Migra la infraestructura de autenticación de agentes remotos

Compatible con:

Google SecOps SOAR

En este documento, se describe cómo migrar tu infraestructura de agentes remotos con cuentas de servicio de Google Cloud . Esta migración es solo para la infraestructura de autenticación. No es necesario que migres ni reemplaces tus instancias o hosts de Remote Agent.

Autenticación sin claves: Para configurar la autenticación sin claves para agentes remotos sin almacenar archivos de claves JSON de cuentas de servicio en máquinas host, consulta Autentica el agente remoto con la federación de identidades para cargas de trabajo.

Antes de comenzar

Asegúrate de tener lo siguiente:

• Permisos necesarios para crear cuentas de servicio en Google Cloud.
• Roles necesarios para crear claves de cuentas de servicio.
• Se requiere la versión 2.6.2 o posterior del agente remoto.

Requisitos de red y de Private Service Connect

Después de migrar la infraestructura de autenticación, el agente remoto se comunica con la API de Chronicle a través de las APIs de Google estándar en lugar de los extremos heredados de *.siemplify-soar.com.

Lista de entidades permitidas de extremos de salida

Confirma que tu firewall permita el tráfico HTTPS saliente en el puerto TCP 443 desde el host del agente remoto hasta los siguientes extremos:

• Permite el tráfico HTTPS saliente al extremo de ubicación de la API de Google Security Operations Chronicle (<var>REGION</var>-chronicle.googleapis.com, configurado en ONE_PLATFORM_URL_DOMAIN, como asia-southeast1-chronicle.googleapis.com) y al nombre de host del publicador del inquilino (SERVER_API_ROOT).
• Permite el tráfico HTTPS saliente a los extremos de autenticación de Google Cloud : oauth2.googleapis.com (para el intercambio de tokens de cuenta de servicio), sts.googleapis.com y iamcredentials.googleapis.com (para la autenticación sin clave con la federación de identidades para cargas de trabajo).
• Permite el tráfico HTTPS saliente a los registros de contenedores que se usan para las implementaciones de Podman o Docker, como *.pkg.dev (incluido us-docker.pkg.dev) y gcr.io para Artifact Registry, o docker.io.

Nota: El formato de extremo regional (chronicle.<var>REGION</var>.rep.googleapis.com) no es compatible con la conectividad del plano de control del agente remoto.

Para obtener más información, consulta Requisitos de red y firewall.

Configuración de Private Service Connect

Si tu agente remoto se conecta a las APIs de Google de forma privada (por ejemplo, desde una red local, Amazon Web Services (AWS) o Microsoft Azure a través de Cloud Interconnect o Cloud VPN), completa la siguiente configuración:

1. Crea un extremo de Private Service Connect para las APIs de Google (con el paquete all-apis o vpc-sc) en tu nube privada virtual. Para obtener instrucciones, consulta Configura Private Service Connect para las APIs de Google.
2. Configura el DNS privado para que los extremos requeridos se resuelvan en la dirección IP de tu extremo de Private Service Connect. En Google Cloud, configura una zona privada de Cloud DNS para googleapis.com. Fuera de Google Cloud, usa el reenvío de DNS condicional o una zona alojada privada (como AWS Route 53).
3. Mantén activa cualquier conexión de Private Service Connect de SOAR heredada (un adjunto de servicio de productor para <var>TENANT</var>.siemplify-soar.com) hasta que termines de migrar todos los agentes remotos.

Crea una cuenta de servicio

Una cuenta de servicio es un tipo especial de Cuenta de Google que usa una aplicación para realizar llamadas autorizadas a la API.

Importante: Asigna una cuenta de servicio única a cada agente remoto. Debido a que las cuentas de servicio están sujetas a límites de frecuencia y cuotas de API individuales, compartir una cuenta de servicio entre varios agentes puede agotar las cuotas y causar fallas de comunicación.

Para crear una cuenta de servicio, sigue estos pasos:

1. En la consola de Google Cloud , accede a la página Cuentas de servicio.
Ir a Cuentas de servicio
2. Haz clic en Crear cuenta de servicio.
3. En la sección Detalles de la cuenta de servicio, haz lo siguiente:
   1. Ingresa un nombre para la cuenta de servicio.
   2. Ingresa una descripción para la cuenta de servicio.
   3. Haz clic en Crear y continuar.
4. En la sección Permisos, haz lo siguiente:
   1. En la lista Selecciona un rol, elige el rol Agente remoto de Chronicle SOAR.
   2. Haz clic en Continuar.
5. En la sección Otorga a usuarios acceso a esta cuenta de servicio, haz clic en Listo.

Crea una clave de cuenta de servicio

La clave de cuenta de servicio es obligatoria para autenticar el agente remoto. Para crear esta clave, sigue estos pasos:

1. En la consola de Google Cloud , accede a la página Cuentas de servicio.
Ir a Cuentas de servicio
2. Haz clic en el nombre de la cuenta de servicio que creaste.
3. Haz clic en la pestaña Claves.
4. Haz clic en Agregar clave > Crear clave nueva.
5. Selecciona JSON como el tipo de clave y haz clic en Crear.

   A JSON file containing the key is downloaded to your computer.
   

6. Haz clic en Cerrar.

Almacena el archivo de claves de forma segura

Después de descargar la clave de la cuenta de servicio, debes moverla a la máquina host en la que se ejecutará el agente remoto.

Advertencia: No confirmes este archivo de claves en tu repositorio de código fuente. Trátala como una contraseña confidencial.

Podman

1. Busca el archivo JSON descargado en tu computadora.
2. Almacena el archivo en una ubicación segura en la máquina anfitrión a la que pueda acceder el proceso del agente.
3. Ingresa la ruta de acceso completa de la clave de la cuenta de servicio de tu agente en la máquina anfitrión.

   AGENT_SERVICE_ACCOUNT_PATH

Docker

1. Busca el archivo JSON descargado en tu computadora.
2. Almacena el archivo en una ubicación segura en la máquina anfitrión a la que pueda acceder el proceso del agente.
3. Ingresa la ruta de acceso completa de la clave de la cuenta de servicio de tu agente en la máquina anfitrión.

   AGENT_SERVICE_ACCOUNT_PATH

Instalador

1. Busca el archivo JSON descargado en tu computadora.
2. Almacena el archivo en la siguiente ubicación:

   AGENT_SERVICE_ACCOUNT_PATH

3. Toma nota de la ruta de acceso completa a este archivo, ya que será necesaria cuando configures el agente remoto.

Asigna la cuenta de servicio del agente remoto

Después de crear la cuenta de servicio para tu agente remoto, debes autorizarla en la plataforma para asegurarte de que pueda comunicarse correctamente con Google SecOps.

Para otorgar acceso a una cuenta de servicio o acceso a la federación de identidades para cargas de trabajo a Google SecOps, debes asignar la identidad a los parámetros de control de acceso de la plataforma. Esta asignación es un paso obligatorio para proporcionar a la identidad el acceso necesario a los roles del SOC y los entornos necesarios para realizar tareas automatizadas o de la API.

Nota: Otorgar roles de IAM de Google Cloud a una cuenta de servicio o principal es necesario, pero no suficiente para acceder a la API de Google SecOps SOAR. Si la cuenta de servicio no se asigna de forma explícita en Asignación de grupos, las solicitudes a la API fallan con un error 401 UNAUTHENTICATED, incluso cuando se configuran todos los roles de IAM requeridos a nivel del proyecto.

1. Ve a Configuración > Administración de acceso > Asignación de grupos.
2. Haz clic en Agregar Agregar.

3. Completa los campos en el cuadro de diálogo Agregar asignación para asignar la identidad a los parámetros de control de acceso de la plataforma.

   1. En el campo IdP / User group, ingresa una de las siguientes opciones:
      • La dirección de correo electrónico completa de tu cuenta de servicio, si la identidad se configuró con Cloud Identity.
      • Es la cadena de la principal de Workload Identity, si la identidad se configuró con la federación de identidades de personal.

   2. Configura los siguientes campos de control de acceso:

      Campo	Descripción
      Grupos de permisos	Selecciona los grupos de permisos para definir a qué módulos y submódulos puede acceder la identidad.
      Roles del SOC	Selecciona los roles de SOC para definir el rol de la identidad (como Nivel 1).
      Entornos	Selecciona los entornos o grupos de entornos a los que puede acceder la identidad (como Todos los entornos).
      Miembros del grupo	Ingresa los correos electrónicos de los usuarios requeridos, si corresponde. Presiona Intro después de agregar cada correo electrónico.
      Acciones restringidas	Selecciona las acciones restringidas para limitar operaciones específicas dentro de los módulos.

4. Haz clic en Agregar.

Configura la autenticación del agente remoto en Google Cloud

Podman

Si implementas un agente nuevo, lee Implementa un agente con Podman.

Si actualizas un agente, lee Actualiza un agente con Podman.

Docker

Si implementas un agente nuevo, lee Implementa un agente con Docker.

Si actualizas un agente, lee Actualiza un agente con Docker.

Instalador

Si implementas un agente nuevo, lee Implementa un agente con CentOS o Implementa un agente con RHEL.

Si actualizas un agente, lee Actualiza un agente con CentOS o Actualiza un agente con RHEL

Migra variables de entorno para un agente existente

Nota: Este paso se puede omitir para los agentes remotos instalados después del 10 de mayo de 2026 porque las variables de entorno están presentes en el archivo de comando/.env del contenedor.

Ve a Configuración de SOAR > Avanzada > Agentes remotos y haz clic en Ver más en el agente remoto requerido.

Copia los siguientes valores del campo Comando de Docker y pégalos en los siguientes comandos.
Los usarás en el procedimiento de migración:

• ONE PLATFORM URL DOMAIN

  ONE_PLATFORM_URL_DOMAIN

• ONE PLATFORM URL PROJECT

  ONE_PLATFORM_URL_PROJECT

• ONE PLATFORM URL LOCATION

  ONE_PLATFORM_URL_LOCATION

• ONE PLATFORM URL INSTANCE

  ONE_PLATFORM_URL_INSTANCE

Podman

Para migrar las variables de entorno del agente remoto, sigue estos pasos:

1. Enumera los contenedores de Podman en ejecución.

   podman ps

2. Ingresa el ID del contenedor de tu agente:

   CONTAINER_ID

3. Pega las siguientes variables de entorno de los procedimientos anteriores y ejecuta este comando:

   podman exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

Docker

Para migrar las variables de entorno del agente remoto, sigue estos pasos:

1. Enumera los contenedores de Docker que se ejecutan.

   docker ps

2. Ingresa el ID del contenedor de tu agente:

   CONTAINER_ID

3. Pega las siguientes variables de entorno de los procedimientos anteriores y ejecuta este comando:

   docker exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

Instalador

Para migrar las variables de entorno del agente remoto, sigue estos pasos:

Pega las siguientes variables de entorno de los procedimientos anteriores y ejecuta este comando:

cat << EOF >> /home/siemplify_agent/.bash_profile
export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN
export ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT
export ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION
export ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE
export GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json
EOF

Migra la cuenta de servicio al agente remoto

Una vez que se complete este paso y todas las variables de entorno estén presentes en el agente remoto, se completará la migración y el agente remoto se comunicará a través de Google Cloud

Podman

Para migrar la infraestructura de autenticación del agente remoto, sigue estos pasos:

1. Enumera los contenedores de Podman en ejecución.

   podman ps

2. Ingresa el ID del contenedor de tu agente:

   CONTAINER_ID

3. Usa el siguiente comando para copiar la clave de la cuenta de servicio en una ruta de acceso dedicada en el contenedor.

   podman cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

4. Usa el siguiente comando para cambiar el propietario de la clave de la cuenta de servicio en el contenedor:

   podman exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json

5. Ejecuta el siguiente comando para aplicar los cambios:

   podman restart CONTAINER_ID

Docker

Para migrar la infraestructura de autenticación del agente remoto, sigue estos pasos:

1. Enumera los contenedores de Docker que se ejecutan.

   docker ps

2. Ingresa el ID del contenedor de tu agente:

   CONTAINER_ID

3. Usa el siguiente comando para copiar la clave de la cuenta de servicio en una ruta de acceso dedicada en el contenedor.

   docker cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

4. Usa el siguiente comando para cambiar el propietario de la clave de la cuenta de servicio en el contenedor:

   docker exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json

5. Ejecuta el siguiente comando para aplicar los cambios:

   docker restart CONTAINER_ID

Instalador

Para migrar la infraestructura de autenticación del agente remoto, sigue estos pasos:

1. Mueve la cuenta de servicio a la ruta de acceso esperada

   mv AGENT_SERVICE_ACCOUNT_PATH /opt/SiemplifyAgent/agent-key.json

2. Usa el siguiente comando para cambiar el propietario de la clave de la cuenta de servicio en el contenedor:

   chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json

3. Ejecuta el siguiente comando para reiniciar el servicio del agente:

   supervisorctl restart siemplify_agent

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.