、ハンドブックを個人に割り当てる代わりに、SOC ロールに割り当てることができます。ユーザーは、自分、自分のロール、または追加ロールに割り当てられたケースを確認できます。詳細については、 ロールを操作するをご覧ください。
  • 環境または環境グループ: 環境または環境グループを構成して、異なるネットワークまたはビジネス ユニット間でデータをセグメント化します。これは、企業やマネージド セキュリティ サービス プロバイダ（MSSP）で一般的に使用されます。ユーザーは、割り当てられた環境またはグループ内のデータにのみアクセスできます。詳細については、 環境を操作するをご覧ください。

ユーザーをマッピングして認証する

権限グループ、SOC ロール、環境の組み合わせによって、Google SecOps プラットフォームの各 IdP グループの Google SecOps ユーザー ジャーニーが決まります。

IdP グループを複数の権限グループ、SOC ロール、環境にマッピングできます。これにより、SAML プロバイダの異なる IdP グループにマッピングされた異なるユーザーが、必要なすべての権限レベルを継承するようになります。Google SecOps での管理方法など、詳細については、IdP グループ マッピングでの複数の権限をご覧ください。

IdP グループを個々のアクセス制御パラメータにマッピングすることもできます。これにより、より詳細なマッピングが可能になり、大規模なお客様に役立ちます。詳細については、IdP グループをアクセス制御パラメータにマッピングするをご覧ください。

デフォルトでは、Google SecOps プラットフォームにはデフォルト管理者の IdP グループが含まれています。

IdP グループをマッピングする手順は次のとおりです。

  1. Google SecOps で、[SOAR 設定] > [詳細] > [グループ マッピング] に移動します。
  2. IdP グループの名前が使用可能であることを確認します。
  3. [ 追加 ] 追加 をクリックし、各 IdP グループのパラメータのマッピングを開始します。
  4. 完了したら、[追加] をクリックします。ユーザーがプラットフォームにログインするたびに、[ユーザー管理] ページ（[設定] > [組織]）に自動的に追加されます。

ユーザーが Google SecOps プラットフォームにログインしようとしたときに、IdP グループがマッピングされていない場合、ユーザーが拒否されないようにするには、[デフォルトのアクセス設定] を有効にして、このページで管理者権限を設定することをおすすめします。初期の管理者設定が完了したら、管理者権限をより低いレベルに調整することをおすすめします。

IdP グループをアクセス制御パラメータにマッピングする

このセクションでは、[IdP グループのマッピング] ページで、さまざまな IdP グループを 1 つ以上のアクセス制御パラメータにマッピングする方法について説明します。このアプローチは、Google SecOps SOAR プラットフォームの標準化に準拠するのではなく、特定のカスタマイズに基づいてユーザー グループをオンボーディングしてプロビジョニングするお客様に役立ちます。グループをパラメータにマッピングするには、最初にさらに多くのグループを作成する必要がある場合がありますが、マッピングが設定されると、新規ユーザーは追加のグループを作成することなく Google SecOps に参加できます。

グループ マッピングでの複数の権限については、複数の制御アクセス パラメータを使用してユーザーをマッピングするをご覧ください。

ユーザーを削除する

ここでグループを削除する場合は、[ ユーザー管理] 画面から個々のユーザーを削除してください。詳細については、Google SecOps ユーザーを削除するをご覧ください。

ユースケース: 各 IdP グループに一意の権限フィールドを割り当てる

次の例は、この機能を使用して、会社のニーズに応じてユーザーをオンボーディングしてプロビジョニングする方法を示しています。

あなたの会社には、次の 3 つの異なるペルソナがあります。

  • セキュリティ アナリスト（グループ メンバーの Sasha と Tal を含む）
  • SOC エンジニア（グループ メンバーの Quinn と Noam を含む）
  • NOC エンジニア（グループ メンバーの Kim と Kai を含む）
セキュリティ アナリストと SOC エンジニアは、同じ Google SecOps 権限グループ（アナリスト）と SOC ロール（Tier 1）を持っていますが、セキュリティ アナリストはロンドン環境の権限を持ち、SOC エンジニアはマンチェスター環境の権限を持っています。一方、NOC エンジニアには London 環境の権限がありますが、Basic 権限グループと Tier 2 SOC ロールが割り当てられています。

このシナリオを次の表に示します。

ペルソナ 権限グループ SOC ロール 環境
セキュリティ アナリスト アナリスト Tier 1 ロンドン
SOC エンジニア アナリスト Tier 1 マンチェスター
NOC エンジニア 基本 Tier 2 ロンドン

この例では、必要な権限グループ、SOC ロール、環境が Google SecOps で設定されていることを前提としています。

SAML プロバイダと Google SecOps プラットフォームで IdP グループを設定する方法は次のとおりです。

  1. SAML プロバイダで、次のユーザー グループを作成します。
    • セキュリティ アナリスト（Sasha と Tal を含む）
    • SOC エンジニア（Quinn と Noam を含む）
    • NOC エンジニア（Kim と Kai を含む）
    • London（Sasha、Tal、Kim、Kai を含む）
    • マンチェスター（Quinn と Noam を含む）
  2. [設定] > [SOAR 設定] > [詳細] > [グループ マッピング] に移動します。
  3. [ 追加 ] 追加 をクリックします。
  4. ダイアログに次の詳細を入力します。
    • IdP / ユーザー グループ: Security analysts
    • 権限グループ: Analyst
    • SOC ロール: Tier 1
    • 環境: 空白のままにする
  5. 次のダイアログで、以下の詳細情報を入力します。
    • IdP グループ: SOC engineers
    • 権限グループ: Analyst
    • SOC ロール: Tier 1
    • 環境: 空白のままにする
  6. 次のダイアログで、以下の詳細を入力します。
    • IdP グループ: NOC engineers
    • 権限グループ: Basic
    • SOC ロール: Tier 2
    • 環境: 空白のままにする
  7. 次のダイアログで、以下の詳細情報を入力します。
    • IdP グループ: London
    • 権限グループ: 空白のままにする
    • SOC ロール: 空白のままにする
    • 環境: London
  8. 次のダイアログで、以下の詳細情報を入力します。
    • IdP グループ: Manchester
    • 権限グループ: 空白のままにする
    • SOC ロール: 空白のままにする
    • 環境: Manchester

ケース連携機能を使用しているお客様は、 Google SecOps の連携ケースアクセスを設定するをご覧ください。

API アクセス用のサービス アカウントをマッピングする

Google SecOps へのサービス アカウント アクセスまたは Workload Identity 連携アクセスを付与するには、ID をプラットフォームのアクセス制御パラメータにマッピングする必要があります。このマッピングは、自動タスクや API オペレーションの実行に必要な SOC ロールと環境へのアクセス権を ID に付与するために必要なステップです。

  1. [SOAR 設定] > [詳細] > [グループ マッピング] に移動します。
  2. [追加] 追加 をクリックします。

  3. [マッピングを追加] ダイアログのフィールドに値を入力して、ID をプラットフォームのアクセス制御パラメータにマッピングします。

    1. [IdP / ユーザー グループ] フィールドに、次のいずれかを入力します。
      • Cloud Identity を使用して ID が設定されている場合は、サービス アカウントの完全なメールアドレス。
      • Workload Identity プリンシパル文字列（Workforce Identity 連携を使用して ID が設定されている場合）。

    2. 次のアクセス制御フィールドを構成します。

      フィールド 説明
      権限グループ 権限グループを選択して、ID がアクセスできるモジュールとサブモジュールを定義します。
      SOC ロール SOC ロールを選択して、ID のロール（Tier 1 など）を定義します。
      環境 ID がアクセスできる環境または環境グループ（[すべての環境] など）を選択します。
      グループ メンバー 必要に応じて、必要なユーザーのメールアドレスを入力します。メールアドレスを追加するごとに Enter キーを押します。
      制限される操作 制限付きアクションを選択して、モジュール内の特定の操作を制限します。

  4. [追加] をクリックします。

サービス アカウントの設定について詳しくは、API 移行ガイドをご覧ください。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。