IAM in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Identity and Access Management in Google Security Operations einbinden.

Anwendungsfälle

Die IAM-Integration unterstützt die folgenden Anwendungsfälle:

  • Automatisiertes Lebenszyklusmanagement für Dienstkonten: Dienstkonten werden während des Onboardings und Offboardings automatisch erstellt, aktiviert oder deaktiviert, damit der Zugriff nur bei Bedarf gewährt wird.

  • Schnelle Reaktion auf Identitätsvorfälle: Löschen oder deaktivieren Sie kompromittierte Dienstkonten und Rollen während eines Sicherheitsvorfalls sofort, um unbefugten Zugriff auf Cloud-Ressourcen zu verhindern.

  • Identitäts-Governance und -Anreicherung: Nutzerentitäten in Google SecOps mit detaillierten Dienstkontometadaten wie Anzeigenamen und Projekt-IDs anreichern, um Analysten bei Untersuchungen sofort Kontext zu bieten.

  • Richtlinienprüfung und -durchsetzung: Rufen Sie Richtlinien zur Zugriffssteuerung ab und prüfen Sie sie, um sicherzustellen, dass sie dem Prinzip der geringsten Berechtigung entsprechen. Legen Sie neue Richtlinien programmatisch fest, um nicht autorisierte Änderungen zu beheben.

  • Rollenbasierte Zugriffssteuerung (RBAC): Erstellen und verwalten Sie benutzerdefinierte IAM-Rollen mit bestimmten Berechtigungssätzen in Ihrer Organisation, um den Zugriff auf die Cloud-Umgebung detailliert zu steuern.

Hinweis

Bevor Sie die IAM-Integration in Google SecOps konfigurieren, müssen Sie die folgenden erforderlichen Schritte ausführen:

  1. Benutzerdefinierte IAM-Rolle erstellen: Definieren Sie eine Rolle mit den spezifischen Berechtigungen, die zum Verwalten von Dienstkonten und Rollen erforderlich sind.

  2. Dienstkonto erstellen: Erstellen Sie die Identität, die die Integration zum Ausführen von Aktionen verwendet.

  3. Authentifizierungsmethode auswählen: Wählen Sie zwischen der empfohlenen Workload Identity oder einem JSON-Schlüssel für ein Dienstkonto.

Benutzerdefinierte IAM-Rolle erstellen und konfigurieren

Führen Sie die folgenden Schritte aus, um eine benutzerdefinierte Rolle zu erstellen, die nur die für diese Integration erforderlichen Berechtigungen enthält, um das Prinzip der geringsten Berechtigung einzuhalten:

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > Rollen auf.

    Zu Rollen

  2. Klicken Sie auf addBenutzerdefinierte Rolle erstellen.

  3. Geben Sie einen Titel, eine Beschreibung und eine ID ein.

  4. Legen Sie die Rollenstartphase auf General Availability fest.

  5. Klicken Sie auf Berechtigungen hinzufügen und fügen Sie die folgenden spezifischen Berechtigungen hinzu:

    • iam.serviceAccounts.list
    • iam.serviceAccounts.create
    • iam.serviceAccounts.get
    • iam.serviceAccounts.getIamPolicy
    • iam.serviceAccounts.setIamPolicy
    • iam.serviceAccounts.disable
    • iam.serviceAccounts.enable
    • iam.serviceAccounts.delete
    • iam.roles.list
    • iam.roles.get
    • iam.roles.create
    • iam.roles.delete

  6. Klicken Sie auf Erstellen.

Dienstkonto erstellen

Die Integration verwendet ein Dienstkonto, um IAM-Aktionen in Ihrem Projekt zu authentifizieren und auszuführen.

So erstellen Sie ein Dienstkonto:

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf addDienstkonto erstellen.

  3. Geben Sie einen Namen und eine Beschreibung ein und klicken Sie dann auf Erstellen und fortfahren.

  4. Weisen Sie im Abschnitt Diesem Dienstkonto Zugriff auf das Projekt erteilen diesem Dienstkonto die benutzerdefinierte Rolle zu, die Sie im vorherigen Schritt erstellt haben. Klicken Sie auf Fertig.

Authentifizierungsmethode auswählen und konfigurieren

Google SecOps unterstützt zwei Authentifizierungspfade für diese Integration:

  • Option 1: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige Tokens verwendet, die die Identitätsübernahme des Dienstkontos nutzen. Sie ist sicherer, da keine langlebigen JSON-Schlüssel mehr erforderlich sind.

  • Option 2: JSON-Schlüssel für Dienstkonto: Bei dieser Methode wird eine statische Schlüsseldatei verwendet. Verwenden Sie diese Option nur, wenn in Ihrer Umgebung keine Workload Identity verfügbar ist.

Mit einer Workload Identity authentifizieren (empfohlen)

Wenn Sie eine Workload Identity verwenden möchten, müssen Sie Ihre Google SecOps-Instanz autorisieren, die Identität des von Ihnen erstellten Dienstkontos zu übernehmen.

  1. Rufen Sie in Google SecOps Content Hub > Antwortintegrationen auf.

  2. Wählen Sie die IAM-Integration aus.

  3. Geben Sie die E-Mail-Adresse Ihres Dienstkontos in das Feld Workload Identity-E-Mail-Adresse ein.

  4. Klicken Sie auf Speichern und dann auf Testen. Der Test wird voraussichtlich zuerst fehlschlagen.

  5. Klicken Sie neben dem fehlgeschlagenen Test auf close_small, um die Fehlermeldung aufzurufen.

  6. Suchen Sie nach der eindeutigen E‑Mail-Adresse (im Format gke-init-python@... oder soar-python@...), die sich am Ende der Fehlermeldung befindet. Kopieren Sie diese Adresse.

Berechtigungen zur Identitätsübernahme gewähren

Nachdem Sie die eindeutige Identität für Ihre Google SecOps-Instanz abgerufen haben, müssen Sie sie für den Zugriff auf Ihre Google Cloud -Ressourcen autorisieren. In diesem Schritt wird die Identitätsübernahme des Dienstkontos aktiviert. So kann die Plattform kurzlebige Tokens generieren und in Ihrem Namen agieren, ohne dass statische Schlüssel erforderlich sind.

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das Dienstkonto aus, das Sie für diese Integration erstellt haben.

  3. Rufen Sie den Tab Berechtigungen auf und klicken Sie auf Zugriff gewähren.

  4. Fügen Sie die kopierte eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein.

  5. Weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu. Klicken Sie auf Speichern.

Mit einem JSON-Schlüssel authentifizieren

Wenn die Verwendung einer Workload Identity in Ihrer Umgebung nicht möglich ist, können Sie die Integration mit einem JSON-Schlüssel für das Dienstkonto authentifizieren. Diese Methode basiert auf einer statischen, langlebigen Secret-Datei, um die Verbindung zwischen der Plattform und Ihren Google Cloud -Ressourcen herzustellen.

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf und wählen Sie Ihr Dienstkonto aus.

    Zur Seite „Dienstkonten“

  2. Rufen Sie den Tab Schlüssel auf.

  3. Klicken Sie auf Schlüssel hinzufügen > Neuen Schlüssel erstellen.

  4. Wählen Sie als Schlüsseltyp JSON aus und klicken Sie auf Erstellen. Die Datei wird auf Ihren Computer heruntergeladen.

  5. Kopieren Sie den gesamten Inhalt der JSON-Datei.

  6. Wenn Sie diese Integration auf der Plattform konfigurieren, fügen Sie den Inhalt in das Feld Service Account Json File Content ein.

Integrationsparameter

Für die IAM-Integration sind die folgenden Parameter erforderlich:

Parameter Beschreibung
API Root

Optional.

Die Basis-URL der IAM-Instanz.

Der Standardwert ist https://iam.googleapis.com.
Account Type

Optional.

Der Typ des Google Cloud -Kontos.

Dieser Wert entspricht dem Parameter type in der JSON-Authentifizierungsdatei.

Der Standardwert ist service_account.
Project ID

Optional.

Die Projekt-ID des Google Cloud -Kontos.

Dieser Wert entspricht dem Parameter project_id in der JSON-Authentifizierungsdatei.
Quota Project ID

Optional.

Die Projekt-ID, die für Kontingent- und Abrechnungszwecke bei API-Anfragen verwendet wird.
Private Key ID

Optional.

Die ID des privaten Schlüssels des Google Cloud -Kontos.

Dieser Wert entspricht dem Parameter private_key_id in der JSON-Authentifizierungsdatei.
Private Key

Optional.

Der private Schlüssel des Kontos Google Cloud .

Dieser Wert entspricht dem Parameter private_key in der JSON-Authentifizierungsdatei.
Client Email

Optional.

Die Client-E-Mail-Adresse des Google Cloud Kontos.

Dieser Wert entspricht dem Parameter client_email in der JSON-Authentifizierungsdatei.
Client ID

Optional.

Die Client-ID des Google Cloud -Kontos.

Dieser Wert entspricht dem Parameter client_id in der JSON-Authentifizierungsdatei.
Auth URI

Optional.

Der Authentifizierungs-URI für das Google Cloud Konto.

Dieser Wert entspricht dem Parameter auth_uri in der JSON-Authentifizierungsdatei.

Der Standardwert ist https://accounts.google.com/o/oauth2/auth.
Token URI

Optional.

Der Token-URI für das Google Cloud Konto.

Dieser Wert entspricht dem Parameter token_uri in der JSON-Authentifizierungsdatei.

Der Standardwert ist https://oauth2.googleapis.com/token.
Auth Provider X509 URL

Optional.

Die URL des X.509-Zertifikats des Authentifizierungsanbieters.

Dieser Wert entspricht dem Parameter auth_provider_x509_cert_url in der JSON-Authentifizierungsdatei.

Der Standardwert ist https://www.googleapis.com/oauth2/v1/certs.
Client X509 URL

Optional.

Die URL des X.509-Clientzertifikats.

Dieser Wert entspricht dem Parameter client_x509_cert_url in der JSON-Authentifizierungsdatei.
Organization ID

Optional.

Die eindeutige Kennung für Ihre Google Cloud Organisation.
Service Account Json File Content

Optional.

Der vollständige JSON-Inhalt der Dienstkontoschlüsseldatei.

Wenn dieser Parameter angegeben wird, werden einzelne Verbindungsparameter (z. B. Private Key ID und Private Key) ignoriert.
Workload Identity Email

Optional.

Die mit dem Workload Identity-Dienstkonto verknüpfte E-Mail-Adresse.
Verify SSL

Optional.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zum IAM-Server hergestellt wird.

Standardmäßig aktiviert.

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Rolle erstellen

Erstellen Sie eine IAM-Rolle (Identity and Access Management).

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Rollen-ID String – Ja Geben Sie die Rollen-ID für die neu erstellte IAM-Rolle (Identity and Access Management) an.
Rollendefinition String – Ja Geben Sie das JSON-Richtliniendokument an, das als Rollendefinition verwendet werden soll.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt.

Beispiel für JSON-Rollenrichtlinie

{
   "name": "projects/silver-shift-275007/roles/iam_test_role_api",
   "title": "iam_test_role_api",
   "description": "test role",
   "includedPermissions": [
       "storagetransfer.projects.getServiceAccount"
   ],
   "stage": "GA",
   "etag": "BwXBu1RHiPw="
}

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
   "name": "projects/[PROJECT_ID]/roles/[ROLE_NAME]",
   "title": "[ROLE_TITLE]",
   "description": "[ROLE_DESCRIPTION]",
   "includedPermissions": [
       "storagetransfer.projects.getServiceAccount"
   ],
   "stage": "GA",
   "etag": "[ETAG_VALUE]"
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn die Aktion erfolgreich ausgeführt wurde:(is_success=true)

    • Die Identity and Access Management-Rolle <roleid> wurde erfolgreich erstellt.

  • Wenn die angegebene role_id bereits vorhanden ist(is_success =false)

    • Die angegebene Rollen-ID<role_id> ist bereits vorhanden.

  • Wenn die bereitgestellte JSON-Rolle ungültig ist (is_success =false)

    • Das bereitgestellte JSON-Dokument <role json> für die Rollendefinition ist ungültig.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Rolle erstellen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Dienstkonto erstellen

Erstellen Sie ein IAM-Dienstkonto (Identity and Access Management).

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Dienstkonto-ID String String Ja Geben Sie die zu erstellende Dienstkonto-ID an.
Anzeigename des Dienstkontos String String Nein Geben Sie den Anzeigenamen des zu erstellenden Dienstkontos an.
Beschreibung des Dienstkontos String String Nein Geben Sie die Beschreibung des zu erstellenden Dienstkontos an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
   "name": "projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
   "projectId": "PROJECT_ID",
   "uniqueId": "UNIQUE_ID",
   "email": "SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com",
   "displayName": "SERVICE_ACCOUNT_DISPLAY_NAME",
   "etag": "ETAG_VALUE",
   "description": "SERVICE_ACCOUNT_DESCRIPTION",
   "oauth2ClientId": "UNIQUE_ID"
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn die Aktion erfolgreich ausgeführt wurde:(is_success=true)

    • Google Cloud Dienstkonto wurde erstellt <eindeutige ID>.

  • Wenn die Aktion nicht ausgeführt werden konnte, weil das angegebene Dienstkonto bereits vorhanden ist(is_success =false)

    • Das angegebene Dienstkonto <eindeutige ID> ist bereits vorhanden.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Dienstkonto erstellen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Rolle löschen

Identity and Access Management-Rolle löschen.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Rollen-ID String – Ja Geben Sie die Rollen-ID für die neu erstellte IAM-Rolle (Identity and Access Management) an.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
   "name": "projects/[PROJECT_ID]/roles/[ROLE_NAME]",
   "title": "[ROLE_TITLE]",
   "description": "[ROLE_DESCRIPTION]",
   "includedPermissions": [
       "storagetransfer.projects.getServiceAccount"
   ],
   "stage": "GA",
   "etag": "[ETAG_VALUE]",
   "deleted": true
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn die Aktion erfolgreich ausgeführt wurde:(is_success=true)

    • Die Identity and Access Management-Rolle <roleid> wurde gelöscht.

  • If provided role_id not exists(is_success =false)

    • Die angegebene Rollen-ID<role_id> ist nicht vorhanden.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Rolle löschen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Dienstkonto löschen

Dienstkonto löschen. Die Aktion erwartet die E-Mail-Adresse des Identity and Access Management-Dienstkontos als Google SecOps-Nutzerentität.

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn mindestens eine der angegebenen Entitäten erfolgreich gelöscht wurde: „Die folgenden Dienstkonten wurden gelöscht: {0}“.format([entity.Identifier]).

  • Wenn nicht alle angegebenen Entitäten gelöscht werden können: „Es wurden keine Dienstkonten gelöscht.“

  • Wenn in Identity and Access Management keine Daten zum Löschen bestimmter Entitäten gefunden werden: „Action was not able to find a match in Identity and Access Management for the provided entities: {0}“.format([entity.identifier])

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Dienstkonto löschen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Dienstkonto deaktivieren

Dienstkonto deaktivieren. Die Aktion erwartet die E-Mail-Adresse des Identity and Access Management-Dienstkontos als Google SecOps-Nutzerentität.

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn mindestens eine der angegebenen Entitäten erfolgreich deaktiviert wurde: „Successfully disabled the following service accounts: {0}“.format([entity.Identifier]).

  • Wenn nicht alle angegebenen Entitäten deaktiviert werden können: „Es wurden keine Dienstkonten deaktiviert.“

  • Wenn in Google Cloud IAM keine Daten gefunden werden, um bestimmte Entitäten zu deaktivieren: „Action was not able to find a match in Google Cloud IAM for the provided entities: {0}“.format([entity.identifier])

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Dienstkonto deaktivieren‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Dienstkonto aktivieren

Aktivieren Sie das Dienstkonto. Die Aktion erwartet die E-Mail-Adresse des Identity and Access Management-Dienstkontos als Google SecOps-Nutzerentität.

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn mindestens eine der angegebenen Entitäten erfolgreich ist: „Die folgenden Dienstkonten wurden aktiviert: {0}“.format([entity.Identifier]).

  • Wenn nicht alle angegebenen Entitäten aktiviert werden können: „Es wurden keine Dienstkonten aktiviert.“

  • Wenn in Identity and Access Management keine Daten gefunden werden, um bestimmte Entitäten zu aktivieren: „Action was not able to find a match in Identity and Access Management for the provided entities: {0}“.format([entity.identifier])

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Dienstkonto aktivieren‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Entitäten anreichern

Google SecOps-Nutzerentitäten mit Dienstkontoinformationen aus Identity and Access Management anreichern. Die Aktion erwartet die E-Mail-Adresse des Identity and Access Management-Dienstkontos als Google SecOps-Nutzerentität.

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
  "name": "projects/[PROJECT_ID]/serviceAccounts/[SERVICE_ACCOUNT_NAME]@[PROJECT_ID].iam.gserviceaccount.com",
  "projectId": "[PROJECT_ID]",
  "uniqueId": "[UNIQUE_ID]",
  "email": "[SERVICE_ACCOUNT_NAME]@[PROJECT_ID].iam.gserviceaccount.com",
  "displayName": "[DISPLAY_NAME]",
  "etag": "[ETAG]",
  "description": "[DESCRIPTION]",
  "oauth2ClientId": "[UNIQUE_ID]"
}
Entitätsanreicherung
Name des Anreicherungsfelds Logik – Wann anwenden
Google_IAM_name
Google_IAM_project_id ..
Google_IAM_unique_id
Google_IAM_email
Google_IAM_display_name
Google_IAM_description
Google_IAM_oauth2_client_id
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn erfolgreich und mindestens eine der angegebenen Entitäten angereichert wurde: „Successfully enriched entities: {0}“.format([entity.Identifier]).
  • Wenn keine der bereitgestellten Entitäten angereichert werden konnte: „Es wurden keine Entitäten angereichert.“
  • Wenn in Identity and Access Management keine Daten zum Anreichern bestimmter Entitäten gefunden werden: „Action was not able to find a match in Identity and Access Management to enrich provided entities: {0}“.format([entity.identifier])

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Entitäten anreichern‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle (Anreicherung)

Tabellenname: {entity} Enrichment Table

Spalten: Schlüssel, Wert

 Entität

IAM-Richtlinie für Dienstkonto abrufen

Ruft die Zugriffssteuerungsrichtlinie für das Dienstkonto ab. Die Aktion erwartet die E-Mail-Adresse des Identity and Access Management-Dienstkontos als Google SecOps-Nutzerentität. Beachten Sie, dass die Richtlinie leer sein kann, wenn dem Dienstkonto keine Richtlinie zugewiesen ist.

Ausführen am

Diese Aktion wird für die Entität „Nutzer“ ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
   "version": 1,
   "etag": "[ETAG_VALUE]",
   "bindings": [
       {
           "role": "roles/iam.securityReviewer",
           "members": [
               "user:[USER_EMAIL]"
           ]
       }
   ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn die Aktion erfolgreich ausgeführt wurde:(is_success=true)

    • „Identity and Access Management-Richtlinie für die folgenden Google Cloud Dienstkonten erfolgreich abgerufen: <E-Mail-ID 1, E-Mail-ID 2...>

  • Wenn die Aktion keine Informationen für die Entität gefunden hat (z. B. wenn die angegebene E-Mail-Adresse in Google Identity and Access Management nicht vorhanden ist):

    • Die Aktion konnte die IAM-Richtlinie (Identity and Access Management) für die folgenden Google Cloud Dienstkonten nicht abrufen: <E-Mail-ID1, E-Mail-ID2 usw.>
  • Wenn für alle angegebenen Entitäten keine IAM-Richtlinie (Identity and Access Management) gefunden wird: „Für keine der angegebenen Entitäten wurde eine IAM-Richtlinie (Identity and Access Management) gefunden.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚IAM-Richtlinie für Dienstkonto abrufen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Rollen auflisten

Listet IAM-Rollen (Identity and Access Management) basierend auf den angegebenen Suchkriterien auf. Beachten Sie, dass die Aktion für Google SecOps-Entitäten nicht funktioniert.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Ansehen DDL Einfach Nein Geben Sie an, welche Ansicht verwendet werden soll, um Rolleninformationen zurückzugeben.
Maximale Anzahl zurückzugebender Zeilen Ganzzahl 50 Nein Geben Sie an, wie viele Rollen die Aktion zurückgeben soll.
Nur benutzerdefinierte Projektrollen auflisten? Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden nur benutzerdefinierte Rollen zurückgegeben, die für die aktuelle Projekt-ID definiert sind.
Gelöschte anzeigen Kästchen Deaktiviert Nein Wenn diese Option aktiviert ist, werden auch gelöschte Rollen zurückgegeben.

Ausführen am

Die Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
   "roles": [
       {
           "name": "roles/accessapproval.approver",
           "title": "Access Approval Approver",
           "description": "Ability to view or act on access approval requests and view configuration",
           "stage": "BETA",
           "etag": "[ETAG_VALUE]"
       },
       {
           "name": "roles/accessapproval.configEditor",
           "title": "Access Approval Config Editor",
           "description": "Ability update the Access Approval configuration",
           "stage": "BETA",
           "etag": "[ETAG_VALUE]"
       }
   ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn Rollen erfolgreich aufgelistet wurden(is_success = true): „Identity and Access Management-Rollen erfolgreich abgerufen.“

  • Wenn keine Werte verfügbar sind(is_success = false): „Für die angegebenen Eingabeparameter wurden keine Rollen zurückgegeben.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, ungültiger Zone, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Rollen auflisten‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle

Tabellenname: IAM-Rollen

Tabellenspalten:

Rollenname

Rollentitel

Rollenbeschreibung

Rollenphase

Rollen-ETag

Rollenberechtigungen

 Allgemein

Dienstkonten auflisten

Listet IAM-Dienstkonten (Identity and Access Management) anhand der angegebenen Suchkriterien auf. Beachten Sie, dass die Aktion für Google SecOps-Entitäten nicht funktioniert.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Anzeigename des Dienstkontos String – Nein Geben Sie den Anzeigenamen des Dienstkontos an, der zurückgegeben werden soll. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
E-Mail-Adresse des Dienstkontos String – Nein Geben Sie die E-Mail-Adresse des Dienstkontos an, die zurückgegeben werden soll. Der Parameter akzeptiert mehrere Werte als kommagetrennten String.
Maximale Anzahl zurückzugebender Zeilen Ganzzahl 50 Nein Geben Sie an, wie viele Rollen die Aktion zurückgeben soll.

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
  "accounts": [
    {
      "name": "projects/[PROJECT_ID]/serviceAccounts/[SERVICE_ACCOUNT_NAME]@[PROJECT_ID].iam.gserviceaccount.com",
      "projectId": "[PROJECT_ID]",
      "uniqueId": "[UNIQUE_ID]",
      "email": "[SERVICE_ACCOUNT_NAME]@[PROJECT_ID].iam.gserviceaccount.com",
      "displayName": "[DISPLAY_NAME]",
      "etag": "[ETAG_VALUE]",
      "description": "[SERVICE_ACCOUNT_DESCRIPTION]",
      "oauth2ClientId": "[UNIQUE_ID]"
    }
  ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn Dienstkonten erfolgreich aufgelistet wurden (is_success = true):
    „ Google Cloud  Dienstkonten wurden erfolgreich abgerufen.“
  • Wenn keine Werte verfügbar sind(is_success = false): „Für die angegebenen Eingabeparameter wurden keine Dienstkonten zurückgegeben.“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, ungültiger Zone, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚Dienstkonten auflisten‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein
Tabelle

Tabellenname: Google Cloud Dienstkonten

Tabellenspalten:

Name des Dienstkontos

Eindeutige ID des Dienstkontos

E-Mail-Adresse des Dienstkontos

Anzeigename des Dienstkontos

Beschreibung des Dienstkontos

OAuth2-Client-ID des Dienstkontos

 Allgemein

Ping

Testen Sie die Verbindung zum Identity and Access Management-Dienst mit den Parametern, die auf der Seite „Integrationskonfiguration“ im Google SecOps Content Hub angegeben sind.

Parameter

–

Ausführen am

Diese Aktion wird nicht für Entitäten ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Bei Erfolg: „Successfully connected to the Identity and Access Management service with the provided connection parameters!“

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

  • Bei kritischem Fehler, z. B. falschen Anmeldedaten oder Verbindungsverlust: „Verbindung zum Identity and Access Management-Dienst konnte nicht hergestellt werden! Error is {0}".format(exception.stacktrace)
 Allgemein

Dienstkontoschlüssel rotieren

Verwenden Sie die Aktion Dienstkontoschlüssel rotieren, um von Nutzern verwaltete Schlüssel zu rotieren, die mit einem Dienstkonto verknüpft sind. Während der Rotation werden alle vorhandenen Schlüssel gelöscht und ein neuer Schlüssel wird erstellt.

Diese Aktion wird für die folgenden Google SecOps-Entitäten ausgeführt:

  • Deployment

  • Username

Aktionseingaben

Für die Aktion Dienstkontoschlüssel rotieren sind die folgenden Parameter erforderlich:

Parameter Beschreibung
Service Account

Optional.

Eine durch Kommas getrennte Liste von Dienstkonten, für die Schlüssel rotiert werden sollen.

Dieser Parameter wird zusammen mit Entitäten verwendet. Wenn angegeben, werden mit der Aktion die Schlüssel für diese spezifischen Konten zusätzlich zu allen Dienstkontoentitäten rotiert, die im Aktionsbereich identifiziert wurden.

Aktionsausgaben

Die Aktion Dienstkontoschlüssel rotieren liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
JSON-Ergebnis

Das folgende Beispiel zeigt die JSON-Ergebnisausgabe, die bei Verwendung der Aktion Dienstkontoschlüssel rotieren empfangen wird:

[
    {
       "Entity": "123",
       "EntityResult": {
               "name": "projects/example-project/serviceAccounts/sample-sa@example-project.iam.gserviceaccount.com/keys/b333bbda7826af991a4d4cc4e3f83325103580ca",
               "validAfterTime": "2023-09-12T11:02:31Z",
               "validBeforeTime": "9999-12-31T23:59:59Z",
               "keyAlgorithm": "KEY_ALG_RSA_2048",
               "keyOrigin": "GOOGLE_PROVIDED",
               "keyType": "USER_MANAGED"
        }
    },
    {
       "Entity": "1234",
       "EntityResult": {
               "name": "projects/example-project/serviceAccounts/sample-sa@example-project.iam.gserviceaccount.com/keys/b333bbda7826af991a4d4cc4e3f83325103580ca",
               "validAfterTime": "2023-09-12T11:02:31Z",
               "validBeforeTime": "9999-12-31T23:59:59Z",
               "keyAlgorithm": "KEY_ALG_RSA_2048",
               "keyOrigin": "GOOGLE_PROVIDED",
               "keyType": "USER_MANAGED"
        }
    }
]
Ausgabenachrichten

Die Aktion Dienstkontoschlüssel rotieren kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully rotated keys for service account SERVICE_ACCOUNT_EMAIL in IAM.

The following service accounts were not found in IAM: SERVICE_ACCOUNT_KEYS.

None of the provided service accounts were found in IAM.

 Die Aktion war erfolgreich.
Error executing action "Rotate Service Account Keys". Reason: ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie die Verbindung zum Server, die Eingabeparameter oder die Anmeldedaten.
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses aufgeführt, wenn Sie die Aktion Dienstkontoschlüssel rotieren verwenden:

Name des Skriptergebnisses Wert
is_success true oder false

IAM-Richtlinie für Dienstkonto festlegen

Legt die Zugriffssteuerungsrichtlinie für das angegebene Dienstkonto fest. Die Aktion erwartet die E-Mail-Adresse des Identity and Access Management-Dienstkontos als Google SecOps-Kontoentität. Beachten Sie, dass die in der Aktion angegebene Richtlinie alle vorhandenen Richtlinien ersetzt.

Parameter

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Richtlinie String – Ja Geben Sie das JSON-Richtliniendokument an, das für das Dienstkonto festgelegt werden soll.

Ausführen am

Diese Aktion wird für die Entität „Konto“ ausgeführt.

Aktionsergebnisse

Scriptergebnis
Name des Skriptergebnisses Wertoptionen
is_success is_success=False
is_success is_success=True
JSON-Ergebnis
{
   "version": 1,
   "etag": "[ETAG_VALUE]",
   "bindings": [
       {
           "role": "roles/iam.securityReviewer",
           "members": [
               "user:[USER_EMAIL]"
           ]
       }
   ]
}
Fall-Repository
Ergebnistyp Wert/Beschreibung Typ
Ausgabenachricht*

Die Aktion sollte nicht fehlschlagen oder die Ausführung eines Playbooks stoppen:

  • Wenn einige erfolgreich sind (is_success=True):

    • Identity and Access Management-Richtlinie für die folgenden Google Cloud Dienstkonten erfolgreich festgelegt: <E-Mail-ID1, ...>

  • Wenn einige fehlgeschlagen sind:

    • Die Aktion konnte die Identity and Access Management-Richtlinie für die folgenden Google Cloud Dienstkonten nicht festlegen: <E-Mail-ID1, ...>

  • Wenn alle Versuche fehlgeschlagen sind:

    • Es wurden keine IAM-Richtlinien (Identity and Access Management) für Dienstkonten festgelegt.

  • Wenn die bereitgestellte JSON-Richtlinie ungültig ist (is_success =false)

    • Das bereitgestellte JSON-Richtliniendokument <policy> ist ungültig.

Die Aktion sollte fehlschlagen und die Ausführung des Playbooks beenden:

Bei schwerwiegendem Fehler, SDK-Fehler, z. B. falsche Anmeldedaten, keine Verbindung zum Server, Sonstiges: „Fehler beim Ausführen der Aktion ‚IAM-Richtlinie für Dienstkonto festlegen‘. Reason: {0}''.format(error.Stacktrace)

 Allgemein

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten