Active Directory in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Active Directory in Google Security Operations einbinden.

Hinweis: Diese Integration verwendet eine oder mehrere Open-Source-Komponenten. Sie können eine ZIP-Datei mit dem vollständigen Quellcode dieser Integration aus dem Cloud Storage-Bucket herunterladen.

Anwendungsfälle

Die Active Directory-Integration verwendet Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

• Nutzer aktivieren und deaktivieren: Deaktivieren Sie ein potenziell manipuliertes Nutzerkonto und verhindern Sie weiteren unbefugten Zugriff.

• Passwörter zurücksetzen: Das Nutzerpasswort wird in Active Directory automatisch zurückgesetzt und der Nutzer wird über die Änderung benachrichtigt.

• Gruppen verwalten: Fügen Sie neue Nutzer den entsprechenden Sicherheitsgruppen basierend auf ihrer Rolle hinzu und achten Sie darauf, dass die Nutzer die richtigen Zugriffsberechtigungen haben.

• Nutzerinformationen abrufen: Sie können Nutzerdetails wie Gruppenmitgliedschaften, den Zeitpunkt der letzten Anmeldung und Kontaktdaten für ein bestimmtes Nutzerkonto abrufen.

• Offboarding automatisieren: Deaktivieren Sie Konten, entfernen Sie sie aus Gruppen und übertragen Sie die Eigentümerschaft an Dateien, wenn ein Mitarbeiter das Unternehmen verlässt.

Hinweis

Bevor Sie die Active Directory-Integration in Google SecOps konfigurieren, müssen Sie prüfen, ob Ihre Netzwerkumgebung, die Active Directory Domain Services (AD DS) und die Anmeldedaten des Dienstkontos alle betrieblichen Voraussetzungen erfüllen.

So bereiten Sie Ihre Umgebung für die Integration vor:

1. Prüfen Sie die Netzwerkverbindung und die DNS-Auflösung zwischen Ihrer Google SecOps-Instanz (oder dem Remote-Agent) und Ihren Active Directory-Domaincontrollern.

2. Optional: Wenn Sie eine Verbindung über LDAPS (Port 636, erforderlich für das Zurücksetzen von Passwörtern) mit einer internen Zertifizierungsstelle herstellen, konfigurieren Sie das CA-Zertifikat, indem Sie Ihr Stamm- oder Zwischenzertifikat in einen Base64-String codieren.

3. Erstellen Sie ein dediziertes Active Directory-Dienstkonto, das dem Prinzip der geringsten Berechtigung entspricht.

4. Sehen Sie sich die erforderlichen Aktionsberechtigungen an, um die Attribute und Zugriffsrechte zu ermitteln, die für die spezifischen Aktionen erforderlich sind, die Sie ausführen möchten.

5. Delegieren Sie Berechtigungen für die Zielorganisationseinheiten für die Aktionen, die Sie verwenden möchten (mit Active Directory-Nutzern und -Computern oder PowerShell und dsacls). Achten Sie darauf, dass das Dienstkonto expliziten Lese- und Schreibzugriff auf das Attribut userAccountControl hat.

Netzwerk- und DNS-Anforderungen

Google SecOps kommuniziert direkt mit Active Directory-Domaincontrollern über das Lightweight Directory Access Protocol (LDAP oder LDAPS) über TCP.

Ihre Netzwerkumgebung muss die folgenden Verbindungsregeln erfüllen:

• Portverbindung: Achten Sie darauf, dass Ihre Netzwerk-Firewalls und Ihr Routing die ausgehende Kommunikation von Google SecOps (oder Ihrem Remote-Agent) zu Ihren Active Directory-Domaincontrollern über die folgenden Ports zulassen:

  • LDAP (Standard): Öffnen Sie Port 389/TCP für die unverschlüsselte LDAP-Kommunikation.
  • LDAPS (empfohlen – für Passwörter erforderlich): Öffnen Sie Port 636/TCP (oder Ihren benutzerdefinierten SSL/TLS-Port). LDAPS ist für verschlüsselten Verzeichnisdatenverkehr erforderlich und für Aktionen zur Passwortänderung obligatorisch.

• DNS- und Hostnamenauflösung: Active Directory erfordert eine genaue Hostnamenauflösung, um SSL/TLS-Zertifikate und Verzeichnisdienstbindungen abzugleichen. Wenn Ihre Domain über Ihre interne DNS-Einrichtung durch einen voll qualifizierten DNS-Namen aufgelöst wird, ist keine zusätzliche Hostkonfiguration erforderlich. Wenn die DNS-Auflösung in Ihrem Remote-Agent-Container-Image nicht verfügbar ist, konfigurieren Sie die Datei /etc/hosts.

Datei /etc/hosts konfigurieren

Diese Konfiguration ist optional. Wenn Ihr Domaincontroller bereits über Ihre interne DNS-Einrichtung aufgelöst wird, überspringen Sie diesen Abschnitt. Wenn Ihr Remote-Agent den Active Directory-Domaincontroller nicht über DNS auflösen kann, ordnen Sie den Host manuell in der Datei /etc/hosts zu, damit er mit SSL/TLS-Zertifikaten und Verzeichnisdienstbindungen übereinstimmt.

Führen Sie die folgenden Schritte aus, um die Datei /etc/hosts zu konfigurieren:

1. Öffnen Sie /etc/hosts in einem Texteditor mit Administratorberechtigungen:

   sudo vi /etc/hosts
   

2. Fügen Sie einen Eintrag hinzu, der die IP-Adresse des Domaincontrollers dem voll qualifizierten Domainnamen (FQDN) zuordnet:

   192.0.2.195 dc01.example.local
   

3. Speichern und schließen Sie die Datei.

Wenn Sie für die Integration kein CA-Zertifikat benötigen, fahren Sie mit der Konfiguration der Anforderungen für Authentifizierung und Dienstkonto fort. Konfigurieren Sie andernfalls Ihr CA-Zertifikat.

CA-Zertifikat konfigurieren

Dieser Schritt ist optional. Wenn Sie eine Verbindung über Standard-LDAP (Port 389) herstellen oder ein öffentlich vertrauenswürdiges Zertifikat verwenden, überspringen Sie diesen Abschnitt und fahren Sie mit Anforderungen an Authentifizierung und Dienstkonto fort. Wenn Sie eine Verbindung über LDAPS (Port 636, erforderlich für das Zurücksetzen von Passwörtern) mit einem Zertifikat herstellen, das von einer privaten oder internen Zertifizierungsstelle ausgestellt wurde, geben Sie bei der Einrichtung den Base64-codierten Zertifikatsstring an, um eine vertrauenswürdige TLS-Verbindung herzustellen.

Führen Sie die folgenden Schritte aus, um das CA-Zertifikat zu konfigurieren und hochzuladen:

1. Codieren Sie Ihre PEM-formatierte Zertifikatsdatei:

   • Linux: bash base64 -w 0 mycert.crt

   • macOS: bash base64 -i mycert.crt

2. Kopieren Sie den vollständigen Ausgabestring (einschließlich codierter Header) und fügen Sie ihn in der Integrationskonfiguration von Google SecOps in das Feld CA Certificate File - parsed into Base64 String ein.

3. Legen Sie den Parameter Server auf den FQDN des Domaincontrollers (nicht auf seine IP-Adresse) fest, damit der Hostname mit dem Common Name (CN) oder dem Subject Alternative Name (SAN) im Zertifikat übereinstimmt.

4. Klicken Sie auf Testen, um den TLS-Handshake zu validieren.

Anforderungen an Authentifizierung und Dienstkonten

Die Active Directory-Integration authentifiziert sich mit Standard-AD DS-Anmeldedaten.

Achten Sie darauf, dass Ihre Authentifizierungseinrichtung den folgenden Sicherheitsmaßnahmen entspricht:

• Dediziertes Dienstkonto: Erstellen Sie ein dediziertes Dienstkonto (z. B. svc_secops_ad) speziell für automatisierte Playbooks von Google SecOps. Vermeiden Sie die Verwendung interaktiver Nutzerkonten oder integrierter Domain-Administratorkonten.

• Format des Nutzernamens: Der Nutzername kann als User Principal Name (UPN) (z. B. [e-mail]) oder als Down-Level-Anmeldename (EXAMPLE\svc_secops) angegeben werden.

• PoLP: Fügen Sie das Dienstkonto nicht privilegierten integrierten Gruppen wie Domain Admins, Enterprise Admins oder Account Operators hinzu. Erteilen Sie stattdessen detaillierte Berechtigungen für bestimmte OEs, in denen sich Nutzer-, Computer- oder Gruppenobjekte befinden.

Aktionsberechtigungen konfigurieren (geringste Berechtigung)

Gewähren Sie dem authentifizierenden Dienstkonto nur die Active Directory-Berechtigungen und den LDAP-Attributzugriff, die für die spezifischen Aktionen erforderlich sind, die Sie ausführen möchten.

Wichtig: Für Statusprüfungen und Lebenszyklusaktionen (einschließlich Konto aktivieren, Konto deaktivieren, Computer aktivieren, Computer deaktivieren und Entitäten anreichern) sind explizite Rechte zum Lesen und Schreiben von Attributen für das Attribut userAccountControl erforderlich.

Wenn das Dienstkonto userAccountControl nicht lesen kann, lässt Active Directory das Attribut vollständig aus LDAP-Antworten weg. In Google SecOps führt dies zu unbehandelten Null-Ausnahmen (z. B. TypeError: 'NoneType' object is not subscriptable). Achten Sie darauf, dass dieses Attribut explizit an alle Ziel-OEs delegiert wird.

In der folgenden Tabelle finden Sie die Mindestberechtigungen für Active Directory-Aktionen:

Aktionsname	Erforderliche AD DS-Berechtigung / erweitertes Recht	Zielobjektklasse	Beschreibung/Attributbereich
Ping	Read Property	Nutzer, Domainwurzel	Fragt das konfigurierte Dienstkontoobjekt (sAMAccountName, userPrincipalName, mail) ab, um die Verzeichnisverbindung und die Anmeldedaten zu validieren.
Entitäten anreichern	List Contents Read Property (Zielattribute: userAccountControl, sAMAccountName, mail, memberOf, lockoutTime, pwdLastSet)	Nutzer, Computer, Gruppe	Fragt Nutzer- und Computerattribute ab und löst verschachtelte Gruppenmitgliedschaften auf. Erfordert Read Property für userAccountControl, um Null-Indexfehler zu vermeiden.
Konto deaktivieren	Read Property: userAccountControl Write Property: userAccountControl	Nutzer	Liest das Flag ACCOUNTDISABLE (0x0002) für das Zielnutzerobjekt und legt es fest.
Konto aktivieren	Read Property: userAccountControl Write Property: userAccountControl	Nutzer	Liest das Flag ACCOUNTDISABLE (0x0002) für das Zielnutzerobjekt und löscht es.
Computer deaktivieren	Read Property: userAccountControl Write Property: userAccountControl	Computer	Liest das Flag ACCOUNTDISABLE für das Zielcomputerobjekt und legt es fest.
Computer aktivieren	Read Property: userAccountControl Write Property: userAccountControl	Computer	Liest das Flag ACCOUNTDISABLE auf dem Zielcomputerobjekt und löscht es.
Gesperrtes Konto freigeben	Read Property: lockoutTime Write Property: lockoutTime	Nutzer	Liest das Attribut lockoutTime und setzt es auf 0, um ein gesperrtes Nutzerkonto zu entsperren.
Passwortaktualisierung erzwingen	Read Property: pwdLastSet Write Property: pwdLastSet	Nutzer	Liest das Attribut pwdLastSet und setzt es auf 0, damit der Nutzer sein Passwort bei der nächsten Anmeldung ändern muss.
Nutzerpasswort festlegen	Erweitertes Recht: Reset Password (User-Force-Change-Password) (Optional) Write Property: unicodePwd	Nutzer	Setzt das Passwort des Zielnutzers zurück. Erfordert LDAPS (Port 636) oder StartTLS.
Nutzer zu Gruppe hinzufügen	Read Property: member Write Property: member	Gruppe	Fügt den Distinguished Name (distinguishedName) des Zielnutzers dem Attribut member der Gruppe hinzu.
Nutzer aus Gruppe entfernen	Read Property: member Write Property: member	Gruppe	Entfernt den Distinguished Name (distinguishedName) des Zielnutzers aus dem Attribut member der Gruppe.
OE des Nutzers ändern	Delete Child Object (Nutzer) in der Quell-OE Create Child Object (Nutzer) in der Ziel-OE Write Property: name, distinguishedName	Organisationseinheit, Nutzer	Verschiebt Nutzerobjekte mithilfe von LDAP-modify_dn zwischen OEs.
Host-OE ändern	Delete Child Object (Computer) in der Quell-OE Create Child Object (Computer) in der Ziel-OE Write Property: name, distinguishedName	Organisationseinheit, Computer	Verschiebt Computerobjekte zwischen OEs mithilfe von LDAP-modify_dn.
Attribute eines AD-Nutzers aktualisieren	Write Property für Zielattribute (z. B. mail, title, department, telephoneNumber, description oder manager)	Nutzer	Ändert die angegebenen Attributwerte für das Zielnutzerobjekt.
Attribute eines AD-Hosts aktualisieren	Write Property für Zielattribute (z. B. description oder location)	Computer	Ändert die angegebenen Attributwerte für das Zielcomputerobjekt.
Gruppenmitglieder abrufen	List Contents Read Property: member, sAMAccountName, distinguishedName	Gruppe, Nutzer, Computer	Fragt die Gruppenmitgliedschaft und die Attribute von Mitgliedskonten ab.
Kontaktdaten des Managers abrufen	Read Property: manager Read Property: cn, telephoneNumber, mail, displayName, title	Nutzer	Liest das Attribut manager aus dem Zielnutzerobjekt und ruft die Kontaktdaten des Managers ab.
Is User In Group	Read Property: memberOf, sAMAccountName	Nutzer, Gruppe	Prüft, ob ein Nutzerkonto zur angegebenen Sicherheits- oder Verteilergruppe gehört.
Nutzergruppen auflisten	Read Property: memberOf, sAMAccountName	Nutzer, Gruppe	Gibt die Liste aller Gruppen zurück, die dem angegebenen Nutzerkonto zugewiesen sind.
Active Directory durchsuchen	List Contents Read Property für abgefragte Attribute	Nutzer, Computer, Gruppe, Organisationseinheit	Führt benutzerdefinierte LDAP-Filterabfragen für den Verzeichnisunterbaum aus.

Berechtigungen in Active Directory delegieren

Wenn Sie das PoLP erzwingen möchten, ohne umfassende Administratorrechte zu gewähren, delegieren Sie Berechtigungen für Ziel-OEs entweder über die grafische ADUC-Konsole oder die PowerShell- und dsacls-Befehlszeilentools. Sie müssen nur eine dieser Methoden verwenden und nur die Berechtigungen delegieren, die für die spezifischen Aktionen erforderlich sind, die Sie ausführen möchten.

Steuerung mit ADUC delegieren

Wenn Sie eine grafische Oberfläche bevorzugen, können Sie den Assistenten für die Delegierung von Berechtigungen in ADUC verwenden, um objekt- und attributspezifische Berechtigungen zu delegieren.

Führen Sie den Assistenten für die Ziel-OE aus, um die Objekt- und Attributberechtigungen zu gewähren, die für die geplanten Aktionen erforderlich sind (z. B. Lesen und Schreiben von Flags für die Kontosteuerung, Zurücksetzen von Passwörtern oder Entsperren von Konten).

Eine detaillierte Anleitung zum Ausführen des Assistenten finden Sie in der Microsoft-Dokumentation unter Delegation of Control in AD DS.

Steuerung mit PowerShell und dsacls delegieren

Wenn Sie einen Befehlszeilenansatz bevorzugen oder die Zuweisung von Berechtigungen automatisieren möchten, verwenden Sie PowerShell mit dem integrierten Dienstprogramm dsacls.exe anstelle von ADUC.

Führen Sie nur die Befehlsbeispiele aus, die für die Aktionen gelten, die Sie auf einer administrativen Workstation oder einem Domaincontroller verwenden möchten. Ersetzen Sie dabei die Ziel-OE und den Dienstkontonamen:

• Gewähren Sie Lese- und Schreibberechtigungen für userAccountControl für Nutzerobjekte, um Nutzerkonten zu aktivieren oder zu deaktivieren und Anreicherungsfehler zu vermeiden: powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;user"
• Gewähren Sie Lese- und Schreibberechtigungen für userAccountControl für Computerobjekte (zum Aktivieren oder Deaktivieren von Computern): powershell dsacls.exe "OU=Computers,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;computer"
• Berechtigungen zum Entsperren des Kontos (lockoutTime) erteilen: powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;lockoutTime;user"
• Berechtigungen zum Erzwingen einer Passwortänderung (pwdLastSet) gewähren: powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;pwdLastSet;user"
• Rechte zum Zurücksetzen des Passworts gewähren (erweitertes Recht Reset Password): powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:CA;Reset Password;user"
• Rechte zum Ändern der Mitgliedschaft für eine Sicherheitsgruppe gewähren: powershell dsacls.exe "CN=SecOps-Quarantine,OU=Groups,DC=example,DC=local" /G "EXAMPLE\svc_secops_ad:RPWP;member;group"

Weitere Informationen zur Syntax und zu den Parameterschaltern finden Sie in der Microsoft-Dokumentation zu dsacls.

Hinweis: In Active Directory ist die Vererbung für Mitglieder geschützter Administratorgruppen durch den internen AdminSDHolder-Prozess deaktiviert. Delegierte Berechtigungen, die auf OE-Ebene zugewiesen wurden, gelten nicht für geschützte Administratorkonten.

Weitere Informationen zum Verwalten geschützter Objekte finden Sie in der Microsoft-Dokumentation zu AdminSDHolder und geschützten Konten.

Integrationsparameter

Für die Integration von Active Directory sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Server	Pflichtangabe. Der Hostname, DNS-Name oder die IP-Adresse des Active Directory-Servers. Die Integration kommuniziert über das LDAP-Protokoll. Wenn Sie einen benutzerdefinierten Port verwenden möchten, hängen Sie ihn an die Adresse an (z. B. mydomain.com:636). Standardmäßig wird bei der Integration Port 636 verwendet, wenn SSL/TLS aktiviert ist, und Port 389, wenn es deaktiviert ist.
Username	Pflichtangabe. Der Nutzername oder die E-Mail-Adresse des Nutzers, der mit Active Directory verbunden werden soll, z. B. DOMAIN\username oder [e-mail]. Dieser Parameter akzeptiert auch das Attribut userPrincipalName.
Password	Pflichtangabe. Das Passwort für das Nutzerkonto.
Domain	Pflichtangabe. Der vollständige DNS-Pfad zu Ihrer Domain im Netzwerk-Namespace. Geben Sie den voll qualifizierten Domainnamen (FQDN) Ihrer Domain im folgenden Format an: SUBDOMAIN.ROOT_DOMAIN. Wenn Ihre interne Active Directory-Domain beispielsweise example.local lautet, ist der einzugebende FQDN example.local. Wenn Ihre interne Active Directory-Domain corp.example.com lautet, ist der einzugebende FQDN corp.example.com.
Custom Query Fields	Optional. Eine durch Kommas getrennte Liste benutzerdefinierter Active Directory-Felder, die in Abfragen enthalten sein sollen, z. B. customField1, customField2.
CA Certificate File - parsed into Base64 String	Optional. Der String der CA-Zertifikatsdatei, der im Base64-Format codiert ist und beim Konfigurieren des CA-Zertifikats abgerufen wird. Geben Sie den vollständigen Wert an.
Use SSL	Optional. Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Active Directory-Verzeichnisserver validiert und es wird sicheres LDAPS (Port 636) verwendet. Wenn diese Option nicht ausgewählt ist, wird Standard-LDAP (Port 389) verwendet.
Debug Logging	Optional. Wenn diese Option ausgewählt ist, werden in der Integration detaillierte Debugging-Informationen für Active Directory-Vorgänge protokolliert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Nutzer zu Gruppe hinzufügen

Mit der Aktion Nutzer zu Gruppe hinzufügen können Sie Nutzer aus dem Fall einer oder mehreren Active Directory-Gruppen hinzufügen, z. B. ein Konto während einer Untersuchung einer Gruppe mit eingeschränktem Zugriff hinzufügen. Die Aktion identifiziert automatisch die Zielnutzer aus dem Fall und fügt sie den angegebenen Gruppen hinzu.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Add User To Group sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Group Name	Pflichtangabe. Eine durch Kommas getrennte Liste der Gruppen, denen Nutzer hinzugefügt werden sollen.

Aktionsausgaben

Die Aktion Nutzer zu Gruppe hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Add User To Group kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully added the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID The following users were already a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID	Die Aktion war erfolgreich.
Action wasn't able to add the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto die Berechtigung hat, das Attribut member für die Zielgruppe zu ändern.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und ob die Entitätskennungen mit gültigen Nutzernamen oder E‑Mail-Adressen übereinstimmen.
The following groups were not found in Active Directory: GROUP_NAME	Die Aktion ist für die angegebenen Gruppen fehlgeschlagen. Prüfen Sie die Schreibweise der Gruppennamen im Parameter Group Name und bestätigen Sie, dass die Gruppen in der konfigurierten Domain vorhanden sind.
No users were added to the group "GROUP_NAME" in Active Directory.	Die Aktion ist für die angegebene Gruppe fehlgeschlagen. Prüfen Sie, ob die Zielnutzer in Active Directory vorhanden sind und ob das Dienstkonto Schreibzugriff auf die angegebene Gruppe hat.
No users were added to the provided groups in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält und ob die angegebenen Gruppen in Active Directory vorhanden sind.
Error executing action "Add User To Group". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die Eingabeparameter oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzer zu Gruppe hinzufügen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Host-OE ändern

Mit der Aktion Host-OE ändern können Sie Computer im Fall in eine andere Organisationseinheit in Active Directory verschieben, z. B. einen kompromittierten Computer in eine Quarantäne-OE mit eingeschränkten Richtlinien. Die Aktion identifiziert automatisch die Zielcomputer aus dem Fall und verschiebt sie in die angegebene Ziel-OE.

Diese Aktion wird für die Google SecOps-Entität Hostname ausgeführt.

Aktionseingaben

Für die Aktion Host-OE ändern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
OU Name	Pflichtangabe. Der Name der neuen Host-OE.

Aktionsausgaben

Die Aktion Host-OE ändern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Host-OE ändern kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Changed OU for the following hosts: ENTITY_ID	Die Aktion war erfolgreich.
Failed to change OU for the following hosts : ENTITY_ID	Die Aktion ist für die angegebenen Hosts fehlgeschlagen. Prüfen Sie, ob die Ziel-OE vorhanden ist und ob das Dienstkonto die Berechtigung hat, Computerobjekte zwischen der Quell- und der Ziel-OE zu verschieben.
The following hosts were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Hosts fehlgeschlagen. Prüfen Sie, ob die Computerkonten in Active Directory vorhanden sind und mit den Hostname-Entitäten im Fall übereinstimmen.
The action didn't change OU on any hosts.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob die Zielcomputer und die Ziel-OE in Active Directory vorhanden sind und ob das Dienstkonto die Berechtigung zum Verschieben der Computerkonten hat.
Error executing action "Change Host OU". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, den Parameter OU Name oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Host-OE ändern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

OE des Nutzers ändern

Mit der Aktion Nutzer-OE ändern können Sie Nutzer im Fall in eine andere Organisationseinheit in Active Directory verschieben, z. B. ein Konto während eines Vorfalls oder Offboarding-Workflows in eine eingeschränkte OE verschieben. Die Aktion identifiziert automatisch die Zielnutzer aus dem Fall und verschiebt sie in die angegebene Ziel-OE.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion OE des Nutzers ändern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
OU Name	Pflichtangabe. Der Name der neuen Nutzer-OE.

Aktionsausgaben

Die Aktion OE des Nutzers ändern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion OE des Nutzers ändern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Changed OU for the following users: ENTITY_ID	Die Aktion war erfolgreich.
Failed to change OU for the following users : ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Ziel-OE vorhanden ist und ob das Dienstkonto die Berechtigung hat, Nutzerobjekte zwischen der Quell- und der Ziel-OE zu verschieben.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
The action didn't change OU on any users.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob die Zielnutzer und die Ziel-OE in Active Directory vorhanden sind und ob das Dienstkonto die Berechtigung zum Verschieben der Nutzerkonten hat.
Error executing action "Change User OU". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, den Parameter OU Name oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzer-OE ändern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Konto deaktivieren

Verwenden Sie die Aktion Konto deaktivieren, um Nutzerkonten in Active Directory zu deaktivieren. Diese Aktion richtet sich automatisch an die Nutzer, die dem Fall zugeordnet sind.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Konto deaktivieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Konto deaktivieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Disabled account for the following users: ENTITY_ID	Die Aktion war erfolgreich.
Failed to disable account for the following users: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto Lese- und Schreibberechtigungen für das Attribut userAccountControl für die Zielnutzerkonten hat und ob die Nutzer keine geschützten Administratorkonten sind.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
No users were disabled in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält und ob das Dienstkonto die Berechtigung hat, die Zielkonten zu deaktivieren.
Error executing action "Disable Account". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Konto deaktivieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Computer deaktivieren

Mit der Aktion Computer deaktivieren können Sie Computerkonten in Active Directory deaktivieren, um zu verhindern, dass sich manipulierte oder nicht autorisierte Computer bei der Domain authentifizieren. Die Aktion richtet sich automatisch an die mit dem Fall verknüpften Hostnamen.

Diese Aktion wird für die Google SecOps-Entität Hostname ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Computer deaktivieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Computer deaktivieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully disabled the following computers in Active Directory: ENTITY_ID The following computers were already disabled in Active Directory: ENTITY_ID	Die Aktion war erfolgreich.
Action wasn't able to disable the following computers in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Computer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto Lese- und Schreibberechtigungen für das Attribut userAccountControl für die Zielcomputerobjekte hat.
The following computers were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Computer fehlgeschlagen. Prüfen Sie, ob die Computerkonten in Active Directory vorhanden sind und mit den Hostname-Entitäten im Fall übereinstimmen.
No computers were disabled in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige Hostname-Entitäten enthält und ob das Dienstkonto die Berechtigung zum Deaktivieren der Zielcomputerkonten hat.
Error executing action "Disable Computer". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Computer deaktivieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Konto aktivieren

Verwenden Sie die Aktion Konto aktivieren, um deaktivierte Nutzerkonten in Active Directory wieder zu aktivieren. Die Aktion richtet sich automatisch an die Nutzer, die dem Fall zugeordnet sind.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Konto aktivieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Konto aktivieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully enabled the following users in Active Directory: ENTITY_ID The following users were already enabled in Active Directory: ENTITY_ID	Die Aktion war erfolgreich.
Action wasn't able to enable the following users in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto Lese- und Schreibberechtigungen für das Attribut userAccountControl der Zielnutzerkonten hat.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
No users were enabled in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob die Anfrage gültige User-Entitäten enthält und ob das Dienstkonto die Berechtigung hat, die Zielkonten zu aktivieren.
Error executing action "Enable Account". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Konto aktivieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Computer aktivieren

Verwenden Sie die Aktion Computer aktivieren, um deaktivierte Computerkonten in Active Directory wieder zu aktivieren, damit sich die Computer wieder bei der Domain authentifizieren können. Die Aktion wird automatisch auf die mit dem Fall verknüpften Hostnamen angewendet.

Diese Aktion wird für die Google SecOps-Entität Hostname ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Computer aktivieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Computer aktivieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully enabled the following computers in Active Directory: ENTITY_ID The following computers were already enabled in Active Directory: ENTITY_ID	Die Aktion war erfolgreich.
Action wasn't able to enable the following computers in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Computer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto Lese- und Schreibberechtigungen für das Attribut userAccountControl für die Zielcomputerobjekte hat.
The following computers were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Computer fehlgeschlagen. Prüfen Sie, ob die Computerkonten in Active Directory vorhanden sind und mit den Hostname-Entitäten im Fall übereinstimmen.
No computers were enabled in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige Hostname-Entitäten enthält und ob das Dienstkonto die Berechtigung hat, die Zielcomputerkonten zu aktivieren.
Error executing action "Enable Computer". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Computer aktivieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Entitäten anreichern

Verwenden Sie die Aktion Entitäten anreichern, um Active Directory-Profildetails, den Kontostatus und Gruppenmitgliedschaften für Nutzer und Computer im Fall abzurufen. Sie können Entitäten mit allen verfügbaren Verzeichnisinformationen anreichern oder die Ergebnisse und die Tabelle mit den Fallwänden auf bestimmte Attribute beschränken.

Diese Aktion ist asynchron. Passen Sie bei Bedarf den Zeitüberschreitungswert für das Skript in der Google SecOps-IDE für die Aktion an.

Die Aktion Entitäten anreichern wird für die folgenden Google SecOps-Entitäten ausgeführt:

• User
• Hostname

Aktionseingaben

Für die Aktion Entitäten anreichern sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Mark Entities as Internal	Optional. Wenn diese Option ausgewählt ist, werden die erfolgreich angereicherten Entitäten automatisch als interne Entitäten markiert. Standardmäßig aktiviert.
Create Case Wall Table	Optional. Wenn diese Option ausgewählt ist, wird durch die Aktion eine Case Wall-Tabelle mit den abgerufenen Active Directory-Attributen für jede angereicherte Entität generiert. Standardmäßig aktiviert.
Specific Attribute Names To Enrich With	Optional. Eine durch Kommas getrennte Liste von Attributnamen, mit denen die Entitäten angereichert werden sollen. Wenn Sie keinen Wert angeben, werden Entitäten mit allen verfügbaren Attributen angereichert. Wenn ein Attribut mehrere Werte enthält, wird es durch die Aktion mit allen verfügbaren Werten angereichert. Bei diesem Parameter wird zwischen Groß- und Kleinschreibung unterschieden.
Should Case Wall Table be filtered by the specified Attributes?	Optional. Wenn diese Option ausgewählt ist, werden in der Fall-Repository-Tabelle nur die in Specific Attribute Names To Enrich With angegebenen Attribute angezeigt.
Should JSON result be filtered by the specified Attributes?	Optional. Wenn diese Option ausgewählt ist, werden im JSON-Ergebnis nur die in Specific Attribute Names To Enrich With angegebenen Attribute zurückgegeben.

Aktionsausgaben

Die Aktion Entitäten anreichern liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Tabelle mit Entitätsanreicherungen	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Entitäten anreichern stellt die folgende Tabelle auf der Fallpinnwand bereit, wenn Create Case Wall Table ausgewählt ist:

• Tabellenname: Report for: <var class="readonly">ENTITY_ID</var>
• Spalten: Active Directory-Attributnamen und -werte, die für die Entität abgerufen wurden (oder nach dem Parameter Specific Attribute Names To Enrich With gefiltert, wenn Should Case Wall Table be filtered by the specified Attributes? ausgewählt ist).

Entitätsanreicherung

Die Aktion Entitäten anreichern unterstützt die folgende Entitätsanreicherung:

Name des Anreicherungsfelds	Logik
AD_primaryGroupID	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_logonCount	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_cn	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_countryCode	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_objectClass	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_userPrincipalName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_adminCount	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_lastLogonTimestamp	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_manager	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_instanceType	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_distinguishedName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_dSCorePropagationData	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_msDS-SupportedEncryptionTypes	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_objectSid	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_whenCreated	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_uSNCreated	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_lockoutTime	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_badPasswordTime	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_pwdLastSet	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_sAMAccountName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_objectCategory	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_lastLogon	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_objectGUID	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_whenChanged	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_badPwdCount	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_accountExpires	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_displayName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_name	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_memberOf	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_codePage	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_userAccountControl	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_sAMAccountType	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_uSNChanged	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_sn	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_givenName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_lastLogoff	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Entitäten anreichern empfangen wird:

[
    {
        "EntityResult": {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["[e-mail]"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example user"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "[e-mail]"
    }
]

Ausgabenachrichten

Die Aktion Entitäten anreichern kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Active Directory Permalink: SERVER Enriched the following Users ENTITY_ID Enriched the following Hosts ENTITY_ID All entities were enriched.	Die Aktion war erfolgreich.
The following entities were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Entitäten fehlgeschlagen. Prüfen Sie, ob die Nutzer- oder Hostkonten in Active Directory vorhanden sind und mit den Entitätskennungen im Fall übereinstimmen.
Failed to enrich the following Users ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto die Berechtigung zum Lesen von Attributen (einschließlich userAccountControl) für die Zielnutzerkonten hat, und ob alle benutzerdefinierten Attribute in Active Directory vorhanden sind.
Failed to enrich the following Hosts ENTITY_ID	Die Aktion ist für die angegebenen Hosts fehlgeschlagen. Prüfen Sie, ob das Dienstkonto die Berechtigung zum Lesen von Attributen (einschließlich userAccountControl) für die Zielcomputerkonten hat und ob benutzerdefinierte Attribute in Active Directory vorhanden sind.
No entities were enriched.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User- oder Hostname-Entitäten enthält, die in Active Directory vorhanden sind.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die benutzerdefinierten Abfragefelder oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Entitäten anreichern verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Passwortaktualisierung erzwingen

Mit der Aktion Passwortaktualisierung erzwingen können Sie Nutzer dazu auffordern, ihr Passwort bei der nächsten Anmeldung zu ändern. Die Aktion richtet sich automatisch an die Nutzer, die dem Fall zugeordnet sind.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Passwortaktualisierung erzwingen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Passwortaktualisierung erzwingen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Forced password update on next logon for the following users: ENTITY_ID	Die Aktion war erfolgreich.
Failed to force password update on next logon for the following users: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto Lese- und Schreibberechtigungen für das Attribut pwdLastSet der Zielnutzerkonten hat.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
Password update wasn't forced on any users.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält und ob das Dienstkonto die Berechtigung zum Aktualisieren der Einstellungen für den Ablauf von Passwörtern hat.
Error executing action "Force Password Update". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Passwortaktualisierung erzwingen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Gruppenmitglieder abrufen

Verwenden Sie die Aktion Gruppenmitglieder abrufen, um die Nutzer, Computer oder beides aufzulisten, die zu einer bestimmten Active Directory-Gruppe gehören. Optional können Sie die Suche auf eine bestimmte Organisationseinheit oder übergeordnete Gruppe eingrenzen und Mitglieder aus verschachtelten Untergruppen einbeziehen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Gruppenmitglieder abrufen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Group Name	Pflichtangabe. Der Name der Gruppe, die die aufgeführten Mitglieder enthält.
Members Type	Pflichtangabe. Der Mitgliedstyp, der aus der Gruppe abgerufen werden soll. Folgende Werte sind möglich: Only Users Only Hosts Both Der Standardwert ist Only Users.
Where To Search	Pflichtangabe. Eine bestimmte Organizational Unit oder Group, auf die die Suche beschränkt werden soll. Folgende Werte sind möglich: Select Option Organizational Unit Group Der Standardwert ist Select Option.
Filter Object Value	Optional. Der Name der Organizational Unit oder Group, in der die Aktion nach der Zielgruppe sucht. Dieser Parameter ist erforderlich, wenn Where To Search auf Organizational Unit oder Group gesetzt ist.
Perform Nested Search	Optional. Wenn diese Option ausgewählt ist, werden Mitglieder aus verschachtelten Untergruppen abgerufen, die zur Zielgruppe gehören.
Limit	Optional. Die maximale Anzahl der Einträge, die aus Active Directory abgerufen werden sollen. Der Standardwert ist 100.

Aktionsausgaben

Die Aktion Gruppenmitglieder abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Gruppenmitglieder abrufen stellt die folgende Tabelle auf der Fallpinnwand bereit:

• Tabellenname: Members of Active Directory group: <var class="readonly">GROUP_NAME</var>
• Spalten:
  • Distinguished Name
  • SAM Account Name
  • User Principal Name
  • Type

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Gruppenmitglieder abrufen zurückgegeben wird:

[
  {
    "dn": "CN=Example User1,OU=User Accounts,DC=example,DC=local",
    "sAMAccountName": "ExampleUser1",
    "userPrincipalName": "[e-mail]",
    "type": "CN=Person,CN=Schema,CN=Configuration,DC=example,DC=local"
  },
  {
    "dn": "CN=Example User2,CN=Users,DC=example,DC=local",
    "sAMAccountName": "ExampleUser2",
    "userPrincipalName": "[e-mail]",
    "type": "CN=Person,CN=Schema,CN=Configuration,DC=example,DC=local"
  }
]

Ausgabenachrichten

Die Aktion Gruppenmitglieder abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully retrieved members of the group "GROUP_NAME" from Active Directory. Group "GROUP_NAME" doesn't contain any members matching search criteria in Active Directory.	Die Aktion war erfolgreich.
Error executing action "Get Group Members". Reason: Filter Object Value should be provided	Die Aktion ist fehlgeschlagen. Geben Sie im Parameter Filter Object Value einen gültigen OE- oder Gruppennamen an, wenn Where To Search auf Organizational Unit oder Group festgelegt ist.
Error executing action "Get Group Members". Reason: Given value for Limit should be a positive number.	Die Aktion ist fehlgeschlagen. Geben Sie im Parameter Limit eine ganze Zahl ein, die größer als 0 ist.
Error executing action "Get Group Members". Reason: Given group doesn't exist in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie den Gruppennamen im Parameter Group Name und ob die Gruppe im konfigurierten Suchbereich vorhanden ist.
Error executing action "Get Group Members". Reason: Specified Organizational Unit doesn't exist in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob die in Filter Object Value angegebene Organisationseinheit in Active Directory vorhanden ist.
Error executing action "Get Group Members". Reason: Specified Group in "Filter Object Value" doesn't exist in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob die in Filter Object Value angegebene übergeordnete Gruppe in Active Directory vorhanden ist.
Error executing action "Get Group Members". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die Eingabeparameter oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Gruppenmitglieder abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Kontaktdaten des Managers abrufen

Mit der Aktion Kontaktdaten des Managers abrufen können Sie den Manager eines Nutzers in Active Directory suchen und die Kontaktdaten des Managers abrufen. Die Aktion richtet sich automatisch an die Nutzer, die dem Fall zugeordnet sind.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Kontaktdaten des Managers abrufen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Tabelle mit Entitätsanreicherungen	Verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Kontaktdaten des Managers abrufen stellt die folgende Tabelle auf der Fallübersicht bereit:

• Tabellenname: Manager Contact: <var class="readonly">ENTITY_ID</var>
• Spalten:
  • Manager Name
  • Manager Phone

Entitätsanreicherung

Die Aktion Kontaktdaten des Managers abrufen unterstützt die folgende Entitätsanreicherung:

Name des Anreicherungsfelds	Logik
AD_Manager_Name	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_Manager_phone	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_primaryGroupID	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_logonCount	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_cn	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_countryCode	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_objectClass	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_userPrincipalName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_adminCount	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_lastLogonTimestamp	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_manager	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_instanceType	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_distinguishedName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_dSCorePropagationData	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_msDS-SupportedEncryptionTypes	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_objectSid	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_whenCreated	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_uSNCreated	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_lockoutTime	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_badPasswordTime	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_pwdLastSet	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_sAMAccountName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_objectCategory	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_lastLogon	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_objectGUID	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_whenChanged	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_badPwdCount	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_accountExpires	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_displayName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_name	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_memberOf	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_codePage	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_userAccountControl	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_sAMAccountType	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_uSNChanged	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_sn	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_givenName	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.
AD_lastLogoff	Die Aktion gibt den Wert zurück, wenn er im JSON-Ergebnis vorhanden ist.

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie erhalten, wenn Sie die Aktion Kontaktdaten des Managers abrufen verwenden:

[
   {
        "EntityResult":
        {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["[e-mail]"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "[e-mail]"
    }
]

Ausgabenachrichten

Die Aktion Kontaktdaten des Managers abrufen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Retrieved manager details for the following users: ENTITY_ID	Die Aktion war erfolgreich.
The following users don't have managers specified in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Attribut manager in den Zielnutzerkonten in Active Directory ausgefüllt ist.
Failed to retrieve manager details for the following users: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto die Berechtigung hat, das Attribut manager und das Nutzerprofil des Managers in Active Directory zu lesen.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
No manager details were retrieved for the provided users.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält, denen in Active Directory ein Manager zugewiesen ist.
Error executing action "Get Manager Contact Details". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Kontaktdaten des Managers abrufen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ist Nutzer in Gruppe

Mit der Aktion Is User In Group können Sie prüfen, ob bestimmte Nutzer zu einer bestimmten Active Directory-Gruppe gehören. Standardmäßig werden mit der Aktion die User-Entitäten im Fall geprüft. Sie können aber auch eine durch Kommas getrennte Liste von Nutzernamen im Parameter User Name eingeben, um bestimmte Konten direkt zu prüfen.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Is User In Group sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Group Name	Pflichtangabe. Der zu prüfende Gruppenname, z. B. administrators.
User Name	Optional. Eine durch Kommas getrennte Liste der zu prüfenden Nutzernamen. Wenn Sie keinen Wert angeben, prüft die Aktion die User-Entitäten im Fall.
Where To Search	Pflichtangabe. Eine bestimmte Organizational Unit oder Group, auf die die Suche beschränkt werden soll. Folgende Werte sind möglich: Select Option Organizational Unit Group Der Standardwert ist Select Option.
Filter Object Value	Optional. Der Name des Organizational Unit oder der Group, in dem bzw. der die Aktion nach der Zielgruppe sucht. Dieser Parameter ist erforderlich, wenn Where To Search auf Organizational Unit oder Group gesetzt ist.
Search In Subgroups	Optional. Wenn diese Option ausgewählt ist, sucht die Aktion rekursiv in verschachtelten Untergruppen.

Aktionsausgaben

Die Aktion Is User In Group liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Is User In Group empfangen wird:

[
    {
        "EntityResult": true,
        "Entity": "[e-mail]"
    }, {
        "EntityResult": false,
        "Entity": "[e-mail]"
    }, {
        "EntityResult": true,
        "Entity": "[e-mail]"
    }
]

Ausgabenachrichten

Die Aktion Is User In Group kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
USER_NAME IN GROUP_NAME; USER_NAME NOT in GROUP_NAME;	Die Aktion war erfolgreich.
The following users were not found in Active Directory: USER_NAME	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzernamen oder User-Entitäten in Active Directory vorhanden sind.
None of the provided users were found in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob die Anfrage gültige User-Entitäten enthält oder ob die im Parameter User Name angegebenen Nutzernamen in Active Directory vorhanden sind.
Error executing action "Is User In Group". Reason: Filter Object Value should be provided	Die Aktion ist fehlgeschlagen. Geben Sie im Parameter Filter Object Value einen gültigen OE- oder Gruppennamen an, wenn Where To Search auf Organizational Unit oder Group festgelegt ist.
Error executing action "Is User In Group". Reason: Given group doesn't exist in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie den Gruppennamen im Parameter Group Name und ob die Gruppe im konfigurierten Suchbereich vorhanden ist.
Error executing action "Is User In Group". Reason: Specified Organizational Unit doesn't exist in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob die in Filter Object Value angegebene Organisationseinheit in Active Directory vorhanden ist.
Error executing action "Is User In Group". Reason: Specified Group in "Filter Object Value" doesn't exist in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob die in Filter Object Value angegebene übergeordnete Gruppe in Active Directory vorhanden ist.
Error executing action "Is User In Group". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die Eingabeparameter oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Is User In Group verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Nutzergruppen auflisten

Verwenden Sie die Aktion Nutzergruppen auflisten, um eine Liste aller Active Directory-Gruppen abzurufen, zu denen ein Nutzer gehört. Die Aktion richtet sich automatisch an die Nutzer, die dem Fall zugeordnet sind.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Nutzergruppen auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Nutzergruppen auflisten zurückgegeben wird:

[
    {
        "EntityResult": ["Domain Users"],
        "Entity": "[e-mail]"
    }
]

Ausgabenachrichten

Die Aktion Nutzergruppen auflisten kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Groups were listed for the following users: ENTITY_ID	Die Aktion war erfolgreich.
No groups were found for the following users: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten mindestens einer expliziten Gruppe im Attribut memberOf in Active Directory zugewiesen sind.
Failed to list groups for the following users: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto die Berechtigung zum Lesen des Attributs memberOf für die Zielnutzerkonten hat.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
No groups were listed.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält, die zu Gruppen in Active Directory gehören.
Error executing action "List User Groups". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzergruppen auflisten verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Ping

Verwenden Sie die Aktion Ping, um zu prüfen, ob Google SecOps mit den konfigurierten Integrationseinstellungen eine Verbindung zu Ihrem Active Directory-Verzeichnisserver herstellen und sich authentifizieren kann.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Connected successfully.	Die Aktion war erfolgreich.
Error executing action "Ping". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Serveradresse, den Port, die SSL-Einstellungen oder die Anmeldedaten des Dienstkontos in der Integrationskonfiguration.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses	Wert
is_success	true oder false

Gesperrtes Konto freigeben

Mit der Aktion Gesperrtes Konto freigeben können Sie Nutzerkonten in Active Directory entsperren, die nach zu vielen fehlgeschlagenen Anmeldeversuchen gesperrt wurden. Die Aktion richtet sich automatisch an die Nutzer, die dem Fall zugeordnet sind.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Keine.

Aktionsausgaben

Die Aktion Gesperrtes Konto freigeben liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Gesperrtes Konto freigeben kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Unlocked account for the following users: ENTITY_ID	Die Aktion war erfolgreich.
Failed to unlock account for the following users: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto Lese- und Schreibberechtigungen für das Attribut lockoutTime der Zielnutzerkonten hat.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
No accounts were unlocked.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält und ob das Dienstkonto die Berechtigung zum Entsperren der Zielkonten hat.
Error executing action "Release Locked Account". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Gesperrtes Konto freigeben verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Nutzer aus Gruppe entfernen

Mit der Aktion Nutzer aus Gruppe entfernen können Sie Nutzer im Fall aus einer oder mehreren Active Directory-Gruppen entfernen, z. B. um den erweiterten Gruppenzugriff während eines Vorfalls zu widerrufen. Die Aktion identifiziert automatisch die Zielnutzer aus dem Fall und entfernt sie aus den angegebenen Gruppen.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Nutzer aus Gruppe entfernen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Group Name	Pflichtangabe. Eine durch Kommas getrennte Liste der Gruppen, aus denen die Nutzer entfernt werden sollen.

Aktionsausgaben

Die Aktion Nutzer aus Gruppe entfernen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Nutzer aus Gruppe entfernen kann die folgenden Ausgabemeldungen zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully removed the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID The following users were not a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID	Die Aktion war erfolgreich.
Action wasn't able to remove the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto die Berechtigung hat, das Attribut member für die Zielgruppe zu ändern.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
The following groups were not found in Active Directory: GROUP_NAME	Die Aktion ist für die angegebenen Gruppen fehlgeschlagen. Prüfen Sie die Schreibweise der Gruppennamen im Parameter Group Name und bestätigen Sie, dass die Gruppen in der konfigurierten Domain vorhanden sind.
No users were removed from the group "GROUP_NAME" in Active Directory.	Die Aktion ist für die angegebene Gruppe fehlgeschlagen. Prüfen Sie, ob die Zielnutzer in Active Directory vorhanden sind und ob das Dienstkonto Schreibzugriff auf die angegebene Gruppe hat.
No users were removed from the provided groups in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält und ob die angegebenen Gruppen in Active Directory vorhanden sind.
Error executing action "Remove User From Group". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die Eingabeparameter oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzer aus Gruppe entfernen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Active Directory durchsuchen

Mit der Aktion Active Directory durchsuchen können Sie Ihr Verzeichnis mithilfe integrierter Suchbedingungen oder einer benutzerdefinierten Abfrage nach Nutzern, Computern, Gruppen oder Organisationseinheiten durchsuchen. Sie können die Suche auch nach bestimmten Organisationseinheiten filtern und auswählen, welche Verzeichnisfelder in die Ergebnisse aufgenommen werden sollen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Active Directory durchsuchen sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Search Condition	Pflichtangabe. Die Bedingung, die auf die Suche angewendet werden soll. Folgende Werte sind möglich: Contains Exact Match Starts With Custom LDAP Query Der Standardwert ist Contains.
Include Domain	Optional. Wenn diese Option ausgewählt ist, wird die Domainkomponente bei der Suche mit den Bedingungen Contains, Exact Match oder Starts With berücksichtigt.
Search Object	Pflichtangabe. Ein Objekttyp, nach dem gesucht werden soll, wenn Custom LDAP Query nicht verwendet wird. Folgende Werte sind möglich: Select Option User Host Group Organizational Unit Der Standardwert ist Select Option.
Filter Object Value	Pflichtangabe. Ein Objektwert, nach dem gefiltert werden soll, oder der vollständige LDAP-Abfragestring, wenn Search Condition auf Custom LDAP Query gesetzt ist.
Custom Fields	Optional. Eine durch Kommas getrennte Liste von LDAP-Attributen, die in den Suchergebnissen zurückgegeben werden sollen.
Specific OUs to Search	Optional. Eine durch Kommas getrennte Liste von Namen von Organisationseinheiten, um den Suchbereich einzuschränken.
Include Default Search Fields	Optional. Wenn diese Option ausgewählt ist, enthält die Aktion zusätzlich zu den angegebenen Custom Fields-Feldern auch die standardmäßigen Active Directory-Felder in den zurückgegebenen Ergebnissen. Standardmäßig aktiviert.
Max Records To Return	Optional. Die maximale Anzahl von Datensätzen, die aus Active Directory abgerufen werden sollen. Der Standardwert ist 100.
Sort Field	Optional. Ein LDAP-Attributname, der zum Sortieren der zurückgegebenen Einträge verwendet wird.

Aktionsausgaben

Die Aktion Active Directory durchsuchen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Tabelle mit Fall-Repository

Die Aktion Active Directory durchsuchen stellt die folgende Tabelle auf der Fallpinnwand bereit:

• Tabellenname: Active Directory Search Results
• Spalten: Active Directory-Attribute, die für die übereinstimmenden Verzeichniseinträge zurückgegeben werden (basierend auf Include Default Search Fields und Custom Fields).

JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Search Active Directory empfangen wird:

[
      {
        "primaryGroupID": [
          513
        ],
        "logonCount": [
          6505
        ],
        "cn": [
          "user name"
        ],
        "countryCode": [
          0
        ],
        "objectClass": [
          "top",
          "person",
          "organizationalPerson"
        ],
        "userPrincipalName": [
          "[e-mail]"
        ],
        "adminCount": [
          1
        ],
        "lastLogonTimestamp": [
          "2019-01-09 08:42:03.540783+00:00"
        ],
        "manager": [
          "CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"
        ],
        "instanceType": [
          4
        ],
        "distinguishedName": [
          "CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "dSCorePropagationData": [
          "2019-01-14 14:39:16+00:00"
        ],
        "msDS-SupportedEncryptionTypes": [
          0
        ],
        "objectSid": [
          "ID"
        ],
        "whenCreated": [
          "2011-11-07 08:00:44+00:00"
        ],
        "uSNCreated": [
          7288202
        ],
        "lockoutTime": [
          "1601-01-01 00:00:00+00:00"
        ],
        "badPasswordTime": [
          "date"
        ],
        "pwdLastSet": [
          "date"
        ],
        "sAMAccountName": [
          "example"
        ],
        "objectCategory": [
          "CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"
        ],
        "lastLogon": [
          "2019-01-14 17:13:54.463070+00:00"
        ],
        "objectGUID": [
          "GUID"
        ],
        "whenChanged": [
          "2019-01-14 16:49:01+00:00"
        ],
        "badPwdCount": [
          1
        ],
        "accountExpires": [
          "9999-12-31 23:59:59.999999"
        ],
        "displayName": [
          "example"
        ],
        "name": [
          "user"
        ],
        "memberOf": [
          "CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL",
          "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL",
          "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "codePage": [
          0
        ],
        "userAccountControl": [
          111
        ],
        "sAMAccountType": [
          805306368
        ],
        "uSNChanged": [
          15301168
        ],
        "sn": [
          "example"
        ],
        "givenName": [
          "user"
        ],
        "lastLogoff": [
          "1601-01-01 00:00:00+00:00"
        ]
      }
    ]

Ausgabenachrichten

Die Aktion Search Active Directory kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully performed the query "QUERY_STRING" in Active Directory. No results to show following the query: "QUERY_STRING".	Die Aktion war erfolgreich.
Error executing action "Search Active Directory". Reason: you need to select "Search Object" or choose "Custom LDAP Query" as a "Search Condition"	Die Aktion ist fehlgeschlagen. Wählen Sie im Parameter Search Object einen gültigen Objekttyp aus oder ändern Sie Search Condition in Custom LDAP Query.
Error executing action "Search Active Directory". Reason: Value for the parameter "Max Records To Return" should be a positive number.	Die Aktion ist fehlgeschlagen. Geben Sie im Parameter Max Records To Return eine ganze Zahl ein, die größer als 0 ist.
Error executing action "Search Active Directory". Reason: The following OUs were not found in Active Directory: OU_NAMES	Die Aktion ist fehlgeschlagen. Prüfen Sie die Schreibweise der Organisationseinheiten im Parameter Specific OUs to Search und vergewissern Sie sich, dass sie in Active Directory vorhanden sind.
Error executing action "Search Active Directory". Reason: Knowingly invalid query was executed: "QUERY_STRING". Please verify the inputs and try again.	Die Aktion ist fehlgeschlagen. Prüfen Sie die Syntax Ihrer benutzerdefinierten Abfrage oder des Filterwerts im Parameter Filter Object Value und vergewissern Sie sich, dass alle angegebenen Custom Fields- oder Sort Field-Namen gültige LDAP-Attribute sind.
Error executing action "Search Active Directory". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die Eingabeparameter oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Active Directory durchsuchen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Nutzerpasswort festlegen

Verwenden Sie die Aktion Set User Password (Nutzerpasswort festlegen), um das Passwort für Nutzer im Fall auf ein neues Passwort zurückzusetzen. Achten Sie darauf, dass die Integration über SSL (LDAPS) verbunden ist und das neue Passwort den Regeln für die Passwortkomplexität Ihrer Domain entspricht.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Set User Password sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
New Password	Pflichtangabe. Der neue Passwortwert.

Aktionsausgaben

Die Aktion Nutzerpasswort festlegen liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Set User Password kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Reset password for the following users: ENTITY_ID	Die Aktion war erfolgreich.
Failed to reset password for the following users: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das neue Passwort den Anforderungen an die Komplexität und den Verlauf von Domainpasswörtern entspricht und ob die Zielnutzer keine geschützten Administratorkonten sind.
The following users were not found in Active Directory: ENTITY_ID	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
No passwords were changed.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält und ob das Dienstkonto die Berechtigung zum Zurücksetzen von Passwörtern für die Zielkonten hat.
Failed to execute "Set User Password" action! Watch Over Extended Rights permission or SSL connection.	Die Aktion ist fehlgeschlagen. Achten Sie darauf, dass Use SSL in der Integrationskonfiguration (LDAPS auf Port 636) ausgewählt ist und das Dienstkonto die erweiterte Berechtigung Passwort zurücksetzen hat.
Error executing action "Set User Password". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die Eingabeparameter oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Nutzerpasswort festlegen verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Attribute eines AD-Hosts aktualisieren

Verwenden Sie die Aktion Attribute eines AD-Hosts aktualisieren, um eine bestimmte Verzeichniseigenschaft für Computerkonten im Fall zu aktualisieren, z. B. das Feld Description eines Computers mit Vorfallnotizen. Die Aktion identifiziert automatisch die Zielcomputer aus dem Fall und wendet den neuen Wert an.

Diese Aktion wird für die Google SecOps-Entität Hostname ausgeführt.

Aktionseingaben

Für die Aktion Attribute eines AD-Hosts aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Attribute Name	Pflichtangabe. Der Name des zu aktualisierenden Attributs, z. B. Description.
Attribute Value	Pflichtangabe. Der neue Wert für das Attribut.

Aktionsausgaben

Die Aktion Attribute eines AD-Hosts aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Attribute eines AD-Hosts aktualisieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated attribute "ATTRIBUTE_NAME" on the following hosts in Active Directory: ENTITY_ID_LIST	Die Aktion war erfolgreich.
Action wasn't able to update attribute "ATTRIBUTE_NAME" on the following hosts in Active Directory: ENTITY_ID_LIST	Die Aktion ist für die angegebenen Hosts fehlgeschlagen. Prüfen Sie, ob das Dienstkonto die Schreibberechtigung für das angegebene Attribut in den Zielcomputerkonten hat und ob das Wertformat für dieses Attribut gültig ist.
The following hosts were not found in Active Directory: ENTITY_ID_LIST	Die Aktion ist für die angegebenen Hosts fehlgeschlagen. Prüfen Sie, ob die Computerkonten in Active Directory vorhanden sind und mit den Hostname-Entitäten im Fall übereinstimmen.
No hosts were updated in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige Hostname-Entitäten enthält und ob das Dienstkonto die Berechtigung zum Aktualisieren des angegebenen Attributs hat.
Error executing action "Update attributes of an AD Host". Reason: Provided attribute doesn't exist in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie die Schreibweise des Attributs im Parameter Attribute Name und vergewissern Sie sich, dass es sich um ein gültiges Active Directory-Computerattribut handelt.
Error executing action "Update attributes of an AD Host". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die Eingabeparameter oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Attribute eines AD-Hosts aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Attribute eines AD-Nutzers aktualisieren

Mit der Aktion Attribute eines AD-Nutzers aktualisieren können Sie eine bestimmte Verzeichniseigenschaft für Nutzerkonten im Fall aktualisieren, z. B. das Feld Description, title oder department eines Nutzers. Die Aktion identifiziert automatisch die Zielnutzer aus dem Fall und wendet den neuen Wert an.

Diese Aktion wird für die Google SecOps-Entität User ausgeführt.

Aktionseingaben

Für die Aktion Attribute eines AD-Nutzers aktualisieren sind die folgenden Parameter erforderlich:

Parameter	Beschreibung
Attribute Name	Pflichtangabe. Der Name des zu aktualisierenden Attributs, z. B. Description.
Attribute Value	Pflichtangabe. Der neue Wert für das Attribut.

Aktionsausgaben

Die Aktion Attribute eines AD-Nutzers aktualisieren liefert die folgenden Ausgaben:

Aktionsausgabetyp	Verfügbarkeit
Anhang im Fall-Repository	Nicht verfügbar
Link zum Fall-Repository	Nicht verfügbar
Tabelle mit Fall-Repository	Nicht verfügbar
Anreicherungstabelle	Nicht verfügbar
JSON-Ergebnis	Nicht verfügbar
Ausgabenachrichten	Verfügbar
Scriptergebnis	Verfügbar

Ausgabenachrichten

Die Aktion Attribute eines AD-Nutzers aktualisieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung	Beschreibung der Nachricht
Successfully updated attribute "ATTRIBUTE_NAME" for the following users in Active Directory: ENTITY_ID_LIST	Die Aktion war erfolgreich.
Action wasn't able to update attribute "ATTRIBUTE_NAME" for the following users in Active Directory: ENTITY_ID_LIST	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob das Dienstkonto Schreibberechtigungen für das angegebene Attribut in den Zielnutzerkonten hat und ob das Wertformat für dieses Attribut gültig ist.
The following users were not found in Active Directory: ENTITY_ID_LIST	Die Aktion ist für die angegebenen Nutzer fehlgeschlagen. Prüfen Sie, ob die Nutzerkonten in Active Directory vorhanden sind und mit den User-Entitäten im Fall übereinstimmen.
No users were updated in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie, ob der Fall gültige User-Entitäten enthält und ob das Dienstkonto die Berechtigung zum Aktualisieren des angegebenen Attributs hat.
Error executing action "Update attributes of an AD User". Reason: Provided attribute doesn't exist in Active Directory.	Die Aktion ist fehlgeschlagen. Prüfen Sie die Schreibweise des Attributs im Parameter Attribute Name und vergewissern Sie sich, dass es sich um ein gültiges Active Directory-Nutzerattribut handelt.
Error executing action "Update attributes of an AD User". Reason: ERROR_REASON	Die Aktion ist fehlgeschlagen. Prüfen Sie die Verbindung zum Active Directory-Verzeichnisserver, die Eingabeparameter oder die Anmeldedaten des Dienstkontos.

Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Attribute eines AD-Nutzers aktualisieren verwendet wird:

Name des Skriptergebnisses	Wert
is_success	true oder false

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten