Intégrer Active Directory à Google SecOps

Ce document explique comment intégrer Active Directory à Google Security Operations.

Remarque : Cette intégration utilise un ou plusieurs composants Open Source. Vous pouvez télécharger une copie compressée du code source complet de cette intégration à partir du bucket Cloud Storage.

Cas d'utilisation

L'intégration Active Directory utilise les fonctionnalités de Google SecOps pour prendre en charge les cas d'utilisation suivants :

• Activer et désactiver des utilisateurs : désactivez un compte utilisateur potentiellement compromis et empêchez tout autre accès non autorisé.

• Réinitialiser les mots de passe : réinitialisez automatiquement le mot de passe de l'utilisateur dans Active Directory et informez-le de la modification.

• Gérer les groupes : ajoutez les nouveaux utilisateurs aux groupes de sécurité appropriés en fonction de leur rôle et assurez-vous qu'ils disposent des autorisations d'accès appropriées.

• Récupérer des informations utilisateur : récupérez des informations sur un compte utilisateur spécifique, telles que les appartenances à des groupes, l'heure de la dernière connexion et les coordonnées.

• Automatiser l'offboarding : désactivez les comptes, supprimez-les des groupes et transférez la propriété des fichiers lorsqu'un employé quitte l'entreprise.

Avant de commencer

Avant de configurer l'intégration d'Active Directory dans Google SecOps, vérifiez que votre environnement réseau, les services de domaine Active Directory (AD DS) et les identifiants de votre compte de service répondent à toutes les conditions préalables opérationnelles.

Pour préparer votre environnement à l'intégration, remplissez les conditions préalables suivantes :

1. Vérifiez la connectivité réseau et la résolution DNS entre votre instance Google SecOps (ou agent distant) et vos contrôleurs de domaine Active Directory.

2. Facultatif : Si vous vous connectez via LDAPS (port 636, requis pour les réinitialisations de mot de passe) à l'aide d'une autorité de certification interne, configurez le certificat CA en encodant votre certificat racine ou intermédiaire dans une chaîne base64.

3. Créez un compte de service Active Directory dédié en respectant le principe du moindre privilège.

4. Consultez les autorisations d'action requises pour déterminer les attributs et les droits d'accès nécessaires pour les actions spécifiques que vous prévoyez d'exécuter.

5. Déléguez des autorisations sur les unités organisationnelles cibles pour les actions que vous prévoyez d'utiliser (à l'aide d'Active Directory Users and Computers, ou de PowerShell et dsacls), en vous assurant que le compte de service dispose d'un accès explicite en lecture et en écriture à l'attribut userAccountControl.

Configuration réseau et DNS requise

Google SecOps communique directement avec les contrôleurs de domaine Active Directory à l'aide du protocole LDAP (Lightweight Directory Access Protocol) ou LDAPS sur TCP.

Assurez-vous que votre environnement réseau respecte les règles de connectivité suivantes :

• Connectivité des ports : assurez-vous que vos pare-feu réseau et votre routage autorisent les communications sortantes de Google SecOps (ou de votre agent distant) vers vos contrôleurs de domaine Active Directory sur les ports suivants :

  • LDAP (standard) : ouvrez le port 389/TCP pour les communications LDAP non chiffrées.
  • LDAPS (recommandé, obligatoire pour les mots de passe) : ouvrez le port 636/TCP (ou votre port SSL/TLS personnalisé). LDAPS est requis pour le trafic d'annuaire chiffré et est obligatoire pour les actions de modification de mot de passe.

• Résolution DNS et des noms d'hôte : Active Directory nécessite une résolution précise des noms d'hôte pour correspondre aux certificats SSL/TLS et aux liaisons de service d'annuaire. Si votre domaine est résolu par un nom DNS complet via votre configuration DNS interne, aucune configuration d'hôte supplémentaire n'est nécessaire. Si la résolution DNS n'est pas disponible sur l'image de conteneur de votre agent distant, configurez le fichier /etc/hosts.

Configurer le fichier /etc/hosts

Cette configuration est facultative. Si votre contrôleur de domaine est déjà résolu via votre configuration DNS interne, ignorez cette section. Si votre agent distant ne peut pas résoudre le contrôleur de domaine Active Directory à l'aide du DNS, mappez l'hôte manuellement dans le fichier /etc/hosts pour qu'il corresponde aux certificats SSL/TLS et aux liaisons du service d'annuaire.

Pour configurer le fichier /etc/hosts, procédez comme suit :

1. Ouvrez /etc/hosts dans un éditeur de texte avec des droits d'administrateur :

   sudo vi /etc/hosts
   

2. Ajoutez une entrée mappant l'adresse IP du contrôleur de domaine à son nom de domaine complet (FQDN) :

   192.0.2.195 dc01.example.local
   

3. Enregistrez et fermez le fichier.

Si vous n'avez pas besoin d'un certificat CA pour l'intégration, passez à la configuration des exigences d'authentification et de compte de service. Sinon, configurez votre certificat CA.

Configurer le certificat CA

Cette étape est facultative. Si vous vous connectez à l'aide du protocole LDAP standard (port 389) ou si vous utilisez un certificat de confiance public, ignorez cette section et passez à la section Exigences d'authentification et de compte de service. Si vous vous connectez via LDAPS (port 636, requis pour les réinitialisations de mot de passe) à l'aide d'un certificat émis par une autorité de certification privée ou interne, fournissez la chaîne de certificat encodée en base64 lors de la configuration pour établir une connexion TLS de confiance.

Pour configurer et importer le certificat CA, procédez comme suit :

1. Encodez votre fichier de certificat au format PEM :

   • Linux : bash base64 -w 0 mycert.crt

   • macOS : bash base64 -i mycert.crt

2. Copiez la chaîne de sortie complète (y compris les en-têtes encodés) et collez-la dans le champ Fichier de certificat CA - analysé en chaîne Base64 de la configuration de l'intégration Google SecOps.

3. Définissez le paramètre Serveur sur le nom de domaine complet du contrôleur de domaine (et non son adresse IP) afin que le nom d'hôte corresponde au nom commun (CN) ou à l'autre nom de l'objet (SAN) du certificat.

4. Cliquez sur Tester pour valider le handshake TLS.

Exigences d'authentification et de compte de service

L'intégration Active Directory s'authentifie à l'aide d'identifiants AD DS standards.

Assurez-vous que votre configuration d'authentification est conforme aux pratiques de sécurité suivantes :

• Compte de service dédié : créez un compte de service dédié (tel que svc_secops_ad) spécifiquement pour les playbooks automatisés Google SecOps. Évitez d'utiliser des comptes utilisateur interactifs ou des comptes administrateur de domaine intégrés.

• Format du nom d'utilisateur : le nom d'utilisateur peut être fourni sous la forme d'un nom d'utilisateur principal (UPN) (par exemple, [e-mail]) ou d'un nom de connexion de niveau inférieur (EXAMPLE\svc_secops).

• PoLP : n'ajoutez pas le compte de service à des groupes intégrés privilégiés tels que Administrateurs du domaine, Administrateurs de l'entreprise ou Opérateurs de compte. Accordez plutôt des autorisations précises sur des unités organisationnelles spécifiques où résident des objets utilisateur, ordinateur ou groupe.

Configurer les autorisations d'action (moindre privilège)

N'accordez au compte de service d'authentification que les autorisations Active Directory et l'accès aux attributs LDAP requis pour les actions spécifiques que vous prévoyez d'exécuter.

Important : Les actions de vérification de l'état et de cycle de vie (y compris Activer le compte, Désactiver le compte, Activer l'ordinateur, Désactiver l'ordinateur et Enrichir les entités) nécessitent des droits explicites de lecture et d'écriture de propriété sur l'attribut userAccountControl.

Si le compte de service ne peut pas lire userAccountControl, Active Directory omet complètement l'attribut des réponses LDAP. Dans Google SecOps, cela produit des exceptions nulles non gérées (telles que TypeError: 'NoneType' object is not subscriptable). Assurez-vous que cet attribut est explicitement délégué sur toutes les UO cibles.

Consultez les autorisations minimales pour les actions Active Directory dans le tableau suivant :

Nom de l'action	Autorisation AD DS/Droit étendu requis	Classe d'objet cible	Description/Champ d'application de l'attribut
Ping	Read Property	Utilisateur, racine du domaine	Interroge l'objet de compte de service configuré (sAMAccountName, userPrincipalName, mail) pour valider la connectivité et les identifiants de l'annuaire.
Enrichir des entités	List Contents Read Property (attributs cibles : userAccountControl, sAMAccountName, mail, memberOf, lockoutTime, pwdLastSet)	Utilisateur, ordinateur, groupe	Interroge les attributs des utilisateurs et des ordinateurs, et résout les appartenances à des groupes imbriqués. Nécessite Read Property sur userAccountControl pour éviter les erreurs d'indice nul.
Désactiver le compte	Read Property : userAccountControl Write Property : userAccountControl	Utilisateur	Lit et définit l'indicateur ACCOUNTDISABLE (0x0002) sur l'objet utilisateur cible.
Activer le compte	Read Property : userAccountControl Write Property : userAccountControl	Utilisateur	Lit et efface l'indicateur ACCOUNTDISABLE (0x0002) sur l'objet utilisateur cible.
Désactiver l'ordinateur	Read Property : userAccountControl Write Property : userAccountControl	Ordinateur	Lit et définit l'option ACCOUNTDISABLE sur l'objet de l'ordinateur cible.
Activer l'ordinateur	Read Property : userAccountControl Write Property : userAccountControl	Ordinateur	Lit et efface l'indicateur ACCOUNTDISABLE sur l'objet ordinateur cible.
Déverrouiller un compte verrouillé	Read Property : lockoutTime Write Property : lockoutTime	Utilisateur	Lit et définit l'attribut lockoutTime sur 0 pour déverrouiller un compte utilisateur verrouillé.
Forcer la modification du mot de passe	Read Property : pwdLastSet Write Property : pwdLastSet	Utilisateur	Lit et définit l'attribut pwdLastSet sur 0 pour exiger que l'utilisateur modifie son mot de passe lors de sa prochaine connexion.
Définir un mot de passe utilisateur	Droit étendu : Reset Password (User-Force-Change-Password) (Facultatif) Write Property : unicodePwd	Utilisateur	Réinitialise le mot de passe de l'utilisateur cible. Nécessite LDAPS (port 636) ou StartTLS.
Ajouter un utilisateur à un groupe	Read Property : member Write Property : member	Groupe	Ajoute le nom distinctif de l'utilisateur cible (distinguishedName) à l'attribut member du groupe.
Supprimer l'utilisateur du groupe	Read Property : member Write Property : member	Groupe	Supprime le nom distinctif (distinguishedName) de l'utilisateur cible de l'attribut member du groupe.
Modifier l'UO de l'utilisateur	Delete Child Object (utilisateur) sur l'UO source Create Child Object (utilisateur) sur l'UO de destination Write Property : name, distinguishedName	Unité organisationnelle, utilisateur	Déplace les objets utilisateur entre les UO à l'aide de l'attribut LDAP modify_dn.
Modifier l'UO hôte	Delete Child Object (ordinateur) sur l'UO source Create Child Object (ordinateur) sur l'UO de destination Write Property : name, distinguishedName	Unité organisationnelle, ordinateur	Déplace les objets d'ordinateur entre les UO à l'aide de LDAP modify_dn.
Mettre à jour les attributs d'un utilisateur AD	Write Property sur les attributs cibles (tels que mail, title, department, telephoneNumber, description ou manager)	Utilisateur	Modifie les valeurs d'attribut spécifiées sur l'objet utilisateur cible.
Mettre à jour les attributs d'un hôte AD	Write Property sur les attributs cibles (tels que description ou location)	Ordinateur	Modifie les valeurs d'attributs spécifiées sur l'objet ordinateur cible.
Obtenir les membres du groupe	List Contents Read Property : member, sAMAccountName, distinguishedName	Groupe, utilisateur, ordinateur	Interroge l'appartenance à un groupe et les attributs des comptes des membres.
Obtenir les coordonnées du responsable	Read Property : manager Read Property : cn, telephoneNumber, mail, displayName, title	Utilisateur	Lit l'attribut manager de l'objet utilisateur cible et récupère les coordonnées du responsable.
Is User In Group	Read Property : memberOf, sAMAccountName	Utilisateur, Groupe	Évalue si un compte utilisateur appartient au groupe de sécurité ou de distribution spécifié.
Lister les groupes d'utilisateurs	Read Property : memberOf, sAMAccountName	Utilisateur, Groupe	Renvoie la liste de tous les groupes attribués au compte utilisateur spécifié.
Rechercher dans Active Directory	List Contents Read Property sur les attributs interrogés	Utilisateur, ordinateur, groupe, unité organisationnelle	Exécute des requêtes de filtre LDAP personnalisées sur la sous-arborescence de l'annuaire.

Déléguer des autorisations dans Active Directory

Pour appliquer le principe du moindre privilège sans accorder de droits d'administration étendus, déléguez des autorisations sur les unités organisationnelles cibles à l'aide de la console graphique ADUC ou des outils de ligne de commande PowerShell et dsacls. Vous n'avez besoin d'utiliser qu'une seule de ces méthodes et de ne déléguer que les autorisations requises pour les actions spécifiques que vous prévoyez d'exécuter.

Déléguer le contrôle à l'aide d'ADUC

Si vous préférez utiliser une interface graphique, utilisez l'assistant Délégation de contrôle dans ADUC pour déléguer des autorisations spécifiques à un objet et à une propriété.

Exécutez l'assistant sur l'UO cible pour accorder les autorisations d'objet et de propriété requises pour les actions que vous prévoyez d'utiliser (par exemple, lire et écrire des indicateurs de contrôle de compte, réinitialiser des mots de passe ou déverrouiller des comptes).

Pour obtenir des instructions détaillées sur l'exécution de l'assistant, consultez la documentation Microsoft sur la délégation de contrôle dans AD DS.

Déléguer le contrôle à l'aide de PowerShell et de dsacls

Si vous préférez utiliser la ligne de commande ou si vous souhaitez automatiser l'attribution des autorisations, utilisez PowerShell avec l'utilitaire dsacls.exe intégré au lieu d'ADUC.

Exécutez uniquement les exemples de commandes qui s'appliquent aux actions que vous prévoyez d'utiliser sur un poste de travail d'administration ou un contrôleur de domaine, en remplaçant l'UO cible et le nom du compte de service :

• Accordez des autorisations de lecture et d'écriture sur userAccountControl pour les objets utilisateur (pour activer ou désactiver les comptes utilisateur et éviter les erreurs d'enrichissement) : powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;user"
• Accordez des autorisations de lecture et d'écriture sur userAccountControl pour les objets ordinateur (pour activer ou désactiver des ordinateurs) : powershell dsacls.exe "OU=Computers,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;computer"
• Accordez les autorisations de déverrouillage du compte (lockoutTime) : powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;lockoutTime;user"
• Accordez les autorisations de forcer le changement de mot de passe (pwdLastSet) : powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;pwdLastSet;user"
• Accordez les droits de réinitialisation du mot de passe (droit étendu Reset Password) : powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:CA;Reset Password;user"
• Accordez des droits de modification de l'appartenance à un groupe de sécurité : powershell dsacls.exe "CN=SecOps-Quarantine,OU=Groups,DC=example,DC=local" /G "EXAMPLE\svc_secops_ad:RPWP;member;group"

Pour en savoir plus sur la syntaxe et les commutateurs de paramètres, consultez la documentation Microsoft sur dsacls.

Remarque : Dans Active Directory, l'héritage est désactivé pour les membres des groupes d'administration protégés par le processus AdminSDHolder interne. Les autorisations déléguées attribuées au niveau d'une UO ne s'appliquent pas aux comptes administrateur protégés.

Pour en savoir plus sur la gestion des objets protégés, consultez la documentation Microsoft sur AdminSDHolder et les comptes protégés.

Paramètres d'intégration

L'intégration d'Active Directory nécessite les paramètres suivants :

Paramètre	Description
Server	Obligatoire. Nom d'hôte, nom DNS ou adresse IP du serveur Active Directory. L'intégration communique à l'aide du protocole LDAP. Pour utiliser un port personnalisé, ajoutez-le à l'adresse (par exemple, mydomain.com:636). Par défaut, l'intégration utilise le port 636 lorsque SSL/TLS est activé et le port 389 lorsqu'il est désactivé.
Username	Obligatoire. Nom d'utilisateur ou adresse e-mail de l'utilisateur pour se connecter à Active Directory, par exemple DOMAIN\username ou [e-mail]. Ce paramètre accepte également l'attribut userPrincipalName.
Password	Obligatoire. Mot de passe du compte utilisateur.
Domain	Obligatoire. Chemin DNS complet vers votre domaine dans l'espace de noms du réseau. Indiquez le nom de domaine complet (FQDN) de votre domaine au format suivant : SUBDOMAIN.ROOT_DOMAIN. Par exemple, si votre domaine Active Directory interne est example.local, le nom de domaine complet à saisir est example.local. Si votre domaine Active Directory interne est corp.example.com, le nom de domaine complet à saisir est corp.example.com.
Custom Query Fields	Facultatif. Liste de champs Active Directory personnalisés à inclure dans les requêtes, séparés par une virgule, par exemple customField1, customField2.
CA Certificate File - parsed into Base64 String	Facultatif. Chaîne du fichier de certificat CA encodée au format base64 obtenue lors de la configuration du certificat CA. Indiquez la valeur totale.
Use SSL	Facultatif. Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Active Directory et utilise le protocole LDAPS sécurisé (port 636). Si cette option n'est pas sélectionnée, le protocole LDAP standard (port 389) est utilisé.
Debug Logging	Facultatif. Si cette option est sélectionnée, l'intégration consigne des informations de débogage détaillées pour les opérations Active Directory.

Pour savoir comment configurer une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement si nécessaire. Après avoir configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour en savoir plus sur la configuration et la prise en charge de plusieurs instances, consultez Prendre en charge plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis votre bureau et Exécuter une action manuelle dans votre demande.

Ajouter un utilisateur au groupe

Utilisez l'action Add User To Group (Ajouter un utilisateur au groupe) pour ajouter des utilisateurs du cas à un ou plusieurs groupes Active Directory, par exemple pour ajouter un compte à un groupe d'accès restreint lors d'une investigation. L'action identifie automatiquement les utilisateurs cibles à partir de la demande et les ajoute aux groupes spécifiés.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

L'action Ajouter un utilisateur au groupe nécessite les paramètres suivants :

Paramètre	Description
Group Name	Obligatoire. Liste de groupes séparés par une virgule auxquels ajouter des utilisateurs.

Sorties de l'action

L'action Ajouter un utilisateur au groupe fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ajouter un utilisateur au groupe peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully added the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID The following users were already a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID	L'action a réussi.
Action wasn't able to add the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service est autorisé à modifier l'attribut member sur le groupe cible.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et que les identifiants d'entité correspondent à des noms d'utilisateur ou des adresses e-mail valides.
The following groups were not found in Active Directory: GROUP_NAME	L'action a échoué pour les groupes spécifiés. Vérifiez l'orthographe des noms de groupes dans le paramètre Group Name et confirmez que les groupes existent dans le domaine configuré.
No users were added to the group "GROUP_NAME" in Active Directory.	Échec de l'action pour le groupe spécifié. Vérifiez que les utilisateurs cibles existent dans Active Directory et que le compte de service dispose d'un accès en écriture au groupe spécifié.
No users were added to the provided groups in Active Directory.	Échec de l'action. Vérifiez que la casse contient des entités User valides et que les groupes spécifiés existent dans Active Directory.
Error executing action "Add User To Group". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les paramètres d'entrée ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Ajouter un utilisateur au groupe :

Nom du résultat du script	Valeur
is_success	true ou false

Changer l'UO de l'hôte

Utilisez l'action Modifier l'UO de l'hôte pour déplacer les ordinateurs du cas vers une autre unité organisationnelle dans Active Directory, par exemple pour déplacer une machine compromise vers une UO de quarantaine avec des règles restreintes. L'action identifie automatiquement les ordinateurs cibles à partir de l'enquête et les déplace vers l'UO de destination spécifiée.

Cette action s'exécute sur l'entité Google SecOps Hostname.

Entrées de l'action

L'action Modifier l'UO hôte nécessite les paramètres suivants :

Paramètre	Description
OU Name	Obligatoire. Nom de la nouvelle UO hôte.

Sorties de l'action

L'action Modifier l'UO de l'hôte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Modifier l'UO de l'hôte peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Changed OU for the following hosts: ENTITY_ID	L'action a réussi.
Failed to change OU for the following hosts : ENTITY_ID	Échec de l'action pour les hôtes spécifiés. Vérifiez que l'UO de destination existe et que le compte de service est autorisé à déplacer des objets ordinateur entre les UO source et de destination.
The following hosts were not found in Active Directory: ENTITY_ID	Échec de l'action pour les hôtes spécifiés. Vérifiez que les comptes d'ordinateur existent dans Active Directory et correspondent aux entités Hostname du cas.
The action didn't change OU on any hosts.	Échec de l'action. Vérifiez que les ordinateurs cibles et l'UO de destination existent dans Active Directory, et que le compte de service est autorisé à déplacer les comptes d'ordinateurs.
Error executing action "Change Host OU". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, le paramètre OU Name ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier l'UO de l'hôte :

Nom du résultat du script	Valeur
is_success	true ou false

Modifier l'UO de l'utilisateur

Utilisez l'action Modifier l'UO de l'utilisateur pour déplacer les utilisateurs du cas vers une autre unité organisationnelle dans Active Directory. Par exemple, vous pouvez déplacer un compte vers une UO restreinte lors d'un incident ou d'un workflow de départ. L'action identifie automatiquement les utilisateurs cibles à partir de l'enquête et les déplace vers l'UO de destination spécifiée.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

L'action Modifier l'UO de l'utilisateur nécessite les paramètres suivants :

Paramètre	Description
OU Name	Obligatoire. Nom de la nouvelle UO d'utilisateurs.

Sorties de l'action

L'action Modifier l'UO de l'utilisateur fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Modifier l'UO de l'utilisateur peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Changed OU for the following users: ENTITY_ID	L'action a réussi.
Failed to change OU for the following users : ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que l'UO de destination existe et que le compte de service est autorisé à déplacer des objets utilisateur entre les UO source et de destination.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
The action didn't change OU on any users.	Échec de l'action. Vérifiez que les utilisateurs cibles et l'UO de destination existent dans Active Directory, et que le compte de service est autorisé à déplacer les comptes utilisateur.
Error executing action "Change User OU". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, le paramètre OU Name ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Modifier l'UO de l'utilisateur :

Nom du résultat du script	Valeur
is_success	true ou false

Désactiver le compte

Utilisez l'action Désactiver le compte pour désactiver des comptes utilisateur dans Active Directory. Cette action cible automatiquement les utilisateurs associés à la demande.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Désactiver le compte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Désactiver le compte peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Disabled account for the following users: ENTITY_ID	L'action a réussi.
Failed to disable account for the following users: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service dispose des autorisations de lecture et d'écriture pour l'attribut userAccountControl sur les comptes utilisateur cibles et que les utilisateurs ne sont pas des comptes administrateur protégés.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
No users were disabled in Active Directory.	Échec de l'action. Vérifiez que la demande contient des entités User valides et que le compte de service est autorisé à désactiver les comptes cibles.
Error executing action "Disable Account". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory ou les identifiants du compte de service.

Résultat du script

Le tableau suivant indique la valeur de la sortie du résultat du script lorsque vous utilisez l'action Désactiver le compte :

Nom du résultat du script	Valeur
is_success	true ou false

Désactiver l'ordinateur

Utilisez l'action Désactiver l'ordinateur pour désactiver les comptes d'ordinateur dans Active Directory afin d'empêcher les machines compromises ou non autorisées de s'authentifier auprès du domaine. L'action cible automatiquement les noms d'hôte associés à la demande.

Cette action s'exécute sur l'entité Google SecOps Hostname.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Désactiver l'ordinateur fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Désactiver l'ordinateur peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully disabled the following computers in Active Directory: ENTITY_ID The following computers were already disabled in Active Directory: ENTITY_ID	L'action a réussi.
Action wasn't able to disable the following computers in Active Directory: ENTITY_ID	Échec de l'action pour les ordinateurs spécifiés. Vérifiez que le compte de service dispose des autorisations de lecture et d'écriture pour l'attribut userAccountControl sur les objets de l'ordinateur cible.
The following computers were not found in Active Directory: ENTITY_ID	Échec de l'action pour les ordinateurs spécifiés. Vérifiez que les comptes d'ordinateur existent dans Active Directory et correspondent aux entités Hostname de la demande.
No computers were disabled in Active Directory.	Échec de l'action. Vérifiez que l'incident contient des entités Hostname valides et que le compte de service est autorisé à désactiver les comptes d'ordinateur cibles.
Error executing action "Disable Computer". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Désactiver l'ordinateur :

Nom du résultat du script	Valeur
is_success	true ou false

Activer le compte

Utilisez l'action Activer le compte pour réactiver les comptes utilisateur désactivés dans Active Directory. L'action cible automatiquement les utilisateurs associés à la demande.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Activer le compte fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Activer le compte peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully enabled the following users in Active Directory: ENTITY_ID The following users were already enabled in Active Directory: ENTITY_ID	L'action a réussi.
Action wasn't able to enable the following users in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service dispose des autorisations de lecture et d'écriture pour l'attribut userAccountControl sur les comptes utilisateur cibles.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
No users were enabled in Active Directory.	Échec de l'action. Vérifiez que la demande contient des entités User valides et que le compte de service est autorisé à activer les comptes cibles.
Error executing action "Enable Account". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Activer le compte :

Nom du résultat du script	Valeur
is_success	true ou false

Activer l'ordinateur

Utilisez l'action Activer l'ordinateur pour réactiver les comptes d'ordinateurs désactivés dans Active Directory afin que les machines puissent s'authentifier à nouveau auprès du domaine. L'action cible automatiquement les noms d'hôte associés à la demande.

Cette action s'exécute sur l'entité Google SecOps Hostname.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Activer l'ordinateur fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Activer l'ordinateur peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully enabled the following computers in Active Directory: ENTITY_ID The following computers were already enabled in Active Directory: ENTITY_ID	L'action a réussi.
Action wasn't able to enable the following computers in Active Directory: ENTITY_ID	Échec de l'action pour les ordinateurs spécifiés. Vérifiez que le compte de service dispose des autorisations de lecture et d'écriture pour l'attribut userAccountControl sur les objets de l'ordinateur cible.
The following computers were not found in Active Directory: ENTITY_ID	Échec de l'action pour les ordinateurs spécifiés. Vérifiez que les comptes d'ordinateur existent dans Active Directory et correspondent aux entités Hostname de la demande.
No computers were enabled in Active Directory.	Échec de l'action. Vérifiez que le cas contient des entités Hostname valides et que le compte de service est autorisé à activer les comptes d'ordinateurs cibles.
Error executing action "Enable Computer". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Activer l'ordinateur :

Nom du résultat du script	Valeur
is_success	true ou false

Enrichir les entités

Utilisez l'action Enrichir les entités pour récupérer les détails du profil Active Directory, l'état du compte et les appartenances aux groupes des utilisateurs et des ordinateurs de la demande. Vous pouvez enrichir les entités avec toutes les informations d'annuaire disponibles ou limiter les résultats et la table du mur d'incidents à des attributs spécifiques.

Cette action est asynchrone. Si nécessaire, ajustez la valeur du délai avant expiration du script dans l'IDE Google SecOps pour l'action.

L'action Enrichir les entités s'exécute sur les entités Google SecOps suivantes :

• User
• Hostname

Entrées de l'action

L'action Enrichir les entités nécessite les paramètres suivants :

Paramètre	Description
Mark Entities as Internal	Facultatif. Si cette option est sélectionnée, l'action marque automatiquement les entités enrichies comme des entités internes. Cette option est activée par défaut.
Create Case Wall Table	Facultatif. Si cette option est sélectionnée, l'action génère un tableau de mur d'incidents contenant les attributs Active Directory récupérés pour chaque entité enrichie. Cette option est activée par défaut.
Specific Attribute Names To Enrich With	Facultatif. Liste de noms d'attributs séparés par une virgule pour enrichir les entités. Si vous ne fournissez aucune valeur, l'action enrichit les entités avec tous les attributs disponibles. Si un attribut contient plusieurs valeurs, l'action enrichit l'attribut avec toutes les valeurs disponibles. Ce paramètre est sensible à la casse.
Should Case Wall Table be filtered by the specified Attributes?	Facultatif. Si cette option est sélectionnée, l'action ne remplit la table du mur des cas qu'avec les attributs spécifiés dans Specific Attribute Names To Enrich With.
Should JSON result be filtered by the specified Attributes?	Facultatif. Si cette option est sélectionnée, le résultat JSON ne renvoie que les attributs spécifiés dans Specific Attribute Names To Enrich With.

Sorties de l'action

L'action Enrichir les entités fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement des entités	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Enrichir les entités fournit le tableau suivant sur le mur de la demande lorsque Create Case Wall Table est sélectionné :

• Nom de la table : Report for: <var class="readonly">ENTITY_ID</var>
• Colonnes : noms et valeurs des attributs Active Directory récupérés pour l'entité (ou filtrés par le paramètre Specific Attribute Names To Enrich With si Should Case Wall Table be filtered by the specified Attributes? est sélectionné).

Enrichissement d'entités

L'action Enrichir les entités accepte l'enrichissement d'entités suivant :

Nom du champ d'enrichissement	Logique
AD_primaryGroupID	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_logonCount	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_cn	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_countryCode	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_objectClass	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_userPrincipalName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_adminCount	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_lastLogonTimestamp	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_manager	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_instanceType	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_distinguishedName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_dSCorePropagationData	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_msDS-SupportedEncryptionTypes	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_objectSid	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_whenCreated	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_uSNCreated	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_lockoutTime	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_badPasswordTime	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_pwdLastSet	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_sAMAccountName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_objectCategory	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_lastLogon	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_objectGUID	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_whenChanged	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_badPwdCount	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_accountExpires	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_displayName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_name	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_memberOf	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_codePage	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_userAccountControl	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_sAMAccountType	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_uSNChanged	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_sn	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_givenName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_lastLogoff	L'action renvoie la valeur si elle existe dans le résultat JSON.

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Enrichir les entités :

[
    {
        "EntityResult": {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["[e-mail]"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example user"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "[e-mail]"
    }
]

Messages de sortie

L'action Enrichir les entités peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Active Directory Permalink: SERVER Enriched the following Users ENTITY_ID Enriched the following Hosts ENTITY_ID All entities were enriched.	L'action a réussi.
The following entities were not found in Active Directory: ENTITY_ID	Échec de l'action pour les entités spécifiées. Vérifiez que les comptes utilisateur ou hôte existent dans Active Directory et correspondent aux identifiants d'entité du cas.
Failed to enrich the following Users ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service est autorisé à lire les attributs (y compris userAccountControl) sur les comptes utilisateur cibles et que les attributs personnalisés existent dans Active Directory.
Failed to enrich the following Hosts ENTITY_ID	Échec de l'action pour les hôtes spécifiés. Vérifiez que le compte de service est autorisé à lire les attributs (y compris userAccountControl) sur les comptes d'ordinateur cibles et que tous les attributs personnalisés existent dans Active Directory.
No entities were enriched.	Échec de l'action. Vérifiez que la casse contient des entités User ou Hostname valides qui existent dans Active Directory.
Error executing action "Enrich Entities". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les champs de requête personnalisés ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Enrichir les entités :

Nom du résultat du script	Valeur
is_success	true ou false

Forcer la mise à jour du mot de passe

Utilisez l'action Forcer la mise à jour du mot de passe pour obliger les utilisateurs à modifier leur mot de passe lors de leur prochaine connexion. L'action cible automatiquement les utilisateurs associés à la demande.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Forcer la mise à jour du mot de passe fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Forcer la mise à jour du mot de passe peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Forced password update on next logon for the following users: ENTITY_ID	L'action a réussi.
Failed to force password update on next logon for the following users: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service dispose des autorisations de lecture et d'écriture pour l'attribut pwdLastSet sur les comptes utilisateur cibles.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
Password update wasn't forced on any users.	Échec de l'action. Vérifiez que la demande contient des entités User valides et que le compte de service est autorisé à modifier les paramètres d'expiration des mots de passe.
Error executing action "Force Password Update". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Forcer la mise à jour du mot de passe :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir les membres du groupe

Utilisez l'action Obtenir les membres du groupe pour lister les utilisateurs, les ordinateurs ou les deux qui appartiennent à un groupe Active Directory spécifique. Vous pouvez éventuellement limiter la recherche à une unité organisationnelle ou à un groupe parent spécifique, et inclure les membres de sous-groupes imbriqués.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Obtenir les membres du groupe nécessite les paramètres suivants :

Paramètre	Description
Group Name	Obligatoire. Nom du groupe contenant les membres listés.
Members Type	Obligatoire. Type de membre à récupérer dans le groupe. Les valeurs possibles sont les suivantes : Only Users Only Hosts Both La valeur par défaut est Only Users.
Where To Search	Obligatoire. Un Organizational Unit ou un Group spécifique pour limiter la recherche. Les valeurs possibles sont les suivantes : Select Option Organizational Unit Group La valeur par défaut est Select Option.
Filter Object Value	Facultatif. Nom de l'élément Organizational Unit ou Group dans lequel l'action recherche le groupe cible. Ce paramètre est obligatoire si Where To Search est défini sur Organizational Unit ou Group.
Perform Nested Search	Facultatif. Si cette option est sélectionnée, l'action récupère les membres des sous-groupes imbriqués appartenant au groupe cible.
Limit	Facultatif. Nombre maximal de fiches à récupérer à partir d'Active Directory. La valeur par défaut est 100.

Sorties de l'action

L'action Obtenir les membres du groupe fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Obtenir les membres du groupe fournit le tableau suivant sur le mur de l'incident :

• Nom de la table : Members of Active Directory group: <var class="readonly">GROUP_NAME</var>
• Colonnes :
  • Distinguished Name
  • SAM Account Name
  • User Principal Name
  • Type

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir les membres du groupe :

[
  {
    "dn": "CN=Example User1,OU=User Accounts,DC=example,DC=local",
    "sAMAccountName": "ExampleUser1",
    "userPrincipalName": "[e-mail]",
    "type": "CN=Person,CN=Schema,CN=Configuration,DC=example,DC=local"
  },
  {
    "dn": "CN=Example User2,CN=Users,DC=example,DC=local",
    "sAMAccountName": "ExampleUser2",
    "userPrincipalName": "[e-mail]",
    "type": "CN=Person,CN=Schema,CN=Configuration,DC=example,DC=local"
  }
]

Messages de sortie

L'action Obtenir les membres du groupe peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully retrieved members of the group "GROUP_NAME" from Active Directory. Group "GROUP_NAME" doesn't contain any members matching search criteria in Active Directory.	L'action a réussi.
Error executing action "Get Group Members". Reason: Filter Object Value should be provided	Échec de l'action. Indiquez un nom d'UO ou de groupe valide dans le paramètre Filter Object Value lorsque Where To Search est défini sur Organizational Unit ou Group.
Error executing action "Get Group Members". Reason: Given value for Limit should be a positive number.	Échec de l'action. Saisissez un nombre entier supérieur à 0 dans le paramètre Limit.
Error executing action "Get Group Members". Reason: Given group doesn't exist in Active Directory.	Échec de l'action. Vérifiez le nom du groupe dans le paramètre Group Name et confirmez que le groupe existe dans le champ d'application de la recherche configuré.
Error executing action "Get Group Members". Reason: Specified Organizational Unit doesn't exist in Active Directory.	Échec de l'action. Vérifiez que l'unité organisationnelle spécifiée dans Filter Object Value existe dans Active Directory.
Error executing action "Get Group Members". Reason: Specified Group in "Filter Object Value" doesn't exist in Active Directory.	Échec de l'action. Vérifiez que le groupe parent spécifié dans Filter Object Value existe dans Active Directory.
Error executing action "Get Group Members". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les paramètres d'entrée ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lors de l'utilisation de l'action Obtenir les membres du groupe :

Nom du résultat du script	Valeur
is_success	true ou false

Obtenir les coordonnées du responsable

Utilisez l'action Obtenir les coordonnées du responsable pour rechercher le responsable d'un utilisateur dans Active Directory et récupérer ses coordonnées. L'action cible automatiquement les utilisateurs associés à la demande.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Obtenir les coordonnées du responsable fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement des entités	Disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Obtenir les coordonnées du responsable fournit le tableau suivant sur le mur des cas :

• Nom de la table : Manager Contact: <var class="readonly">ENTITY_ID</var>
• Colonnes :
  • Manager Name
  • Manager Phone

Enrichissement d'entités

L'action Obtenir les coordonnées du responsable est compatible avec l'enrichissement d'entité suivant :

Nom du champ d'enrichissement	Logique
AD_Manager_Name	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_Manager_phone	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_primaryGroupID	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_logonCount	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_cn	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_countryCode	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_objectClass	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_userPrincipalName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_adminCount	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_lastLogonTimestamp	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_manager	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_instanceType	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_distinguishedName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_dSCorePropagationData	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_msDS-SupportedEncryptionTypes	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_objectSid	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_whenCreated	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_uSNCreated	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_lockoutTime	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_badPasswordTime	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_pwdLastSet	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_sAMAccountName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_objectCategory	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_lastLogon	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_objectGUID	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_whenChanged	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_badPwdCount	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_accountExpires	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_displayName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_name	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_memberOf	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_codePage	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_userAccountControl	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_sAMAccountType	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_uSNChanged	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_sn	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_givenName	L'action renvoie la valeur si elle existe dans le résultat JSON.
AD_lastLogoff	L'action renvoie la valeur si elle existe dans le résultat JSON.

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Obtenir les coordonnées du responsable :

[
   {
        "EntityResult":
        {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["[e-mail]"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "[e-mail]"
    }
]

Messages de sortie

L'action Obtenir les coordonnées du responsable peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Retrieved manager details for the following users: ENTITY_ID	L'action a réussi.
The following users don't have managers specified in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que l'attribut manager est renseigné sur les comptes utilisateur cibles dans Active Directory.
Failed to retrieve manager details for the following users: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service est autorisé à lire l'attribut manager et le profil utilisateur du responsable dans Active Directory.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
No manager details were retrieved for the provided users.	Échec de l'action. Vérifiez que le cas contient des entités User valides auxquelles un responsable est attribué dans Active Directory.
Error executing action "Get Manager Contact Details". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Obtenir les coordonnées du responsable :

Nom du résultat du script	Valeur
is_success	true ou false

L'utilisateur est-il dans le groupe ?

Utilisez l'action Is User In Group (L'utilisateur est-il dans le groupe) pour vérifier si des utilisateurs spécifiques appartiennent à un groupe Active Directory donné. Par défaut, l'action vérifie les entités User dans la demande, ou vous pouvez saisir une liste de noms d'utilisateur séparés par une virgule dans le paramètre User Name pour vérifier directement des comptes spécifiques.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

L'action Is User In Group (L'utilisateur est-il dans le groupe) nécessite les paramètres suivants :

Paramètre	Description
Group Name	Obligatoire. Nom du groupe à vérifier, par exemple administrators.
User Name	Facultatif. Liste de noms d'utilisateur à vérifier, séparés par une virgule. Si vous ne fournissez pas de valeur, l'action vérifie les entités User du cas d'utilisation.
Where To Search	Obligatoire. Un Organizational Unit ou un Group spécifique pour limiter la recherche. Les valeurs possibles sont les suivantes : Select Option Organizational Unit Group La valeur par défaut est Select Option.
Filter Object Value	Facultatif. Nom de l'élément Organizational Unit ou Group dans lequel l'action recherche le groupe cible. Ce paramètre est obligatoire si Where To Search est défini sur Organizational Unit ou Group.
Search In Subgroups	Facultatif. Si cette option est sélectionnée, l'action effectue une recherche récursive dans les sous-groupes imbriqués.

Sorties de l'action

L'action Is User In Group (L'utilisateur est-il dans le groupe) fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Is User In Group (L'utilisateur est-il dans le groupe) :

[
    {
        "EntityResult": true,
        "Entity": "[e-mail]"
    }, {
        "EntityResult": false,
        "Entity": "[e-mail]"
    }, {
        "EntityResult": true,
        "Entity": "[e-mail]"
    }
]

Messages de sortie

L'action L'utilisateur est-il dans le groupe peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
USER_NAME IN GROUP_NAME; USER_NAME NOT in GROUP_NAME;	L'action a réussi.
The following users were not found in Active Directory: USER_NAME	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les noms d'utilisateur ou les entités User existent dans Active Directory.
None of the provided users were found in Active Directory.	Échec de l'action. Vérifiez que l'incident contient des entités User valides ou que les noms d'utilisateur spécifiés dans le paramètre User Name existent dans Active Directory.
Error executing action "Is User In Group". Reason: Filter Object Value should be provided	Échec de l'action. Indiquez un nom d'UO ou de groupe valide dans le paramètre Filter Object Value lorsque Where To Search est défini sur Organizational Unit ou Group.
Error executing action "Is User In Group". Reason: Given group doesn't exist in Active Directory.	Échec de l'action. Vérifiez le nom du groupe dans le paramètre Group Name et confirmez que le groupe existe dans le champ d'application de la recherche configuré.
Error executing action "Is User In Group". Reason: Specified Organizational Unit doesn't exist in Active Directory.	Échec de l'action. Vérifiez que l'unité organisationnelle spécifiée dans Filter Object Value existe dans Active Directory.
Error executing action "Is User In Group". Reason: Specified Group in "Filter Object Value" doesn't exist in Active Directory.	Échec de l'action. Vérifiez que le groupe parent spécifié dans Filter Object Value existe dans Active Directory.
Error executing action "Is User In Group". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les paramètres d'entrée ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Is User In Group :

Nom du résultat du script	Valeur
is_success	true ou false

Lister les groupes d'utilisateurs

Utilisez l'action Répertorier les groupes d'utilisateurs pour récupérer la liste de tous les groupes Active Directory auxquels appartient un utilisateur. L'action cible automatiquement les utilisateurs associés à la demande.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Répertorier les groupes d'utilisateurs fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Lister les groupes d'utilisateurs :

[
    {
        "EntityResult": ["Domain Users"],
        "Entity": "[e-mail]"
    }
]

Messages de sortie

L'action Lister les groupes d'utilisateurs peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Groups were listed for the following users: ENTITY_ID	L'action a réussi.
No groups were found for the following users: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur sont attribués à au moins un groupe explicite dans l'attribut memberOf d'Active Directory.
Failed to list groups for the following users: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service est autorisé à lire l'attribut memberOf sur les comptes utilisateur cibles.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
No groups were listed.	Échec de l'action. Vérifiez que la demande contient des entités User valides appartenant à des groupes dans Active Directory.
Error executing action "List User Groups". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory ou les identifiants du compte de service.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lors de l'utilisation de l'action Lister les groupes d'utilisateurs :

Nom du résultat du script	Valeur
is_success	true ou false

Ping

Utilisez l'action Ping pour vérifier que Google SecOps peut se connecter et s'authentifier auprès de votre serveur Active Directory à l'aide des paramètres d'intégration configurés.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Ping fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Ping peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Connected successfully.	L'action a réussi.
Error executing action "Ping". Reason: ERROR_REASON	Échec de l'action. Vérifiez l'adresse du serveur, le port, les paramètres SSL ou les identifiants du compte de service dans la configuration de l'intégration.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Ping :

Nom du résultat du script	Valeur
is_success	true ou false

Déverrouiller le compte

Utilisez l'action Déverrouiller un compte pour déverrouiller les comptes utilisateur dans Active Directory qui ont été verrouillés après un trop grand nombre de tentatives de connexion infructueuses. L'action cible automatiquement les utilisateurs associés à la demande.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

Aucune.

Sorties de l'action

L'action Libérer un compte verrouillé fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Libérer un compte verrouillé peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Unlocked account for the following users: ENTITY_ID	L'action a réussi.
Failed to unlock account for the following users: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service dispose des autorisations de lecture et d'écriture pour l'attribut lockoutTime sur les comptes utilisateur cibles.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
No accounts were unlocked.	Échec de l'action. Vérifiez que la demande contient des entités User valides et que le compte de service est autorisé à débloquer les comptes cibles.
Error executing action "Release Locked Account". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Déverrouiller un compte verrouillé :

Nom du résultat du script	Valeur
is_success	true ou false

Retirer l'utilisateur du groupe

Utilisez l'action Supprimer l'utilisateur du groupe pour supprimer les utilisateurs de la demande d'un ou de plusieurs groupes Active Directory, par exemple pour révoquer l'accès élevé au groupe lors d'un incident. L'action identifie automatiquement les utilisateurs cibles à partir de la demande et les supprime des groupes spécifiés.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

L'action Supprimer l'utilisateur du groupe nécessite les paramètres suivants :

Paramètre	Description
Group Name	Obligatoire. Liste de groupes séparés par une virgule dont les utilisateurs doivent être supprimés.

Sorties de l'action

L'action Supprimer l'utilisateur du groupe fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Supprimer l'utilisateur du groupe peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully removed the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID The following users were not a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID	L'action a réussi.
Action wasn't able to remove the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service est autorisé à modifier l'attribut member sur le groupe cible.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
The following groups were not found in Active Directory: GROUP_NAME	L'action a échoué pour les groupes spécifiés. Vérifiez l'orthographe des noms de groupes dans le paramètre Group Name et confirmez que les groupes existent dans le domaine configuré.
No users were removed from the group "GROUP_NAME" in Active Directory.	Échec de l'action pour le groupe spécifié. Vérifiez que les utilisateurs cibles existent dans Active Directory et que le compte de service dispose d'un accès en écriture au groupe spécifié.
No users were removed from the provided groups in Active Directory.	Échec de l'action. Vérifiez que la casse contient des entités User valides et que les groupes spécifiés existent dans Active Directory.
Error executing action "Remove User From Group". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les paramètres d'entrée ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Supprimer l'utilisateur du groupe :

Nom du résultat du script	Valeur
is_success	true ou false

Rechercher dans Active Directory

Utilisez l'action Rechercher dans Active Directory pour rechercher des utilisateurs, des ordinateurs, des groupes ou des unités organisationnelles dans votre annuaire à l'aide de conditions de recherche intégrées ou d'une requête personnalisée. Vous pouvez également filtrer la recherche par unité organisationnelle spécifique et choisir les champs de l'annuaire à inclure dans les résultats.

Cette action ne s'exécute pas sur les entités Google SecOps.

Entrées de l'action

L'action Rechercher dans Active Directory nécessite les paramètres suivants :

Paramètre	Description
Search Condition	Obligatoire. Condition à appliquer à la recherche. Les valeurs possibles sont les suivantes : Contains Exact Match Starts With Custom LDAP Query La valeur par défaut est Contains.
Include Domain	Facultatif. Si cette option est sélectionnée, l'action inclut le composant de domaine lors de la recherche avec les conditions Contains, Exact Match ou Starts With.
Search Object	Obligatoire. Type d'objet à rechercher lorsque vous n'utilisez pas Custom LDAP Query. Les valeurs possibles sont les suivantes : Select Option User Host Group Organizational Unit La valeur par défaut est Select Option.
Filter Object Value	Obligatoire. Valeur d'objet à utiliser pour le filtrage, ou chaîne de requête LDAP complète lorsque Search Condition est défini sur Custom LDAP Query.
Custom Fields	Facultatif. Liste d'attributs LDAP à renvoyer dans les résultats de recherche, séparés par une virgule.
Specific OUs to Search	Facultatif. Liste de noms d'unités organisationnelles séparés par une virgule pour limiter le champ de recherche.
Include Default Search Fields	Facultatif. Si cette option est sélectionnée, l'action inclut les champs Active Directory par défaut dans les résultats renvoyés, en plus de tout Custom Fields spécifié. Cette option est activée par défaut.
Max Records To Return	Facultatif. Nombre maximal d'enregistrements à récupérer à partir d'Active Directory. La valeur par défaut est 100.
Sort Field	Facultatif. Nom de l'attribut LDAP utilisé pour trier les entrées renvoyées.

Sorties de l'action

L'action Rechercher dans Active Directory fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Disponible
Table d'enrichissement	Non disponible
Résultat JSON	Disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Tableau du mur des cas

L'action Rechercher dans Active Directory fournit le tableau suivant sur le mur de la demande :

• Nom de la table : Active Directory Search Results
• Colonnes : attributs Active Directory renvoyés pour les entrées d'annuaire correspondantes (en fonction de Include Default Search Fields et Custom Fields).

Résultat JSON

L'exemple suivant montre le résultat JSON reçu lors de l'utilisation de l'action Rechercher dans Active Directory :

[
      {
        "primaryGroupID": [
          513
        ],
        "logonCount": [
          6505
        ],
        "cn": [
          "user name"
        ],
        "countryCode": [
          0
        ],
        "objectClass": [
          "top",
          "person",
          "organizationalPerson"
        ],
        "userPrincipalName": [
          "[e-mail]"
        ],
        "adminCount": [
          1
        ],
        "lastLogonTimestamp": [
          "2019-01-09 08:42:03.540783+00:00"
        ],
        "manager": [
          "CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"
        ],
        "instanceType": [
          4
        ],
        "distinguishedName": [
          "CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "dSCorePropagationData": [
          "2019-01-14 14:39:16+00:00"
        ],
        "msDS-SupportedEncryptionTypes": [
          0
        ],
        "objectSid": [
          "ID"
        ],
        "whenCreated": [
          "2011-11-07 08:00:44+00:00"
        ],
        "uSNCreated": [
          7288202
        ],
        "lockoutTime": [
          "1601-01-01 00:00:00+00:00"
        ],
        "badPasswordTime": [
          "date"
        ],
        "pwdLastSet": [
          "date"
        ],
        "sAMAccountName": [
          "example"
        ],
        "objectCategory": [
          "CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"
        ],
        "lastLogon": [
          "2019-01-14 17:13:54.463070+00:00"
        ],
        "objectGUID": [
          "GUID"
        ],
        "whenChanged": [
          "2019-01-14 16:49:01+00:00"
        ],
        "badPwdCount": [
          1
        ],
        "accountExpires": [
          "9999-12-31 23:59:59.999999"
        ],
        "displayName": [
          "example"
        ],
        "name": [
          "user"
        ],
        "memberOf": [
          "CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL",
          "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL",
          "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "codePage": [
          0
        ],
        "userAccountControl": [
          111
        ],
        "sAMAccountType": [
          805306368
        ],
        "uSNChanged": [
          15301168
        ],
        "sn": [
          "example"
        ],
        "givenName": [
          "user"
        ],
        "lastLogoff": [
          "1601-01-01 00:00:00+00:00"
        ]
      }
    ]

Messages de sortie

L'action Rechercher dans Active Directory peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully performed the query "QUERY_STRING" in Active Directory. No results to show following the query: "QUERY_STRING".	L'action a réussi.
Error executing action "Search Active Directory". Reason: you need to select "Search Object" or choose "Custom LDAP Query" as a "Search Condition"	Échec de l'action. Sélectionnez un type d'objet valide dans le paramètre Search Object ou remplacez Search Condition par Custom LDAP Query.
Error executing action "Search Active Directory". Reason: Value for the parameter "Max Records To Return" should be a positive number.	Échec de l'action. Saisissez un nombre entier supérieur à 0 dans le paramètre Max Records To Return.
Error executing action "Search Active Directory". Reason: The following OUs were not found in Active Directory: OU_NAMES	Échec de l'action. Vérifiez l'orthographe des unités organisationnelles dans le paramètre Specific OUs to Search et confirmez qu'elles existent dans Active Directory.
Error executing action "Search Active Directory". Reason: Knowingly invalid query was executed: "QUERY_STRING". Please verify the inputs and try again.	Échec de l'action. Vérifiez la syntaxe de votre requête personnalisée ou de la valeur de filtre dans le paramètre Filter Object Value, et assurez-vous que les noms Custom Fields ou Sort Field spécifiés sont des attributs LDAP valides.
Error executing action "Search Active Directory". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les paramètres d'entrée ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Rechercher dans Active Directory :

Nom du résultat du script	Valeur
is_success	true ou false

Définir le mot de passe de l'utilisateur

Utilisez l'action Définir le mot de passe de l'utilisateur pour réinitialiser le mot de passe des utilisateurs de la demande. Assurez-vous que l'intégration est connectée via SSL (LDAPS) et que le nouveau mot de passe respecte les règles de complexité des mots de passe de votre domaine.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

L'action Définir le mot de passe utilisateur nécessite les paramètres suivants :

Paramètre	Description
New Password	Obligatoire. La valeur du nouveau mot de passe.

Sorties de l'action

L'action Définir le mot de passe utilisateur fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Définir le mot de passe utilisateur peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Reset password for the following users: ENTITY_ID	L'action a réussi.
Failed to reset password for the following users: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le nouveau mot de passe respecte les exigences de complexité et d'historique des mots de passe du domaine, et que les utilisateurs cibles ne sont pas des comptes administrateur protégés.
The following users were not found in Active Directory: ENTITY_ID	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
No passwords were changed.	Échec de l'action. Vérifiez que le cas contient des entités User valides et que le compte de service est autorisé à réinitialiser les mots de passe des comptes cibles.
Failed to execute "Set User Password" action! Watch Over Extended Rights permission or SSL connection.	Échec de l'action. Assurez-vous que Use SSL est sélectionné dans la configuration de l'intégration (LDAPS sur le port 636) et que le compte de service dispose du droit étendu Réinitialiser le mot de passe.
Error executing action "Set User Password". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les paramètres d'entrée ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Définir le mot de passe utilisateur :

Nom du résultat du script	Valeur
is_success	true ou false

Mettre à jour les attributs d'un hôte AD

Utilisez l'action Mettre à jour les attributs d'un hôte AD pour mettre à jour une propriété d'annuaire spécifique sur les comptes d'ordinateur dans la demande, par exemple en mettant à jour le champ Description d'un ordinateur avec des notes d'incident. L'action identifie automatiquement les ordinateurs cibles à partir du cas et applique la nouvelle valeur.

Cette action s'exécute sur l'entité Google SecOps Hostname.

Entrées de l'action

L'action Mettre à jour les attributs d'un hôte AD nécessite les paramètres suivants :

Paramètre	Description
Attribute Name	Obligatoire. Nom de l'attribut à mettre à jour, par exemple Description.
Attribute Value	Obligatoire. Nouvelle valeur de l'attribut.

Sorties de l'action

L'action Mettre à jour les attributs d'un hôte AD fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre à jour les attributs d'un hôte AD peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated attribute "ATTRIBUTE_NAME" on the following hosts in Active Directory: ENTITY_ID_LIST	L'action a réussi.
Action wasn't able to update attribute "ATTRIBUTE_NAME" on the following hosts in Active Directory: ENTITY_ID_LIST	Échec de l'action pour les hôtes spécifiés. Vérifiez que le compte de service dispose d'une autorisation d'écriture pour l'attribut spécifié sur les comptes d'ordinateur cibles et que le format de la valeur est valide pour cet attribut.
The following hosts were not found in Active Directory: ENTITY_ID_LIST	Échec de l'action pour les hôtes spécifiés. Vérifiez que les comptes d'ordinateur existent dans Active Directory et correspondent aux entités Hostname du cas.
No hosts were updated in Active Directory.	Échec de l'action. Vérifiez que la demande contient des entités Hostname valides et que le compte de service est autorisé à mettre à jour l'attribut spécifié.
Error executing action "Update attributes of an AD Host". Reason: Provided attribute doesn't exist in Active Directory.	Échec de l'action. Vérifiez l'orthographe de l'attribut dans le paramètre Attribute Name et confirmez qu'il s'agit d'un attribut d'ordinateur Active Directory valide.
Error executing action "Update attributes of an AD Host". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les paramètres d'entrée ou les identifiants du compte de service.

Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Mettre à jour les attributs d'un hôte AD :

Nom du résultat du script	Valeur
is_success	true ou false

Mettre à jour les attributs d'un utilisateur AD

Utilisez l'action Mettre à jour les attributs d'un utilisateur AD pour mettre à jour une propriété d'annuaire spécifique sur les comptes utilisateur dans le cas, par exemple en mettant à jour le champ Description, title ou department d'un utilisateur. L'action identifie automatiquement les utilisateurs cibles à partir de la demande et applique la nouvelle valeur.

Cette action s'exécute sur l'entité Google SecOps User.

Entrées de l'action

L'action Mettre à jour les attributs d'un utilisateur AD nécessite les paramètres suivants :

Paramètre	Description
Attribute Name	Obligatoire. Nom de l'attribut à mettre à jour, par exemple Description.
Attribute Value	Obligatoire. Nouvelle valeur de l'attribut.

Sorties de l'action

L'action Mettre à jour les attributs d'un utilisateur AD fournit les résultats suivants :

Type de sortie de l'action	Disponibilité
Pièce jointe du mur des cas	Non disponible
Lien vers le mur des cas	Non disponible
Tableau du mur des cas	Non disponible
Table d'enrichissement	Non disponible
Résultat JSON	Non disponible
Messages de sortie	Disponible
Résultat du script	Disponible

Messages de sortie

L'action Mettre à jour les attributs d'un utilisateur AD peut renvoyer les messages de sortie suivants :

Message de sortie	Description du message
Successfully updated attribute "ATTRIBUTE_NAME" for the following users in Active Directory: ENTITY_ID_LIST	L'action a réussi.
Action wasn't able to update attribute "ATTRIBUTE_NAME" for the following users in Active Directory: ENTITY_ID_LIST	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que le compte de service dispose d'une autorisation d'écriture pour l'attribut spécifié sur les comptes utilisateur cibles et que le format de la valeur est valide pour cet attribut.
The following users were not found in Active Directory: ENTITY_ID_LIST	L'action a échoué pour les utilisateurs spécifiés. Vérifiez que les comptes utilisateur existent dans Active Directory et correspondent aux entités User du cas.
No users were updated in Active Directory.	Échec de l'action. Vérifiez que la demande contient des entités User valides et que le compte de service est autorisé à mettre à jour l'attribut spécifié.
Error executing action "Update attributes of an AD User". Reason: Provided attribute doesn't exist in Active Directory.	Échec de l'action. Vérifiez l'orthographe de l'attribut dans le paramètre Attribute Name et confirmez qu'il s'agit d'un attribut utilisateur Active Directory valide.
Error executing action "Update attributes of an AD User". Reason: ERROR_REASON	Échec de l'action. Vérifiez la connexion au serveur Active Directory, les paramètres d'entrée ou les identifiants du compte de service.

Résultat du script

Le tableau suivant liste la valeur de la sortie du résultat du script lorsque vous utilisez l'action Mettre à jour les attributs d'un utilisateur AD :

Nom du résultat du script	Valeur
is_success	true ou false

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.