Cloud Identity in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Cloud Identity in Google Security Operations einbinden.

Anwendungsfälle

Die Cloud Identity-Integration verwendet Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • Zugriffssteuerungen verwalten: IAM-Konfigurationen direkt über ein Prüf-Playbook erstellen und aktualisieren.
  • Audit-Richtliniendefinitionen: Listet Informationen zu verfügbaren Richtlinien auf, um Zugriffsänderungen zu verfolgen.
  • Detektorlistenattribute verwalten: Entitäten und Indikatoren an bestimmte Detektor-URL-Listen für das Monitoring anhängen.

Hinweis

Bevor Sie die Cloud Identity-Integration in der Google SecOps-Plattform konfigurieren, müssen Sie Ihre Umgebung mit den folgenden Schritten konfigurieren:

  1. Erstellen Sie ein Dienstkonto.
  2. Domainweite Autorität an Ihr Dienstkonto delegieren
  3. Aktivieren Sie die erforderlichen APIs für Ihr Projekt.
  4. Wählen Sie eine der folgenden Authentifizierungsmethoden aus und konfigurieren Sie sie:
    • Option 1: JSON-Schlüssel: Diese Methode basiert auf einer statischen, langlebigen geheimen Schlüsseldatei. Verwenden Sie diese Methode nur, wenn Workload Identity in Ihrer Umgebung nicht verfügbar ist.
    • Option 2: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige, temporäre Zugriffstokens verwendet, die die Identitätsübernahme des Dienstkontos nutzen. Es müssen keine Secrets gespeichert werden.

Dienstkonto erstellen

So erstellen Sie ein Dienstkonto für die Integration:

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > Dienstkonten auf und wählen Sie Ihr Projekt aus.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf Dienstkonto erstellen.

  3. Geben Sie einen Namen und eine Beschreibung ein und klicken Sie auf Fertig, um das Konto zu erstellen.

Domainweite Berechtigungen an Ihr Dienstkonto delegieren

  1. Öffnen Sie in der Admin-Konsole Ihrer Domain das Hauptmenü > Sicherheit > Zugriffs- und Datenkontrolle > API-Steuerung.
  2. Wählen Sie im Bereich Domainweite Delegation die Option Domainweite Delegation verwalten aus.
  3. Klicken Sie auf Neu hinzufügen.
  4. Geben Sie im Feld Client-ID die Client-ID ein, die Sie im Abschnitt Dienstkonto erstellen erhalten haben.

  5. Geben Sie im Feld OAuth-Bereiche die folgende durch Kommas getrennte Liste der für Ihre Anwendung erforderlichen Bereiche ein:

    https://www.googleapis.com/auth/cloud-platform,
https://www.googleapis.com/auth/cloud-identity.policies,
https://www.googleapis.com/auth/admin.directory.orgunit

  6. Klicken Sie auf Autorisieren.

Das Dienstkonto ist jetzt berechtigt, mit den angegebenen Bereichen auf Daten in Ihrer Domain zuzugreifen.

Erforderliche APIs für Ihr Projekt aktivieren

  1. Rufen Sie in der Google Cloud Console APIs und Dienste auf.

    Rufen Sie "APIs & Dienste" auf.

  2. Klicken Sie auf APIs und Dienste aktivieren.

  3. Suchen Sie nach den folgenden APIs und aktivieren Sie sie für Ihr Projekt:

    • Admin SDK API (admin.googleapis.com)
    • Cloud Identity API (cloudidentity.googleapis.com)

JSON-Schlüssel konfigurieren

Sie können die Integration entweder mit einer statischen JSON-Schlüsseldatei oder mit der Workload Identity-Föderation authentifizieren. Verwenden Sie die Workload Identity-Methode, um die Sicherheit Ihrer Umgebung zu maximieren. Verwenden Sie die JSON-Schlüsselmethode nur, wenn Workload Identity in Ihrer Infrastruktur nicht unterstützt wird, da statische Schlüssel manuell rotiert werden müssen und das Risiko von offengelegten Anmeldedaten erhöhen.

Führen Sie die folgenden Schritte aus, um die JSON-Schlüsseldatei zu generieren, die für die Authentifizierung der Integration erforderlich ist:

  1. Wechseln Sie in der Google Cloud Console zu IAM und Verwaltung > Dienstkonten und wählen Sie das von Ihnen erstellte Dienstkonto aus.

    Zur Seite „Dienstkonten“

  2. Rufen Sie den Tab Schlüssel auf.

  3. Klicken Sie auf Schlüssel hinzufügen.

  4. Wählen Sie Neuen Schlüssel erstellen aus.

  5. Wählen Sie als Schlüsseltyp JSON aus und klicken Sie auf Erstellen. Die JSON-Datei wird auf Ihren Computer heruntergeladen.

  6. Kopieren Sie den gesamten Inhalt dieser Datei und fügen Sie ihn während der Integrationskonfiguration in User's Service Account JSON ein.

Cloud Identity-Berechtigungen konfigurieren

Gehen Sie so vor, um die Administratorberechtigungen zu definieren, die für die Integration zum Verwalten von Organisationsressourcen erforderlich sind:

  1. Gehen Sie in der Admin-Konsole zu Konto > Administratorrollen.
  2. Klicken Sie auf Neue Rolle erstellen.
  3. Geben Sie einen Namen für die neue benutzerdefinierte Rolle ein und klicken Sie auf Weiter.
  4. Gehen Sie auf der Seite Berechtigungen auswählen zum Abschnitt Admin API-Berechtigungen.
  5. Wählen Sie unter Admin API-Berechtigungen die folgenden Berechtigungen aus:
    • Organization Units
    • Users
    • Groups
  6. Klicken Sie auf Weiter.
  7. Klicken Sie auf Rolle erstellen, um eine neue benutzerdefinierte Rolle zu erstellen.
Benutzerdefinierte Rolle einem Nutzer zuweisen

Gehen Sie so vor, um die Rolle einem Nutzerkonto zuzuweisen und die Integration zu autorisieren, Aktionen in Ihrem Namen auszuführen:

  1. Wenn Sie einen neuen Nutzer erstellen möchten, rufen Sie die Seite Verzeichnis > Nutzer auf.
  2. Fügen Sie einen neuen Nutzer hinzu, der mit dem Dienstkonto verknüpft ist.
  3. Öffnen Sie die Einstellungen für den neu erstellten Nutzer. Der Tab „Nutzerkonto“ wird geöffnet.
  4. Klicken Sie auf Administratorrollen und Berechtigungen.
  5. Klicken Sie auf Bearbeiten Bearbeiten.
  6. Wählen Sie die von Ihnen erstellte benutzerdefinierte Rolle aus.
  7. Stellen Sie den Schalter für die ausgewählte Rolle auf Zugewiesen.

Workload Identity-Anmeldedaten konfigurieren

Wählen Sie diese Methode oder die JSON-Schlüsselmethode aus, um die Integration zu authentifizieren. Workload Identity ist der empfohlene und sicherere Ansatz, da hier kurzlebige, temporäre Zugriffstokens verwendet werden, die die Identitätsübernahme des Dienstkontos nutzen. Dadurch wird das Risiko der Offenlegung langlebiger geheimer Anmeldedaten minimiert.

Eindeutige Instanzidentität identifizieren

Wenn Sie Workload Identity verwenden möchten, müssen Sie Ihrer Google SecOps-Instanz die Berechtigung erteilen, die Identität Ihres Dienstkontos zu übernehmen. In diesem Schritt wird der Instanz der sichere Zugriff auf Google Cloud-Ressourcen ermöglicht.

  1. Rufen Sie in Google SecOps Content Hub > Antwortintegrationen auf.
  2. Wählen Sie die Integration aus, die Sie konfigurieren, und geben Sie die E-Mail-Adresse Ihres Dienstkontos in das Feld Workload Identity Email ein.
  3. Geben Sie im Feld Delegated Email die E-Mail-Adresse ein, die die Integration imitieren soll.
  4. Klicken Sie auf Speichern > Testen. Der Test schlägt erwartungsgemäß fehl.

  5. Klicken Sie rechts neben Test auf close_small und suchen Sie in der Fehlermeldung nach der Identitäts-E-Mail-Adresse, die mit gke-init-python@... oder soar-python@... beginnt.

  6. Kopieren Sie diese eindeutige E‑Mail-Adresse.

Instanzidentität in Google Cloudautorisieren

Nachdem Sie die eindeutige Identität für Ihre Google SecOps-Instanz abgerufen haben, müssen Sie sie für den Zugriff auf Ihre Google Cloud -Ressourcen autorisieren. In diesem Schritt wird die Identitätsübernahme des Dienstkontos aktiviert. Dadurch kann die Plattform kurzlebige Tokens generieren und in Ihrem Namen agieren, ohne dass statische Schlüssel erforderlich sind.

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das Zieldienstkonto aus und rufen Sie Berechtigungen > Zugriff gewähren auf.

  3. Fügen Sie die eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein und weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

Integrationsparameter

Für die Cloud Identity-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Service Account JSON File Content

Optional.

Der Inhalt der JSON-Datei des Dienstkontoschlüssels.

Sie können entweder diesen Parameter oder Workload Identity-E-Mail-Adresse konfigurieren. Wenn Sie diese Methode verwenden möchten, fügen Sie den gesamten JSON-String aus der Schlüsseldatei ein, die Sie beim Erstellen des Dienstkontos heruntergeladen haben.
Workload Identity Email

Optional.

Die Client-E-Mail-Adresse Ihres Dienstkontos.

Sie können entweder diesen Parameter oder Inhalt der JSON-Datei des Dienstkontos konfigurieren.

Wenn Sie diese Methode für die Identitätsübernahme des Dienstkontos verwenden möchten, müssen Sie der Identität Ihrer Google SecOps-Instanz in Ihrem Dienstkonto die Rolle „Ersteller von Dienstkonto-Tokens“ zuweisen.
Delegated Email

Pflichtangabe.

Die E-Mail-Adresse, die die Integration zum Ausführen von Aktionen verwendet.

Dieses Konto muss in Ihrer Umgebung die entsprechenden delegierten Berechtigungen haben, um die erforderlichen Integrationsaufgaben auszuführen.
Verify SSL

Optional.

Wenn diese Option ausgewählt ist, wird das SSL-Zertifikat bei der Verbindung zum Cloud Identity-Server validiert.

Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu Cloud Identity zu testen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für diese Aktion sind keine Eingabeparameter erforderlich.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully connected to the Cloud Identity server with the provided connection parameters!

 Die Aktion war erfolgreich.
Failed to connect to the Cloud Identity server! Error is ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses Wert
is_success true oder false

Entität zur URL-Liste des Detektors hinzufügen

Verwenden Sie die Aktion Entität zur Detektor-URL-Liste hinzufügen, um Entitäten zur Erkennungsliste der Cloud Identity-Richtlinie hinzuzufügen.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • URL
  • Domain

Aktionseingaben

Für die Aktion Entität zur Detektor-URL-Liste hinzufügen sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Detector Policy ID

Pflichtangabe.

Die eindeutige Kennung der Detektorrichtlinie, die aktualisiert werden soll.
URL

Optional.

Eine durch Kommas getrennte Liste von URLs, die der Detektorliste hinzugefügt werden sollen.
Domain

Optional.

Eine durch Kommas getrennte Liste von Domains, die der Detektorliste hinzugefügt werden sollen.

Aktionsausgaben

Die Aktion Entität zur Detektor-URL-Liste hinzufügen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Entität zur URL-Liste des Detektors hinzufügen empfangen wird:

{
 "type": "ADMIN",
 "customer": "customers/<CUSTOMER_ID>",
 "policyQuery": {
   "query": "entity.org_units.exists(org_unit, org_unit.org_unit_id == orgUnitId('<ORG_UNIT_ID>'))",
   "orgUnit": "orgUnits/<ORG_UNIT_ID>"
 },
 "setting": {
   "type": "settings/detector.url_list",
   "value": {
     "displayName": "test_url_list_detector",
     "description": "test_url_list_detector desc",
     "urlList": {
       "urls": [
         "[http://example.com](http://example.com)",
         "example.org",
         "bad_entity.com"
       ]
     }
   }
 }
}
Ausgabenachrichten

Die Aktion Entität zur URL-Liste des Detektors hinzufügen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully blocked the following URLs using Cloud Identity: ENTITY_IDENTIFIER

 Die Aktion war erfolgreich.
Error executing action "Add Entity To Detector URL List". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Entität zur URL-Liste des Detektors hinzufügen verwendet wird:

Name des Skriptergebnisses Wert
is_success true oder false

Richtlinie erstellen

Verwenden Sie die Aktion Richtlinie erstellen, um einen neuen Richtlinieneintrag in Cloud Identity zu erstellen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Create Policy sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Policy Entry

Pflichtangabe.

Das JSON-Objekt, das die Konfiguration des hinzuzufügenden Richtlinieneintrags darstellt.
Beispiele für die Konfiguration von Richtlinien

Die folgenden Beispielkonfigurationen zeigen, wie der Parameter Policy Entry strukturiert wird:

Beispiel 1: URL-Listendetektor

{
  "type": "ADMIN",
  "customer": "customers/<CUSTOMER_ID>",
  "policyQuery": {
    "orgUnit": "orgUnits/<ORG_UNIT_ID>",
    "sortOrder": 1
  },
  "setting": {
    "type": "settings/detector.url_list",
    "value": {
      "displayName": "BlockUrlDetector",
      "description": "Blocked urls for security reasons",
      "urlList": {
        "urls": [
          "www.medium.com",
          "medium.com",
          "wikipedia.org"
        ]
      }
    }
  }
}

Beispiel 2: DLP-Regel

{
  "type": "ADMIN",
  "customer": "customers/<CUSTOMER_ID>",
  "policyQuery": {
    "query": "entity.org_units.exists(org_unit, org_unit.org_unit_id == orgUnitId('<ORG_UNIT_ID>'))",
    "orgUnit": "orgUnits/<ORG_UNIT_ID>",
    "sortOrder": 1
  },
  "setting": {
    "type": "settings/rule.dlp",
    "value": {
      "display_name": "TestRule",
      "description": "GoogleSecOps URL Blocklist Rule. Keeps state of blocked URLs. Manual modification is not advised",
      "triggers": [
        "google.workspace.chrome.url.v1.navigation"
      ],
      "condition": {
        "contentCondition": "url.matches_url_list('policies/<DETECTOR_POLICY_ID>')"
      },
      "action": {
        "chromeAction": {
          "blockContent": {
            "actionParams": {
              "customEndUserMessage": {
                "unsafeHtmlMessageBody": "(EQ)🚫 BlockedAccess denied."
              }
            }
          }
        }
      },
      "state": "ACTIVE"
    }
  }
}

Aktionsausgaben

Die Aktion Richtlinie erstellen liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die Sie bei Verwendung der Aktion Richtlinie erstellen erhalten:

{
  "type": "ADMIN",
  "customer": "customers/<CUSTOMER_ID>",
  "policyQuery": {
    "query": "entity.org_units.exists(org_unit, org_unit.org_unit_id == orgUnitId('<ORG_UNIT_ID>'))",
    "orgUnit": "orgUnits/<ORG_UNIT_ID>"
  },
  "setting": {
    "type": "settings/rule.dlp",
    "value": {
      "display_name": "test_create_rule",
      "triggers": [
        "google.workspace.chrome.file.v1.download"
      ],
      "state": "ACTIVE",
      "action": {
        "chromeAction": {
          "warnUser": {}
        }
      }
    }
  }
}
Ausgabenachrichten

Die Aktion Richtlinie erstellen kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully added a new policy in Cloud Identity.

 Die Aktion war erfolgreich.
Error executing action "Create Policy". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Richtlinie erstellen verwendet wird:

Name des Skriptergebnisses Wert
is_success true oder false

Richtlinien auflisten

Verwenden Sie die Aktion Richtlinien auflisten, um eine Liste der vorhandenen Richtlinien aus Cloud Identity abzurufen.

Diese Aktion wird nicht für Google SecOps-Entitäten ausgeführt.

Aktionseingaben

Für die Aktion Richtlinien auflisten sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Organization Unit Name

Pflichtangabe.

Der Name der Organisationseinheit, für die Richtlinien aufgelistet werden sollen.
Policy Type Filter

Optional.

Der Richtlinientyp, der zum Filtern der Liste verwendet wird. Mögliche Werte: Admin, System oder Both.

Der Standardwert ist Both.
Settings Type Filter

Optional.

Das Muster des regulären Ausdrucks, mit dem Richtlinien nach ihrem Einstellungstyp gefiltert werden. Dieser Filter wird direkt auf die API-Anfrage angewendet.
Settings Display Name Filter

Optional.

Eine durch Kommas getrennte Liste von Anzeigenamen, die zum Filtern von Richtlinieneinstellungen verwendet werden.
Max Results To Return

Optional.

Die maximale Anzahl von Ergebnissen, die für die Aktionsausführung zurückgegeben werden sollen. Der Standardwert ist 50. Der Höchstwert beträgt 100.

Aktionsausgaben

Die Aktion Richtlinien auflisten liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Richtlinien auflisten zurückgegeben wird:

[
  {
    "name": "policies/123",
    "customer": "customers/123",
    "type": "ADMIN",
    "policy_query": {
      "query": "entity.org_units.exists(org_unit, org_unit.org_unit_id == orgUnitId('12345'))",
      "orgUnit": "orgUnits/12345",
      "sortOrder": 1
    },
    "setting": {
      "type": "settings/rule.dlp",
      "value": {
        "display_name": "Test DLP Rule"
      }
    }
  }
]
Ausgabenachrichten

Die Aktion Richtlinien auflisten kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully listed policies based on the provided criteria in Cloud Identity.

No policies found based on the provided criteria in Cloud Identity.

 Die Aktion war erfolgreich.
Error executing action "List Policies". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle ist der Wert für die Ausgabe des Skriptergebnisses aufgeführt, wenn die Aktion Richtlinien auflisten verwendet wird:

Name des Skriptergebnisses Wert
is_success true oder false

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten