Google は AI 技術を使用して、コンテンツをご希望の言語に翻訳しています。AI 翻訳には誤りが含まれる場合があります。

Active Directory を Google SecOps と統合する

このドキュメントでは、Active Directory を Google Security Operations と統合する方法について説明します。

ユースケース

Active Directory 統合では、Google SecOps の機能を使用して次のユースケースをサポートします。

ユーザーの有効化と無効化: 不正使用された可能性のあるユーザーアカウントを無効にして、それ以上の不正アクセスを防止します。
パスワードを再設定する: Active Directory でユーザーパスワードを自動的に再設定し、変更をユーザーに通知します。
グループを管理する: ロールに基づいて適切なセキュリティグループに新しいユーザーを追加し、ユーザーに適切なアクセス権があることを確認します。
ユーザー情報を取得する: 特定のユーザーアカウントのグループメンバーシップ、最終ログイン時刻、連絡先情報などのユーザーの詳細を取得します。
オフボーディングを自動化する: 従業員がオフボーディングするときに、アカウントを無効にし、グループから削除して、ファイルのオーナー権限を移管します。

始める前に

Google SecOps で Active Directory 統合を構成する前に、ネットワーク環境、Active Directory ドメインサービス（AD DS）、サービスアカウントの認証情報がすべての運用上の前提条件を満たしていることを確認します。

統合のために環境を準備するには、次の前提条件を完了します。

Google SecOps インスタンス（またはリモートエージェント）と Active Directory ドメインコントローラ間のネットワーク接続と DNS の解決を確認します。
省略可: 内部認証局を使用して LDAPS（ポート 636、パスワードの再設定に必要）経由で接続する場合は、ルート証明書または中間証明書を Base64 文字列にエンコードして、CA 証明書を構成します。
最小権限の原則に沿って、専用の Active Directory サービスアカウントを作成します。
必要なアクション権限を確認して、実行する特定のアクションに必要な属性とアクセス権を決定します。
使用するアクションのターゲット組織部門に権限を委任します（Active Directory ユーザーとコンピュータ、または PowerShell と dsacls を使用）。サービスアカウントに userAccountControl 属性への明示的な読み取り / 書き込みアクセス権があることを確認します。

ネットワークと DNS の要件

Google SecOps は、TCP 経由で Lightweight Directory Access Protocol（LDAP または LDAPS）を使用して、Active Directory ドメインコントローラと直接通信します。

ネットワーク環境が次の接続ルールを満たしていることを確認します。

ポート接続: ネットワークファイアウォールとルーティングで、Google SecOps（またはリモートエージェント）から Active Directory ドメインコントローラへのアウトバウンド通信が次のポートで許可されていることを確認します。
- LDAP（標準）: 暗号化されていない LDAP 通信用のポート 389/TCP を開きます。
- LDAPS（推奨 - パスワードに必須）: ポート 636/TCP（またはカスタム SSL / TLS ポート）を開きます。LDAPS は、暗号化されたディレクトリトラフィックに必要であり、パスワード変更アクションに必須です。
DNS とホスト名の解決: Active Directory では、SSL/TLS 証明書とディレクトリサービスバインディングを一致させるために、正確なホスト名解決が必要です。内部 DNS 設定で完全修飾 DNS 名によってドメインが解決される場合は、追加のホスト構成は必要ありません。リモートエージェントコンテナイメージで DNS の解決が利用できない場合は、/etc/hosts ファイルを構成します。

`/etc/hosts` ファイルを構成する

この構成は省略可能です。ドメインコントローラが内部 DNS 設定ですでに解決されている場合は、このセクションをスキップします。リモートエージェントが DNS を使用して Active Directory ドメインコントローラを解決できない場合は、/etc/hosts ファイルでホストを手動でマッピングして、SSL / TLS 証明書とディレクトリサービスバインディングを一致させます。

/etc/hosts ファイルを構成する手順は次のとおりです。

管理者権限でテキストエディタで /etc/hosts を開きます。
```
sudo vi /etc/hosts
```
ドメインコントローラの IP アドレスを完全修飾ドメイン名（FQDN）にマッピングするエントリを追加します。
```
192.0.2.195 dc01.example.local
```
ファイルを保存して閉じます。

統合に CA 証明書が必要ない場合は、認証とサービスアカウントの要件の構成に進みます。それ以外の場合は、CA 証明書を構成します。

CA 証明書を構成する

この手順は省略可能です。標準 LDAP（ポート 389）を使用して接続する場合、または一般に信頼されている証明書を使用する場合は、このセクションをスキップして、認証とサービスアカウントの要件に進みます。プライベート CA または内部 CA によって発行された証明書を使用して LDAPS（ポート 636、パスワードの再設定に必要）経由で接続する場合は、設定時に base64 でエンコードされた証明書文字列を指定して、信頼できる TLS 接続を確立します。

CA 証明書を構成してアップロードする手順は次のとおりです。

PEM 形式の証明書ファイルをエンコードします。
- Linux: bash base64 -w 0 mycert.crt
- macOS: bash base64 -i mycert.crt
出力文字列全体（エンコードされたヘッダーを含む）をコピーし、Google SecOps の統合構成の [CA 証明書ファイル - Base64 文字列に解析] フィールドに貼り付けます。
ホスト名が証明書の共通名（CN）またはサブジェクト代替名（SAN）と一致するように、Server パラメータをドメインコントローラの FQDN（IP アドレスではない）に設定します。
[テスト] をクリックして TLS handshake を検証します。

認証とサービスアカウントの要件

Active Directory 統合では、標準の AD DS 認証情報を使用して認証を行います。

認証設定が次のセキュリティプラクティスに準拠していることを確認します。

専用のサービスアカウント: Google SecOps の自動化されたハンドブック専用のサービスアカウント（svc_secops_ad など）を作成します。インタラクティブユーザーアカウントや組み込みのドメイン管理者アカウントは使用しないでください。
ユーザー名の形式: ユーザー名は、ユーザープリンシパル名（UPN）（svc_secops@example.local など）または下位レベルのログオン名（EXAMPLE\svc_secops）として指定できます。
PoLP: サービスアカウントを、Domain Admins、Enterprise Admins、Account Operators などの特権を持つ組み込みグループに追加しないでください。代わりに、ユーザー、コンピュータ、グループオブジェクトが存在する特定の OU に詳細な権限を付与します。

アクションの権限を構成する（最小権限）

認証サービスアカウントには、実行する特定のアクションに必要な Active Directory 権限と LDAP 属性アクセスのみを付与します。

重要: ステータスチェックとライフサイクルアクション（アカウントを有効にする、アカウントを無効にする、コンピュータを有効にする、コンピュータを無効にする、エンティティを拡充するなど）には、userAccountControl 属性に対する明示的な読み取りプロパティと書き込みプロパティの権限が必要です。

サービスアカウントが userAccountControl を読み取れない場合、Active Directory は LDAP レスポンスから属性を完全に省略します。Google SecOps では、これにより未処理の null 例外（TypeError: 'NoneType' object is not subscriptable など）が発生します。この属性がすべてのターゲット OU に明示的に委任されていることを確認してください。

Active Directory アクションに必要な最小限の権限については、次の表をご覧ください。

アクション名	必要な AD DS 権限 / 拡張権限	ターゲットオブジェクトクラス	説明 / 属性のスコープ
ping	`Read Property`	ユーザー、ドメインのルート	構成済みのサービスアカウントオブジェクト（`sAMAccountName`、`userPrincipalName`、`mail`）をクエリして、ディレクトリの接続性と認証情報を検証します。
エンティティの拡充	`List Contents` `Read Property`（ターゲット属性: `userAccountControl`、`sAMAccountName`、`mail`、`memberOf`、`lockoutTime`、`pwdLastSet`）	ユーザー、コンピュータ、グループ	ユーザー属性とコンピュータ属性をクエリし、ネストされたグループメンバーシップを解決します。null サブスクリプトエラーを防ぐには、`userAccountControl` に `Read Property` が必要です。
アカウントを無効にする	`Read Property`: `userAccountControl` `Write Property`: `userAccountControl`	ユーザー	ターゲットユーザーオブジェクトの `ACCOUNTDISABLE` フラグ（`0x0002`）を読み取り、設定します。
アカウントを有効にする	`Read Property`: `userAccountControl` `Write Property`: `userAccountControl`	ユーザー	ターゲットユーザーオブジェクトの `ACCOUNTDISABLE` フラグ（`0x0002`）を読み取り、クリアします。
パソコンを無効にする	`Read Property`: `userAccountControl` `Write Property`: `userAccountControl`	パソコン	ターゲットコンピュータオブジェクトの `ACCOUNTDISABLE` フラグを読み取り、設定します。
パソコンを有効にする	`Read Property`: `userAccountControl` `Write Property`: `userAccountControl`	パソコン	ターゲットコンピュータオブジェクトの `ACCOUNTDISABLE` フラグを読み取り、クリアします。
ロックされたアカウントを解放する	`Read Property`: `lockoutTime` `Write Property`: `lockoutTime`	ユーザー	`lockoutTime` 属性を読み取り、`0` に設定して、ロックされたユーザーアカウントのロックを解除します。
パスワードの更新を強制する	`Read Property`: `pwdLastSet` `Write Property`: `pwdLastSet`	ユーザー	`pwdLastSet` 属性を読み取り、`0` に設定して、ユーザーが次回ログイン時にパスワードを変更するようにします。
ユーザーパスワードを設定する	右側延長: `Reset Password`（`User-Force-Change-Password`）（省略可）`Write Property`: `unicodePwd`	ユーザー	対象ユーザーのパスワードを再設定します。LDAPS（ポート 636）または StartTLS が必要です。
ユーザーをグループに追加する	`Read Property`: `member` `Write Property`: `member`	グループ	ターゲットユーザーの識別名（`distinguishedName`）をグループの `member` 属性に追加します。
グループからユーザーを削除する	`Read Property`: `member` `Write Property`: `member`	グループ	グループの `member` 属性から、対象ユーザーの識別名（`distinguishedName`）を削除します。
ユーザーの組織部門を変更する	ソース組織部門に対する `Delete Child Object`（ユーザー）宛先 OU に対する `Create Child Object`（ユーザー） `Write Property`: `name`、`distinguishedName`	組織部門、ユーザー	LDAP `modify_dn` を使用して、OU 間でユーザーオブジェクトを移動します。
ホストの組織部門を変更する	ソース組織部門の `Delete Child Object`（パソコン）移動先の組織部門に対する `Create Child Object`（パソコン） `Write Property`: `name`、`distinguishedName`	組織部門、パソコン	LDAP `modify_dn` を使用して、OU 間でコンピュータオブジェクトを移動します。
AD ユーザーの属性を更新する	ターゲット属性（`mail`、`title`、`department`、`telephoneNumber`、`description`、`manager` など）の `Write Property`	ユーザー	ターゲットユーザーオブジェクトの指定された属性値を変更します。
AD ホストの属性を更新する	ターゲット属性（`description`、`location` など）の `Write Property`	パソコン	ターゲットコンピュータオブジェクトの指定された属性値を変更します。
グループメンバーを取得する	`List Contents` `Read Property`: `member`、`sAMAccountName`、`distinguishedName`	グループ、ユーザー、コンピュータ	グループメンバーシップとメンバーアカウントの属性をクエリします。
マネージャーの連絡先情報を取得する	`Read Property`: `manager` `Read Property`: `cn`、`telephoneNumber`、`mail`、`displayName`、`title`	ユーザー	ターゲットユーザーオブジェクトから `manager` 属性を読み取り、マネージャーの連絡先情報を取得します。
Is User In Group	`Read Property`: `memberOf`、`sAMAccountName`	ユーザー、グループ	ユーザーアカウントが指定されたセキュリティグループまたは配布グループに属しているかどうかを評価します。
ユーザーグループを一覧表示する	`Read Property`: `memberOf`、`sAMAccountName`	ユーザー、グループ	指定したユーザーアカウントに割り当てられているすべてのグループのリストを返します。
Active Directory を検索する	`List Contents` クエリされた属性の `Read Property`	ユーザー、コンピュータ、グループ、組織部門	ディレクトリサブツリーに対してカスタム LDAP フィルタクエリを実行します。

Active Directory での権限の委任

広範な管理者権限を付与せずに PoLP を適用するには、グラフィカルな ADUC コンソール、または PowerShell と dsacls コマンドラインツールを使用して、ターゲット OU の権限を委任します。これらの方法のいずれか 1 つを使用するだけで、実行する特定のアクションに必要な権限のみを委任できます。

ADUC を使用して制御を委任する

グラフィカルインターフェースを使用する場合は、ADUC の制御の委任ウィザードを使用して、オブジェクト固有の権限とプロパティ固有の権限を委任します。

ターゲット OU でウィザードを実行して、使用するアクション（アカウント制御フラグの読み取りと書き込み、パスワードのリセット、アカウントのロック解除など）に必要なオブジェクトとプロパティの権限を付与します。

ウィザードの実行手順については、Microsoft のドキュメントで AD DS での制御の委任をご覧ください。

PowerShell と dsacls を使用して制御を委任する

コマンドラインアプローチを使用する場合や、権限の割り当てを自動化する場合は、ADUC ではなく、組み込みの dsacls.exe ユーティリティで PowerShell を使用します。

管理ワークステーションまたはドメインコントローラで使用するアクションに適用されるコマンド例のみを実行し、ターゲット OU とサービスアカウント名を置き換えます。

ユーザーオブジェクトの userAccountControl に対する読み取り権限と書き込み権限を付与します（ユーザーアカウントを有効または無効にし、拡充エラーを防止します）。 powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;user"
コンピュータオブジェクト（コンピュータの有効化または無効化）に対する userAccountControl の読み取り権限と書き込み権限を付与します。 powershell dsacls.exe "OU=Computers,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;userAccountControl;computer"
アカウントのロック解除権限（lockoutTime）を付与します。 powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;lockoutTime;user"
パスワードの強制変更権限（pwdLastSet）を付与します。 powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:RPWP;pwdLastSet;user"
パスワードの再設定権限（Reset Password 拡張権限）を付与します。 powershell dsacls.exe "OU=Users,DC=example,DC=local" /I:S /G "EXAMPLE\svc_secops_ad:CA;Reset Password;user"
セキュリティグループのメンバーシップ変更権限を付与します。 powershell dsacls.exe "CN=SecOps-Quarantine,OU=Groups,DC=example,DC=local" /G "EXAMPLE\svc_secops_ad:RPWP;member;group"

構文とパラメータスイッチの詳細については、dsacls に関する Microsoft のドキュメントをご覧ください。

統合のパラメータ

Active Directory との統合には、次のパラメータが必要です。

パラメータ	説明
`Server`	必須。 Active Directory サーバーのホスト名、DNS 名、または IP アドレス。統合は LDAP プロトコルを使用して通信します。カスタムポートを使用するには、アドレスにポートを追加します（例: `mydomain.com:636`）。デフォルトでは、SSL / TLS が有効になっている場合はポート 636、無効になっている場合はポート 389 が使用されます。
`Username`	必須。 Active Directory に接続するユーザーのユーザー名またはメールアドレス（`DOMAIN\username`、`user@example.com` など）。このパラメータは `userPrincipalName` 属性も受け入れます。
`Password`	必須。ユーザーアカウントのパスワード。
`Domain`	必須。ネットワーク名前空間内のドメインへの完全な DNS パス。ドメインの完全修飾ドメイン名（FQDN）を `SUBDOMAIN.ROOT_DOMAIN` の形式で指定します。たとえば、内部 Active Directory ドメインが `example.local` の場合、入力する FQDN は `example.local` です。内部 Active Directory ドメインが `corp.example.com` の場合、入力する FQDN は `corp.example.com` です。
`Custom Query Fields`	省略可。クエリに含めるカスタム Active Directory フィールドのカンマ区切りのリスト（`customField1, customField2` など）。
`CA Certificate File - parsed into Base64 String`	省略可。 CA 証明書の構成時に取得した、base64 形式でエンコードされた CA 証明書ファイルの文字列。完全な値を指定します。
`Use SSL`	省略可。選択すると、統合は Active Directory サーバーに接続するときに SSL 証明書を検証し、セキュアな LDAPS（ポート 636）を使用します。選択しない場合は、標準の LDAP（ポート 389）が使用されます。
`Debug Logging`	省略可。選択すると、統合により Active Directory オペレーションの詳細なデバッグ情報がログに記録されます。

Google SecOps で統合を構成する方法については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できます。複数のインスタンスを構成してサポートする方法の詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、デスクから保留中のアクションに対応するとケースで手動アクションを実行するをご覧ください。

ユーザーをグループに追加する

[Add User To Group] アクションを使用して、ケースのユーザーを 1 つ以上の Active Directory グループに追加します。たとえば、調査中にアカウントを制限付きアクセスグループに追加します。このアクションにより、ケースからターゲットユーザーが自動的に特定され、指定されたグループに追加されます。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

Add User To Group アクションには、次のパラメータが必要です。

パラメータ説明

パラメータ	説明
`Group Name`	必須。ユーザーを追加するグループのカンマ区切りのリスト。

Group Name

必須。

ユーザーを追加するグループのカンマ区切りのリスト。

アクションの出力

Add User To Group アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

Add User To Group アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully added the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID` `The following users were already a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID`	アクションが成功しました。
`Action wasn't able to add the following users to the group "GROUP_NAME" in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、ターゲットグループの `member` 属性を変更する権限があることを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、エンティティ ID が有効なユーザー名またはメールアドレスと一致していることを確認します。
`The following groups were not found in Active Directory: GROUP_NAME`	指定されたグループに対してアクションが失敗しました。 `Group Name` パラメータのグループ名のスペルを確認し、構成されたドメインにグループが存在することを確認します。
`No users were added to the group "GROUP_NAME" in Active Directory.`	指定されたグループに対してアクションが失敗しました。ターゲットユーザーが Active Directory に存在し、サービスアカウントに指定されたグループへの書き込みアクセス権があることを確認します。
`No users were added to the provided groups in Active Directory.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、指定されたグループが Active Directory に存在することを確認します。
`Error executing action "Add User To Group". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、入力パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、Add User To Group アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

ホストの組織部門を変更する

[Change Host OU] アクションを使用して、ケース内のコンピュータを Active Directory の別の組織部門に移動します。たとえば、侵害されたマシンを制限付きポリシーのある隔離 OU に移動します。このアクションにより、ケースからターゲットコンピュータが自動的に識別され、指定された宛先 OU に移動されます。

このアクションは、Google SecOps Hostname エンティティに対して実行されます。

アクションへの入力

[Change Host OU] アクションには、次のパラメータが必要です。

パラメータ説明

パラメータ	説明
`OU Name`	必須。新しいホスト OU の名前。

OU Name

必須。

新しいホスト OU の名前。

アクションの出力

[Change Host OU] アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

ホストの組織部門を変更するアクションは、次の出力メッセージを返すことがあります。

出力メッセージ	メッセージの説明
`Changed OU for the following hosts: ENTITY_ID`	アクションが成功しました。
`Failed to change OU for the following hosts : ENTITY_ID`	指定されたホストでアクションが失敗しました。宛先 OU が存在すること、およびサービスアカウントに、ソース OU と宛先 OU の間でコンピュータオブジェクトを移動する権限があることを確認します。
`The following hosts were not found in Active Directory: ENTITY_ID`	指定されたホストでアクションが失敗しました。コンピュータアカウントが Active Directory に存在し、ケースの `Hostname` エンティティと一致することを確認します。
`The action didn't change OU on any hosts.`	アクションが失敗しました。ターゲットコンピュータと宛先 OU が Active Directory に存在すること、およびサービスアカウントにコンピュータアカウントを移動する権限があることを確認します。
`Error executing action "Change Host OU". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、`OU Name` パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、ホストの組織部門を変更するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

ユーザーの組織部門を変更する

[Change User OU] アクションを使用して、ケース内のユーザーを Active Directory の別の組織部門に移動します。たとえば、インシデントやオフボーディングワークフロー中にアカウントを制限付き OU に移動します。このアクションにより、ケースから対象ユーザーが自動的に識別され、指定された宛先 OU に移動されます。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

ユーザーの組織部門を変更するアクションには、次のパラメータが必要です。

パラメータ説明

パラメータ	説明
`OU Name`	必須。新規ユーザーの組織部門の名前。

OU Name

必須。

新規ユーザーの組織部門の名前。

アクションの出力

Change User OU アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

[ユーザーの組織部門を変更する] アクションでは、次の出力メッセージが返されることがあります。

出力メッセージ	メッセージの説明
`Changed OU for the following users: ENTITY_ID`	アクションが成功しました。
`Failed to change OU for the following users : ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。移行先の OU が存在すること、およびサービスアカウントに移行元と移行先の OU 間でユーザーオブジェクトを移動する権限があることを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`The action didn't change OU on any users.`	アクションが失敗しました。対象ユーザーと移動先の OU が Active Directory に存在すること、およびサービスアカウントにユーザーアカウントを移動する権限があることを確認します。
`Error executing action "Change User OU". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、`OU Name` パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、ユーザーの組織部門を変更するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

アカウントを無効にする

Active Directory でユーザーアカウントを無効にするには、[アカウントを無効にする] アクションを使用します。このアクションは、ケースに添付されたユーザーを自動的にターゲットにします。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

アカウントを無効にするアクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

アカウントを無効にするアクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Disabled account for the following users: ENTITY_ID`	アクションが成功しました。
`Failed to disable account for the following users: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、ターゲットユーザーアカウントの `userAccountControl` 属性に対する読み取り権限と書き込み権限があり、ユーザーが保護された管理者アカウントではないことを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`No users were disabled in Active Directory.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、およびサービスアカウントにターゲットアカウントを無効にする権限があることを確認します。
`Error executing action "Disable Account". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーまたはサービスアカウントの認証情報への接続を確認します。

スクリプトの結果

次の表に、[アカウントを無効にする] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

パソコンを無効にする

[Disable Computer] アクションを使用して、Active Directory でコンピュータアカウントを無効にし、不正使用されたマシンや不正なマシンがドメインに認証されないようにします。このアクションは、ケースに添付されたホスト名を自動的にターゲットにします。

このアクションは、Google SecOps Hostname エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Disable Computer アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

Disable Computer アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully disabled the following computers in Active Directory: ENTITY_ID` `The following computers were already disabled in Active Directory: ENTITY_ID`	アクションが成功しました。
`Action wasn't able to disable the following computers in Active Directory: ENTITY_ID`	指定されたパソコンでアクションが失敗しました。サービスアカウントに、ターゲットコンピュータオブジェクトの `userAccountControl` 属性に対する読み取り権限と書き込み権限があることを確認します。
`The following computers were not found in Active Directory: ENTITY_ID`	指定されたパソコンで操作が失敗しました。コンピュータアカウントが Active Directory に存在し、ケースの `Hostname` エンティティと一致することを確認します。
`No computers were disabled in Active Directory.`	アクションが失敗しました。ケースに有効な `Hostname` エンティティが含まれていること、およびサービスアカウントにターゲットコンピュータアカウントを無効にする権限があることを確認します。
`Error executing action "Disable Computer". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーまたはサービスアカウントの認証情報への接続を確認します。

スクリプトの結果

次の表に、Disable Computer アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

アカウントを有効にする

[アカウントを有効にする] アクションを使用して、Active Directory で無効になっているユーザーアカウントを再度有効にします。このアクションは、ケースに添付されているユーザーを自動的にターゲットにします。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

アカウントを有効にするアクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

アカウントを有効にするアクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully enabled the following users in Active Directory: ENTITY_ID` `The following users were already enabled in Active Directory: ENTITY_ID`	アクションが成功しました。
`Action wasn't able to enable the following users in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、ターゲットユーザーアカウントの `userAccountControl` 属性に対する読み取り権限と書き込み権限があることを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`No users were enabled in Active Directory.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、およびサービスアカウントにターゲットアカウントを有効にする権限があることを確認します。
`Error executing action "Enable Account". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーまたはサービスアカウントの認証情報への接続を確認します。

スクリプトの結果

次の表に、アカウントを有効にするアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

パソコンを有効にする

[Enable Computer] アクションを使用して、Active Directory で無効になっているコンピュータアカウントを再度有効にし、マシンがドメインに対して再度認証できるようにします。このアクションは、ケースに添付されたホスト名を自動的にターゲットにします。

このアクションは、Google SecOps Hostname エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Enable Computer アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

Enable Computer アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully enabled the following computers in Active Directory: ENTITY_ID` `The following computers were already enabled in Active Directory: ENTITY_ID`	アクションが成功しました。
`Action wasn't able to enable the following computers in Active Directory: ENTITY_ID`	指定されたパソコンでアクションが失敗しました。サービスアカウントに、ターゲットコンピュータオブジェクトの `userAccountControl` 属性に対する読み取り権限と書き込み権限があることを確認します。
`The following computers were not found in Active Directory: ENTITY_ID`	指定されたパソコンで操作が失敗しました。コンピュータアカウントが Active Directory に存在し、ケースの `Hostname` エンティティと一致することを確認します。
`No computers were enabled in Active Directory.`	アクションが失敗しました。ケースに有効な `Hostname` エンティティが含まれていること、およびサービスアカウントにターゲットコンピュータアカウントを有効にする権限があることを確認します。
`Error executing action "Enable Computer". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーまたはサービスアカウントの認証情報への接続を確認します。

スクリプトの結果

次の表に、Enable Computer アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

エンティティの拡充

[エンティティを拡充する] アクションを使用して、ケース内のユーザーとコンピュータの Active Directory プロファイルの詳細、アカウントステータス、グループメンバーシップを取得します。利用可能なすべてのディレクトリ情報を使用してエンティティを拡充することも、結果とケースウォールテーブルを特定の属性に制限することもできます。

この操作は非同期です。必要に応じて、Google SecOps IDE でアクションのスクリプトタイムアウト値を調整します。

エンティティを拡充するアクションは、次の Google SecOps エンティティに対して実行されます。

User
Hostname

アクションへの入力

[Enrich Entities] アクションには、次のパラメータが必要です。

パラメータ	説明
`Mark Entities as Internal`	省略可。選択すると、アクションは正常に拡充されたエンティティを内部エンティティとして自動的にマークします。デフォルトで有効になっています。
`Create Case Wall Table`	省略可。選択すると、エンリッチされた各エンティティの取得された Active Directory 属性を含むケースウォールテーブルが生成されます。デフォルトで有効になっています。
`Specific Attribute Names To Enrich With`	省略可。エンティティを拡充する属性名のカンマ区切りのリスト。値を指定しない場合、アクションは利用可能なすべての属性でエンティティを拡充します。属性に複数の値が含まれている場合、アクションは使用可能なすべての値で属性を拡充します。このパラメータでは大文字と小文字が区別されます。
`Should Case Wall Table be filtered by the specified Attributes?`	省略可。選択すると、`Specific Attribute Names To Enrich With` で指定された属性のみがケースウォールテーブルに入力されます。
`Should JSON result be filtered by the specified Attributes?`	省略可。選択すると、JSON の結果には `Specific Attribute Names To Enrich With` で指定された属性のみが返されます。

アクションの出力

[Enrich Entities] アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用可能
エンティティ拡充テーブル	利用可能
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

ケースウォールテーブル

エンティティを拡充アクションでは、Create Case Wall Table が選択されている場合に、ケースウォールに次の表が表示されます。

テーブル名: Report for: <var class="readonly">ENTITY_ID</var>
列: エンティティに対して取得された Active Directory 属性の名前と値（Should Case Wall Table be filtered by the specified Attributes? が選択されている場合は Specific Attribute Names To Enrich With パラメータでフィルタリングされます）。

エンティティ拡充

エンティティを拡充アクションは、次のエンティティ拡充をサポートしています。

拡充フィールド名	ロジック
`AD_primaryGroupID`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_logonCount`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_cn`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_countryCode`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_objectClass`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_userPrincipalName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_adminCount`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_lastLogonTimestamp`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_manager`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_instanceType`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_distinguishedName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_dSCorePropagationData`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_msDS-SupportedEncryptionTypes`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_objectSid`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_whenCreated`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_uSNCreated`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_lockoutTime`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_badPasswordTime`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_pwdLastSet`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_sAMAccountName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_objectCategory`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_lastLogon`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_objectGUID`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_whenChanged`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_badPwdCount`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_accountExpires`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_displayName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_name`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_memberOf`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_codePage`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_userAccountControl`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_sAMAccountType`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_uSNChanged`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_sn`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_givenName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_lastLogoff`	このアクションは、JSON の結果に値が存在する場合にその値を返します。

JSON の結果

次の例は、エンティティを拡充するアクションを使用した場合に受信される JSON 結果の出力を示しています。

[
    {
        "EntityResult": {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["user@example.com"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example user"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "user@example.com"
    }
]

出力メッセージ

エンティティを拡充するアクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Active Directory Permalink: SERVER` `Enriched the following Users ENTITY_ID` `Enriched the following Hosts ENTITY_ID` `All entities were enriched.`	アクションが成功しました。
`The following entities were not found in Active Directory: ENTITY_ID`	指定されたエンティティに対してアクションが失敗しました。ユーザーアカウントまたはホストアカウントが Active Directory に存在し、ケースのエンティティ識別子と一致することを確認します。
`Failed to enrich the following Users ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、ターゲットユーザーアカウントの属性（`userAccountControl` を含む）を読み取る権限があることを確認し、Active Directory にカスタム属性が存在することを確認します。
`Failed to enrich the following Hosts ENTITY_ID`	指定されたホストでアクションが失敗しました。サービスアカウントに、ターゲットコンピュータアカウントの属性（`userAccountControl` を含む）を読み取る権限があることを確認し、Active Directory にカスタム属性が存在することを確認します。
`No entities were enriched.`	アクションが失敗しました。ケースに、Active Directory に存在する有効な `User` エンティティまたは `Hostname` エンティティが含まれていることを確認します。
`Error executing action "Enrich Entities". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、カスタムクエリフィールド、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、エンティティを拡充するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

パスワードの更新を強制する

[パスワードの更新を強制する] アクションを使用すると、ユーザーが次回ログインするときにパスワードの変更を要求できます。このアクションは、ケースに添付されているユーザーを自動的にターゲットにします。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

パスワードの更新を強制するアクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

[パスワードの更新を強制する] 操作では、次の出力メッセージが返されることがあります。

出力メッセージ	メッセージの説明
`Forced password update on next logon for the following users: ENTITY_ID`	アクションが成功しました。
`Failed to force password update on next logon for the following users: ENTITY_ID`	指定したユーザーに対してアクションを実行できませんでした。サービスアカウントに、ターゲットユーザーアカウントの `pwdLastSet` 属性に対する読み取り権限と書き込み権限があることを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`Password update wasn't forced on any users.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、およびサービスアカウントにパスワードの有効期限設定を更新する権限があることを確認してください。
`Error executing action "Force Password Update". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーまたはサービスアカウントの認証情報への接続を確認します。

スクリプトの結果

次の表に、[パスワードの更新を強制する] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

グループメンバーを取得する

[Get Group Members] アクションを使用して、特定の Active Directory グループに属するユーザー、コンピュータ、またはその両方を一覧表示します。必要に応じて、特定の組織部門または親グループに検索を絞り込み、ネストされたサブグループのメンバーを含めることができます。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

[Get Group Members] アクションには、次のパラメータが必要です。

パラメータ	説明
`Group Name`	必須。リストされたメンバーを含むグループの名前。
`Members Type`	必須。グループから取得するメンバータイプ。値は次のいずれかになります。 `Only Users` `Only Hosts` `Both` デフォルト値は `Only Users` です。
`Where To Search`	必須。検索範囲を絞り込む特定の `Organizational Unit` または `Group`。値は次のいずれかになります。 `Select Option` `Organizational Unit` `Group` デフォルト値は `Select Option` です。
`Filter Object Value`	省略可。アクションがターゲットグループを検索する `Organizational Unit` または `Group` の名前。`Where To Search` が `Organizational Unit` または `Group` に設定されている場合、このパラメータは必須です。
`Perform Nested Search`	省略可。選択すると、ターゲットグループに属するネストされたサブグループからメンバーが取得されます。
`Limit`	省略可。 Active Directory から取得するリスティングの最大数。デフォルト値は `100` です。

アクションの出力

Get Group Members アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用可能
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

ケースウォールテーブル

[Get Group Members] アクションでは、[Case Wall] に次の表が表示されます。

テーブル名: Members of Active Directory group: <var class="readonly">GROUP_NAME</var>
列:
- Distinguished Name
- SAM Account Name
- User Principal Name
- Type

JSON の結果

次の例は、Get Group Members アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
  {
    "dn": "CN=Example User1,OU=User Accounts,DC=example,DC=local",
    "sAMAccountName": "ExampleUser1",
    "userPrincipalName": "user1@example.local",
    "type": "CN=Person,CN=Schema,CN=Configuration,DC=example,DC=local"
  },
  {
    "dn": "CN=Example User2,CN=Users,DC=example,DC=local",
    "sAMAccountName": "ExampleUser2",
    "userPrincipalName": "user2@example.local",
    "type": "CN=Person,CN=Schema,CN=Configuration,DC=example,DC=local"
  }
]

出力メッセージ

Get Group Members アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully retrieved members of the group "GROUP_NAME" from Active Directory.` `Group "GROUP_NAME" doesn't contain any members matching search criteria in Active Directory.`	アクションが成功しました。
`Error executing action "Get Group Members". Reason: Filter Object Value should be provided`	アクションが失敗しました。 `Where To Search` が `Organizational Unit` または `Group` に設定されている場合は、`Filter Object Value` パラメータに有効な OU またはグループ名を指定します。
`Error executing action "Get Group Members". Reason: Given value for Limit should be a positive number.`	アクションが失敗しました。 `Limit` パラメータに `0` より大きい整数を入力します。
`Error executing action "Get Group Members". Reason: Given group doesn't exist in Active Directory.`	アクションが失敗しました。 `Group Name` パラメータのグループ名を確認し、構成された検索スコープ内にグループが存在することを確認します。
`Error executing action "Get Group Members". Reason: Specified Organizational Unit doesn't exist in Active Directory.`	アクションが失敗しました。 `Filter Object Value` で指定された組織部門が Active Directory に存在することを確認します。
`Error executing action "Get Group Members". Reason: Specified Group in "Filter Object Value" doesn't exist in Active Directory.`	アクションが失敗しました。 `Filter Object Value` で指定された親グループが Active Directory に存在することを確認します。
`Error executing action "Get Group Members". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、入力パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、Get Group Members アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

マネージャーの連絡先情報を取得する

[Get Manager Contact Details] アクションを使用して、Active Directory でユーザーのマネージャーを検索し、マネージャーの連絡先情報を取得します。このアクションは、ケースに添付されているユーザーを自動的にターゲットにします。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

[Get Manager Contact Details] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用可能
エンティティ拡充テーブル	利用可能
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

ケースウォールテーブル

[Get Manager Contact Details] アクションにより、[Case Wall] に次の表が表示されます。

テーブル名: Manager Contact: <var class="readonly">ENTITY_ID</var>
列:
- Manager Name
- Manager Phone

エンティティ拡充

[Get Manager Contact Details] アクションは、次のエンティティの拡充をサポートしています。

拡充フィールド名	ロジック
`AD_Manager_Name`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_Manager_phone`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_primaryGroupID`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_logonCount`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_cn`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_countryCode`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_objectClass`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_userPrincipalName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_adminCount`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_lastLogonTimestamp`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_manager`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_instanceType`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_distinguishedName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_dSCorePropagationData`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_msDS-SupportedEncryptionTypes`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_objectSid`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_whenCreated`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_uSNCreated`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_lockoutTime`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_badPasswordTime`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_pwdLastSet`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_sAMAccountName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_objectCategory`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_lastLogon`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_objectGUID`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_whenChanged`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_badPwdCount`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_accountExpires`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_displayName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_name`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_memberOf`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_codePage`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_userAccountControl`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_sAMAccountType`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_uSNChanged`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_sn`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_givenName`	このアクションは、JSON の結果に値が存在する場合にその値を返します。
`AD_lastLogoff`	このアクションは、JSON の結果に値が存在する場合にその値を返します。

JSON の結果

次の例は、Get Manager Contact Details アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
   {
        "EntityResult":
        {
            "primaryGroupID": [513],
            "logonCount": [6505],
            "cn": ["user name"],
            "countryCode": [0],
            "objectClass": ["top", "person", "organizationalPerson"],
            "userPrincipalName": ["user@example.com"],
            "adminCount": [1],
            "lastLogonTimestamp": ["2019-01-09 08:42:03.540783+00:00"],
            "manager": ["CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"],
            "instanceType": [4],
            "distinguishedName": ["CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "dSCorePropagationData": ["2019-01-14 14:39:16+00:00"],
            "msDS-SupportedEncryptionTypes": [0],
            "objectSid": ["ID"],
            "whenCreated": ["2011-11-07 08:00:44+00:00"],
            "uSNCreated": [7288202],
            "lockoutTime": ["1601-01-01 00:00:00+00:00"],
            "badPasswordTime": ["date"],
            "pwdLastSet": ["date"],
            "sAMAccountName": ["example"],
            "objectCategory": ["CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"],
            "lastLogon": ["2019-01-14 17:13:54.463070+00:00"],
            "objectGUID": ["GUID"],
            "whenChanged": ["2019-01-14 16:49:01+00:00"],
            "badPwdCount": [1],
            "accountExpires": ["9999-12-31 23:59:59.999999"],
            "displayName": ["example"],
            "name": ["user"],
            "memberOf": ["CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL", "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL", "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"],
            "codePage": [0],
            "userAccountControl": [111],
            "sAMAccountType": [805306368],
            "uSNChanged": [15301168],
            "sn": ["example"],
            "givenName": ["user"],
            "lastLogoff": ["1601-01-01 00:00:00+00:00"]
        },
        "Entity": "user@example.com"
    }
]

出力メッセージ

Get Manager Contact Details アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Retrieved manager details for the following users: ENTITY_ID`	アクションが成功しました。
`The following users don't have managers specified in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。 Active Directory のターゲットユーザーアカウントに `manager` 属性が入力されていることを確認します。
`Failed to retrieve manager details for the following users: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、Active Directory の `manager` 属性とマネージャーのユーザープロファイルを読み取る権限があることを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションを実行できませんでした。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`No manager details were retrieved for the provided users.`	アクションが失敗しました。ケースに、Active Directory でマネージャーが割り当てられている有効な `User` エンティティが含まれていることを確認します。
`Error executing action "Get Manager Contact Details". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーまたはサービスアカウントの認証情報への接続を確認します。

スクリプトの結果

次の表に、Get Manager Contact Details アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

ユーザーがグループに属しているかどうか

Is User In Group アクションを使用して、特定のユーザーが特定の Active Directory グループに属しているかどうかを確認します。デフォルトでは、このアクションはケース内の User エンティティをチェックします。また、User Name パラメータにユーザー名のカンマ区切りのリストを入力して、特定のアカウントを直接チェックすることもできます。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

Is User In Group アクションには、次のパラメータが必要です。

パラメータ	説明
`Group Name`	必須。確認するグループ名（`administrators` など）。
`User Name`	省略可。確認するユーザー名のカンマ区切りのリスト。値を指定しない場合、アクションはケース内の `User` エンティティをチェックします。
`Where To Search`	必須。検索範囲を絞り込む特定の `Organizational Unit` または `Group`。値は次のいずれかになります。 `Select Option` `Organizational Unit` `Group` デフォルト値は `Select Option` です。
`Filter Object Value`	省略可。アクションがターゲットグループを検索する `Organizational Unit` または `Group` の名前。`Where To Search` が `Organizational Unit` または `Group` に設定されている場合、このパラメータは必須です。
`Search In Subgroups`	省略可。選択すると、ネストされたサブグループ内で再帰的に検索されます。

アクションの出力

Is User In Group アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、Is User In Group アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
    {
        "EntityResult": true,
        "Entity": "USER1@EXAMPLE.COM"
    }, {
        "EntityResult": false,
        "Entity": "USER2@EXAMPLE.COM"
    }, {
        "EntityResult": true,
        "Entity": "USER3@EXAMPLE.COM"
    }
]

出力メッセージ

Is User In Group アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`USER_NAME IN GROUP_NAME;` `USER_NAME NOT in GROUP_NAME;`	アクションが成功しました。
`The following users were not found in Active Directory: USER_NAME`	指定したユーザーに対してアクションが失敗しました。ユーザー名または `User` エンティティが Active Directory に存在することを確認します。
`None of the provided users were found in Active Directory.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、または `User Name` パラメータで指定されたユーザー名が Active Directory に存在することを確認します。
`Error executing action "Is User In Group". Reason: Filter Object Value should be provided`	アクションが失敗しました。 `Where To Search` が `Organizational Unit` または `Group` に設定されている場合は、`Filter Object Value` パラメータに有効な OU またはグループ名を指定します。
`Error executing action "Is User In Group". Reason: Given group doesn't exist in Active Directory.`	アクションが失敗しました。 `Group Name` パラメータのグループ名を確認し、構成された検索スコープ内にグループが存在することを確認します。
`Error executing action "Is User In Group". Reason: Specified Organizational Unit doesn't exist in Active Directory.`	アクションが失敗しました。 `Filter Object Value` で指定された組織部門が Active Directory に存在することを確認します。
`Error executing action "Is User In Group". Reason: Specified Group in "Filter Object Value" doesn't exist in Active Directory.`	アクションが失敗しました。 `Filter Object Value` で指定された親グループが Active Directory に存在することを確認します。
`Error executing action "Is User In Group". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、入力パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、Is User In Group アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

ユーザーグループを一覧表示する

[List User Groups] アクションを使用して、ユーザーが属するすべての Active Directory グループのリストを取得します。このアクションは、ケースに添付されているユーザーを自動的にターゲットにします。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

ユーザーグループを一覧表示するアクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

JSON の結果

次の例は、List User Groups アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
    {
        "EntityResult": ["Domain Users"],
        "Entity": "user@example.com"
    }
]

出力メッセージ

ユーザーグループを一覧表示するアクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Groups were listed for the following users: ENTITY_ID`	アクションが成功しました。
`No groups were found for the following users: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。 Active Directory の `memberOf` 属性で、ユーザーアカウントが少なくとも 1 つの明示的なグループに割り当てられていることを確認します。
`Failed to list groups for the following users: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、ターゲットユーザーアカウントの `memberOf` 属性を読み取る権限があることを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`No groups were listed.`	アクションが失敗しました。ケースに、Active Directory のグループに属する有効な `User` エンティティが含まれていることを確認します。
`Error executing action "List User Groups". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーまたはサービスアカウントの認証情報への接続を確認します。

スクリプトの結果

次の表に、List User Groups アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

Ping

Ping アクションを使用して、構成された統合設定を使用して Google SecOps が Active Directory サーバーに接続して認証できることを確認します。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

なし

アクションの出力

Ping アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージメッセージの説明

Connected successfully. アクションが成功しました。

Error executing action "Ping". Reason:
      ERROR_REASON

アクションが失敗しました。

統合構成で、サーバーのアドレス、ポート、SSL 設定、サービスアカウントの認証情報を確認します。

スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

ロックされたアカウントを解放する

[Release Locked Account] アクションを使用して、ログイン試行の失敗回数が上限に達したためにロックアウトされた Active Directory のユーザーアカウントのロックを解除します。このアクションは、ケースに添付されているユーザーを自動的にターゲットにします。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

なし

アクションの出力

Release Locked Account アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

Release Locked Account アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Unlocked account for the following users: ENTITY_ID`	アクションが成功しました。
`Failed to unlock account for the following users: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、ターゲットユーザーアカウントの `lockoutTime` 属性に対する読み取り権限と書き込み権限があることを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`No accounts were unlocked.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、およびサービスアカウントにターゲットアカウントのロックを解除する権限があることを確認します。
`Error executing action "Release Locked Account". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーまたはサービスアカウントの認証情報への接続を確認します。

スクリプトの結果

次の表に、ロックされたアカウントを解放するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

グループからユーザーを削除する

[Remove User From Group] アクションを使用して、インシデント中に昇格されたグループアクセスを取り消すなど、1 つ以上の Active Directory グループからケース内のユーザーを削除します。このアクションにより、ケースからターゲットユーザーが自動的に識別され、指定されたグループから削除されます。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

Remove User From Group アクションには、次のパラメータが必要です。

パラメータ説明

Group Name

必須。

ユーザーを削除するグループのカンマ区切りのリスト。

アクションの出力

Remove User From Group アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

Remove User From Group アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully removed the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID` `The following users were not a part of the group "GROUP_NAME" in Active Directory: ENTITY_ID`	アクションが成功しました。
`Action wasn't able to remove the following users from the group "GROUP_NAME" in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、ターゲットグループの `member` 属性を変更する権限があることを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`The following groups were not found in Active Directory: GROUP_NAME`	指定されたグループに対してアクションが失敗しました。 `Group Name` パラメータのグループ名のスペルを確認し、構成されたドメインにグループが存在することを確認します。
`No users were removed from the group "GROUP_NAME" in Active Directory.`	指定されたグループに対してアクションが失敗しました。ターゲットユーザーが Active Directory に存在し、サービスアカウントに指定されたグループへの書き込みアクセス権があることを確認します。
`No users were removed from the provided groups in Active Directory.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、指定されたグループが Active Directory に存在することを確認します。
`Error executing action "Remove User From Group". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、入力パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、Remove User From Group アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

Active Directory を検索する

[Search Active Directory] アクションを使用すると、組み込みの検索条件またはカスタムクエリを使用して、ディレクトリでユーザー、コンピュータ、グループ、組織部門を検索できます。特定の組織部門で検索をフィルタしたり、検索結果に含めるディレクトリフィールドを選択したりすることもできます。

このアクションは Google SecOps エンティティに対しては実行されません。

アクションへの入力

Search Active Directory アクションには、次のパラメータが必要です。

パラメータ	説明
`Search Condition`	必須。検索に適用する条件。値は次のいずれかになります。 `Contains` `Exact Match` `Starts With` `Custom LDAP Query` デフォルト値は `Contains` です。
`Include Domain`	省略可。選択すると、`Contains`、`Exact Match`、`Starts With` の条件で検索するときに、アクションにドメインコンポーネントが含まれます。
`Search Object`	必須。 `Custom LDAP Query` を使用しない場合に検索するオブジェクトタイプ。値は次のいずれかになります。 `Select Option` `User` `Host` `Group` `Organizational Unit` デフォルト値は `Select Option` です。
`Filter Object Value`	必須。フィルタするオブジェクト値。`Search Condition` が `Custom LDAP Query` に設定されている場合は、完全な LDAP クエリ文字列。
`Custom Fields`	省略可。検索結果で返される LDAP 属性のカンマ区切りのリスト。
`Specific OUs to Search`	省略可。検索範囲を制限する組織部門名のカンマ区切りのリスト。
`Include Default Search Fields`	省略可。選択すると、指定された `Custom Fields` に加えて、デフォルトの Active Directory フィールドが返された結果に含まれます。デフォルトで有効になっています。
`Max Records To Return`	省略可。 Active Directory から取得するレコードの最大数。デフォルト値は `100` です。
`Sort Field`	省略可。返されたエントリの並べ替えに使用される LDAP 属性名。

アクションの出力

[Search Active Directory] アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用可能
拡充テーブル	利用不可
JSON の結果	利用可能
出力メッセージ	利用可能
スクリプトの結果	利用可能

ケースウォールテーブル

[Search Active Directory] アクションでは、[Case Wall] に次の表が表示されます。

テーブル名: Active Directory Search Results
列: 一致するディレクトリエントリ（Include Default Search Fields と Custom Fields に基づく）に対して返される Active Directory 属性。

JSON の結果

次の例は、Search Active Directory アクションを使用した場合に受信される JSON 結果の出力を示しています。

[
      {
        "primaryGroupID": [
          513
        ],
        "logonCount": [
          6505
        ],
        "cn": [
          "user name"
        ],
        "countryCode": [
          0
        ],
        "objectClass": [
          "top",
          "person",
          "organizationalPerson"
        ],
        "userPrincipalName": [
          "user@example.com"
        ],
        "adminCount": [
          1
        ],
        "lastLogonTimestamp": [
          "2019-01-09 08:42:03.540783+00:00"
        ],
        "manager": [
          "CN=user name,OU=R&D,OU=TLV,OU=host name,DC=domain,DC=LOCAL"
        ],
        "instanceType": [
          4
        ],
        "distinguishedName": [
          "CN=user name,OU=R&D,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "dSCorePropagationData": [
          "2019-01-14 14:39:16+00:00"
        ],
        "msDS-SupportedEncryptionTypes": [
          0
        ],
        "objectSid": [
          "ID"
        ],
        "whenCreated": [
          "2011-11-07 08:00:44+00:00"
        ],
        "uSNCreated": [
          7288202
        ],
        "lockoutTime": [
          "1601-01-01 00:00:00+00:00"
        ],
        "badPasswordTime": [
          "date"
        ],
        "pwdLastSet": [
          "date"
        ],
        "sAMAccountName": [
          "example"
        ],
        "objectCategory": [
          "CN=Person,CN=Schema,CN=Configuration,DC=host,DC=LOCAL"
        ],
        "lastLogon": [
          "2019-01-14 17:13:54.463070+00:00"
        ],
        "objectGUID": [
          "GUID"
        ],
        "whenChanged": [
          "2019-01-14 16:49:01+00:00"
        ],
        "badPwdCount": [
          1
        ],
        "accountExpires": [
          "9999-12-31 23:59:59.999999"
        ],
        "displayName": [
          "example"
        ],
        "name": [
          "user"
        ],
        "memberOf": [
          "CN=\\\\u05e7\\\\u05d1\\\\u05d5\\\\u05e6\\\\u05d4 \\\\u05d1\\\\u05e2\\\\u05d1\\\\u05e8\\\\u05d9\\\\u05ea,OU=TEST,OU=QA,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL",
          "CN=Organization Management,OU=Microsoft Exchange Security Groups,DC=domain,DC=LOCAL",
          "CN=Local Admin,OU=Groups,OU=IT,OU=TLV,OU=host,DC=domain,DC=LOCAL"
        ],
        "codePage": [
          0
        ],
        "userAccountControl": [
          111
        ],
        "sAMAccountType": [
          805306368
        ],
        "uSNChanged": [
          15301168
        ],
        "sn": [
          "example"
        ],
        "givenName": [
          "user"
        ],
        "lastLogoff": [
          "1601-01-01 00:00:00+00:00"
        ]
      }
    ]

出力メッセージ

Active Directory を検索アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully performed the query "QUERY_STRING" in Active Directory.` `No results to show following the query: "QUERY_STRING".`	アクションが成功しました。
`Error executing action "Search Active Directory". Reason: you need to select "Search Object" or choose "Custom LDAP Query" as a "Search Condition"`	アクションが失敗しました。 `Search Object` パラメータで有効なオブジェクトタイプを選択するか、`Search Condition` を `Custom LDAP Query` に変更してください。
`Error executing action "Search Active Directory". Reason: Value for the parameter "Max Records To Return" should be a positive number.`	アクションが失敗しました。 `Max Records To Return` パラメータに `0` より大きい整数を入力します。
`Error executing action "Search Active Directory". Reason: The following OUs were not found in Active Directory: OU_NAMES`	アクションが失敗しました。 `Specific OUs to Search` パラメータの組織部門のスペルを確認し、Active Directory に存在することを確認します。
`Error executing action "Search Active Directory". Reason: Knowingly invalid query was executed: "QUERY_STRING". Please verify the inputs and try again.`	アクションが失敗しました。 `Filter Object Value` パラメータのカスタムクエリまたはフィルタ値の構文を確認し、指定された `Custom Fields` または `Sort Field` の名前が有効な LDAP 属性であることを確認します。
`Error executing action "Search Active Directory". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、入力パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、[Search Active Directory] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

ユーザーパスワードを設定する

[Set User Password] アクションを使用して、ケース内のユーザーのパスワードを新しいパスワードにリセットします。統合が SSL（LDAPS）経由で接続されていること、新しいパスワードがドメインのパスワードの複雑さに関するルールを満たしていることを確認します。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

Set User Password アクションには、次のパラメータが必要です。

パラメータ説明

New Password

必須。

新しいパスワードの値。

アクションの出力

ユーザーパスワードの設定アクションでは、次の出力が提供されます。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

ユーザーパスワードの設定アクションは、次の出力メッセージを返すことがあります。

出力メッセージ	メッセージの説明
`Reset password for the following users: ENTITY_ID`	アクションが成功しました。
`Failed to reset password for the following users: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。新しいパスワードがドメインのパスワードの複雑さと履歴の要件を満たしていること、および対象ユーザーが保護された管理アカウントでないことを確認します。
`The following users were not found in Active Directory: ENTITY_ID`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`No passwords were changed.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、およびサービスアカウントにターゲットアカウントのパスワードをリセットする権限があることを確認します。
`Failed to execute "Set User Password" action! Watch Over Extended Rights permission or SSL connection.`	アクションが失敗しました。統合構成（ポート `636` の LDAPS）で `Use SSL` が選択されていること、およびサービスアカウントにパスワードのリセットの拡張権限があることを確認します。
`Error executing action "Set User Password". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、入力パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、ユーザーパスワードを設定アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

AD ホストの属性を更新する

[Update attributes of an AD Host] アクションを使用して、ケース内のコンピュータアカウントの特定のディレクトリプロパティを更新します。たとえば、コンピュータの Description フィールドをインシデントメモで更新します。このアクションにより、ケースからターゲットコンピュータが自動的に識別され、新しい値が適用されます。

このアクションは、Google SecOps Hostname エンティティに対して実行されます。

アクションへの入力

AD ホストの属性を更新するアクションには、次のパラメータが必要です。

パラメータ説明

Attribute Name

必須。

更新する属性の名前（Description など）。

Attribute Value

必須。

属性の新しい値。

アクションの出力

[Update attributes of an AD Host] アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

AD ホストの属性を更新するアクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully updated attribute "ATTRIBUTE_NAME" on the following hosts in Active Directory: ENTITY_ID_LIST`	アクションが成功しました。
`Action wasn't able to update attribute "ATTRIBUTE_NAME" on the following hosts in Active Directory: ENTITY_ID_LIST`	指定されたホストでアクションが失敗しました。サービスアカウントに、ターゲットコンピュータアカウントの指定された属性に対する書き込み権限があること、および値の形式がその属性に対して有効であることを確認します。
`The following hosts were not found in Active Directory: ENTITY_ID_LIST`	指定されたホストでアクションが失敗しました。コンピュータアカウントが Active Directory に存在し、ケースの `Hostname` エンティティと一致することを確認します。
`No hosts were updated in Active Directory.`	アクションが失敗しました。ケースに有効な `Hostname` エンティティが含まれていること、およびサービスアカウントに指定された属性を更新する権限があることを確認します。
`Error executing action "Update attributes of an AD Host". Reason: Provided attribute doesn't exist in Active Directory.`	アクションが失敗しました。 `Attribute Name` パラメータの属性のスペルを確認し、有効な Active Directory コンピュータ属性であることを確認します。
`Error executing action "Update attributes of an AD Host". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、入力パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、AD ホストの属性を更新するアクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

AD ユーザーの属性を更新する

[Update attributes of an AD User] アクションを使用して、ケース内のユーザーアカウントの特定のディレクトリプロパティを更新します。たとえば、ユーザーの Description、title、department フィールドを更新します。このアクションにより、ケースからターゲットユーザーが自動的に識別され、新しい値が適用されます。

このアクションは、Google SecOps User エンティティに対して実行されます。

アクションへの入力

AD ユーザーの属性を更新するアクションには、次のパラメータが必要です。

パラメータ説明

Attribute Name

必須。

更新する属性の名前（Description など）。

Attribute Value

必須。

属性の新しい値。

アクションの出力

Update attributes of an AD User アクションは、次の出力を提供します。

アクションの出力タイプ	対象
ケースウォールのアタッチメント	利用不可
ケースウォールのリンク	利用不可
ケースウォールテーブル	利用不可
拡充テーブル	利用不可
JSON の結果	利用不可
出力メッセージ	利用可能
スクリプトの結果	利用可能

出力メッセージ

[Update attributes of an AD User] アクションは、次の出力メッセージを返すことができます。

出力メッセージ	メッセージの説明
`Successfully updated attribute "ATTRIBUTE_NAME" for the following users in Active Directory: ENTITY_ID_LIST`	アクションが成功しました。
`Action wasn't able to update attribute "ATTRIBUTE_NAME" for the following users in Active Directory: ENTITY_ID_LIST`	指定したユーザーに対してアクションが失敗しました。サービスアカウントに、ターゲットユーザーアカウントの指定された属性に対する書き込み権限があること、および値の形式がその属性に対して有効であることを確認します。
`The following users were not found in Active Directory: ENTITY_ID_LIST`	指定したユーザーに対してアクションが失敗しました。ユーザーアカウントが Active Directory に存在し、ケースの `User` エンティティと一致することを確認します。
`No users were updated in Active Directory.`	アクションが失敗しました。ケースに有効な `User` エンティティが含まれていること、およびサービスアカウントに指定された属性を更新する権限があることを確認します。
`Error executing action "Update attributes of an AD User". Reason: Provided attribute doesn't exist in Active Directory.`	アクションが失敗しました。 `Attribute Name` パラメータの属性のスペルを確認し、有効な Active Directory ユーザー属性であることを確認します。
`Error executing action "Update attributes of an AD User". Reason: ERROR_REASON`	アクションが失敗しました。 Active Directory サーバーへの接続、入力パラメータ、またはサービスアカウントの認証情報を確認してください。

スクリプトの結果

次の表に、[AD ユーザーの属性を更新する] アクションを使用した場合のスクリプト結果の出力値を示します。

スクリプトの結果名	値
`is_success`	`true` または `false`

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。

Active Directory を Google SecOps と統合する

ユースケース

始める前に

ネットワークと DNS の要件

/etc/hosts ファイルを構成する

CA 証明書を構成する

認証とサービス アカウントの要件

アクションの権限を構成する（最小権限）

Active Directory での権限の委任

ADUC を使用して制御を委任する

PowerShell と dsacls を使用して制御を委任する

統合のパラメータ

操作

ユーザーをグループに追加する

アクションへの入力

アクションの出力

出力メッセージ

スクリプトの結果

ホストの組織部門を変更する

アクションへの入力

アクションの出力

出力メッセージ

スクリプトの結果

ユーザーの組織部門を変更する

アクションへの入力

アクションの出力

出力メッセージ

スクリプトの結果

アカウントを無効にする

アクションへの入力

アクションの出力

出力メッセージ

スクリプトの結果

パソコンを無効にする

アクションへの入力

アクションの出力

出力メッセージ

スクリプトの結果

アカウントを有効にする

アクションへの入力

アクションの出力

出力メッセージ

スクリプトの結果

パソコンを有効にする

アクションへの入力

アクションの出力

出力メッセージ

スクリプトの結果

エンティティの拡充

アクションへの入力

アクションの出力

ケースウォール テーブル

エンティティ拡充

JSON の結果

出力メッセージ

スクリプトの結果

パスワードの更新を強制する

アクションへの入力

アクションの出力

出力メッセージ

スクリプトの結果

グループ メンバーを取得する

アクションへの入力

アクションの出力

ケースウォール テーブル

JSON の結果

出力メッセージ

スクリプトの結果

マネージャーの連絡先情報を取得する

アクションへの入力

アクションの出力

ケースウォール テーブル

エンティティ拡充

JSON の結果

出力メッセージ

スクリプトの結果

ユーザーがグループに属しているかどうか

アクションへの入力

アクションの出力

JSON の結果

`/etc/hosts` ファイルを構成する

認証とサービスアカウントの要件

ケースウォールテーブル

グループメンバーを取得する

ケースウォールテーブル

ケースウォールテーブル

ユーザーグループを一覧表示する

ケースウォールテーブル

ユーザーパスワードを設定する