對應使用者與第三方身分

支援的國家/地區：

本文說明如何透過安全識別資訊，將使用者佈建、驗證及對應至 Google Security Operations 平台。本文說明以 Google Workspace 做為外部身分識別提供者 (IdP) 的設定程序，但其他 IdP 的步驟也類似。使用 Cloud Identity Provider 時，您應透過電子郵件群組 (而非 IdP 群組) 設定服務。詳情請參閱「在 Google SecOps 平台使用 Cloud Identity 對應使用者」。

設定用於佈建的 SAML 屬性

本節內容僅適用於將 SOAR 遷移至 Google Cloud的第 1 階段前。完成第 1 階段的遷移作業後，請參閱Google Cloud 第三方身分驗證。

如要在外部 IdP 中設定 SAML 屬性和群組，請按照下列步驟操作：

  1. 在 Google Workspace 中，前往「SAML Attributes」對應部分。
  2. 新增下列必要屬性：
    • first_name
    • last_name
    • user_email
    • groups
  3. 在 Google 網路論壇中，輸入 IdP 群組名稱。例如，Google SecOps administrators 或 Gcp-security-admins。請記下這些群組名稱，稍後在 Google SecOps 平台中對應時會用到。(在 Okta 等其他外部供應商中，這類群組稱為「IdP 群組」)。

samlattrributes
圖 1. SAML 屬性對應

設定 IdP 佈建

本節僅適用於將 SOAR 遷移至 Google Cloud的第 1 階段前。完成第 1 階段後，請參閱Google Cloud 第三方身分驗證。

如要設定 IdP 佈建，請按照「 設定 IdP」和「建立工作團隊集區識別資訊提供者」中的步驟操作。

以下範例是「 設定員工身分聯盟」一節所述應用程式設定的 workforce pool 建立指令：

gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool=WORKFORCE_POOL_ID \
  --location="global" \
  --display-name=WORKFORCE_PROVIDER_DISPLAY_NAME \
  --description=WORKFORCE_PROVIDER_DESCRIPTION \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="google.subject=assertion.subject,attribute.first_name=assertion.attributes.first_name[0],attribute.last_name=assertion.attributes.last_name[0],attribute.user_email=assertion.attributes.user_email[0],google.groups=assertion.attributes.groups"

控管使用者存取權

您可以透過多種方式管理使用者對平台不同面向的存取權：

  • 權限群組：將使用者指派至特定權限群組，設定使用者存取層級。這些群組會決定使用者可查看或編輯的模組和子模組。舉例來說，使用者可能可以存取「案件」和「工作區」頁面，但無法存取「Playbook」和「設定」。詳情請參閱「使用權限群組」。
  • SOC 角色：定義一組使用者的角色。您可以將使用者指派至 SOC 角色，簡化工作管理。案件、動作或應對手冊可以指派給 SOC 角色，而非個人。使用者可以查看指派給自己、自己角色或額外角色的案件。詳情請參閱「 使用角色」。
  • 環境或環境群組：設定環境或環境群組，區隔不同網路或業務單位的資料，通常由企業和受管理安全服務供應商 (MSSP) 使用。使用者只能存取指派給自己的環境或群組中的資料。詳情請參閱「 使用環境」。

對應及驗證使用者

權限群組、SOC 角色和環境的組合，決定了 Google SecOps 平台中每個 IdP 群組的 Google SecOps 使用者歷程。

  • 如果客戶使用第三方供應商，請在「群組對應」頁面中，對應 SAML 設定中定義的每個 IdP 群組。
  • 如果客戶使用 Cloud Identity Provider，請在「Group Mapping」(群組對應) 頁面對應電子郵件群組。詳情請參閱「在 Google SecOps 平台使用 Cloud Identity 對應使用者」。

您可以將 IdP 群組對應至多個權限群組、SOC 角色和環境。這樣一來，對應至 SAML 供應商中不同 IdP 群組的不同使用者，就會繼承所有必要權限等級。如要進一步瞭解 Google SecOps 如何管理這項設定，請參閱「IdP 群組對應中的多項權限」。

您也可以選擇將 IdP 群組對應至個別存取控管參數。這項功能可提供更精細的對應層級，對大型客戶來說相當實用。詳情請參閱「將 IdP 群組對應至存取控管參數」。

根據預設，Google SecOps 平台會包含預設管理員的 IdP 群組。

如要對應 IdP 群組，請按照下列步驟操作：

  1. 在 Google SecOps 中，依序前往「SOAR 設定」>「進階」>「群組對應」。
  2. 請確認您已取得 IdP 群組名稱。
  3. 按一下「新增」 「新增」，然後開始對應每個 IdP 群組的參數。
  4. 完成後，按一下「新增」。使用者每次登入平台時，都會自動新增至 「使用者管理」頁面 (位於 「設定 > 機構」下方)。

如果使用者嘗試登入 Google SecOps 平台，但其 IdP 群組尚未對應，為避免使用者遭到拒絕，建議您啟用「Default Access Settings」(預設存取權設定)，並在這個頁面設定管理員權限。完成初始管理員設定後，建議將管理員權限調整至更低的層級。

將 IdP 群組對應至存取控管參數

本節說明如何在「IdP Group Mapping」(IdP 群組對應) 頁面中，將不同的 IdP 群組對應至一或多個存取控管參數。如果客戶想根據特定自訂項目，而非 Google SecOps SOAR 平台的標準化設定，來建立及佈建使用者群組，這個方法就很實用。雖然將群組對應至參數時，一開始可能需要建立更多群組，但設定好對應關係後，新使用者就能加入 Google SecOps，不必再建立其他群組。

如要瞭解群組對應中的多項權限，請參閱「對應具有多個控制存取權參數的使用者」。

刪除使用者

如果您從這裡刪除群組，請務必從「User Management」畫面刪除個別使用者。詳情請參閱「刪除 Google SecOps 使用者」。

用途：為每個 IdP 群組指派專屬權限欄位

以下範例說明如何使用這項功能，根據貴公司的需求協助新進員工完成入職程序並佈建資源。

貴公司有三種不同的目標對象：

  • 安全分析師 (包含群組成員 Sasha 和 Tal)
  • SOC 工程師 (包含群組成員 Quinn 和 Noam)
  • NOC 工程師 (包含群組成員 Kim 和 Kai)
資安分析師和 SOC 工程師擁有相同的 Google SecOps 權限群組 (分析師) 和 SOC 角色 (第 1 級)，但資安分析師擁有倫敦環境的權限，SOC 工程師則擁有曼徹斯特環境的權限。同時，NOC 工程師擁有「倫敦」環境的權限，但指派的權限群組為「基本」，SOC 角色為「第 2 層」。

這個情境如下表所示：

角色 權限群組 資安營運中心 (SOC) 角色 環境
安全性分析師 分析人員 級別 1 倫敦
SOC 工程師 分析人員 級別 1 曼徹斯特
NOC 工程師 基本 級別 2 倫敦

在本範例中，假設您已在 Google SecOps 中設定必要的權限群組、SOC 角色和環境。

以下說明如何在 SAML 提供者和 Google SecOps 平台中設定 IdP 群組：

  1. 在 SAML 供應商中建立下列使用者群組：
    • 資安分析師 (包含 Sasha 和 Tal)
    • SOC 工程師 (包含 Quinn 和 Noam)
    • NOC 工程師 (包含 Kim 和 Kai)
    • 倫敦 (包含 Sasha、Tal、Kim 和 Kai)
    • 曼徹斯特 (含 Quinn 和 Noam)
  2. 依序前往「設定」>「SOAR 設定」>「進階」>「群組對應」。
  3. 按一下「新增」 「新增」。
  4. 在對話方塊中輸入下列詳細資料：
    • IdP / 使用者群組：Security analysts
    • 權限群組： Analyst
    • 資安營運中心 (SOC) 角色：Tier 1
    • 環境：留空
  5. 在下一個對話方塊中輸入下列詳細資料：
    • IdP 群組： SOC engineers
    • 權限群組：Analyst
    • 資安營運中心 (SOC) 角色： Tier 1
    • 環境：留空
  6. 在下一個對話方塊中輸入下列詳細資料：
    • IdP 群組：NOC engineers
    • 權限群組： Basic
    • 資安營運中心 (SOC) 角色：Tier 2
    • 環境：留空
  7. 在下一個對話方塊中輸入下列詳細資料：
    • IdP 群組：London
    • 權限群組：留白
    • 資安營運中心 (SOC) 角色：留白
    • 環境：London
  8. 在下一個對話方塊中輸入下列詳細資料：
    • IdP 群組：Manchester
    • 權限群組：留空
    • SOC Role：留空
    • 環境：Manchester

如果客戶使用案件聯合功能，請參閱「 設定 Google SecOps 的聯合案件存取權」。

對應服務帳戶以存取 API

如要將服務帳戶存取權或 Workload Identity Federation 存取權授予 Google SecOps，您必須將身分對應至平台的存取控管參數。這項對應作業是必要步驟，可為身分提供執行自動化工作或 API 作業所需的 SOC 角色和環境存取權。

  1. 依序前往「SOAR 設定」>「進階」>「群組對應」。
  2. 按一下「新增」。

  3. 在「Add Mapping」(新增對應) 對話方塊中填寫欄位，將身分對應至平台的存取控管參數。

    1. 在「IdP / User group」(IdP/使用者群組) 欄位中，輸入下列其中一項：
      • 如果身分是透過 Cloud Identity 設定，請提供服務帳戶的完整電子郵件地址。
      • 如果身分是透過員工身分聯盟設定，則為 Workload Identity 主體字串。

    2. 設定下列存取控管欄位：

      欄位 說明
      權限群組 選取權限群組，定義身分可存取的模組和子模組。
      資安營運中心 (SOC) 角色 選取資安營運中心 (SOC) 角色，定義身分的角色 (例如第 1 層)。
      環境 選取身分可存取的環境或環境群組 (例如「所有環境」)。
      群組成員 視需要輸入必要的使用者電子郵件地址。每新增一個電子郵件地址，就按下 Enter 鍵。
      受限動作 選取受限動作，限制模組內的特定作業。

  4. 按一下「新增」。

如要進一步瞭解如何設定服務帳戶，請參閱 API 遷移指南。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。