将 ServiceNow 与 Google SecOps 集成

本文档介绍了如何将 ServiceNow 与 Google Security Operations (Google SecOps) 集成。

集成版本：53.0

使用场景

将 ServiceNow 与 Google SecOps SOAR 集成可帮助您解决以下使用情形：

  • 自动创建突发事件工单和丰富突发事件信息：使用 Google SecOps 功能，根据 SIEM 或其他安全工具中触发的安全提醒自动创建 ServiceNow 突发事件。您可以减少手动提交工单，并使用触发提醒中的相关信息丰富突发事件，从而简化突发事件响应工作流程。

  • 网络钓鱼调查和补救：使用 Google SecOps 功能自动执行网络钓鱼调查步骤，例如收集电子邮件标头、调查附件以及在组织内搜索类似电子邮件。自动执行重复性任务有助于缩短钓鱼式攻击响应时间，并减轻安全分析师团队的工作负担。

  • 漏洞管理和修复：您可以根据漏洞扫描结果，自动创建 ServiceNow 补丁或缓解变更请求，从而编排漏洞修复工作流。

  • 用户入职和离职：您可以根据 ServiceNow 工作流，在各种系统（包括访问权限控制系统、电子邮件平台和应用）中自动执行用户配置和取消配置任务。

  • 威胁情报丰富：使用 Google SecOps 功能，通过来自 ServiceNow 平台的威胁情报数据丰富安全提醒，从而提供更多背景信息并确定响应操作的优先级。

准备工作

在 Google SecOps 中配置集成之前，请先在 ServiceNow 中配置用户访问权限。

某些操作和作业需要您为集成中使用的用户分配其他 ServiceNow 角色。如需详细了解所需角色，请参阅配置角色和最低权限。

在 ServiceNow 中配置用户访问权限

ServiceNow 使用 sys_journal_field 表与 Google SecOps 同步。默认情况下，只有 ServiceNow 管理员用户才能访问 sys_journal_field 表。如需详细了解 ServiceNow 角色，请参阅基本系统角色。

如需在 ServiceNow 中访问 sys_journal_field 表并启用 OAuth 2.0 身份验证，您需要为用户配置适当的访问权限。

如需在 ServiceNow 中配置用户访问权限，请完成以下步骤：

  1. 创建新角色，并将其添加到您在集成中使用的用户账号。

  2. 创建新的 ACL 规则。如需创建新的 ACL，请提升管理员权限角色。如需详细了解 ServiceNow 中的提升权限角色，请参阅提升权限角色。

  3. 为用户分配新角色。

创建新角色

如需在 ServiceNow 中创建新角色，请完成以下步骤：

  1. 以管理员身份登录 ServiceNow。

  2. 依次前往全部> 用户管理 > 角色。

  3. 点击新建，然后填写表单。

    输入角色名称 secops_user。

  4. 点击提交。

创建新的 ACL 规则

为确保服务账号无需管理员权限即可从 sys_journal_field 表中读取数据，请完成以下步骤以创建新的 ACL：

  1. 以管理员身份登录 ServiceNow，并将您的角色权限提升为 security_admin 角色。

  2. 依次前往全部 > 系统安全性 > 访问权限控制 (ACL) > 新建。

    使用以下信息配置 ACL 规则：

    • 类型：record

    • 操作：read

    • 名称：sys_journal_field

    • 所需角色： secops_user（这是在上一步中创建的自定义角色。）

    填写完表单后，点击提交。

  3. 找到新创建的 ACL 规则并将其打开。

    如需最终确定更改，请点击表单标题，然后点击更新。

为用户分配新角色

如需将您创建的角色分配给集成中使用的用户账号，请完成以下步骤：

  1. 在 ServiceNow 中，依次前往全部 > 用户管理 > 用户。

  2. 选择您在集成中使用的用户。

  3. 依次前往角色 > 修改。

  4. 选择 secops_user 角色，然后点击添加。

  5. 点击保存。

配置角色和最低权限

以下活动需要您向集成中使用的 ServiceNow 用户账号授予权限：

  1. 访问 sys_journal_field 表（添加评论并等待回复操作必需）。
  2. 创建、写入和修改必需的表（创建记录、更新记录和等待字段更新操作必需的表）。
  3. 更新突发事件（对于关闭突发事件和更新突发事件操作是必需的）。

如需配置运行特定操作所需的角色，请参阅下表：

操作 所需角色
列出记录注释

具有 read 权限的任何自定义角色。

如需向自定义角色分配 read 权限，请为 sys_journal_field 表创建 ACL 规则。

关闭突发事件

更新突发事件

sn_incident_write

如需详细了解 ServiceNow 中的 sn_incident_write 角色，请参阅随 ITSM 角色安装的组件 - 突发事件管理。

获取 CMDB 记录详细信息

列出 CMDB 记录

itil

如需详细了解 ServiceNow 中的 itil 角色，请参阅基本系统角色。

如需将该角色分配给您在集成中使用的用户账号，请完成以下步骤：

  1. 在 ServiceNow 中，依次前往全部 > 用户管理 > 用户。

  2. 选择您在集成中使用的用户。

  3. 依次前往角色 > 修改。

  4. 选择相应角色，然后点击添加。

  5. 点击保存。

启用 OAuth 2.0 身份验证

如需为集成启用 OAuth 2.0，请将 ServiceNow 实例升级到 Washington DC 版本。

如需使用 OAuth 2.0 进行身份验证，请在集成参数中配置客户端凭据（Client ID、Client Secret 和 Use Oauth Authentication 参数）。

如果您同时配置了 Refresh Token 参数以及 Client ID 和 Client Secret 参数，集成会使用刷新令牌进行身份验证。

如需为集成启用 OAuth 2.0 身份验证，请完成以下步骤：

  1. 在 ServiceNow 中配置 OAuth 2.0。

  2. 配置初始集成参数。

  3. 可选：在 Google SecOps 中生成并配置刷新令牌。

在 ServiceNow 中配置 OAuth 2.0

如需在 ServiceNow 中配置 OAuth 2.0，请完成以下步骤：

  1. 在 ServiceNow 中，依次前往系统定义 > 插件。

  2. 激活 OAuth 2.0 插件。

  3. 将 com.snc.platform.security.oauth.is.active 系统属性设置为 True。

  4. 依次前往系统 OAuth > 应用注册。

  5. 点击新建，然后选择为外部客户端创建 OAuth API 端点。

    保存 client_id 和 client_secret 值，以便在集成中使用它们。

配置初始集成参数

如需配置初始集成参数，请完成以下步骤：

  1. 在 Google SecOps 中，前往响应 > 集成设置。

  2. 可选：选择您的环境。

  3. 在搜索字段中，输入 ServiceNow。

  4. 依次点击设置 配置实例。

  5. 配置用户名、密码、客户端 ID 和客户端密钥 集成参数。

  6. 点击保存。

可选：生成和配置刷新令牌

如需生成刷新令牌，请完成以下步骤：

  1. 可选：模拟案例。

    如果您的 Google SecOps 实例是新实例，并且没有现有支持请求，请模拟一个支持请求。

    如果您已有支持服务请求，请继续执行下一步。

  2. 运行获取 OAuth 令牌操作。

  3. 为集成配置刷新令牌。

可选：模拟支持请求

如需在 Google SecOps 中模拟支持请求，请按以下步骤操作：

  1. 在侧边导航栏中，选择支持请求。

  2. 在支持请求页面上，依次点击 添加 > 模拟支持请求。

  3. 选择任意默认情形，然后点击创建。您选择模拟哪种情况无关紧要。

  4. 点击模拟。

    如果您有非默认环境，并且想要使用该环境，请选择正确的环境，然后点击模拟。

  5. 在支持请求标签页中，点击刷新。您模拟的支持请求会显示在支持请求列表中。

运行 Get Oauth Token 操作

使用您模拟的 Google SecOps 支持请求手动运行 Get Oauth Token 操作。

如需运行 Get Oauth Token 操作，请完成以下步骤：

  1. 在支持请求标签页中，选择模拟的支持请求。

  2. 在支持请求视图中，点击手动操作。

  3. 在手动操作的搜索字段中，输入 ServiceNow。

  4. 在 ServiceNow 集成下的结果中，选择 Get Oauth Token。

  5. 点击执行。

  6. 执行操作后，前往模拟支持请求的支持请求墙。在 ServiceNow_Get Oauth Token 操作记录中，点击查看更多。

  7. 在 JSON 结果部分，复制 refresh_token 值。

为集成配置刷新令牌

如需为集成配置刷新令牌，请完成以下步骤：

  1. 在 Google SecOps 中，前往响应 > 集成设置。

  2. 从集成列表中，选择 ServiceNow。

  3. 依次点击设置 配置实例。

  4. 在 Refresh Token（刷新令牌）字段中，粘贴您从上一部分 JSON 结果中复制的 refresh_token 值。

  5. 删除用户名和密码参数值。

  6. 选择 Use Oauth Authentication。

  7. 点击保存。

  8. 点击测试。

集成参数

ServiceNow 集成需要以下参数：

参数 说明
Api Root

必填。

ServiceNow 实例的 API 根目录。

默认值为 https://INSTANCE.service-now.com/api/now/v1/。
Username

必填。

ServiceNow 账号的用户名。
Password

必填。

ServiceNow 账号的密码。
Incident Table

可选。

用于执行与突发事件相关的操作的路径。

默认情况下，集成使用 table/incident 路径。

Verify SSL

可选。

如果选中此复选框，集成会在连接到 ServiceNow 时验证 SSL 证书。

默认处于启用状态。
Run Remotely

可选。

如果选中，则集成会远程运行。

选择此参数后，选择远程用户（客服人员）。

默认情况下未选中。
Client ID

可选。

ServiceNow 集成的客户端 ID。

OAuth 2.0 要求使用此参数通过客户端凭据进行身份验证。

您可以使用刷新令牌或客户端凭据进行身份验证。如果您配置了刷新令牌和客户端凭据，集成会使用刷新令牌进行身份验证。
Client Secret

可选。

ServiceNow 集成的客户端密钥。

OAuth 2.0 要求使用此参数通过客户端凭据进行身份验证。

您可以使用刷新令牌或客户端凭据进行身份验证。如果您配置了刷新令牌和客户端凭据，集成会使用刷新令牌进行身份验证。
Refresh Token

可选。

ServiceNow 集成的刷新令牌。

OAuth 2.0 身份验证需要此参数才能使用刷新令牌进行身份验证。

配置的刷新令牌每 90 天过期一次。

您可以使用刷新令牌或客户端凭据进行身份验证。 如果您配置了刷新令牌和客户端凭据，集成会使用刷新令牌进行身份验证。
Use Oauth Authentication

可选。

如果选择此项，集成将使用 OAuth 2.0 进行身份验证。

OAuth 2.0 要求您配置客户端凭据（Client ID 和 Client Secret 参数）或 Refresh Token 参数。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

如有需要，您可以在稍后阶段进行更改。配置集成实例后，您可以在剧本中使用该实例。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

操作

如需了解运行特定操作所需的其他角色，请参阅配置角色和最低权限。

添加附件

使用 Add Attachment 操作可向 ServiceNow 中的表格记录添加附件。

此操作不适用于 Google SecOps 实体。

操作输入

添加附件操作需要以下参数：

参数 说明
Mode

可选。

相应操作的模式。

可能的值如下：

  • Add New Attachment
  • Overwrite Existing Attachment

如果您选择 Add New Attachment 选项，该操作会添加新附件（允许使用相同名称的附件）。

如果您选择 Overwrite Existing Attachment 选项，该操作会移除其他（之前的）同名附件，并添加新附件。
Table Name

必填。

包含要添加附件的记录的表的名称。
Record Sys ID

必填。

要添加附件的记录的 sys_ID 值。
File Path

必填。

要附加的文件的绝对路径的逗号分隔列表。

操作输出

添加附件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用添加附件操作时收到的 JSON 结果输出：

{
    "result": {
        "size_bytes": "742",
        "file_name": "Example.txt",
        "sys_mod_count": "0",
        "average_image_color": "",
        "image_width": "",
        "sys_updated_on": "2020-08-16 11:43:39",
        "sys_tags": "",
        "table_name": "incident",
        "sys_id": "2a5d8423db2210104c187b60399619b2",
        "image_height": "",
        "sys_updated_by": "admin",
        "download_link": "https://example.service-now.com/api/now/attachment/2a5d8423db2210104c187b60399619b2/file",
        "content_type": "multipart/form-data",
        "sys_created_on": "2020-08-16 11:43:39",
        "size_compressed": "438",
        "compressed": "true",
        "state": "pending",
        "table_sys_id": "9d385017c611228701d22104cc95c371",
        "chunk_size_bytes": "700000",
        "hash": "d2acb9fe341654816e00d44bcdaf88ef0733a2838449bba870142626b94871fc",
        "sys_created_by": "admin"
    }
}
输出消息

添加附件操作可以返回以下输出消息：

输出消息 消息说明

Successfully added the following attachments to the record with a Sys ID RECORD_SYS_ID from a table TABLE_NAME in ServiceNow: FILE_PATHS

Action wasn't able to add the following attachments to the record with a Sys ID RECORD_SYS_ID from a table TABLE_NAME in ServiceNow: FILE_PATHS

No attachments were added to the record with a Sys ID RECORD_SYS_ID from a table TABLE_NAME in ServiceNow: FILE_PATHS

 操作成功。
Error executing action "Add Attachment". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Add Attachment 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

添加评论

使用添加评论操作可向 ServiceNow 突发事件添加评论。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加注释操作需要以下参数：

参数 说明
Incident Number

必填。

事件的数量。

如需配置此参数值，请使用以下格式： INCNUMBER
Comment

必填。

要添加到事件中的评论。

操作输出

添加注释操作可提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用添加注释操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

添加评论并等待回复

使用添加评论并等待回复操作来等待向突发事件添加新评论。操作结果是新评论的内容。

此操作会在所有 Google SecOps 实体上运行。

操作输入

添加注释并等待回复操作需要以下参数：

参数 说明
Incident Number

必填。

事件的数量。

如需配置此参数值，请使用以下格式： INCNUMBER
Comment

必填。

要添加到事件中的评论。

操作输出

添加评论并等待回复操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用添加注释并等待回复操作时脚本结果输出的值：

脚本结果名称 值
new_comment 不适用

向记录添加注释

使用 Add Comment To Record 操作可向 ServiceNow 中的特定表格记录添加注释。

如果您选择 Wait For Reply 参数，此操作会异步执行。 对于异步模式，请根据需要调整 Google SecOps IDE 中操作的脚本超时值。

此操作不适用于 Google SecOps 实体。

操作输入

向记录添加注释操作需要以下参数：

参数 说明
Table Name

必填。

要添加注释或备注的表的名称，例如 incident。
Type

必填。

要添加的注释或备注的类型。

可能的值如下：
  • Comment
  • Work Note

默认值为 Comment。
Record Sys ID

必填。

要添加评论或工作备注的记录 ID。
Text

必填。

评论或工作笔记的内容。
Wait For Reply

必填。

如果选择此项，操作会等待回复。

如果您添加评论，该操作会跟踪评论；如果您添加工作笔记，该操作会跟踪工作笔记。

操作输出

向记录添加评论操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用 Add Comment To Record 操作时收到的 JSON 结果输出：

{
    "sys_id": "4355183607523010ff23f6fd7c1ed0a8",
    "sys_created_on": "2021-09-03 10:29:48",
    "name": "incident",
    "element_id": "552c48888c033300964f4932b03eb092",
    "sys_tags": "",
    "value": "test",
    "sys_created_by": "admin",
    "element": "comments"
}
输出消息

向记录添加注释操作可以返回以下输出消息：

输出消息 消息说明
Successfully added COMMENT_OR_NOTE " CONTENT" to TABLE_NAME with Sys_ID SYS_ID in ServiceNow. 操作成功。
Error executing action "Add Comment To Record". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用向记录添加注释操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

添加父级突发事件

使用 Add Parent Incident 操作可为 ServiceNow 中的突发事件添加父级突发事件。

此操作不适用于 Google SecOps 实体。

操作输入

添加父事件操作需要以下参数：

参数 说明
Parent Incident Number

必填。

父级突发事件编号。

该操作会将 Child Incident Numbers 参数中的所有突发事件添加为父突发事件的子突发事件。

如需配置此参数，请使用以下突发事件格式：INCINCIDENT_NUMBER。例如 INC0000051。
Child Incident Numbers

必填。

以英文逗号分隔的与突发事件相关的数字列表，用作父突发事件的子项。

如需配置此参数，请使用以下突发事件格式： INCINCIDENT_NUMBER。例如 INC0000051。

操作输出

添加父突发事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用添加父事件操作时收到的 JSON 结果输出：

{
    "result": [
        {
            "parent": "",
            "made_sla": "true",
            "caused_by": "",
            "watch_list": "",
            "upon_reject": "cancel",
            "sys_updated_on": "2020-10-20 07:19:11",
            "child_incidents": "0",
            "hold_reason": "",
            "approval_history": "",
            "skills": "",
            "number": "INC0010009",
            "resolved_by": "",
            "sys_updated_by": "admin",
            "opened_by": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "user_input": "",
            "sys_created_on": "2020-10-20 07:19:11",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "1",
            "sys_created_by": "admin",
            "knowledge": "false",
            "order": "",
            "calendar_stc": "",
            "closed_at": "",
            "cmdb_ci": "",
            "delivery_plan": "",
            "contract": "",
            "impact": "3",
            "active": "true",
            "work_notes_list": "",
            "business_service": "",
            "priority": "5",
            "sys_domain_path": "/",
            "rfc": "",
            "time_worked": "",
            "expected_start": "",
            "opened_at": "2020-10-20 07:18:56",
            "business_duration": "",
            "group_list": "",
            "work_end": "",
            "caller_id": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "reopened_time": "",
            "resolved_at": "",
            "approval_set": "",
            "subcategory": "",
            "work_notes": "",
            "short_description": "Assessment :  Assessor",
            "close_code": "",
            "correlation_display": "",
            "delivery_task": "",
            "work_start": "",
            "assignment_group": "",
            "additional_assignee_list": "",
            "business_stc": "",
            "description": "",
            "calendar_duration": "",
            "close_notes": "",
            "notify": "1",
            "service_offering": "",
            "sys_class_name": "incident",
            "closed_by": "",
            "follow_up": "",
            "parent_incident": {
                "link": "https://example.service-now.com/api/now/table/incident/ID",
                "value": "ID"
            },
            "sys_id": "2a100a1c2fc42010c518532a2799b621",
            "contact_type": "",
            "reopened_by": "",
            "incident_state": "1",
            "urgency": "3",
            "problem_id": "",
            "company": "",
            "reassignment_count": "0",
            "activity_due": "",
            "assigned_to": "",
            "severity": "3",
            "comments": "",
            "approval": "not requested",
            "sla_due": "",
            "comments_and_work_notes": "",
            "due_date": "",
            "sys_mod_count": "0",
            "reopen_count": "0",
            "sys_tags": "",
            "escalation": "0",
            "upon_approval": "proceed",
            "correlation_id": "",
            "location": "",
            "category": "inquiry"
        }
    ]
}
输出消息

添加父事件操作可能会返回以下输出消息：

输出消息 消息说明
Successfully set PARENT_INCIDENT_NUMBER as the "Parent Incident" for the following incidents in ServiceNow: CHILD_INCIDENT_NUMBERS. 操作成功。

Error executing action "Add Parent Incident". Reason: Parent Incident PARENT_INCIDENT_NUMBER wasn't found in ServiceNow. Please check the spelling.

Error executing action "Add Parent Incident". Reason: Parent Incident PARENT_INCIDENT_NUMBER wasn't found in ServiceNow. The following child incidents weren't found in ServiceNow: CHILD_INCIDENT_NUMBERS. Please check the spelling.

操作失败。

检查拼写。
Error executing action "Add Parent Incident". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。

关闭突发事件

使用结束突发事件操作来结束 ServiceNow 突发事件。

此操作会在所有 Google SecOps 实体上运行。

此操作要求您在 ServiceNow 中为用户分配 sn_incident_write 角色。如需了解详情，请参阅配置角色和最低权限。

操作输入

关闭突发事件操作需要以下参数：

参数 说明
Incident Number

必填。

事件的数量。

如需配置此参数值，请使用以下格式： INCNUMBER
Close Reason

必填。

关闭突发事件的原因。

操作输出

结束突发事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用关闭突发事件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

创建提醒突发事件

使用 Create Alert Incident 操作创建与 Google SecOps 提醒相关的突发事件。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建提醒事件操作需要以下参数：

参数 说明
Impact

必填。

事件的影响级别。

可能的值如下：

  • 1（高）
  • 2 表示中
  • 3（低）
默认值为 1。
Urgency

必填。

相应事件的紧急程度。

可能的值如下

  • 1（高）
  • 2 表示中
  • 3（低）
默认值为 1。
Category

可选。

突发事件类别。
Assignment Group ID

可选。

要将事件分配到的群组的全名。

Assigned User ID

可选。

要将突发事件分配给的用户的全名。

Description

可选。

突发事件说明。

操作输出

创建提醒突发事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建提醒事件操作时收到的 JSON 结果输出：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": " ",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010005",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "0",
    "notify": "1",
    "resolved_by": " ",
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": " ",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "1",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by":
    "admin", "caused_by": " ",
    "comments": " ",
    "closed_by": " ",
    "priority": "1",
    "state": "1",
    "sys_id": "ID",
    "opened_at": "2020-07-10 05:13:25",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": "4187b92c-7aaa-40ec-a032-833dd5a854e6",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": " ",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": " ",
    "business_duration": " ",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 05:13:25",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": " ",
    "caller_id": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "active": "true",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": "2020-07-10 07:13:25",
    "severity": "3",
    "incident_state": "1",
    "resolved_at": " ",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 05:13:25",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": " ",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "1",
    "reopen_count": "0"
}
脚本结果

下表列出了使用 Create Alert Incident 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

创建突发事件

使用创建突发事件操作可在 ServiceNow 系统中创建新突发事件。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建突发事件操作需要以下参数：

参数 说明
Short Description

必填。

事件的简短说明。
Impact

必填。

事件的影响级别。

可能的值如下：

  • 1（高）
  • 2 表示中
  • 3（低）
默认值为 1。
Urgency

必填。

相应事件的紧急程度。

可能的值如下

  • 1（高）
  • 2 表示中
  • 3（低）
默认值为 1。
Category

可选。

突发事件类别。
Assignment Group ID

可选。

要将事件分配到的群组的全名。

Assigned User ID

可选。

要将突发事件分配给的用户的全名。

Description

可选。

突发事件说明。
Custom Fields

可选。

以英文逗号分隔的字段和值列表。

如需配置此参数，请按以下格式输入值： field_1:value_1,field_2:value_2。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建突发事件操作时收到的 JSON 结果输出：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": " ",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010005",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "0",
    "notify": "1",
    "resolved_by": " ",
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": " ",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "1",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by":
    "admin", "caused_by": " ",
    "comments": " ",
    "closed_by": " ",
    "priority": "1",
    "state": "1",
    "sys_id": "ID",
    "opened_at": "2020-07-10 05:13:25",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": "4187b92c-7aaa-40ec-a032-833dd5a854e6",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": " ",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": " ",
    "business_duration": " ",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 05:13:25",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": " ",
    "caller_id": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "active": "true",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": "2020-07-10 07:13:25",
    "severity": "3",
    "incident_state": "1",
    "resolved_at": " ",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 05:13:25",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": " ",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "1",
    "reopen_count": "0"
}
脚本结果

下表列出了使用创建突发事件操作时脚本结果输出的值：

脚本结果名称 值
incident_number INCIDENT_NUMBER

Create Record

使用 Create Record 操作可在不同的 ServiceNow 表中创建新记录。

此操作会在所有 Google SecOps 实体上运行。

操作输入

创建记录操作需要以下参数：

参数 说明
Table Name

可选。

用于创建记录的表。
Object JSON Data

可选。

创建记录所需的 JSON 数据。

操作输出

创建记录操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
脚本结果 可用
JSON 结果

以下示例展示了使用创建记录操作时收到的 JSON 结果输出：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": " ",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010021",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "0",
    "notify": "1",
    "resolved_by": " ",
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": " ",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "3",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by": "admin",
    "caused_by": " ",
    "comments": " ",
    "closed_by": " ",
    "priority": "5",
    "state": "1",
    "sys_id": "ID",
    "opened_at": "2020-07-10 08:24:34",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": " ",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": " ",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": " ",
    "business_duration": " ",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 08:24:34",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": " ",
    "caller_id": " ",
    "active": "true",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": " ",
    "severity": "3",
    "incident_state": "1",
    "resolved_at": " ",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 08:24:34",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": " ",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "3",
    "reopen_count": "0"
}
脚本结果

下表列出了使用创建记录操作时脚本结果输出的值：

脚本结果名称 值
object_sys_id OBJECT_SYS_ID

下载附件

使用下载附件操作下载与 ServiceNow 中表格记录相关的附件。

此操作不适用于 Google SecOps 实体。

操作输入

下载附件操作需要以下参数：

参数 说明
Table Name

必填。

包含要下载附件的记录的表的名称，例如 incident。
Record Sys ID

必填。

要从中下载附件的记录的系统 ID。
Download Folder Path

必填。

用于存储下载的附件的绝对文件夹路径。

操作输出

下载附件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用下载附件操作时收到的 JSON 结果输出：

{
    "result": [
        {"absolute_file_path" : ["PATH"]
            "size_bytes": "187",
            "file_name": "example.txt",
            "sys_mod_count": "1",
            "average_image_color": "",
            "image_width": "",
            "sys_updated_on": "2020-10-19 09:58:39",
            "sys_tags": "",
            "table_name": "problem",
            "sys_id": "SYS_ID",
            "image_height": "",
            "sys_updated_by": "system",
            "download_link": "https://example.service-now.com/api/now/attachment/ID/file",
            "content_type": "text/plain",
            "sys_created_on": "2020-10-19 09:58:38",
            "size_compressed": "172",
            "compressed": "true",
            "state": "available",
            "table_sys_id": "57771d002f002010c518532a2799b6cc",
            "chunk_size_bytes": "700000",
            "hash": "a4fbb8ab71268903845b59724835274ddc66e095de553c5e0c1da8fecd04ee45",
            "sys_created_by": "admin"
        }
    ]
}
输出消息

Ping 操作可以返回以下输出消息：

输出消息 消息说明

Successfully downloaded the following attachments related to the record with Sys ID SYS_ID from table TABLE_NAME in ServiceNow: FILENAME

Action wasn't able to download the following attachments related to the record with Sys ID SYS_ID from table TABLE_NAME in ServiceNow: FILENAME

Action wasn't able to download attachments related to the record with Sys ID SYS_ID from table TABLE_NAME in ServiceNow: FILENAME

 操作成功。
Error executing action "Download Attachments". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用下载附件操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取子突发事件详细信息

使用 Get Child Incident Details 操作可根据 ServiceNow 中的父突发事件检索有关子突发事件的信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取子突发事件详情操作需要以下参数：

参数 说明
Parent Incident Number

必填。

要从中检索子突发事件详细信息的突发事件的编号。如需配置此参数，请以以下格式输入值：INCNUMBER
Max Child Incident To Return

可选。

要返回的子违规事件数量。

操作输出

获取子突发事件详情操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
“支持请求墙”表格

获取子突发事件详情操作提供以下表格：

表格名称：子突发事件详情

表列：

  • 系统 ID（映射为 sys_id）
  • 数字（映射为 number）
  • 简短说明（映射为 short_description）
  • 创建时间（映射为 sys_created_on）
JSON 结果

以下示例展示了在使用 Get Child Incident Details 操作时收到的 JSON 结果输出：

{
    "result": [
        {
            "parent": "",
            "made_sla": "true",
            "caused_by": "",
            "watch_list": "",
            "upon_reject": "cancel",
            "sys_updated_on": "2020-10-20 07:19:11",
            "child_incidents": "0",
            "hold_reason": "",
            "approval_history": "",
            "skills": "",
            "number": "INC0010009",
            "resolved_by": "",
            "sys_updated_by": "admin",
            "opened_by": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "user_input": "",
            "sys_created_on": "2020-10-20 07:19:11",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "1",
            "sys_created_by": "admin",
            "knowledge": "false",
            "order": "",
            "calendar_stc": "",
            "closed_at": "",
            "cmdb_ci": "",
            "delivery_plan": "",
            "contract": "",
            "impact": "3",
            "active": "true",
            "work_notes_list": "",
            "business_service": "",
            "priority": "5",
            "sys_domain_path": "/",
            "rfc": "",
            "time_worked": "",
            "expected_start": "",
            "opened_at": "2020-10-20 07:18:56",
            "business_duration": "",
            "group_list": "",
            "work_end": "",
            "caller_id": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "reopened_time": "",
            "resolved_at": "",
            "approval_set": "",
            "subcategory": "",
            "work_notes": "",
            "short_description": "Assessment :  ATF Assessor",
            "close_code": "",
            "correlation_display": "",
            "delivery_task": "",
            "work_start": "",
            "assignment_group": "",
            "additional_assignee_list": "",
            "business_stc": "",
            "description": "",
            "calendar_duration": "",
            "close_notes": "",
            "notify": "1",
            "service_offering": "",
            "sys_class_name": "incident",
            "closed_by": "",
            "follow_up": "",
            "parent_incident": {
                "link": "https://example.service-now.com/api/now/table/incident/ID",
                "value": "ID"
            },
            "sys_id": "2a100a1c2fc42010c518532a2799b621",
            "contact_type": "",
            "reopened_by": "",
            "incident_state": "1",
            "urgency": "3",
            "problem_id": "",
            "company": "",
            "reassignment_count": "0",
            "activity_due": "",
            "assigned_to": "",
            "severity": "3",
            "comments": "",
            "approval": "not requested",
            "sla_due": "",
            "comments_and_work_notes": "",
            "due_date": "",
            "sys_mod_count": "0",
            "reopen_count": "0",
            "sys_tags": "",
            "escalation": "0",
            "upon_approval": "proceed",
            "correlation_id": "",
            "location": "",
            "category": "inquiry"
        }
    ]
}
输出消息

获取子突发事件详情操作可以返回以下输出消息：

输出消息 消息说明

Successfully retrieved information about child incidents related to the PARENT_INCIDENT_NUMBER incident in ServiceNow.

Action wasn't able to retrieve information about the child incidents in ServiceNow. Reason: incident PARENT_INCIDENT_NUMBER was not found.

No child incidents were found.

 操作成功。
Error executing action "Get Child Incident Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取子事件详情操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取 CMDB 记录详细信息

使用 Get CMDB Record Details 操作从 ServiceNow 中获取同一类的详细 CMDB 记录。

此操作会在所有 Google SecOps 实体上运行。

此操作要求您在 ServiceNow 中为用户分配 itil 角色。如需了解详情，请参阅配置角色和最低权限。

如需详细了解类名称，请参阅查看和修改类定义及元数据。

操作输入

获取 CMDB 记录详细信息操作需要以下参数：

参数 说明
Class Name

必填。

要列出记录的类的名称，例如 cmdb_ci_appl。
Sys ID

必填。

要检索详细信息的记录 sys ID 的英文逗号分隔列表。
Max Relations To Return

可选。

要返回的每种记录关系的数量。

默认值为 50。

操作输出

获取 CMDB 记录详情操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用 Get CMDB Record Details 操作时收到的 JSON 结果输出：

{
    "result": {
        "outbound_relations": [
            {
                "sys_id": "56f3a7ad7f701200bee45f19befa910f",
                "type": {
                    "display_value": "Members::Member of",
                    "link": "https://example.service-now.com/api/now/table/cmdb_rel_type/ID",
                    "value": "ID"
                },
                "target": {
                    "display_value": "Example",
                    "link": "https://example.service-now.com/api/now/cmdb/instance/cmdb_ci/ID",
                    "value": "ID"
                }
            }
        ],
        "attributes": {
            "attested_date": "",
            "skip_sync": "false",
            "operational_status": "1",
            "caption": "",
            "cluster_type": "",
            "sys_updated_on": "2016-01-06 19:04:07",
            "attestation_score": "",
            "discovery_source": "",
            "first_discovered": "",
            "sys_updated_by": "example.user",
            "cluster_status": "",
            "due_in": "",
            "sys_created_on": "2016-01-06 16:47:15",
            "sys_domain": {
                "display_value": "global",
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "install_date": "",
            "invoice_number": "",
            "gl_account": "",
            "sys_created_by": "example.user",
            "warranty_expiration": "",
            "cluster_version": "",
            "asset_tag": "",
            "fqdn": "",
            "change_control": "",
            "owned_by": "",
            "checked_out": "",
            "sys_domain_path": "/",
            "delivery_date": "",
            "maintenance_schedule": "",
            "install_status": "1",
            "cost_center": "",
            "attested_by": "",
            "supported_by": "",
            "dns_domain": "",
            "name": "SAP-LB-Win-Cluster",
            "assigned": "",
            "purchase_date": "",
            "subcategory": "Cluster",
            "short_description": "",
            "assignment_group": "",
            "managed_by": "",
            "managed_by_group": "",
            "last_discovered": "",
            "can_print": "false",
            "sys_class_name": "cmdb_ci_win_cluster",
            "manufacturer": "",
            "sys_id": "SYS_ID",
            "cluster_id": "",
            "po_number": "",
            "checked_in": "",
            "sys_class_path": "/!!/!5/!$",
            "vendor": "",
            "mac_address": "",
            "company": "",
            "model_number": "",
            "justification": "",
            "department": "",
            "assigned_to": "",
            "start_date": "",
            "cost": "",
            "comments": "",
            "sys_mod_count": "1",
            "serial_number": "",
            "monitor": "false",
            "model_id": "",
            "ip_address": "",
            "duplicate_of": "",
            "sys_tags": "",
            "cost_cc": "USD",
            "support_group": "",
            "order_date": "",
            "schedule": "",
            "environment": "",
            "due": "",
            "attested": "false",
            "unverified": "false",
            "correlation_id": "",
            "attributes": "",
            "location": "",
            "asset": "",
            "category": "Resource",
            "fault_count": "0",
            "lease_id": ""
        },
        "inbound_relations": [
            {
                "sys_id": "3b3d95297f701200bee45f19befa910c",
                "type": {
                    "display_value": "Depends on::Used by",
                    "link": "https://example.service-now.com/api/now/table/cmdb_rel_type/ID",
                    "value": "ID"
                },
                "target": {
                    "display_value": "IP-Router-3",
                    "link": "https://example.service-now.com/api/now/cmdb/instance/cmdb_ci/ID",
                    "value": "ID"
                }
            }
        ]
    }
}
输出消息

获取 CMDB 记录详细信息操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned details for CMDB records in the Class CLASS_NAME from ServiceNow for the following Sys IDs: SYS_ID_LIST.

Action wasn't able to return details for CMDB records in the Class CLASS_NAME from ServiceNow for the following Sys IDs: SYS_ID_LIST

Action wasn't able to return details for CMDB records in the Class CLASS_NAME in ServiceNow. Reason: Class CLASS_NAME was not found.

Action wasn't able to return details for CMDB record with Sys ID SYS_ID in the Class CLASS_NAME in Service Now. Reason: Record with Sys ID SYS_ID was not found in Class CLASS_NAME.

Information about the provided Sys IDs was not found.

 操作成功。
Error executing action "Get CMDB Record Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get CMDB Record Details 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取 OAuth 令牌

使用 Get Oauth Token 操作获取 ServiceNow 的 OAuth 刷新令牌。

此操作需要您配置以下集成参数：Username、Password、Client ID 和 Client Secret。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

获取 OAuth 令牌 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取 OAuth 令牌 操作时收到的 JSON 结果输出：

{
    "access_token": "Na4Kb1oWpFcYNUnyAjsYldiTMxYF1Cz79Q",
    "refresh_token": "0ryCENbbvfggZbNG9rFFd8_C8X0UgAQSMQkPJNStGwEEt0qNt-F1lw",
    "scope": "useraccount",
    "token_type": "Bearer",
    "expires_in": 1799
}
输出消息

获取 OAuth 令牌操作可以返回以下输出消息：

输出消息 消息说明
Successfully generated Oauth tokens for ServiceNow. Now navigate to the configuration tab and put "refresh_token" value in the "Refresh Token" parameter. Note: "Username" and "Password" parameters can be emptied. 操作成功。
Error executing action "Get Oauth Token". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get Oauth Token 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取突发事件

使用 Get Incident 操作可检索有关 ServiceNow 突发事件的信息。

此操作会在所有 Google SecOps 实体上运行。

操作输入

获取突发事件操作需要以下参数：

参数 说明
Incident Number

必填。

事件的数量。

如需配置此参数值，请使用以下格式： INCNUMBER
Short Description

可选。

事件的简短说明。
Impact

可选。

事件的影响级别。

可能的值如下：

  • 1（高）
  • 2 表示中
  • 3（低）
默认值为 1。
Urgency

可选。

相应事件的紧急程度。

可能的值如下

  • 1（高）
  • 2 表示中
  • 3（低）
默认值为 1。
Category

可选。

突发事件类别。
Assignment Group ID

可选。

要将事件分配到的群组的全名。

Assigned User ID

可选。

要将突发事件分配给的用户的全名。

Description

可选。

突发事件说明。
Incident State

可选。

事件的状态名称或状态 ID。

操作输出

获取突发事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取突发事件操作时收到的 JSON 结果输出：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": "2012",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010041",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "10",
    "notify": "1",
    "resolved_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": "2020-07-10 12:53:06",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "1",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by": "admin",
    "caused_by": " ",
    "comments": " ",
    "closed_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "priority": "1",
    "state": "7",
    "sys_id": "SYS_ID",
    "opened_at": "2020-07-10 12:18:04",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": "sdf",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": "0",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": "Closed by Caller",
    "business_duration": "1970-01-01 00:00:00",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 13:13:57",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": "1970-01-01 00:35:02",
    "caller_id": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "active": "false",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": "2020-07-10 14:33:28",
    "severity": "3",
    "incident_state": "7",
    "resolved_at": "2020-07-10 12:53:06",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 12:18:04",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": "Closed/Resolved by Caller",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "1",
    "reopen_count": "0"
}
脚本结果

下表列出了使用 Get Incident 操作时脚本结果输出的值：

脚本结果名称 值
incident_number INCIDENT_NUMBER

获取记录详情

使用获取记录详细信息操作可检索 ServiceNow 中特定表格记录的相关信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取记录详情操作需要以下参数：

参数 说明
Table Name

必填。

要在其中搜索记录的表的名称，例如 incident。
Record Sys ID

必填。

要检索详细信息的记录 ID。
Fields

可选。

要为记录返回的字段的英文逗号分隔列表，例如 field_1,field_2。

如果您未设置值，则该操作会返回记录的默认字段。

操作输出

获取记录详情操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用获取记录详情操作时收到的 JSON 结果输出：

{
    "result": [
        {
            "parent": "",
            "made_sla": "true",
            "caused_by": "",
            "watch_list": "",
            "upon_reject": "cancel",
            "sys_updated_on": "2020-10-20 07:19:11",
            "child_incidents": "0",
            "hold_reason": "",
            "approval_history": "",
            "skills": "",
            "number": "INC0010009",
            "resolved_by": "",
            "sys_updated_by": "admin",
            "opened_by": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "user_input": "",
            "sys_created_on": "2020-10-20 07:19:11",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "1",
            "sys_created_by": "admin",
            "knowledge": "false",
            "order": "",
            "calendar_stc": "",
            "closed_at": "",
            "cmdb_ci": "",
            "delivery_plan": "",
            "contract": "",
            "impact": "3",
            "active": "true",
            "work_notes_list": "",
            "business_service": "",
            "priority": "5",
            "sys_domain_path": "/",
            "rfc": "",
            "time_worked": "",
            "expected_start": "",
            "opened_at": "2020-10-20 07:18:56",
            "business_duration": "",
            "group_list": "",
            "work_end": "",
            "caller_id": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "reopened_time": "",
            "resolved_at": "",
            "approval_set": "",
            "subcategory": "",
            "work_notes": "",
            "short_description": "Assessment :  ATF Assessor",
            "close_code": "",
            "correlation_display": "",
            "delivery_task": "",
            "work_start": "",
            "assignment_group": "",
            "additional_assignee_list": "",
            "business_stc": "",
            "description": "",
            "calendar_duration": "",
            "close_notes": "",
            "notify": "1",
            "service_offering": "",
            "sys_class_name": "incident",
            "closed_by": "",
            "follow_up": "",
            "parent_incident": {
                "link": "https://example.service-now.com/api/now/table/incident/ID",
                "value": "ID"
            },
            "sys_id": "SYS_ID",
            "contact_type": "",
            "reopened_by": "",
            "incident_state": "1",
            "urgency": "3",
            "problem_id": "",
            "company": "",
            "reassignment_count": "0",
            "activity_due": "",
            "assigned_to": "",
            "severity": "3",
            "comments": "",
            "approval": "not requested",
            "sla_due": "",
            "comments_and_work_notes": "",
            "due_date": "",
            "sys_mod_count": "0",
            "reopen_count": "0",
            "sys_tags": "",
            "escalation": "0",
            "upon_approval": "proceed",
            "correlation_id": "",
            "location": "",
            "category": "inquiry"
        }
    ]
}
输出消息

获取记录详细信息操作可以返回以下输出消息：

输出消息 消息说明

Successfully retrieved information about the TABLE_NAME record with a Sys ID RECORD_SYS_ID in ServiceNow.

Action wasn't able to retrieve information about the TABLE_NAME record with a Sys ID RECORD_SYS_ID in ServiceNow. Reason: ERROR_REASON.

 操作成功。
Error executing action "Get Record Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取记录详情操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取用户详细信息

使用 Get User Details 操作，通过 ServiceNow 中的 sys_id 参数检索用户相关信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取用户详细信息操作需要以下参数：

参数 说明
User Sys IDs

必填。

以英文逗号分隔的用户 sys_ids 列表，用于检索详细信息，例如 sys_id_1,sys_id_2。

操作输出

获取用户详细信息操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
“支持请求墙”表格

获取用户详细信息操作提供以下表格：

表格名称：用户详细信息

表列：

  • 系统 ID（映射为 sys_id）
  • 名称（映射为 name）
  • 用户名（映射为 user_name）
  • 电子邮件（映射为 email）
JSON 结果

以下示例展示了使用获取用户详细信息操作时收到的 JSON 结果输出：

{
    "result": [
        {
            "calendar_integration": "1",
            "country": "",
            "last_position_update": "",
            "user_password": "example",
            "last_login_time": "",
            "source": "",
            "sys_updated_on": "2020-08-29 02:42:42",
            "building": "",
            "web_service_access_only": "false",
            "notification": "2",
            "enable_multifactor_authn": "false",
            "sys_updated_by": "user@example",
            "sys_created_on": "2012-02-18 03:04:52",
            "agent_status": "",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "",
            "vip": "false",
            "sys_created_by": "admin",
            "longitude": "",
            "zip": "",
            "home_phone": "",
            "time_format": "",
            "last_login": "",
            "default_perspective": "",
            "geolocation_tracked": "false",
            "active": "true",
            "sys_domain_path": "/",
            "cost_center": {
                "link": "https://example.service-now.com/api/now/table/cmn_cost_center/ID",
                "value": "ID"
            },
            "phone": "",
            "name": "Example User",
            "employee_number": "",
            "password_needs_reset": "false",
            "gender": "Male",
            "city": "",
            "failed_attempts": "",
            "user_name": "example.user",
            "latitude": "",
            "roles": "",
            "title": "",
            "sys_class_name": "sys_user",
            "sys_id": "SYS_ID",
            "internal_integration_user": "false",
            "ldap_server": "",
            "mobile_phone": "",
            "street": "",
            "company": {
                "link": "https://example.service-now.com/api/now/table/core_company/ID",
                "value": "ID"
            },
            "department": {
                "link": "https://dev98773.service-now.com/api/now/table/cmn_department/ID",
                "value": "ID"
            },
            "first_name": "Example",
            "email": "example@example.com",
            "introduction": "",
            "preferred_language": "",
            "manager": "",
            "business_criticality": "3",
            "locked_out": "false",
            "sys_mod_count": "4",
            "last_name": "User",
            "photo": "",
            "avatar": "063e38383730310042106710ce41f13b",
            "middle_name": "",
            "sys_tags": "",
            "time_zone": "",
            "schedule": "",
            "on_schedule": "",
            "date_format": "",
            "location": {
                "link": "https://example.service-now.com/api/now/table/cmn_location/ID",
                "value": "ID"
            }
        }
    ]
}
输出消息

获取用户详细信息操作可以返回以下输出消息：

输出消息 消息说明

Successfully retrieved information about users from ServiceNow with the following Sys IDs: SYS_ID_LIST.

Action wasn't able to retrieve information about the users in ServiceNow with the following Sys IDs: SYS_ID_LIST.

Information about the users with specified Sys IDs was not found in ServiceNow.

 操作成功。
Error executing action "Get User Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用获取用户详细信息操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

列出 CMDB 记录

使用 List CMDB Records 操作可列出 ServiceNow 中同一类的 CMDB 记录。

该操作不会在 Google SecOps 实体上运行。

此操作要求您在 ServiceNow 中为用户分配 itil 角色。如需了解详情，请参阅配置角色和最低权限。

如需详细了解类名称，请参阅查看和修改类定义及元数据。

如何使用查询过滤条件 (sysparm_query)

如需获取 Query Filter 参数的正确查询过滤条件，请完成以下步骤：

  1. 在 ServiceNow 中，使用以下网址前往 CMDB 查询构建器：

    (https://SERVICENOW_INSTANCE/$queryBuilder.doabout:blank)

  2. 在 Search CMDB Classes 字段中，输入类名称。

  3. 将所需的类拖到构建器画布上。

  4. 在浏览器中，选择开发者工具，然后前往网络标签页。

  5. 将指针悬停在拖动到画布上的类上，以选择 filter_alt 过滤条件字段。

  6. 在filter_alt 过滤条件字段中，输入您选择的过滤条件。

  7. 在网络标签页中，搜索包含 map 属性的请求。

    例如，请求网址如下：

    https://example-instance.service-now.com/api/now/ui/query_parse/cmdb_ci_appl/map?sysparm_query=sys_idLIKE1%5Esys_idSTARTSWITH0%5EORsys_idSTARTSWITH2

    从网址中复制 sysparm_query= 属性后面的值。此值是您创建的过滤条件，以查询的形式呈现。 查询值如下： sys_idLIKE1%5Esys_idSTARTSWITH0%5EORsys_idSTARTSWITH2。

  8. 在操作中使用网址查询之前，对其进行解码。

操作输入

列出 CMDB 记录操作需要以下参数：

参数 说明
Class Name

必填。

要列出记录的类的名称，例如 cmdb_ci_appl。
Query Filter

可选。

结果的查询过滤条件，例如 sys_idLIKE1^sys_idSTARTSWITH0。
Max Records To Return

可选。

要返回的记录数上限。

默认值为 50。

操作输出

列出 CMDB 记录操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
“支持请求墙”表格

列出 CMDB 记录操作提供以下表格：

表格名称：CLASS_NAME 记录

表列：

  • 名称（映射为 name）
  • 系统 ID（映射为 sys_id）
JSON 结果

以下示例展示了使用 List CMDB Records 操作时收到的 JSON 结果输出：

{
    "result": [
        {
            "sys_id": "SYS_ID",
            "name": "Example server"
        }
    ]
}
输出消息

列出 CMDB 记录操作可能会返回以下输出消息：

输出消息 消息说明

Successfully listed CMDB records for the Class CLASS_NAME in ServiceNow.

Action wasn't able to list CMDB records for the Class CLASS_NAME in ServiceNow. Reason: Class 'CLASS_NAME was not found in Service Now.".format(Class name)

 操作成功。
Error executing action "List CMDB Records". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用列出 CMDB 记录 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

列出记录评论

使用 List Record Comments 操作列出与 ServiceNow 中特定表格记录相关的评论。

此操作不适用于 Google SecOps 实体。

操作输入

列出记录注释操作需要以下参数：

参数 说明
Table Name

必填。

要添加注释或备注的表的名称，例如 incident。
Type

必填。

要添加的注释或备注的类型。

可能的值如下：
  • Comment
  • Work Note

默认值为 Comment。
Record Sys ID

必填。

要添加评论或工作备注的记录 ID。
Max Results To Return

可选。

需返回的结果数上限。

默认值为 50。

操作输出

列出记录注释 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用列出记录评论操作时收到的 JSON 结果输出：

{
    "sys_id": "SYS_ID",
    "sys_created_on": "2021-09-03 10:29:48",
    "name": "incident",
    "element_id": "552c48888c033300964f4932b03eb092",
    "sys_tags": "",
    "value": "test",
    "sys_created_by": "admin",
    "element": "comments"
}
输出消息

列出记录注释 操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned CONTENT_TYPE related to TABLE_NAME with Sys ID SYS_ID in ServiceNow.

No CONTENT_TYPE were found for TABLE_NAME with Sys ID SYS_ID in ServiceNow.

 操作成功。
Error executing action "List Record Comments". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用列出记录注释操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

使用 List Records Related To User（列出与用户相关的记录）操作可列出 ServiceNow 中与用户相关的表中的记录。

此操作不适用于 Google SecOps 实体。

操作输入

列出与用户相关的记录操作需要以下参数：

参数 说明
Table Name

必填。

要搜索相关记录的表的名称，例如 incident。
Usernames

必填。

以英文逗号分隔的用户名列表，用于检索相关记录。
Max Days Backwards

必填。

要提取相关记录的当前日期之前的天数。
Max Records To Return

可选。

要为每位用户返回的记录数。

默认值为 50。

操作输出

列出与用户相关的记录操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用列出与用户相关的记录操作时收到的 JSON 结果输出：

{
    "result": [
        {
            "parent": "",
            "made_sla": "true",
            "caused_by": "",
            "watch_list": "",
            "upon_reject": "cancel",
            "sys_updated_on": "2020-10-19 14:18:40",
            "child_incidents": "0",
            "hold_reason": "",
            "approval_history": "",
            "skills": "",
            "number": "INC0010008",
            "resolved_by": "",
            "sys_updated_by": "admin",
            "opened_by": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "user_input": "",
            "sys_created_on": "2020-10-19 14:18:40",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "1",
            "sys_created_by": "admin",
            "knowledge": "false",
            "order": "",
            "calendar_stc": "",
            "closed_at": "",
            "cmdb_ci": "",
            "delivery_plan": "",
            "contract": "",
            "impact": "3",
            "active": "true",
            "work_notes_list": "",
            "business_service": "",
            "priority": "5",
            "sys_domain_path": "/",
            "rfc": "",
            "time_worked": "",
            "expected_start": "",
            "opened_at": "2020-10-19 14:18:20",
            "business_duration": "",
            "group_list": "",
            "work_end": "",
            "caller_id": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "reopened_time": "",
            "resolved_at": "",
            "approval_set": "",
            "subcategory": "",
            "work_notes": "",
            "short_description": "TEST",
            "close_code": "",
            "correlation_display": "",
            "delivery_task": "",
            "work_start": "",
            "assignment_group": "",
            "additional_assignee_list": "",
            "business_stc": "",
            "description": "",
            "calendar_duration": "",
            "close_notes": "",
            "notify": "1",
            "service_offering": "",
            "sys_class_name": "incident",
            "closed_by": "",
            "follow_up": "",
            "parent_incident": "",
            "sys_id": "SYS_ID",
            "contact_type": "",
            "reopened_by": "",
            "incident_state": "1",
            "urgency": "3",
            "problem_id": "",
            "company": {
                "link": "https://example.service-now.com/api/now/table/core_company/ID",
                "value": "ID"
            },
            "reassignment_count": "0",
            "activity_due": "",
            "assigned_to": "",
            "severity": "3",
            "comments": "",
            "approval": "not requested",
            "sla_due": "",
         "comments_and_work_notes": "",
            "due_date": "",
            "sys_mod_count": "0",
            "reopen_count": "0",
            "sys_tags": "",
            "escalation": "0",
            "upon_approval": "proceed",
            "correlation_id": "",
            "location": "",
            "category": "inquiry"
        }
    ]
}
输出消息

列出与用户相关的记录操作可以返回以下输出消息：

输出消息 消息说明

Successfully retrieved related records from the table TABLE_NAME in ServiceNow for the following users: USERNAME_LIST.

Action wasn't able to retrieve related records from the table TABLE_NAME in ServiceNow for the following users: USERNAME_LIST.

No related table records were retrieved for the provided users.

操作成功。
Error executing action "List Records Related To User". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用列出与用户相关的记录操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

Ping

使用 Ping 操作测试与 ServiceNow 的连接。

此操作会在所有 Google SecOps 实体上运行。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

更新突发事件

使用更新突发事件操作更新突发事件信息。

此操作会在所有 Google SecOps 实体上运行。

此操作要求您在 ServiceNow 中为用户分配 sn_incident_write 角色。如需了解详情，请参阅配置角色和最低权限。

操作输入

更新突发事件操作需要以下参数：

参数 说明
Incident Number

必填。

事件的数量。

如需配置此参数值，请使用以下格式： INCNUMBER
Short Description

可选。

事件的简短说明。
Impact

可选。

事件的影响级别。

可能的值如下：

  • 1（高）
  • 2 表示中
  • 3（低）
默认值为 1。
Urgency

可选。

相应事件的紧急程度。

可能的值如下

  • 1（高）
  • 2 表示中
  • 3（低）
默认值为 1。
Category

可选。

突发事件类别。
Assignment Group ID

可选。

要将事件分配到的群组的全名。

Assigned User ID

可选。

要将突发事件分配给的用户的全名。

Description

可选。

突发事件说明。
Incident State

可选。

事件的状态名称或状态 ID。
Custom Fields

可选。

以英文逗号分隔的字段和值列表。

如需配置此参数，请按以下格式输入值： field_1:value_1,field_2:value_2。

操作输出

更新突发事件操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
JSON 结果

以下示例展示了使用更新突发事件操作时收到的 JSON 结果输出：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": "2012",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010041",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "10",
    "notify": "1",
    "resolved_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": "2020-07-10 12:53:06",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "1",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by": "admin",
    "caused_by": " ",
    "comments": " ",
    "closed_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "priority": "1",
    "state": "7",
    "sys_id": "SYS_ID",
    "opened_at": "2020-07-10 12:18:04",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": "sdf",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": "0",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": "Closed by Caller",
    "business_duration": "1970-01-01 00:00:00",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 13:13:57",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": "1970-01-01 00:35:02",
    "caller_id": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "active": "false",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": "2020-07-10 14:33:28",
    "severity": "3",
    "incident_state": "7",
    "resolved_at": "2020-07-10 12:53:06",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 12:18:04",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": "Closed/Resolved by Caller",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "1",
    "reopen_count": "0"
}
脚本结果

下表列出了使用更新突发事件操作时脚本结果输出的值：

脚本结果名称 值
incident_number INCIDENT_NUMBER

更新记录

使用 Update Record（更新记录）操作可更新 ServiceNow 中属于不同表的可用记录。

此操作会在所有 Google SecOps 实体上运行。

操作输入

更新记录操作需要以下参数：

参数 说明
Table Name

可选。

用于更新记录的表。
Object JSON Data

可选。

用于更新记录的必需 JSON 数据。

Record Sys ID

可选。

更新后记录的系统 ID。

操作输出

更新记录操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
脚本结果 可用
JSON 结果

以下示例展示了使用更新记录操作时收到的 JSON 结果输出：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": " ",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010021",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "0",
    "notify": "1",
    "resolved_by": " ",
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": " ",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "3",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by": "admin",
    "caused_by": " ",
    "comments": " ",
    "closed_by": " ",
    "priority": "5",
    "state": "1",
    "sys_id": "SYS_ID",
    "opened_at": "2020-07-10 08:24:34",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": " ",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": " ",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": " ",
    "business_duration": " ",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 08:24:34",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": " ",
    "caller_id": " ",
    "active": "true",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": " ",
    "severity": "3",
    "incident_state": "1",
    "resolved_at": " ",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 08:24:34",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": " ",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "3",
    "reopen_count": "0"
}
脚本结果

下表列出了使用更新记录操作时脚本结果输出的值：

脚本结果名称 值
record_sys_id RECORD_SYS_ID

等待评论

使用 Wait For Comments 操作等待与 ServiceNow 中特定表格记录相关的评论。

此操作以异步方式运行。根据需要，在 Google SecOps IDE 中调整操作的脚本超时值。

此操作不适用于 Google SecOps 实体。

操作输入

等待评论操作需要以下参数：

参数 说明
Table Name

必填。

要添加注释或备注的表的名称，例如 incident。
Type

必填。

要添加的注释或备注的类型。

可能的值如下：
  • Comment
  • Work Note

默认值为 Comment。
Record Sys ID

必填。

要添加评论或工作备注的记录 ID。
Wait Mode

可选。

相应操作的等待模式。

可能的值如下：

  • Until Timeout
  • Until First Message
  • Until Specific Text

如果您选择 Until Timeout 选项，该操作会等待并在指定超时时限内返回所有评论。

如果您选择 Until First Message 选项，该操作会等待，直到执行操作后出现新消息。

如果您选择 Until Specific Text 选项，该操作会一直等待，直到出现与 Text 参数中的字符串对应的消息。

如果您选择 Until Specific Text 选项，还需配置 Text 参数。

默认值为 Until Timeout。
Text

可选。

操作等待的文本。

仅当您为 Wait Mode 参数选择 Until Specific Text 选项时，此参数才相关。

操作输出

等待评论操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用等待评论操作时收到的 JSON 结果输出：

{
    "sys_id": "SYS_ID",
    "sys_created_on": "2021-09-03 10:29:48",
    "name": "incident",
    "element_id": "552c48888c033300964f4932b03eb092",
    "sys_tags": "",
    "value": "test",
    "sys_created_by": "admin",
    "element": "comments"
}
输出消息

等待评论操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned CONTENT_TYPE related to TABLE_NAME with Sys ID SYS_ID in ServiceNow.

No new CONTENT_TYPE were added during the timeframe of action execution to TABLE_NAME with Sys ID SYS_ID in ServiceNow.

 操作成功。
Error executing action "Wait For Comments". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用等待评论操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

等待字段更新

使用等待字段更新操作等待 ServiceNow 中数据记录的字段更新。

此操作会在所有 Google SecOps 实体上运行。

操作输入

等待字段更新操作需要以下参数：

参数 说明
Table Name

必填。

要创建记录的表的名称，例如 incident。
Record Sys ID

必填。

要更新的记录的系统 ID。
Field - Column Name

必填。

要更新的列的名称。
Field - Values

必填。

列中预期出现的值，例如 In Progress 或 Resolved。

操作输出

等待字段更新操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用等待字段更新操作时脚本结果输出的值：

脚本结果名称 值
updated_field UPDATED_FIELD

等待状态更新

使用等待状态更新操作等待 ServiceNow 中数据记录的状态更新。

此操作会在所有 Google SecOps 实体上运行。

操作输入

等待状态更新操作需要以下参数：

参数 说明
Incident Number

必填。

事件的数量。

如需配置此参数值，请使用以下格式： INCNUMBER
Statuses

必填。

预期事件状态的列表，例如 In Progress, Resolved。

操作输出

等待状态更新操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
脚本结果 可用
脚本结果

下表列出了使用等待状态更新操作时脚本结果输出的值：

脚本结果名称 值
new_status STATUS

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

ServiceNow 连接器

使用 ServiceNow 连接器从 ServiceNow 检索突发事件。

如何使用动态列表

在 ServiceNow 连接器中，您可以通过动态列表修改连接器发送给 ServiceNow 的 sysparm_query 查询。您可以过滤相应记录类型支持的每个字段。

如需过滤掉数据，请将每个动态列表项配置为包含一个字段，格式如下：FIELD_NAME=VALUE.

该字段的示例如下：category=security。

选择 Use whitelist as a blacklist 参数后，连接器会修改查询，使其充当屏蔽列表。

连接器输入

ServiceNow 连接器需要以下参数：

参数 说明
Environment

必填。

用于运行连接器的 Google SecOps 环境。
Run Every

必填。

运行连接器的迭代周期。

默认情况下，连接器每 10 秒运行一次。
Product Field Name

必填。

存储商品名称的字段的名称。

默认值为 device_product。

商品名称主要影响映射。为了简化和改进连接器的映射流程，默认值 device_product 会解析为从代码引用的回退值。此参数的任何无效输入默认都会解析为回退值。
Event Field Name

必填。

输入要检索事件字段名称的源字段名称。

默认值为 event_name。
Rule Generator

可选。

用于确定规则生成器的字段名称。

Api Root

必填。

ServiceNow 实例的地址。

如需配置此参数，请按以下格式输入值： https://INSTANCE.service-now.com/api/now/v1/。
Username

必填。

您的 ServiceNow 实例的用户名。
Password

必填。

您的 ServiceNow 实例的密码。
Verify SSL

可选。

如果选中此复选框，集成会在连接到 ServiceNow 时验证 SSL 证书。

默认处于启用状态。
Days Backwards

可选。

在首次连接器迭代之前检索事件的小时数。此参数可应用于首次启用连接器后的初始连接器迭代，也可应用于过期连接器时间戳的回退值。

默认值为 5。
Max Incidents per Cycle

可选。

每次连接器迭代中要检索的突发事件数量。

默认值为 10。
Environments Whitelist

可选。

连接器要注入到 Google SecOps 中的环境（网域）的逗号分隔列表，例如 env1,env2。
Use whitelist as a blacklist

可选。

如果选中此选项，连接器会将动态列表用作屏蔽列表。

默认情况下未选中。
PythonProcessTimeout

必填。

运行当前脚本的 Python 进程的超时时间限制（以秒为单位）。

默认值为 60。
Incident Table

可选。

ServiceNow 用于与事件相关的操作的 API 根路径。

默认情况下，集成使用 table/incident 路径。
Client ID

可选。

ServiceNow 应用的客户端 ID。OAuth 2.0 需要此参数。
Client Secret

可选。

ServiceNow 应用的客户端密钥值。OAuth 2.0 需要此参数。
Refresh Token

可选。

ServiceNow 应用的刷新令牌。 OAuth 2.0 需要此参数。
Use Oauth Authentication

可选。

如果选择此项，集成将使用 OAuth 2.0 进行身份验证。如果您选择此参数，请配置 Client ID、Client Secret 和 Refresh Token 连接器参数。

默认情况下未选中。
Server Time Zone

可选。

服务器中配置的时区，例如 UTC、Asia/Jerusalem。
Table Name

可选。

要从中检索记录的表的名称，例如 incident。
Event Name

可选。

Google SecOps 事件的名称，例如 ServiceNowEvent。
Proxy Server Address

可选。

要使用的代理服务器的地址。
Proxy Username

可选。

用于进行身份验证的代理用户名。
Proxy Password

可选。

用于进行身份验证的代理密码。
Get User Information

可选。

如果选中此选项，连接器还会检索与事件相关的用户信息。
Assignment Group

可选。

您要注入记录的分配组的名称。

连接器规则

  • 连接器支持代理。

  • 连接器支持动态列表和屏蔽名单。

作业

ServiceNow 集成包含以下作业：

同步已关闭的突发事件

使用 Sync Closed Incidents 作业同步已关闭的 ServiceNow 突发事件和 Google SecOps 提醒。此作业适用于作为提醒和支持请求提取的 ServiceNow 突发事件，这些事件包含“ServiceNow”标记和“TICKET_ID”上下文值（其中包含突发事件编号）。

作业输入

同步已关闭的支持请求作业需要以下参数：

参数 说明
API Root

必填。

ServiceNow 实例的 API 根目录。

默认值为 https://INSTANCE.service-now.com/api/now/v1/。
Username

必填。

ServiceNow 实例的用户名。
Password

必填。

ServiceNow 实例的密码。
Verify SSL

可选。

如果选中此选项，集成会在连接到 ServiceNow 服务器时验证 SSL 证书。

默认处于启用状态。
Client ID

可选。

ServiceNow 集成的客户端 ID。

对于 OAuth 2.0，使用客户端凭据进行身份验证时，此参数是必需的。

您可以使用刷新令牌或客户端凭据进行身份验证。如果您同时配置了这两者，集成会使用刷新令牌进行身份验证。
Client Secret

可选。

ServiceNow 集成的客户端密钥。

对于 OAuth 2.0，使用客户端凭据进行身份验证时，此参数是必需的。

您可以使用刷新令牌或客户端凭据进行身份验证。如果您同时配置了这两者，集成将使用刷新令牌进行身份验证。
Refresh Token

可选。

ServiceNow 集成的刷新令牌。令牌每 90 天过期一次

对于 OAuth 2.0，使用刷新令牌进行身份验证时，此参数是必需的。

您可以使用刷新令牌或客户端凭据进行身份验证。如果您同时配置了这两者，集成将使用刷新令牌进行身份验证。
Use Oauth Authentication

可选。

如果选择此项，集成将使用 OAuth 2.0 进行身份验证。

OAuth 2.0 需要客户端凭据（Client ID 和 Client Secret）或 Refresh Token 参数。
Max Hours Backwards

可选。

要同步的病例距当前时间的小时数。

默认值为 24。
Table Name

必填。

要搜索的数据库表的名称，例如 incident。

同步问题

使用 Sync Incidents 作业同步与 Google SecOps 中的支持请求和提醒相关的 ServiceNow 突发事件字段和附件。

此作业要求您为集成中使用的用户配置 ITIL (itil) 角色。如需详细了解 ServiceNow 中的 ITIL 角色，请参阅基本系统角色。

为了使作业正常运行，请向支持请求添加 ServiceNow Incident Sync 标记，并根据 Sync Level 参数向支持请求或提醒添加 TICKET_ID 值。TICKET_ID 值的示例如下所示：INC0000050,INC0000051。

Ticket_ID 是一个上下文值，您可以使用 Siemplify 集成的 Set Scope Context Value 操作来设置该值。

作业输入

同步突发事件作业需要以下参数：

参数 说明
API Root

必填。

ServiceNow 实例的 API 根目录。

默认值为 https://INSTANCE.service-now.com/api/now/v1/。
Username

必填。

ServiceNow 实例的用户名。
Password

必填。

ServiceNow 实例的密码。
Sync Level

必填。

作业提取的数据类型。

可能的值如下：

  • Case
  • Alert

默认值为 Case。
Max Hours Backwards

必填。

要同步的病例距当前时间的小时数。

默认值为 24。
Verify SSL

可选。

如果选中此选项，集成会在连接到 ServiceNow 服务器时验证 SSL 证书。

默认处于启用状态。

同步表格记录注释

使用 Sync Table Record Comments 作业同步 ServiceNow 表记录和 Google SecOps 支持服务工单中的评论。

作业输入

同步表格记录注释作业需要以下参数：

参数 说明
API Root

必填。

ServiceNow 实例的 API 根目录。

默认值为 https://INSTANCE.service-now.com/api/now/v1/。
Username

必填。

ServiceNow 实例的用户名。
Password

必填。

ServiceNow 实例的密码。
Verify SSL

可选。

如果选中此选项，集成会在连接到 ServiceNow 服务器时验证 SSL 证书。

默认处于启用状态。
Client ID

可选。

ServiceNow 集成的客户端 ID。

对于 OAuth 2.0，使用客户端凭据进行身份验证时，此参数是必需的。

您可以使用刷新令牌或客户端凭据进行身份验证。如果您同时配置了这两者，集成会使用刷新令牌进行身份验证。
Client Secret

可选。

ServiceNow 集成的客户端密钥。

对于 OAuth 2.0，使用客户端凭据进行身份验证时，此参数是必需的。

您可以使用刷新令牌或客户端凭据进行身份验证。如果您同时配置了这两者，集成将使用刷新令牌进行身份验证。
Refresh Token

可选。

ServiceNow 集成的刷新令牌。令牌每 90 天过期一次

对于 OAuth 2.0，使用刷新令牌进行身份验证时，此参数是必需的。

您可以使用刷新令牌或客户端凭据进行身份验证。如果您同时配置了这两者，集成将使用刷新令牌进行身份验证。
Use Oauth Authentication

可选。

如果选择此项，集成将使用 OAuth 2.0 进行身份验证。

OAuth 2.0 需要客户端凭据（Client ID 和 Client Secret）或 Refresh Token 参数。
Table Name

必填。

要搜索的数据库表的名称，例如 incident。

按标记同步表格记录注释

使用 Sync Table Record Comments By Tag 作业同步 ServiceNow 表格记录和 Google SecOps 支持服务工单中的评论。

此作业要求相应问题具有以下标记：

  • ServiceNow TABLE_NAME

  • ServiceNow TicketId: TICKET_ID

作业输入

按标记同步表格记录注释作业需要以下参数：

参数 说明
API Root

必填。

ServiceNow 实例的 API 根目录。

默认值为 https://INSTANCE.service-now.com/api/now/v1/。
Username

必填。

ServiceNow 实例的用户名。
Password

必填。

ServiceNow 实例的密码。
Table Name

必填。

要搜索的数据库表的名称，例如 incident。
Verify SSL

可选。

如果选中此选项，集成会在连接到 ServiceNow 服务器时验证 SSL 证书。

默认处于启用状态。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。