将 Gmail 与 Google SecOps 集成

本文档介绍了如何将 Gmail 与 Google Security Operations 集成。

使用场景

Gmail 集成使用 Google SecOps 功能来支持以下使用情形：

  • 自动遏制钓鱼式攻击：在整个组织中搜索并删除恶意电子邮件，以防止用户与威胁行为者互动。

  • 取证电子邮件分析：在进行有效调查期间，检索邮件标头、附件和正文内容以供分析。

  • 突发事件通知：通过从剧本直接向利益相关者发送安全提醒、调查更新或补救说明，实现自动化通信。

  • 邮箱管理：列出用户邮件或审核标签，以识别有针对性的钓鱼式攻击活动中的模式。

准备工作

在 Google SecOps 中配置 Gmail 集成之前，请完成以下前提步骤：

  1. 启用 Gmail API。

  2. 创建服务账号。

  3. 向您的服务账号委派全网域权限。

  4. 选择并配置以下身份验证方法之一：

    • 方法 1：Workload Identity（推荐）：此方法通过服务账号模拟使用短期有效的临时访问令牌，因此您无需存储密钥。

    • 方法 2：服务账号 JSON 密钥：此方法依赖于静态的长期有效的密钥文件。仅当您的环境中无法使用 Workload Identity 身份验证时，才使用此方法。

启用 Gmail API

您必须在 Google Cloud 组织中启用 Gmail API，以便集成与 Google Workspace 进行通信。

  1. 在 Google Cloud 控制台中，前往库。

    前往媒体库

  2. 搜索并启用 Gmail API。

创建服务账号

如需为集成创建服务账号，请完成以下步骤：

  1. 在 Google Cloud 控制台中，依次前往 IAM 和管理 > 服务账号。

    转到“服务账号”

  2. 点击添加创建服务账号。

  3. 提供名称（例如“SecOps IAM 集成”）和说明。

  4. 点击创建并继续。

  5. 跳过可选的角色分配步骤，然后点击完成。

  6. 在列表中找到相应服务账号，然后复制其客户端 ID（也称为唯一 ID）和电子邮件地址。您需要这些信息才能进行全网域授权。

委托全网域权限

服务账号没有自己的邮箱。您必须将全网域权限委派给服务账号，以便该账号可以模拟组织内的用户。

  1. 在网域的 Google 管理控制台中，依次前往主菜单 > 安全性 > 访问权限和数据控件 > API 控件。

  2. 在全网域授权窗格中，选择管理全网域授权。

  3. 点击新增。

  4. 在客户端 ID 字段中，输入您创建的服务账号的唯一 ID（客户端 ID）。

  5. 在 OAuth 范围字段中，输入以下以英文逗号分隔的范围列表：

    https://mail.google.com/,
https://www.googleapis.com/auth/cloud-platform,
https://www.googleapis.com/auth/admin.directory.user,
https://www.googleapis.com/auth/admin.directory.group.member,
https://www.googleapis.com/auth/admin.directory.customer.readonly,
https://www.googleapis.com/auth/admin.directory.domain.readonly,
https://www.googleapis.com/auth/admin.directory.group,
https://www.googleapis.com/auth/admin.directory.orgunit,
https://www.googleapis.com/auth/admin.directory.user.alias,
https://www.googleapis.com/auth/admin.directory.rolemanagement.readonly,
https://www.googleapis.com/auth/apps.groups.settings

  6. 点击授权。

配置 Workload Identity 凭据

选择此方法或 JSON 密钥方法来验证集成。 建议使用 Workload Identity，因为它通过服务账号模拟使用短期有效的临时访问令牌。

确定唯一实例身份

如需使用 Workload Identity 进行身份验证，您必须向 Google SecOps 实例授予模拟服务账号的权限。这样，实例就可以安全地访问 Google Cloud 资源。

  1. 在 Google SecOps 中，前往内容中心 > 响应集成。

  2. 选择 Gmail 集成，然后在 Workload Identity Email 中输入您的服务账号电子邮件地址。

  3. 依次点击保存 > 测试。测试预计会失败。

  4. 点击测试右侧 的关闭图标 close_small，然后搜索以 gke-init-python@... 或 soar-python@... 开头的身份电子邮件地址所对应的错误消息。

  5. 复制此唯一电子邮件地址。

在 Google Cloud中授权实例身份

检索到 Google SecOps 实例的唯一身份后，您必须授权该身份访问您的Google Cloud 资源。此步骤可让平台模拟服务账号、生成短期有效令牌，并在没有静态密钥的情况下代表您执行操作。

  1. 在 Google Cloud 控制台中，依次前往 IAM 和管理 > 服务账号。

    转到“服务账号”

  2. 选择目标服务账号，然后依次前往权限 > 授予访问权限。

  3. 将该唯一电子邮件地址粘贴到新主账号字段中，并分配 Service Account Token Creator 角色 (roles/iam.serviceAccountTokenCreator)。

配置 JSON 密钥

选择此方法或 Workload Identity 方法来验证集成。仅当您的环境中没有 Workload Identity 时，才使用 JSON 密钥方法。建议使用 Workload Identity，这种方法更安全。此方法依赖于静态的长期有效的密钥文件，需要手动管理和轮替。

请按照以下步骤生成对集成进行身份验证所需的 JSON 密钥文件：

  1. 在 Google Cloud 控制台中，依次前往 IAM 和管理 > 服务账号，然后选择您创建的服务账号。

    转到“服务账号”

  2. 前往密钥标签页。

  3. 依次点击添加密钥> 创建新密钥。

  4. 选择 JSON 作为密钥类型，然后点击创建。浏览器会将 JSON 文件下载到您的计算机。

  5. 复制此文件的全部内容，并在集成配置期间将其粘贴到服务账号 JSON 文件内容中。

集成参数

Gmail 集成需要以下参数：

参数 说明
Default Mailbox

必填。

当操作中未提供特定邮箱时，集成用于发送或接收消息的主用户电子邮件地址。
Service Account JSON File Content

可选。

服务账号密钥 JSON 文件的完整内容。

仅在您使用 JSON 密钥进行身份验证时使用此参数。
Workload Identity Email

可选。

服务账号的客户端电子邮件地址。

仅当您使用工作负载身份进行身份验证时，才使用此参数。
Verify SSL

必填。

如果选择此选项，集成会在连接到 Gmail 服务器时验证 SSL 证书。

默认处于启用状态。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在 playbook 中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需详细了解操作，请参阅 处理“您的工作台”中的待处理操作和执行手动操作。

添加电子邮件标签

使用 Add Email Label 操作可为指定电子邮件添加标签。

此操作是异步的。在 Google SecOps 集成开发环境 (IDE) 中相应地调整操作超时时间。

此操作不适用于 Google SecOps 实体。

操作输入

添加电子邮件标签操作需要以下参数：

参数 说明
Mailbox 必需

要等待回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，这些值以逗号分隔列表形式提供。
Internet Message ID 可选

要搜索的电子邮件的互联网消息 ID。

此参数接受多个值，这些值以逗号分隔的字符串形式表示。

如果您提供互联网消息 ID，该操作会忽略 Subject Filter、Sender Filter 和 Time Frame (minutes) 参数。
Labels Filter 可选

用于指定要搜索的电子邮件标签的过滤条件。

此参数接受多个值，这些值以逗号分隔的字符串形式表示。

默认值为 Inbox。

您可以搜索带有特定标签的电子邮件，例如 label1, label2。如需搜索不带特定标签的电子邮件，请使用以下格式：-label1。您可以配置此参数，以在一个字符串中搜索具有特定标签和不具有特定标签的电子邮件，例如 label1, -label2, label3。
Subject Filter 可选

指定要搜索的电子邮件主题的过滤条件。

此过滤条件使用 contains 逻辑，要求您以完整字词指定搜索项。此过滤条件不支持部分匹配。
Sender Filter 可选

用于指定要搜索的电子邮件发件人的过滤条件。

此过滤条件使用 equals 逻辑。
Time Frame (minutes) 可选

一种过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。

默认值为 60 分钟。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

默认值为 Both Read & Unread Messages。
Label 必需

用于更新电子邮件的标签。

此参数接受多个值，这些值以逗号分隔列表的形式提供。

如果标签在邮箱中不存在，该操作会创建相应标签。

操作输出

添加电子邮件标签操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例描述了使用 Add Email Label 操作时收到的 JSON 结果输出：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
输出消息

添加电子邮件标签操作会提供以下输出消息：

输出消息 消息说明

Successfully updated labels for emails in the following mailboxes: MAILBOX_LIST

No emails were found based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

Update is pending for emails in the following mailboxes: MAILBOX_LIST

 操作成功。
Error executing action "Add Email Label". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用 Add Email Label 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

删除电子邮件

使用 Delete Email 操作可根据提供的搜索条件从邮箱中删除一封或多封电子邮件。默认情况下，此操作会将电子邮件移至回收站。您可以将操作配置为永久删除电子邮件，而不是将其移至回收站。

删除电子邮件操作是异步的。相应地调整 Google SecOps IDE 中的操作超时时间。

此操作不适用于 Google SecOps 实体。

操作输入

删除电子邮件操作需要以下参数：

参数 说明
Mailbox 必需

要等待回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，这些值以逗号分隔的字符串形式表示。
Labels Filter 可选

用于指定要搜索的电子邮件标签的过滤条件。

此参数接受多个值，这些值以逗号分隔的字符串形式表示。

默认值为 Inbox。

您可以搜索带有特定标签的电子邮件，例如 label1, label2。如需搜索不带特定标签的电子邮件，请使用以下格式：-label1。您可以配置此参数，以在一个字符串中搜索具有特定标签和不具有特定标签的电子邮件，例如 label1, -label2, label3。
Internet Message ID 可选

要搜索的电子邮件的互联网消息 ID。

此参数接受多个值，这些值以逗号分隔的字符串形式表示。

如果您提供互联网消息 ID，该操作会忽略 Subject Filter、Sender Filter、Labels Filter 和 Time Frame (minutes) 参数。
Subject Filter 可选

指定要搜索的电子邮件主题的过滤条件。

此过滤条件使用 contains 逻辑，要求您以完整字词指定搜索项。此过滤条件不支持部分匹配。
Sender Filter 可选

用于指定要搜索的电子邮件发件人的过滤条件。

此过滤条件使用 equals 逻辑。
Time Frame (minutes) 可选

一种过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。

默认值为 60 分钟。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

默认值为 Both Read & Unread Messages。
Move to Trash 可选

如果选择此值，该操作会将电子邮件移至回收站，并且不会搜索带有回收站标签的电子邮件，除非您将 Labels Filter 参数配置为包含以下标签：Trash。如果未选择，该操作会在整个邮箱中执行搜索，并永久删除电子邮件。

此选项将会默认选中。

操作输出

删除电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例介绍了使用删除电子邮件操作时收到的 JSON 结果输出：

{
"mailbox1": [DELETED_MESSAGE_ID_LIST],
"mailbox2": [DELETED_MESSAGE_ID_LIST]
}
输出消息

删除电子邮件操作提供以下输出消息：

输出消息 消息说明

Successfully deleted emails in the following mailboxes: MAILBOX_LIST

No emails to delete based on the provided search criteria in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Check the spelling.

The action didn't find any emails based on the specified search criteria.

Pending deletion of emails in the following mailboxes: MAILBOX_LIST

 操作成功。
Error executing action "Delete Email". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用删除电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

转发电子邮件

使用转发电子邮件操作转发电子邮件，包括包含之前对话串的电子邮件。

此操作不适用于 Google SecOps 实体。

操作输入

转发电子邮件操作需要以下参数：

参数 说明
Mailbox 必需

用于发送电子邮件的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。
Internet Message ID 必需

要搜索的电子邮件的互联网消息 ID。
Send To 必需

电子邮件收件人的电子邮件地址（以逗号分隔的字符串），例如 user1@example.com, user2@example.com。
CC 可选

用于抄送 (CC) 电子邮件收件人的电子邮件地址字符串（以英文逗号分隔），例如 user1@example.com, user2@example.com。
BCC 可选

以英文逗号分隔的电子邮件地址字符串，用于指定密送 (BCC) 电子邮件收件人，例如 user1@example.com, user2@example.com。
Subject 必需

要转发的电子邮件的新主题。
Attachments Paths 可选

一个以逗号分隔的字符串，用于表示存储在 Google SecOps 服务器上的文件附件的路径。
Mail Content 必需

电子邮件的正文。

操作输出

转发电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例介绍了使用转发电子邮件操作时收到的 JSON 结果输出：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
输出消息

转发电子邮件操作会提供以下输出消息：

输出消息 消息说明
Successfully forwarded the MESSAGE_ID email. 操作成功。
Error executing action "Forward Email". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用转发电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

Ping

使用 Ping 操作测试与 Gmail 的连接。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作会提供以下输出消息：

输出消息 消息说明
Successfully connected to the Google Gmail service with the provided connection parameters! 操作成功。
Failed to connect to the Google Gmail service! Error is ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

移除电子邮件标签

使用 Remove Email Label 操作可从指定电子邮件中移除标签。

此操作是异步的。在 Google SecOps IDE 中相应调整操作超时时间。

此操作不适用于 Google SecOps 实体。

操作输入

移除电子邮件标签操作需要以下参数：

参数 说明
Mailbox 必需

要等待回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，这些值以逗号分隔列表形式提供。
Internet Message ID 可选

要搜索的电子邮件的互联网消息 ID。

此参数接受多个值，这些值以逗号分隔的字符串形式表示。

如果您提供互联网消息 ID，该操作会忽略 Subject Filter、Sender Filter 和 Time Frame (minutes) 参数。
Labels Filter 可选

用于指定要搜索的电子邮件标签的过滤条件。

此参数接受多个值，这些值以逗号分隔的字符串形式表示。

默认值为 Inbox。

您可以搜索带有特定标签的电子邮件，例如 label1, label2。如需搜索不带特定标签的电子邮件，请使用以下格式：-label1。您可以配置此参数，以在一个字符串中搜索具有特定标签和不具有特定标签的电子邮件，例如 label1, -label2, label3。
Subject Filter 可选

指定要搜索的电子邮件主题的过滤条件。

此过滤条件使用 contains 逻辑，要求您以完整字词指定搜索项。此过滤条件不支持部分匹配。
Sender Filter 可选

用于指定要搜索的电子邮件发件人的过滤条件。

此过滤条件使用 equals 逻辑。
Time Frame (minutes) 可选

一种过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。

默认值为 60 分钟。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

默认值为 Both Read & Unread Messages。
Label 必需

要从电子邮件中移除的标签。

此参数接受多个值，这些值以逗号分隔列表形式提供。如需从电子邮件中移除所有标签，请将参数值配置为 All。

操作输出

移除电子邮件标签操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例介绍了使用移除电子邮件标签操作时收到的 JSON 结果输出：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@mail.gmail.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
输出消息

移除电子邮件标签操作会提供以下输出消息：

输出消息 消息说明

Successfully updated labels for EMAIL_NUMBER emails in the MAILBOX_NAME mailbox.

The following labels don't exist in the MAILBOX_NAME mailbox: LABEL_LIST

None of the provided labels exists in the MAILBOX_NAME mailbox.

 操作成功。
Error executing action "Remove Email Label". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用移除电子邮件标签操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

将电子邮件保存到支持请求

使用 Save Email To The Case 操作将电子邮件或电子邮件附件保存到 Google SecOps 中的操作案例墙。

此操作不适用于 Google SecOps 实体。

操作输入

将电子邮件保存到支持请求操作需要以下参数：

参数 说明
Mailbox 必需

要等待回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。
Internet Message ID 必需

要搜索的电子邮件的互联网消息 ID。
Save Only Email Attachments 可选

如果选中此复选框，相应操作将仅保存指定电子邮件中的附件。

默认情况下未选中。
Attachment To Save 可选

如果您选择了 Save Only Email Attachments 参数，则该操作只会保存您在此参数中指定的附件。

此参数接受多个值，这些值以逗号分隔的字符串形式提供。
Base64 Encode 可选

如果选中此选项，相应操作会将电子邮件文件编码为 base64 格式。

默认情况下未选中。

操作输出

将电子邮件保存到支持请求操作提供以下输出：

操作输出类型 可用性
案例墙附件 可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
案例墙附件

将电子邮件保存到支持请求操作会将电子邮件和附件保存为 Google SecOps 中的支持请求证据。

下表介绍了该操作保存的文件：

已保存的文件 名称和格式
电子邮件 EMAIL_SUBJECT.eml
Email attachment ATTACHMENT_NAME. ATTACHMENT_EXTENSION
JSON 结果

以下示例介绍了使用将电子邮件保存到支持请求操作时收到的 JSON 结果输出：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
输出消息

将电子邮件保存到支持请求操作提供以下输出消息：

输出消息 消息说明

Successfully saved the INTERNET_MESSAGE_ID email.

Successfully saved the following attachments from the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

The following attachments were not found in the INTERNET_MESSAGE_ID email: ATTACHMENT_NAMES

 操作成功。
Error executing action "Save Email To The Case". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用将电子邮件保存到支持请求操作时，脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

搜索电子邮件

使用搜索电子邮件操作，根据提供的搜索条件在指定的邮箱中执行电子邮件搜索。

此操作是异步的。在 Google SecOps IDE 中相应调整操作超时时间。

此操作不适用于 Google SecOps 实体。

操作输入

搜索电子邮件操作需要以下参数：

参数 说明
Mailbox 必需

要等待回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，这些值以逗号分隔列表形式提供。
Labels Filter 可选

用于指定要搜索的电子邮件标签的过滤条件。

此参数接受多个值，这些值以逗号分隔的字符串形式表示。

默认值为 Inbox。

您可以搜索带有特定标签的电子邮件，例如 label1, label2。如需搜索不带特定标签的电子邮件，请使用以下格式：-label1。您可以配置此参数，以在一个字符串中搜索具有特定标签和不具有特定标签的电子邮件，例如 label1, -label2, label3。
Internet Message ID 可选

要搜索的电子邮件的互联网消息 ID。

此参数接受多个值，这些值以逗号分隔的字符串形式表示。

如果您提供互联网消息 ID，该操作会忽略 Subject Filter、Sender Filter、Labels Filter、Recipient Filter、Time Frame (minutes) 和 Email Status 参数。
Subject Filter 可选

指定要搜索的电子邮件主题的过滤条件。
Sender Filter 可选

用于指定要搜索的电子邮件发件人的过滤条件。
Recipient Filter 可选

指定要搜索的电子邮件收件人的过滤条件。
Time Frame (minutes) 可选

一种过滤条件，用于指定搜索电子邮件的时间范围（以分钟为单位）。

默认值为 60 分钟。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Only Unread Messages
  • Only Read Messages
  • Both Read & Unread Messages

默认值为 Both Read & Unread Messages。
Headers To Return 可选

要在操作输出中返回的标头的英文逗号分隔列表。

该操作始终会返回以下标头：date、from、to、cc、bcc、in-reply-to、reply-to、message-id 和 subject。

如果您未提供任何值，该操作会返回所有标头。

此参数不区分大小写。
Return Email Body 可选

如果选中此项，相应操作会在操作输出中返回电子邮件的完整正文内容。如果未选择此选项，则无法获取电子邮件中附件名称的相关信息。

默认情况下未选中。
Max Emails To Return 可选

要返回的操作的电子邮件数量上限。

默认值为 50。

操作输出

搜索电子邮件操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
“支持请求墙”表格

搜索电子邮件操作会提供下表：

表格标题：找到的邮件

列：

  • Message_id
  • 收到日期
  • 发送者
  • 收件人
  • Subject
  • 电子邮件正文摘要
  • 附件名称
  • 可选：在邮箱中找到
JSON 结果

以下示例介绍了使用搜索电子邮件操作时收到的 JSON 结果输出：

[
   {
       "Entity": "email@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "email@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "email@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
输出消息

搜索电子邮件操作会提供以下输出消息：

输出消息 消息说明

Successfully found emails in the following mailboxes: MAILBOX_LIST

No emails found in the following mailboxes: MAILBOX_LIST

Pending search for emails in the following mailboxes: MAILBOX_LIST

The following mailboxes were not found: MAILBOX_LIST. Please check the spelling.

The action was not able to find any emails based on the specified search criteria.

 操作成功。
Error executing action "Search For Emails". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用搜索电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

发送电子邮件

使用发送电子邮件操作可根据提供的参数发送电子邮件。

此操作不适用于 Google SecOps 实体。

操作输入

发送电子邮件操作需要以下参数：

参数 说明
Mailbox 必需

用于发送电子邮件的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。
Subject 必需

要发送的电子邮件的主题。
Send To 必需

电子邮件收件人的电子邮件地址（以逗号分隔的字符串），例如 user1@example.com, user2@example.com。
CC 可选

用于抄送 (CC) 电子邮件收件人的电子邮件地址字符串（以英文逗号分隔），例如 user1@example.com, user2@example.com。
BCC 可选

以英文逗号分隔的密送 (BCC) 电子邮件收件人的电子邮件地址字符串，例如 user1@example.com, user2@example.com
Attachments Paths 可选

一个以逗号分隔的字符串，用于表示存储在 Google SecOps 服务器上的文件附件的路径。
Mail Content 必需

电子邮件的正文。
Reply-To Recipients 可选

要在 Reply-To 标头中使用的收件人列表（以英文逗号分隔）。

使用 Reply-To 标头将回复电子邮件重定向到特定电子邮件地址，而不是 From 字段中声明的发件人地址。

操作输出

发送电子邮件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例介绍了使用发送电子邮件操作时收到的 JSON 结果输出：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "example\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
输出消息

发送电子邮件操作提供以下输出消息：

输出消息 消息说明
Email was sent successfully. 操作成功。
Error executing action "Send Email". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用发送电子邮件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

发送消息串回复

使用 Send Thread Reply 操作将消息作为电子邮件会话串的回复发送。

此操作不适用于 Google SecOps 实体。

操作输入

发送消息串回复操作需要以下参数：

参数 说明
Mailbox 必需

要等待回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。
Internet Message ID 必需

要搜索的电子邮件的互联网消息 ID。
Reply To 可选

以逗号分隔列表形式的电子邮件地址，用于接收回复。

如果您未提供任何值，并且 Reply All 复选框处于未选中状态，则该操作只会向原始电子邮件发件人发送回复。如果您选择 Reply All 参数，相应操作会忽略此参数。
Reply All 可选

如果选择此项，该操作会向与原始电子邮件相关的所有收件人发送全部回复。

此参数的优先级高于 Reply To 参数。

默认情况下未选中。
Attachments Paths 可选

一个以逗号分隔的字符串，用于表示存储在 Google SecOps 服务器上的文件附件的路径。
Mail Content 必需

电子邮件的正文。

操作输出

发送帖子回复操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例介绍了使用发送帖子回复操作时收到的 JSON 结果输出：

{
   "id": "ID",
   "thread_id": "THREAD_ID",
   "label_ids": [
       "CATEGORY_PERSONAL",
       "INBOX"
   ],
   "snippet": "SNIPPET",
   "history_id": "10576",
   "internal_date": 1728217410000,
   "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
   "subject": "SUBJECT",
   "from": "example@example.com",
   "headers": {
       "delivered-to": "email@example.com",
       "received": [
           "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
       ],
       "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
       "x-received": [
           "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
       ],
       "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
       "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
       "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
   },
   "mimetype": "text/plain",
   "text_bodies": [
       "text\r\n"
   ],
   "html_bodies": [],
   "file_attachments": [],
   "date": "Sun, 6 Oct 2024 12:23:30 +0000",
   "to": "email@example.com",
   "cc": null,
   "bcc": null,
   "in-reply-to": null,
   "reply-to": null
}
输出消息

发送消息串回复操作提供以下输出消息：

输出消息 消息说明
Successfully sent a thread reply to the INTERNET_MESSAGE_ID email. 操作成功。
Error executing action "Sent Thread Reply". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用 Send Thread Reply 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

等待线程回复

使用 Wait For Thread Reply 操作等待用户回复通过 Send Email 操作发送的电子邮件。

此操作是异步的。在 Google SecOps IDE 中相应调整操作超时时间。

此操作不适用于 Google SecOps 实体。

操作输入

等待线程回复操作需要以下参数：

参数 说明
Mailbox 必需

要等待回复的邮箱，例如 user@example.com。

默认情况下，该操作会使用您为集成配置的默认邮箱。此参数接受多个值，这些值以逗号分隔列表形式提供。
Internet Message ID 必需

要等待的电子邮件操作的互联网消息 ID。如果邮件是使用 Send Email 操作发送的，请使用 SendEmail.JSONResult|message_id 占位符配置此参数。

如需检索互联网邮件 ID，请使用搜索电子邮件操作。
Wait for All Recipients to Reply 可选

如果选择此项，操作会等待所有收件人的响应，直到达到超时时间。

默认情况下未选中。
Fetch Response Attachments 可选

如果选择此选项，并且收件人回复包含附件，则此操作会检索电子邮件附件，并将其作为附件添加到 Google SecOps 中的问题墙。

默认情况下未选中。

操作输出

等待线程回复 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例介绍了使用 Wait For Thread Reply 操作时收到的 JSON 结果输出：

[
   {
       "Entity": "reply@example.com",
       "EntityResult": [
           {
               "id": "ID",
               "thread_id": "THREAD_ID",
               "label_ids": [
                   "CATEGORY_PERSONAL",
                   "INBOX"
               ],
               "snippet": "SNIPPET",
               "history_id": "10576",
               "internal_date": 1728217410000,
               "message_id": "<CAAfJ0RiApRCW7jbTMQdjia+cnzrsWR4UNbB4x94srTZHaEG+Vw@example.com>",
               "subject": "SUBJECT",
               "from": "example@example.com",
               "headers": {
                   "delivered-to": "reply@example.com",
                   "received": [
                       "by 2002:a096512 named unknown by gmailapi.google.com with HTTPREST; Sun, 6 Oct 2024 12:23:30 +0000"
                   ],
                   "x-google-smtp-source": "AGHT+IEq/FCBnUtDRgoabTbX8/z1dIKeKteo3Ic5+sbufKyI22pP1gK1soG9jSmV7dMEQXlIVdRf",
                   "x-received": [
                       "by 2002:a05:620a:0:b0:374:ce15:9995 with SMTP id ffacd0b85a97d-37d0e78253cmr6681102f8f.34.1728217410309; Sun, 06 Oct 2024 05:23:30 -0700 (PDT)"
                   ],
                   "arc-seal": "i=1; aLC/Hhaf3TqCPqGGiSfvDT7bxtQp1lz         c9xg==",
                   "arc-message-signature": "i=1; a=rsa-sha256; c=relaxed/relaxed; d=google.com; s=arc-20240605;        h=to:subject:message-id:datG+AhKivQ7tcf2K8m9B/lexnQw/puC+acDzdYkIqU6         o4ne1qpcJKc32l6V0+ggtGSuHFvp6ySOZkhLJqei9RXBd6HPV3Yj5nVexbhlFuH29w3E         KpGg==;        dara=google.com",
                   "arc-authentication-results": "i=1; mx.google.com;       dkim=pass header.i=@labilfrom=example@example.com;       dara=pass header.i=@example.com",
               },
               "mimetype": "text/plain",
               "text_bodies": [
                   "text\r\n"
               ],
               "html_bodies": [],
               "file_attachments": [],
               "date": "Sun, 6 Oct 2024 12:23:30 +0000",
               "to": "reply@example.com",
               "cc": null,
               "bcc": null,
               "in-reply-to": null,
               "reply-to": null
           }
       ]
   }
]
输出消息

等待线程回复操作提供以下输出消息：

输出消息 消息说明

Found replies from the following users: USERS

Waiting for replies from the following users: USERS

 操作成功。
Error executing action "Wait For Thread Reply". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表介绍了使用等待线程回复操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅提取数据（连接器）。

Gmail 连接器

使用 Gmail 连接器从指定邮箱检索 Gmail 电子邮件。

Gmail 连接器不会注入带有已安排标签的电子邮件，原因如下：

  • 该连接器仅提取已发送的电子邮件。已设为定时发送标签表示电子邮件仅已设为定时发送，但尚未发送。
  • 连接器需要时间戳才能检索电子邮件。定时发送的电子邮件没有时间戳。

连接器输入源

Gmail 连接器需要以下参数：

参数 说明
Product Field Name 必需

存储商品名称的字段的名称。

默认值为 device_product。
Event Field Name 必需

用于确定事件名称（子类型）的字段名称。

默认值为 event_name。
Environment Field Name 可选

存储环境名称的字段的名称。

如果未找到环境字段，则将环境设置为 ""。

Environment Regex Pattern 可选

要对 Environment Field Name 字段中找到的值运行的正则表达式模式。此参数可让您使用正则表达式逻辑来操纵环境字段。

使用默认值 .* 可检索所需的原始 Environment Field Name 值。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为 ""。
Email Exclude Pattern 可选

用于从提取中排除特定电子邮件（例如垃圾邮件或新闻）的正则表达式。

此参数适用于电子邮件的主题和正文。例如，如需排除自动回复电子邮件，您可以配置以下正则表达式：(?i)(auto|no)(\s|-)?re(ply|sponse|sponder)。
Script Timeout (Seconds) 必需

运行当前脚本的 Python 进程的超时时间限制（以秒为单位）。

默认值为 300 秒。

Service Account JSON File Content 可选

服务账号密钥 JSON 文件的内容。

您可以配置此参数或 Workload Identity Email 参数。

如需配置此参数，请提供您在创建服务账号时下载的服务账号密钥 JSON 文件的完整内容。
Workload Identity Email 可选

服务账号的客户端电子邮件地址。

您可以配置此参数或 Service Account JSON File Content 参数。

如需使用工作负载模拟服务账号，请向您的 Google SecOps 服务账号授予 Service Account Token Creator 角色。
Disable Overflow 可选

如果选中此选项，连接器会在创建提醒期间忽略 Google SecOps 溢出机制。

默认情况下未选中。
Default Mailbox 必需

用作集成默认邮箱的电子邮件地址，例如 user@example.com。
Labels Filter 可选

要注入 Google SecOps 的电子邮件的标签。

连接器支持嵌套标签。 以 Gmail 可接受的格式提供标签，例如 Inbox-label1-label2。
Email Status 可选

要搜索的电子邮件的状态。

可能的值如下：

  • Both
  • Read
  • Unread
默认值为 Both。
Extract Headers 可选

要从 internetMessageHeaders 列表中过滤并添加到 Google SecOps 事件的标头值。

默认情况下，连接器会将所有标头添加到事件中。如需仅添加特定标头，请以英文逗号分隔列表的形式输入这些标头，例如 DKIM-Siganture, Received, From。 如需防止连接器添加任何标头，请输入 None 值。

此参数不区分大小写。
Attached Mail File Prefix 可选

要添加到从受监控邮箱中收到的附加电子邮件文件中提取的事件键（例如 to、from 或 subject）的前缀。

默认值为 attach。
Original Received Mail Prefix 可选

要添加到从受监控邮箱中收到的原始电子邮件提取的事件键（例如 to、from 或 subject）的前缀。

默认值为 orig。
Attach Original EML 可选

如果选中此复选框，连接器会将原始电子邮件以 Elements 标记语言 (EML) 文件的形式附加到支持请求信息中。

默认情况下未选中。

Create Alert Per Attachment File 可选

如果选择此选项，连接器会创建多个提醒，每个附加的电子邮件文件对应一个提醒。

如果您处理附加了多个电子邮件文件的电子邮件，并将 Google SecOps 事件映射设置为从附加的电子邮件文件创建实体，此行为会非常有用。

默认情况下未选中。
Max Emails Per Cycle 可选

每次连接器迭代要检索的电子邮件数量上限。

数量上限为 100。默认值为 10。
Max Hours Backwards 可选

在第一个连接器迭代之前，要检索事件的小时数。此参数适用于首次启用连接器后的初始连接器迭代，或过期连接器时间戳的回退值。

默认值为 24。
Case Name Template 可选

自定义支持请求名称。

配置此参数后，连接器会将一个名为 custom_case_name 的新键添加到 Google SecOps 事件中。

您可以采用以下格式提供占位符： [name of the field]。

示例：Phishing - [event_mailbox]。

对于占位符，连接器使用第一个 Google SecOps 事件。连接器仅处理包含字符串值的键。如需配置此参数，请指定不带前缀的事件字段。
Alert Name Template 可选

自定义提醒名称。

您可以采用以下格式提供占位符： [name of the field]。

示例：Phishing - [event_mailbox]。

对于占位符，连接器使用第一个 Google SecOps SOAR 事件。连接器仅处理包含字符串值的键。如果您未提供值或提供的模板无效，连接器将使用默认的提醒名称。如需配置此参数，请指定不带前缀的事件字段。
Verify SSL 必需

如果选择此选项，集成会验证用于连接到 Gmail 的 SSL 证书是否有效。此选项将会默认选中。
Proxy Server Address 可选

要使用的代理服务器的地址。
Proxy Username 可选

用于进行身份验证的代理用户名。
Proxy Password 可选

用于进行身份验证的代理密码。

连接器规则

Gmail 连接器支持动态列表。

如需过滤电子邮件正文和主题中的特定值，请使用以下格式的动态列表正则表达式：key: regex，例如 subject: (?<=Subject: ).*。例如，在找到与 subject: (?<=Subject: ).* 正则表达式匹配的内容后，连接器会创建一个 Google SecOps 提醒事件，并向其中添加一个名称为 subject 的新键。新键值与正则表达式匹配。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。