원격 에이전트 인증 인프라 마이그레이션

다음에서 지원:

이 문서에서는 Google Cloud 서비스 계정을 사용하여 원격 에이전트 인프라를 마이그레이션하는 방법을 설명합니다. 이 이전은 인증 인프라에만 적용됩니다. 원격 에이전트 인스턴스 또는 호스트를 마이그레이션하거나 교체할 필요가 없습니다.

시작하기 전에

다음 항목이 있는지 확인합니다.

  • Google Cloud에서 서비스 계정을 만드는 데 필요한 권한입니다.
  • 서비스 계정 키를 만드는 데 필요한 역할
  • 원격 에이전트 버전 2.6.2 이상이 필요합니다.

네트워크 및 Private Service Connect 요구사항

인증 인프라를 마이그레이션하면 원격 에이전트는 기존 *.siemplify-soar.com 엔드포인트 대신 표준 Google API를 통해 Chronicle API와 통신합니다.

아웃바운드 엔드포인트 허용 목록

방화벽이 원격 에이전트 호스트에서 다음 엔드포인트로의 TCP 포트 443에서 아웃바운드 HTTPS 트래픽을 허용하는지 확인합니다.

  • Google Security Operations Chronicle API 위치 엔드포인트 (<var>REGION</var>-chronicle.googleapis.com, ONE_PLATFORM_URL_DOMAIN에서 구성됨, 예: asia-southeast1-chronicle.googleapis.com) 및 테넌트 게시자 호스트 이름 (SERVER_API_ROOT)에 대한 아웃바운드 HTTPS 트래픽을 허용합니다.
  • Google Cloud 인증 엔드포인트(서비스 계정 토큰 교환의 경우 oauth2.googleapis.com, 워크로드 아이덴티티 제휴를 사용한 키 없는 인증의 경우 sts.googleapis.com 및 iamcredentials.googleapis.com)에 대한 아웃바운드 HTTPS 트래픽을 허용합니다.
  • Podman 또는 Docker 배포에 사용되는 Container Registry(예: *.pkg.dev(us-docker.pkg.dev 포함) 및 Artifact Registry의 경우 gcr.io 또는 docker.io)에 대한 아웃바운드 HTTPS 트래픽을 허용합니다.

자세한 내용은 네트워크 및 방화벽 요구사항을 참조하세요.

Private Service Connect 구성

원격 에이전트가 Google API에 비공개로 연결되는 경우 (예: 온프레미스 네트워크, Amazon Web Services (AWS) 또는 Cloud Interconnect 또는 Cloud VPN을 통한 Microsoft Azure) 다음 구성을 완료합니다.

  1. Virtual Private Cloud에서 Google API용 Private Service Connect 엔드포인트(all-apis 또는 vpc-sc 번들 사용)를 만듭니다. 자세한 내용은 Google API용 Private Service Connect 구성을 참조하세요.
  2. 필수 엔드포인트가 Private Service Connect 엔드포인트 IP 주소로 확인되도록 비공개 DNS를 구성합니다. Google Cloud에서 googleapis.com의 Cloud DNS 비공개 영역을 구성합니다.Google Cloud외부에서는 조건부 DNS 전달 또는 비공개 호스팅 영역 (예: AWS Route 53)을 사용합니다.
  3. 모든 원격 에이전트 마이그레이션을 완료할 때까지 기존 SOAR Private Service Connect 연결(<var>TENANT</var>.siemplify-soar.com의 프로듀서 서비스 연결)을 활성 상태로 유지합니다.

서비스 계정 만들기

서비스 계정은 애플리케이션에서 승인된 API 호출을 수행하는 데 사용하는 특별한 유형의 Google 계정입니다.

서비스 계정을 만드는 방법은 다음과 같습니다.

  1. Google Cloud 콘솔에서 서비스 계정 페이지로 이동합니다.
    2. 서비스 계정으로 이동
  2. 서비스 계정 만들기를 클릭합니다.
  3. 서비스 계정 세부정보 섹션에서 다음을 수행합니다.
    1. 서비스 계정의 이름을 입력합니다.
    2. 서비스 계정에 대한 설명을 입력합니다.
    3. 만들고 계속하기를 클릭합니다.
  4. 권한 섹션에서 다음을 수행합니다.
    1. 역할 선택 목록에서 Chronicle SOAR 원격 에이전트 역할을 선택합니다.
    2. 계속을 클릭합니다.
  5. 사용자에게 이 서비스 계정에 대한 액세스 권한 부여 섹션에서 완료를 클릭합니다.

서비스 계정 키 만들기

원격 에이전트를 인증하려면 서비스 계정 키가 필요합니다. 이 키를 만들려면 다음 단계를 따르세요.

  1. Google Cloud 콘솔에서 서비스 계정 페이지로 이동합니다.
    2. 서비스 계정으로 이동
  2. 만든 서비스 계정의 이름을 클릭합니다.
  3. 키 탭을 클릭합니다.
  4. 키 추가 > 새 키 만들기를 클릭합니다.
  5. 키 유형으로 JSON을 선택하고 만들기를 클릭합니다.

    A JSON file containing the key is downloaded to your computer.

  6. 닫기를 클릭합니다.

키 파일을 안전하게 보관합니다.

서비스 계정 키를 다운로드한 후 원격 에이전트가 실행될 호스트 머신으로 이동해야 합니다.

Podman

  1. 컴퓨터에서 다운로드한 JSON 파일을 찾습니다.
  2. 에이전트 프로세스가 액세스할 수 있는 호스트 머신의 안전한 위치에 파일을 저장합니다.
  3. 호스트 머신에서 에이전트의 서비스 계정 키 전체 경로를 입력합니다. 
    AGENT_SERVICE_ACCOUNT_PATH

Docker

  1. 컴퓨터에서 다운로드한 JSON 파일을 찾습니다.
  2. 에이전트 프로세스가 액세스할 수 있는 호스트 머신의 안전한 위치에 파일을 저장합니다.
  3. 호스트 머신에서 에이전트의 서비스 계정 키 전체 경로를 입력합니다. 
    AGENT_SERVICE_ACCOUNT_PATH

설치 프로그램

  1. 컴퓨터에서 다운로드한 JSON 파일을 찾습니다.
  2. 다음 위치에 파일을 저장합니다. 
    AGENT_SERVICE_ACCOUNT_PATH
  3. 원격 에이전트를 구성할 때 필요하므로 이 파일의 전체 경로를 기록해 둡니다.

원격 에이전트 서비스 계정 매핑

원격 에이전트의 서비스 계정을 만든 후에는 플랫폼 내에서 승인하여 Google SecOps와 성공적으로 통신할 수 있도록 해야 합니다.

Google SecOps에 서비스 계정 액세스 또는 워크로드 아이덴티티 제휴 액세스를 부여하려면 ID를 플랫폼의 액세스 제어 매개변수에 매핑해야 합니다. 이 매핑은 자동화된 작업 또는 API 작업을 수행하는 데 필요한 SOC 역할 및 환경에 대한 필수 액세스 권한을 ID에 제공하는 필수 단계입니다.

  1. SOAR 설정 > 고급 > 그룹 매핑으로 이동합니다.
  2. 추가 추가를 클릭합니다.

  3. 매핑 추가 대화상자의 필드를 작성하여 ID를 플랫폼의 액세스 제어 매개변수에 매핑합니다.

    1. IdP/사용자 그룹 필드에 다음 중 하나를 입력합니다.
      • Cloud ID를 사용하여 ID를 설정한 경우 서비스 계정의 전체 이메일 주소입니다.
      • 직원 ID 제휴를 사용하여 ID를 설정한 경우 워크로드 아이덴티티 주 구성원 문자열입니다.

    2. 다음 액세스 제어 필드를 구성합니다.

      필드 설명
      권한 그룹 권한 그룹을 선택하여 ID가 액세스할 수 있는 모듈과 하위 모듈을 정의합니다.
      SOC 역할 SOC 역할을 선택하여 ID의 역할 (예: Tier 1)을 정의합니다.
      환경 ID가 액세스할 수 있는 환경 또는 환경 그룹을 선택합니다 (예: 모든 환경).
      그룹 회원 해당하는 경우 필요한 사용자 이메일을 입력합니다. 이메일을 추가할 때마다 Enter 키를 누릅니다.
      제한되는 작업 제한된 작업을 선택하여 모듈 내에서 특정 작업을 제한합니다.

  4. 추가를 클릭합니다.

Google Cloud에 대한 원격 에이전트 인증 구성

Podman

새 에이전트를 배포하는 경우 Podman으로 에이전트 배포를 참조하세요.

에이전트를 업그레이드하는 경우 Podman으로 에이전트 업그레이드를 참조하세요.

Docker

새 에이전트를 배포하는 경우 Docker를 사용하여 에이전트 배포를 참조하세요.

에이전트를 업그레이드하는 경우 Docker를 사용하여 에이전트 업그레이드를 참조하세요.

설치 프로그램

새 에이전트를 배포하는 경우 CentOS로 에이전트 배포 또는 RHEL로 에이전트 배포를 참조하세요.

에이전트를 업그레이드하는 경우 CentOS로 에이전트 업그레이드 또는 RHEL로 에이전트 업그레이드 를 읽어보세요.

기존 에이전트의 환경 변수 이전

SOAR 설정 > 고급 > 원격 에이전트로 이동하고 필요한 원격 에이전트에서 더보기를 클릭합니다.

Docker 명령어 필드에서 다음 값을 복사하여 다음 명령어에 붙여넣습니다.
마이그레이션 절차에서 다음을 사용합니다.

  • ONE PLATFORM URL DOMAIN개 
    ONE_PLATFORM_URL_DOMAIN
  • ONE PLATFORM URL PROJECT 
    ONE_PLATFORM_URL_PROJECT
  • ONE PLATFORM URL LOCATION 
    ONE_PLATFORM_URL_LOCATION
  • ONE PLATFORM URL INSTANCE개 
    ONE_PLATFORM_URL_INSTANCE

Podman

원격 에이전트 환경 변수를 마이그레이션하려면 다음 단계를 따르세요.

  1. 실행 중인 Podman 컨테이너를 나열합니다. 
    podman ps
  2. 에이전트의 컨테이너 ID를 입력합니다. 
    CONTAINER_ID

  3. 이전 절차의 다음 환경 변수를 붙여넣고 이 명령어를 실행합니다.

    podman exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

Docker

원격 에이전트 환경 변수를 마이그레이션하려면 다음 단계를 따르세요.

  1. 실행 중인 Docker 컨테이너를 나열합니다. 
    docker ps
  2. 에이전트의 컨테이너 ID를 입력합니다. 
    CONTAINER_ID

  3. 이전 절차의 다음 환경 변수를 붙여넣고 이 명령어를 실행합니다.

    docker exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

설치 프로그램

원격 에이전트 환경 변수를 마이그레이션하려면 다음 단계를 따르세요.

이전 절차의 다음 환경 변수를 붙여넣고 이 명령어를 실행합니다.

cat << EOF >> /home/siemplify_agent/.bash_profile
export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN
export ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT
export ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION
export ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE
export GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json
EOF

서비스 계정을 원격 에이전트로 마이그레이션

이 단계가 완료되고 모든 환경 변수가 원격 에이전트에 있으면 이전이 완료되고 원격 에이전트가 Google Cloud 를 통해 통신합니다.

Podman

원격 에이전트 인증 인프라를 마이그레이션하려면 다음 단계를 따르세요.

  1. 실행 중인 Podman 컨테이너를 나열합니다. 
    podman ps
  2. 에이전트의 컨테이너 ID를 입력합니다. 
    CONTAINER_ID

  3. 다음 명령어를 사용하여 서비스 계정 키를 컨테이너의 전용 경로에 복사합니다.

    podman cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

  4. 다음 명령어를 사용하여 컨테이너에서 서비스 계정 키의 소유자를 변경합니다.

    podman exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  5. 다음 명령어를 실행하여 변경사항을 적용합니다. 
    podman restart CONTAINER_ID

Docker

원격 에이전트 인증 인프라를 마이그레이션하려면 다음 단계를 따르세요.

  1. 실행 중인 Docker 컨테이너를 나열합니다. 
    docker ps
  2. 에이전트의 컨테이너 ID를 입력합니다. 
    CONTAINER_ID

  3. 다음 명령어를 사용하여 서비스 계정 키를 컨테이너의 전용 경로에 복사합니다.

    docker cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

  4. 다음 명령어를 사용하여 컨테이너에서 서비스 계정 키의 소유자를 변경합니다.

    docker exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  5. 다음 명령어를 실행하여 변경사항을 적용합니다. 
    docker restart CONTAINER_ID

설치 프로그램

원격 에이전트 인증 인프라를 마이그레이션하려면 다음 단계를 따르세요.

  1. 서비스 계정을 예상 경로로 이동

    mv AGENT_SERVICE_ACCOUNT_PATH /opt/SiemplifyAgent/agent-key.json

  2. 다음 명령어를 사용하여 컨테이너에서 서비스 계정 키의 소유자를 변경합니다.

    chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  3. 다음 명령어를 실행하여 에이전트 서비스를 다시 시작합니다. 
    supervisorctl restart siemplify_agent

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.