CyberArk PAM

本文提供相關指引，說明如何將 CyberArk Privileged Access Manager (PAM) 與 Google Security Operations SOAR 整合。

整合版本：6.0

事前準備

如要設定 CyberArk PAM 與整合服務搭配運作，您需要為整合服務建立使用者，並授予該使用者存取所需 CyberArk PAM 保管庫的權限。

新增使用者

請按照下列步驟建立整合專用的使用者：

  1. 以管理員身分登入 PrivateArk Client。
  2. 依序前往「工具」>「系統管理工具」>「使用者和群組」。
  3. 在「使用者和群組」對話方塊中，選取使用者位置，按一下「新增」，然後選取「使用者」。
  4. 在「新增使用者」對話方塊的不同分頁中，視需要填寫資訊。「一般」和「驗證」分頁是必填欄位。

如要進一步瞭解如何建立使用者，請參閱「將使用者新增至 Vault」。

授予所建立使用者的權限

如要將保險箱存取權授予新建立的使用者，請完成下列步驟：

  1. 以管理員身分登入 PrivateArk Client。
  2. 選取要提供存取權的保險箱，然後登入 (按兩下)。
  3. 按一下頂端選單中的「擁有者」。
  4. 如要新增使用者，請按一下「新增」。
  5. 在對話方塊中選取使用者。
  6. 在「授權對象」部分，至少選取下列權限：
    • Monitor Safe
    • Retrieve files from Safe
    • Store files in Safe
    • Admisiter Safe
  7. 如要儲存變更，請點選 [OK] (確定)。
  8. 如要關閉對話方塊，請按一下「關閉」。

選用：設定用戶端憑證

您可以沿用現有或建立新的用戶端憑證，確保 CyberArk PAM 執行個體與 Google SecOps SOAR 之間的通訊安全無虞。如要進一步瞭解如何設定用戶端憑證，請參閱「Central Credential Provider 網路服務設定」。

整合 CyberArk PAM 和 Google SecOps

整合作業需要下列參數：

參數 說明
API Root 必要

API 根網址。

請以 https://IP_ADDRESS :PORT 格式提供值。
Username 必要

用於連線的使用者名稱。
Password 必要

連線時使用的密碼。
Verify SSL 必要

如果選取這個選項，整合服務會驗證連線至 CyberArk 伺服器的 SSL 憑證是否有效。

(此為預設選項)。
CA Certificate 必要

用於驗證 API 根目錄安全連線的 CA 憑證。

這個參數接受 Base64 編碼字串形式的 CA 憑證。
Client Certificate 選用

如果設定為 CyberArk PAM，請指定用於建立 API 根目錄連線的 CyberArk 用戶端憑證。以 PFX 檔案 (PKCS #12 格式) 提供憑證。
Client Certificate Passphrase 選用

用戶端憑證所需的通關密語。

如要進一步瞭解如何在 Google SecOps SOAR 中設定整合功能，請參閱「設定整合功能」。

動作

CyberArk PAM 整合功能包含下列動作：

取得帳戶密碼值

使用「Get Account Password Value」(取得帳戶密碼值) 動作，從 CyberArk 取得帳戶密碼值。

您可透過這項操作擷取密碼和 SSH 金鑰。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得帳戶密碼值」動作需要下列參數：

參數 說明
Account 必要

要擷取密碼值的帳戶 ID。

注意：帳戶 ID 可透過「列出帳戶」動作擷取。
Reason 必要

存取帳戶密碼值的原因。

預設值會自動從 Google SecOps SOAR 擷取。
Ticketing System Name 選填

票務系統名稱。
Ticket ID 選填

支援單處理系統的支援單 ID。
Version 選填

要擷取的帳戶密碼值版本。

動作輸出內容

「取得帳戶密碼值」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
JSON 結果

以下範例說明使用「取得帳戶密碼值」動作時收到的 JSON 結果輸出內容：

{
 "content": "PASSWORD_VALUE"
}
輸出訊息

「取得帳戶密碼值」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully fetched password value for account ID ACCOUNT_ID

Password value for account with ID ACCOUNT_ID and supplied version VERSION was not found in the CyberArk PAM.

 動作成功。
Error executing action "Get Account Password Value". Reason: ERROR_REASON

動作失敗。

檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表說明使用「取得帳戶密碼值」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

可列出帳戶

使用「列出帳戶」動作，根據提供的條件列出 CyberArk PAM 中的可用帳戶。

這項動作不會在 Google SecOps SOAR 實體上執行。

動作輸入內容

「列出帳戶」動作需要下列參數：

參數 說明
Search Query 必要

要使用的搜尋查詢。
Search operator 必要

用於根據提供的搜尋查詢執行搜尋的搜尋運算子。

可能的值如下：
  • contains
  • startswith
。

預設值為 contains。
Max Records To Return 必要

要傳回的記錄數。如未提供任何值，動作會傳回 50 筆記錄 (API 預設值)。
Records Offset 必要

動作的位移，用於傳回值。
Filter Query 必要

要使用的篩選查詢。您可以根據 safeName 或 modificationTime 參數設定篩選條件。
Saved Filter 必要

要使用的已儲存篩選器查詢。

這個參數的優先順序高於 Filter Query 參數。

動作輸出內容

「列出帳戶」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼結果 可用
案件總覽表格

在案件牆上，「列出帳戶」動作會提供下表：

表格名稱：Available PAM Accounts

資料表欄：

  • ID
  • 保險箱名稱
  • 使用者名稱
  • 密鑰類型
JSON 結果

以下範例說明使用「列出帳戶」動作時收到的 JSON 結果輸出內容：

{
   "value": [
       {
           "categoryModificationTime": 1672051160,
           "platformId": "WinDomain",
           "safeName": "UserTestSafe",
           "id": "33_3",
           "name": "user@example.com",
           "address": "user@example.com",
           "userName": "user",
           "secretType": "password",
           "platformAccountProperties": {},
           "secretManagement": {
               "automaticManagementEnabled": true,
               "lastModifiedTime": 1672051160
           },
           "createdTime": 1672051160
       }
   ],
   "count": 1
}
輸出訊息

「列出帳戶」動作會提供下列輸出訊息：

輸出訊息 訊息說明

Successfully found accounts for the criteria provided in CyberArk PAM.

No accounts were found for the criteria provided in CyberArk PAM.

Both the Filter Query and Saved Filter parameters are provided, Saved Filter takes priority.

 動作成功。
Error executing action "List Accounts". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表說明使用「列出帳戶」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

乒乓

使用 *Ping 動作測試與 CyberArk 的連線。

這項操作不會在 Google SecOps 實體上執行。

整合輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件訊息牆表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼結果 可用
輸出訊息

「Ping」動作會提供下列輸出訊息：

輸出訊息 訊息說明
Successfully connected to the CyberArk PAM installation with the provided connection parameters! 動作成功。
Failed to connect to the CyberArk PAM installation! Error is ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼結果

下表說明使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success True或False

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。