Intégrer Okta à Google SecOps

Ce document explique comment intégrer Okta à Google Security Operations.

Cas d'utilisation

L'intégration Okta utilise les fonctionnalités Google SecOps pour prendre en charge les cas d'utilisation suivants :

  • Gérer les cycles de vie des utilisateurs : activez ou désactivez automatiquement les comptes des utilisateurs, ou réinitialisez leurs mots de passe en fonction des alertes de sécurité pour réduire les risques.

  • Mettre fin aux sessions actives : effacez instantanément toutes les sessions Okta actives pour les comptes compromis afin d'empêcher tout accès non autorisé aux applications intégrées.

  • Automatisez l'attribution des rôles : attribuez ou supprimez dynamiquement des rôles administratifs aux utilisateurs pour respecter le principe du moindre privilège lors des investigations.

  • Synchroniser les signaux de menace : envoyez des signaux de protection contre les menaces liées à l'identité (ITP, Identity Threat Protection) à Okta pour partager le contexte des risques et déclencher des réponses de sécurité automatisées.

  • Enrichir le contexte de l'identité : récupérez des profils utilisateur détaillés et des informations sur les appartenances aux groupes pour offrir aux analystes une visibilité approfondie sur l'activité des comptes.

Avant de commencer

Avant de configurer l'intégration dans Google SecOps, vérifiez que les conditions suivantes sont remplies dans votre environnement Okta :

  • Méthode d'authentification : déterminez si votre organisation utilise un jeton d'API (SSWS) ou OAuth 2.0 pour l'authentification.

  • Autorisations du compte : vérifiez que le compte dispose des autorisations suffisantes pour effectuer des actions de gestion des utilisateurs et de fin de session.

Paramètres d'intégration

L'intégration Okta nécessite les paramètres suivants :

Paramètre Description
Api Root

Obligatoire.

URL de base de votre instance Okta, utilisée pour accéder à l'API.

La valeur par défaut est https://{okta_domain}.com/.
Api Token

Facultatif.

Jeton d'API (SSWS) utilisé pour l'authentification auprès de l'instance Okta.

Si Use Oauth Authentication est désactivé, ce paramètre est obligatoire.
Use Oauth Authentication

Obligatoire.

Si cette option est activée, l'intégration utilise OAuth 2.0 pour l'authentification au lieu d'un jeton d'API.

Lorsque vous utilisez OAuth, Client ID, Key ID et Private Key sont obligatoires, et Api Token doit être laissé vide.

Si cette option est désactivée, Api Token est obligatoire.
Client ID

Facultatif.

Identifiant unique de l'application Okta OAuth.

Si Use Oauth Authentication est activé, ce paramètre est obligatoire.

Si vous vous authentifiez à l'aide d'un jeton d'API, laissez ce champ vide.
Key ID

Facultatif.

ID de la clé publique associée à la clé privée utilisée pour l'authentification OAuth.

Si Use Oauth Authentication est activé, ce paramètre est obligatoire.

Si vous vous authentifiez à l'aide d'un jeton d'API, laissez ce champ vide.
Private Key

Facultatif.

Clé privée au format PEM utilisée pour l'authentification OAuth.

Si Use Oauth Authentication est activé, ce paramètre est obligatoire.

Si vous vous authentifiez à l'aide d'un jeton d'API, laissez ce champ vide.
Verify SSL

Facultatif.

Si cette option est sélectionnée, l'intégration valide le certificat SSL lors de la connexion au serveur Okta.

Cette option est activée par défaut.

Pour obtenir des instructions sur la configuration d'une intégration dans Google SecOps, consultez Configurer des intégrations.

Vous pourrez apporter des modifications ultérieurement, si nécessaire. Une fois que vous avez configuré une instance d'intégration, vous pouvez l'utiliser dans des playbooks. Pour savoir comment configurer et prendre en charge plusieurs instances, consultez Prise en charge de plusieurs instances.

Actions

Pour en savoir plus sur les actions, consultez Répondre aux actions en attente depuis Votre bureau et Effectuer une action manuelle.

Ajouter un groupe

Ajoutez un groupe.

Paramètres

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités

N/A

Insights

N/A

Attribuer un rôle

Attribuez un rôle à un utilisateur.

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID utilisateur Chaîne N/A ID des utilisateurs dans Okta.
Types de rôles Chaîne N/A Type de rôle à attribuer aux utilisateurs.
Également exécuter dans le champ d'application Case à cocher Cochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
Rôles Renvoie la valeur si elle existe dans le résultat JSON.
Insights

N/A

Effacer la session utilisateur Okta

Utilisez l'action Clear Okta User Session (Effacer la session utilisateur Okta) pour mettre fin à toutes les sessions Okta actives pour des utilisateurs spécifiques sur tous les appareils et applications intégrées.

Cette action s'exécute sur l'entité Username de Google SecOps.

Entrées d'action

L'action Effacer la session utilisateur Okta nécessite les paramètres suivants :

Paramètre Description
User IDs Or Logins

Facultatif.

Liste d'ID utilisateur ou d'identifiants de connexion Okta séparés par une virgule.
Also Run On Scope

Facultatif.

Si cette option est sélectionnée, l'action révoque les sessions de fournisseur d'identité (IdP) actives pour tous les utilisateurs identifiés dans le champ d'application de l'entité, en plus de ceux listés explicitement dans User IDs Or Logins.

Sorties d'action

L'action Clear Okta User Session (Effacer la session utilisateur Okta) fournit les sorties suivantes :

Type de sortie de l'action Disponibilité
Pièce jointe au mur des cas Non disponible
Lien vers le mur des cas Non disponible
Tableau du mur des cas Non disponible
Table d'enrichissement Non disponible
Résultat JSON Non disponible
Messages de sortie Disponible
Résultat du script Disponible
Messages de sortie

L'action Effacer la session utilisateur Okta peut renvoyer les messages de sortie suivants :

Message de sortie Description du message

Successfully cleared sessions for the following users: ENTITY_IDS.

The sessions failed to clear for the following user in Okta: ENTITY_ID.

No users were found to clear sessions.

 L'action a réussi.
Error executing action "Clear Okta User Session". Reason: ERROR_REASON

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Résultat du script

Le tableau suivant répertorie la valeur de la sortie du résultat du script lorsque vous utilisez l'action Clear Okta User Session (Effacer la session utilisateur Okta) :

Nom du résultat du script Valeur
is_success true ou false

Désactiver un utilisateur

Désactive l'utilisateur spécifié.

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID utilisateur ou identifiants Chaîne N/A ID des utilisateurs dans Okta.
Is Deactivate (Est désactivé) Case à cocher Cochée Indique si l'utilisateur doit être désactivé ou simplement suspendu.
Envoyer un e-mail en cas de désactivation Case à cocher Cochée Indique si un e-mail doit être envoyé après la désactivation.
Également exécuter dans le champ d'application Case à cocher Cochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
is_deactivate Si la valeur est "True", l'utilisateur est désactivé. Sinon : False
is_send_email_deactivate Si la valeur est "True", l'utilisateur est désactivé. Sinon : False
Insights

N/A

Activer un utilisateur

Active l'utilisateur spécifié.

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID utilisateur ou identifiants Chaîne N/A Identifiants ou identifiants de connexion des utilisateurs dans Okta.
Is Activate Case à cocher Cochée Indique s'il faut activer l'utilisateur ou simplement le réactiver.
Envoyer un e-mail si l'activation est effectuée Case à cocher Cochée Indique s'il faut envoyer un e-mail après l'activation.
Également exécuter dans le champ d'application Case à cocher Cochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
is_reactivate Si la valeur est "True", l'utilisateur est activé. Sinon : False
is_send_email_reactivate Si la valeur est "True", l'utilisateur est désactivé. Sinon : False
Insights

N/A

Obtenir un groupe

Obtenez des informations sur un groupe.

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID ou noms de groupes Chaîne N/A ID ou noms des groupes dans Okta.
Is Id Case à cocher Cochée Indique si la valeur est un ID ou un nom.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités

N/A

Insights

N/A

Obtenir l'utilisateur

Obtenir des informations sur un utilisateur

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID utilisateur ou identifiants Chaîne N/A ID ou identifiants (adresse e-mail ou nom d'adresse e-mail abrégé) d'un utilisateur dans Okta, par exemple test@gmail.com ou simplement "test".
Également exécuter dans le champ d'application Case à cocher Cochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultat de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
[
  {
    "status": "ACTIVE",
    "profile": {
      "mobilePhone": null,
      "firstName": "Test",
      "lastName": "User",
      "secondEmail": null,
      "login": "test.user@asd.com",
      "email": "test.user@asd.com"
    },
    "passwordChanged": "2022-07-11T06:11:25.000Z",
    "created": "2022-07-11T06:07:55.000Z",
    "activated": null,
    "lastUpdated": "2022-07-11T06:11:25.000Z",
    "_links": {
      "schema": {
        "href": "https://trial-0000.okta.com/api/v1/meta/schemas/user/osc1xxxxxxxx"
      },
      "suspend": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/suspend",
        "method": "POST"
      },
      "forgotPassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/forgot_password",
        "method": "POST"
      },
      "self": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx"
      },
      "expirePassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/expire_password",
        "method": "POST"
      },
      "resetFactors": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/reset_factors",
        "method": "POST"
      },
      "deactivate": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/deactivate",
        "method": "POST"
      },
      "changePassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/change_password",
        "method": "POST"
      },
      "changeRecoveryQuestion": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/credentials/change_recovery_question",
        "method": "POST"
      },
      "type": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx"
      },
      "resetPassword": {
        "href": "https://trial-0000.okta.com/api/v1/users/00u1xxxxxxxx/lifecycle/reset_password",
        "method": "POST"
      }
    },
    "lastLogin": "2022-07-11T06:15:14.000Z",
    "credentials": {
      "password": {},
      "provider": {
        "type": "OKTA",
        "name": "OKTA"
      }
    },
    "type": {
      "id": "oty1xxxxxxxxxxxxx"
    },
    "id": "oty1xxxxxxxxxxxxx",
    "statusChanged": "2022-07-11T06:11:25.000Z"
  }
]
Enrichissement d'entités

N/A

Insights

N/A

Répertorier les fournisseurs

Répertoriez les fournisseurs d'identité (IdP) de votre organisation.

Paramètres

Nom du paramètre Type Valeur par défaut Description
Query Chaîne N/A Recherchez une correspondance dans la propriété "name".
Type Case à cocher Cochée Filtrer par type.
Limite Chaîne 20 Nombre maximal de résultats à renvoyer.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités

N/A

Insights

N/A

Lister les rôles

Liste tous les rôles attribués à un utilisateur.

Paramètres

ID utilisateur Chaîne N/A ID des utilisateurs dans Okta.
Également exécuter dans le champ d'application Case à cocher Cochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités

N/A

Insights

N/A

Lister les groupes d'utilisateurs

Récupérer les groupes dont l'utilisateur est membre

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID utilisateur ou identifiants Chaîne N/A Identifiants ou identifiants de connexion des utilisateurs dans Okta.
Également exécuter dans le champ d'application Case à cocher Cochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
profil Renvoie la valeur si elle existe dans le résultat JSON.
nom Renvoie la valeur si elle existe dans le résultat JSON.
Insights

N/A

Répertorier les utilisateurs

Obtenez la liste des utilisateurs.

Paramètres

Nom du paramètre Type Valeur par défaut Description
Query Chaîne N/A Recherchez une correspondance dans le prénom, le nom ou l'adresse e-mail.
Filtre Chaîne N/A Requête de recherche personnalisée pour un sous-ensemble de propriétés.
Rechercher Chaîne N/A Requête de recherche personnalisée pour la plupart des propriétés.
Limite Chaîne 200 Nombre maximal de résultats à renvoyer.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
profil Renvoie la valeur si elle existe dans le résultat JSON.
nom Renvoie la valeur si elle existe dans le résultat JSON.
Insights

N/A

Ping

Testez la connexion avec Okta.

Paramètres

N/A

Cas d'utilisation

N/A

Exécuter sur

Cette action s'exécute sur toutes les entités.

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités

N/A

Insights

N/A

Réinitialiser le mot de passe

Générez un jeton à usage unique qui peut être utilisé pour réinitialiser le mot de passe d'un utilisateur.

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID utilisateur ou identifiants Chaîne N/A Identifiants ou identifiants de connexion des utilisateurs dans Okta.
Envoyer un e-mail Case à cocher Décochée Indique s'il faut envoyer un e-mail de réinitialisation du mot de passe ou renvoyer le jeton pour chaque utilisateur.
Également exécuter dans le champ d'application Case à cocher Décochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
send_email Renvoie la valeur si elle existe dans le résultat JSON.
Insights

N/A

Définir le mot de passe

Définissez le mot de passe d'un utilisateur sans valider les identifiants existants.

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID utilisateur ou identifiants Chaîne N/A Identifiants ou identifiants de connexion des utilisateurs dans Okta.
Nouveau mot de passe Chaîne N/A Nouveau mot de passe.
Ajouter 10 caractères aléatoires Case à cocher Décochée Indique si des caractères supplémentaires doivent être ajoutés au mot de passe de chaque utilisateur.
Également exécuter dans le champ d'application Case à cocher Décochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
set_password Renvoie la valeur si elle existe dans le résultat JSON.
Insights

N/A

Envoyer un signal ITP

Distribuez les signaux de protection contre les menaces liées à l'identité (ITP, Identity Threat Protection) aux consommateurs concernés à l'aide du framework de signaux partagés (SSF, Shared Signals Framework).

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID de clé Chaîne N/A ID de la clé publique utilisée pour valider la signature de la clé privée.
Chaîne de clé privée Mot de passe N/A Clé privée utilisée pour signer le signal.

La clé est fournie au format chaîne et inclut les instructions "BEGIN" et "END".
Adresse e-mail de l'utilisateur Adresse postale N/A Adresse e-mail de l'utilisateur concerné.
Horodatage timestamp N/A Code temporel de l'occurrence du signal.

Le format du code temporel est ISO 8601.
Motif Chaîne N/A Brève description expliquant pourquoi le signal a été généré.
Gravité Chaîne ou LDD N/A Niveau de gravité du signal.
URL de l'émetteur URL N/A Système source ayant créé le signal.

Résultats de l'action

Résultat JSON
{
   "status":200,
   "payload":{
      "iss":"https://www.google.com/",
      "jti":"3c5fbf0c-3977-11f0-a195-7e498c84a3dd",
      "iat":1748184472,
      "aud":"https://<your-okta-domain>.oktapreview.com",
      "events":{
         "https://schemas.okta.com/secevent/okta/event-type/user-risk-change":{
            "subject":{
               "user":{
                  "format":"email",
                  "email":"user@domain.net"
               }
            },
            "current_level":"medium",
            "previous_level":"low",
            "reason_admin":{
               "en":"BadNavigationEvent"
            },
            "event_timestamp":1742199770057
         }
      }
   }
}
Messages de sortie
Message de sortie Description du message

Successfully sent the ITP signal to Okta.

Context value was not found for the provided context key CONTEXT_KEY and connector identifier CONNECTOR_IDENTIFIER.

Action can't return the Case Wall table as the context values are too big.

 L'action a réussi.
Failed to send the ITP signal to Okta. Error is {0}".format(exception.stacktrace)

Échec de l'action.

Vérifiez la connexion au serveur, les paramètres d'entrée ou les identifiants.
Résultat du script
Nom du résultat du script Options de valeur
is_success True ou False

Annulation d'attribution d'un rôle

Retirez un rôle à un utilisateur.

Paramètres

Nom du paramètre Type Valeur par défaut Description
ID utilisateur Chaîne N/A ID des utilisateurs dans Okta.
ID ou noms de rôles Chaîne N/A ID ou noms des rôles dans Okta.
Également exécuter dans le champ d'application Case à cocher Décochée Indique s'il faut exécuter l'opération sur les entités en plus de l'entrée.

Cas d'utilisation

N/A

Exécuter sur

Cette action s'applique aux entités suivantes :

  • Utilisateur
  • Nom d'hôte

Résultats de l'action

Résultat du script
Nom du résultat du script Options de valeur Exemple
ScriptResult N/A N/A
Résultat JSON
N/A
Enrichissement d'entités
Nom du champ d'enrichissement Logique : quand l'appliquer ?
unassign_role Renvoie la valeur si elle existe dans le résultat JSON.
Insights

N/A

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.