Secret Manager in Google SecOps einbinden

In diesem Dokument wird beschrieben, wie Sie Secret Manager in Google Security Operations einbinden.

Anwendungsfälle

Die Integration von Secret Manager nutzt Google SecOps-Funktionen, um die folgenden Anwendungsfälle zu unterstützen:

  • Anmeldedaten zentral verwalten: Sie können hartcodierte Anmeldedaten für Anwendungen, die in Ihren Google SecOps-Konfigurationsdateien und -Skripts eingebettet sind, eliminieren, indem Sie sie zentral in Google Cloudspeichern, prüfen und verwalten.
  • Parameter synchronisieren: Automatisieren Sie die Konfigurationsverwaltung mit einem Hintergrundsynchronisierungsjob, um Einträge aus Google Cloud Secret Manager abzurufen und Integrationsinstanzen, Connectors und Jobs zu aktualisieren.

Hinweis

Bevor Sie die Integration in der Google SecOps-Plattform konfigurieren, müssen Sie Ihre Umgebung mit den folgenden Schritten konfigurieren:

  1. Erstellen Sie ein Dienstkonto.
  2. Aktivieren Sie die erforderlichen APIs für Ihr Projekt.
  3. Wählen Sie eine der folgenden Authentifizierungsmethoden aus und konfigurieren Sie sie:
    • Option 1: JSON-Schlüssel: Diese Methode basiert auf einer statischen, langlebigen geheimen Schlüsseldatei. Verwenden Sie diese Methode nur, wenn Workload Identity in Ihrer Umgebung nicht verfügbar ist.
    • Option 2: Workload Identity (empfohlen): Bei dieser Methode werden kurzlebige, temporäre Zugriffstokens verwendet, die über die Identitätsübernahme des Dienstkontos generiert werden. Es müssen keine Secrets gespeichert werden.

Dienstkonto erstellen

So erstellen Sie ein Dienstkonto für die Integration:

  1. Rufen Sie in der Google Cloud Console IAM & Verwaltung > Dienstkonten auf und wählen Sie Ihr Projekt aus.

    Zur Seite „Dienstkonten“

  2. Klicken Sie auf Dienstkonto erstellen.

  3. Geben Sie einen Namen und eine Beschreibung ein und klicken Sie auf Fertig, um das Konto zu erstellen.

  4. Gewähren Sie dem Dienstkonto die erforderlichen IAM-Berechtigungen, je nachdem, welche Authentifizierungsmethode Sie ausgewählt haben:

    • Weisen Sie für die Authentifizierung mit Dienstkontoschlüsseln die folgenden Rollen zu:
      • Secret Manager Secret Accessor (roles/secretmanager.secretAccessor): Ermöglicht der Integration den Zugriff auf Secret-Nutzlasten.
      • Secret Manager-Betrachter (roles/secretmanager.viewer): *Bietet die Berechtigung secretmanager.secrets.list, die für die Aktion Ping zum Testen der Verbindung erforderlich ist.*
    • Für die Workload Identity-Authentifizierung:
      • Gewähren Sie dem Zieldienstkonto, dessen Identität übernommen wird, die Rollen Secret Manager Secret Accessor (roles/secretmanager.secretAccessor) und Secret Manager Viewer (roles/secretmanager.viewer).
      • Ihre Laufzeitumgebungsidentität muss die Rolle Service Account Token Creator (roles/iam.serviceAccountTokenCreator) haben.

Erforderliche APIs für Ihr Projekt aktivieren

  1. Rufen Sie in der Google Cloud Console APIs und Dienste auf.

    Rufen Sie "APIs & Dienste" auf.

  2. Klicken Sie auf APIs und Dienste aktivieren.

  3. Suchen Sie nach der Secret Manager API und aktivieren Sie sie für Ihr Projekt.

JSON-Schlüssel konfigurieren

Sie können die Integration entweder mit einer statischen JSON-Schlüsseldatei oder einer Workload Identity authentifizieren. Verwenden Sie die Workload Identity-Methode, um die Sicherheit Ihrer Umgebung zu maximieren. Verwenden Sie die JSON-Schlüsselmethode nur, wenn Workload Identity in Ihrer Infrastruktur nicht unterstützt wird, da statische Schlüssel manuell rotiert werden müssen und das Risiko von offengelegten Anmeldedaten erhöhen.

Führen Sie die folgenden Schritte aus, um die JSON-Schlüsseldatei zu generieren, die für die Authentifizierung der Integration erforderlich ist:

  1. Wechseln Sie in der Google Cloud Console zu IAM und Verwaltung > Dienstkonten und wählen Sie das von Ihnen erstellte Dienstkonto aus.

    Zur Seite „Dienstkonten“

  2. Rufen Sie den Tab Schlüssel auf.

  3. Klicken Sie auf Schlüssel hinzufügen.

  4. Wählen Sie Neuen Schlüssel erstellen aus.

  5. Wählen Sie als Schlüsseltyp JSON aus und klicken Sie auf Erstellen. Die JSON-Datei wird auf Ihren Computer heruntergeladen.

  6. Kopieren Sie den gesamten Inhalt dieser Datei und fügen Sie ihn während der Integrationskonfiguration in Service Account JSON ein.

Secret Manager-Berechtigungen konfigurieren

Gehen Sie folgendermaßen vor, um die Administratorberechtigungen zu gewähren, die für die Integration erforderlich sind, um auf Secret-Materialien zuzugreifen und die Verbindung in Ihrem Google Cloud -Projekt zu validieren:

  1. Rufen Sie in der Google Cloud Console die Seite IAM & Verwaltung > IAM auf.
  2. Suchen Sie in der Liste der Hauptkonten nach dem von Ihnen erstellten Dienstkonto und klicken Sie auf Bearbeiten Hauptkonto bearbeiten.
  3. Klicken Sie auf Weitere Rolle hinzufügen.
  4. Suchen Sie im Feld für die Rollenauswahl nach den folgenden Rollen und wählen Sie sie aus:
  5. Klicken Sie auf Speichern.

Workload Identity-Anmeldedaten konfigurieren

Wählen Sie diese Methode oder die JSON-Schlüsselmethode aus, um die Integration zu authentifizieren. Workload Identity ist der empfohlene und sicherere Ansatz, da hier kurzlebige, temporäre Zugriffstokens verwendet werden, die die Identitätsübernahme des Dienstkontos nutzen. Dadurch wird das Risiko der Offenlegung langlebiger geheimer Anmeldedaten minimiert.

Eindeutige Instanzidentität identifizieren

Wenn Sie Workload Identity verwenden möchten, müssen Sie Ihrer Google SecOps-Instanz die Berechtigung erteilen, die Identität Ihres Dienstkontos zu übernehmen. Mit diesem Schritt kann die Instanz sicher auf Google Cloud -Ressourcen zugreifen.

  1. Rufen Sie in Google SecOps Content Hub > Antwortintegrationen auf.

  2. Wählen Sie die Integration aus, die Sie konfigurieren, und geben Sie die E-Mail-Adresse Ihres Dienstkontos in Workload Identity Email ein.

  3. Klicken Sie auf Speichern > Testen. Der Test schlägt erwartungsgemäß fehl.

  4. Klicken Sie rechts neben Test auf close_small und suchen Sie in der Fehlermeldung nach der Identitäts-E-Mail-Adresse, die mit gke-init-python@... oder soar-python@... beginnt.

  5. Kopieren Sie diese eindeutige E‑Mail-Adresse.

Instanzidentität in Google Cloudautorisieren

Nachdem Sie die eindeutige Identität für Ihre Google SecOps-Instanz abgerufen haben, müssen Sie sie für den Zugriff auf Ihre Google Cloud -Ressourcen autorisieren. In diesem Schritt wird die Identitätsübernahme des Dienstkontos aktiviert. Dadurch kann die Plattform kurzlebige Tokens generieren und in Ihrem Namen agieren, ohne dass statische Schlüssel erforderlich sind.

  1. Rufen Sie in der Google Cloud Console IAM und Verwaltung > Dienstkonten auf.

    Zur Seite „Dienstkonten“

  2. Wählen Sie das Zieldienstkonto aus und rufen Sie Berechtigungen > Zugriff gewähren auf.

  3. Fügen Sie die eindeutige E-Mail-Adresse in das Feld Neue Hauptkonten ein und weisen Sie die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) zu.

Integrationsparameter

Für die Integration von Secret Manager sind die folgenden Konfigurationsparameter erforderlich:

Parameter Beschreibung
Service Account JSON

Optional.

Der Inhalt der JSON-Datei des Dienstkontoschlüssels, die für die Authentifizierung bei Secret Manager verwendet wird.

Sie können entweder diesen Parameter oder Workload Identity-E-Mail-Adresse konfigurieren.
Project ID

Optional.

Die Google Cloud Projekt-ID, unter der Ihre Secrets gespeichert sind.

Wenn kein Wert angegeben ist, versucht die Integration, diesen aus Service Account JSON abzuleiten, falls vorhanden. Es wird jedoch empfohlen, ihn explizit anzugeben.
Workload Identity Email

Optional.

Die E-Mail-Adresse des Dienstkontos, dessen Identität bei der Authentifizierung mit Workload Identity (Standardanmeldedaten für Anwendungen) angenommen werden soll.

Verwenden Sie diese Konfiguration anstelle von Service Account JSON, wenn die Google SecOps-Plattform oder der Remote-Agent in Google Cloud mit aktivierter Workload Identity ausgeführt wird.
Verify SSL

Pflichtangabe.

Wenn diese Option ausgewählt ist, validiert die Integration das SSL-Zertifikat, wenn eine Verbindung zu Secret Manager hergestellt wird.

Standardmäßig aktiviert (True).

Eine Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

Sie können später bei Bedarf Änderungen vornehmen. Nachdem Sie eine Integrationsinstanz konfiguriert haben, können Sie sie in Playbooks verwenden. Weitere Informationen zum Konfigurieren und Unterstützen mehrerer Instanzen finden Sie unter Mehrere Instanzen unterstützen.

Aktionen

Weitere Informationen zu Aktionen finden Sie unter Auf ausstehende Aktionen im Workdesk reagieren und Manuelle Aktion in einem Fall ausführen.

Ping

Verwenden Sie die Aktion Ping, um die Verbindung zu validieren und die Konfigurationsparameter mit der Secret Manager-Zielinstanz zu vergleichen.

Diese Aktion wird hauptsächlich für sofortige Verbindungstests auf der Seite für die Integrationskonfiguration im Content Hub verwendet und nicht für einzelne Google Cloud -Entitäten ausgeführt.

Aktionseingaben

Für diese Aktion sind keine Eingabeparameter erforderlich.

Aktionsausgaben

Die Aktion Ping liefert die folgenden Ausgaben:

Aktionsausgabetyp Verfügbarkeit
Anhang im Fall-Repository Nicht verfügbar
Link zum Fall-Repository Nicht verfügbar
Tabelle mit Fall-Repository Nicht verfügbar
Anreicherungstabelle Nicht verfügbar
JSON-Ergebnis Nicht verfügbar
Ausgabenachrichten Verfügbar
Scriptergebnis Verfügbar
Ausgabenachrichten

Die Aktion Ping kann die folgenden Ausgabenachrichten zurückgeben:

Ausgabemeldung Beschreibung der Nachricht

Successfully connected to the Secret Manager server with the provided connection parameters!

 Die Aktion war erfolgreich und die Anmeldedaten sind gültig.
Failed to connect to Secret Manager! Error is ERROR_REASON

Die Aktion ist fehlgeschlagen.

Prüfen Sie Ihre Authentifizierungsdaten, die Konfiguration der Projekt-ID, die IAM-Berechtigungen oder die Netzwerkverbindung. Prüfen Sie, ob das Dienstkonto die Berechtigung secretmanager.secrets.list hat (z. B. über die Rolle Secret Manager-Betrachter).
Scriptergebnis

In der folgenden Tabelle sind die Werte für die Ausgabe des Skriptergebnisses bei Verwendung der Aktion Ping aufgeführt:

Name des Skriptergebnisses Wert
is_success true oder false

Jobs

Weitere Informationen zu Jobs finden Sie unter Neuen Job konfigurieren und Erweiterte Planung.

Job zum Synchronisieren von Integrationsanmeldedaten

Verwenden Sie den Secret Manager – Job zum Synchronisieren von Integrationsanmeldedaten, um Konfigurationsparameter aus Secret Manager-Einträgen systematisch zu synchronisieren und Ihre Plattformintegrationsinstanzen, Connectors und Hintergrundjobkonfigurationen automatisch zu aktualisieren.

Diese Hintergrundsynchronisierungsaufgabe wird global ausgeführt und nicht für einzelne Entitäten.

Jobverhalten

Der Job parst ein strukturiertes Konfigurationsobjekt, um Secret-Definitionen abzufragen, und verarbeitet zwei Versionen von Referenzstilen:

  • Implizite Notation: Formatieren Sie als projects/<project_id>/secrets/<secret_name>. Die Synchronisierungsaufgabe löst die neueste aktive Version während der Verarbeitung dynamisch auf und ruft sie aus Secret Manager ab.
  • Explizite Notation: Formatieren Sie als projects/<project_id>/secrets/<secret_name>/versions/<version_id>. Die Synchronisierungsaufgabe ruft genau diesen angepinnten Versionseintrag ab, auch wenn sein Status in Google Cloudals inaktiv markiert ist.

Jeder Zielpfad für Secrets in Secret Manager muss einen gültigen JSON-Objektstring enthalten, der Parameterschlüssel direkt den entsprechenden Anmeldedatenwerten zuordnet.

Beispiel für die Konfiguration der Zuordnung von Anmeldedaten
{
    "integration_instances": {
        "AzureActiveDirectory_1": {
            "Client ID": "projects/154371241292/secrets/AzureActiveDirectory"
        }
    },
    "connectors": {
        "Crowdstrike - Alerts Connector": {
            "Client Secret": "projects/154371241292/secrets/CrowdstrikeConnectorSecret",
            "Client ID": "projects/154371241292/secrets/CrowdstrikeConnectorID"
        },
        "Microsoft Graph Mail Connector": {
            "Client Secret": "projects/154371241292/secrets/GraphConnectorSecret",
            "Client ID": "projects/154371241292/secrets/GraphConnectorID/versions/3"
        }
    },
    "jobs": {
        "Sync Incidents": {
            "API Root": "projects/154371241292/secrets/API_Root/versions/2"
        }
    }
}

Job-Eingaben

Für den Job zum Synchronisieren von Integrationsanmeldedaten sind die folgenden Konfigurationsparameter erforderlich:

Parameter Beschreibung
Environment Name

Pflichtangabe.

Der Name des Umgebungskontexts, in dem Zielkonfigurationen abgefragt werden sollen.

Der Standardwert ist Default Environment. Geben Sie für Konfigurationen, die auf freigegebene Umgebungen abzielen, * an.
Credential Mapping

Pflichtangabe.

Ein gültiger JSON-String, der die Zielorte strukturiert, an denen Integrationsinstanzen, Connectors und Jobs ihren expliziten Secret Manager-Ressourcenkoordinaten zugeordnet werden.
Service Account JSON

Optional.

Der JSON-Inhalt des Dienstkontoschlüssels, der für die Autorisierung dieses Hintergrundsynchronisierungsjobs vorgesehen ist.
Project ID

Optional.

Der Standardbereich für die Google Cloud Projekt-ID, in dem die Zielressourcen gehostet werden.
Workload Identity Email

Optional.

Die E-Mail-Adresse des Dienstkontos für Standardanmeldedaten für Anwendungen, dessen Identität übernommen werden soll, wenn die Ausführung in Google Cloud -Infrastrukturen mit aktiver Workload Identity erfolgt.
Verify SSL

Pflichtangabe.

Validiert SSL-Zertifikatsendpunkte während Synchronisierungsaufgaben. Standardmäßig aktiviert (True).

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten