Migrar a infraestrutura de autenticação do agente remoto

Compatível com:

Google SecOps SOAR

Neste documento, descrevemos como migrar sua infraestrutura de agentes remotos usando contas de serviço do Google Cloud . Essa migração é apenas para a infraestrutura de autenticação. Não é necessário migrar ou substituir as instâncias ou os hosts do agente remoto.

Autenticação sem chave: para configurar a autenticação sem chave para agentes remotos sem armazenar arquivos de chave JSON da conta de serviço em máquinas host, consulte Autenticar o agente remoto com a federação de identidade da carga de trabalho.

Antes de começar

Verifique se você tem os seguintes itens:

• Permissões necessárias para criar contas de serviço no Google Cloud.
• Papéis necessários para criar chaves de conta de serviço.
• A versão mínima necessária do agente remoto é a 2.6.2.

Requisitos de rede e do Private Service Connect

Depois de migrar a infraestrutura de autenticação, o agente remoto se comunica com a API Chronicle usando as APIs padrão do Google, em vez dos endpoints legados *.siemplify-soar.com.

Lista de permissões de endpoints de saída

Confirme se o firewall permite o tráfego HTTPS de saída na porta TCP 443 do host do agente remoto para os seguintes endpoints:

• Permita o tráfego HTTPS de saída para o endpoint de localização da API Chronicle do Google Security Operations (<var>REGION</var>-chronicle.googleapis.com, configurado em ONE_PLATFORM_URL_DOMAIN, como asia-southeast1-chronicle.googleapis.com) e o nome do host do Publisher do locatário (SERVER_API_ROOT).
• Permita o tráfego HTTPS de saída para os endpoints de autenticação do Google Cloud : oauth2.googleapis.com (para troca de token de conta de serviço), sts.googleapis.com e iamcredentials.googleapis.com (para autenticação sem chave com a federação de identidade da carga de trabalho).
• Permita o tráfego HTTPS de saída para os registros de contêiner usados para implantações do Podman ou do Docker, como *.pkg.dev (incluindo us-docker.pkg.dev) e gcr.io para o Artifact Registry ou docker.io.

Observação: o formato de endpoint regional (chronicle.<var>REGION</var>.rep.googleapis.com) não é compatível com a conectividade do plano de controle do agente remoto.

Para mais informações, consulte Requisitos de rede e firewall.

Configuração do Private Service Connect

Se o agente remoto se conectar às APIs do Google de forma particular (por exemplo, de uma rede local, da Amazon Web Services (AWS) ou do Microsoft Azure pelo Cloud Interconnect ou Cloud VPN), conclua a seguinte configuração:

1. Crie um endpoint do Private Service Connect para APIs do Google (usando o pacote all-apis ou vpc-sc) na nuvem privada virtual. Para instruções, consulte Configurar o Private Service Connect para APIs do Google.
2. Configure o DNS particular para que os endpoints necessários sejam resolvidos para o endereço IP do endpoint do Private Service Connect. Em Google Cloud, configure uma zona particular do Cloud DNS para googleapis.com. Fora do Google Cloud, use o encaminhamento de DNS condicional ou uma zona hospedada particular (como o AWS Route 53).
3. Mantenha qualquer conexão legada do Private Service Connect do SOAR (um anexo de serviço de produtor para <var>TENANT</var>.siemplify-soar.com) ativa até concluir a migração de todos os agentes remotos.

Criar uma conta de serviço

Uma conta de serviço é um tipo especial de Conta do Google usada por um aplicativo para fazer chamadas de API autorizadas.

Importante: atribua uma conta de serviço exclusiva a cada agente remoto. Como as contas de serviço estão sujeitas a limites de taxa e cotas de API individuais, compartilhar uma conta de serviço entre vários agentes pode esgotar as cotas e causar falhas de comunicação.

Para criar uma conta de serviço, siga estas etapas:

1. No console do Google Cloud , acesse a página Contas de serviço.
Acessar a página "Contas de serviço"
2. Clique em Criar conta de serviço.
3. Na seção Detalhes da conta de serviço, faça o seguinte:
   1. Insira um nome para a conta de serviço.
   2. Insira uma descrição para a conta de serviço.
   3. Clique em Criar e continuar.
4. Na seção Permissões, faça o seguinte:
   1. Na lista Selecionar um papel, selecione o papel Agente remoto do Chronicle SOAR.
   2. Clique em Continuar.
5. Na seção Conceder aos usuários acesso a esta conta de serviço, clique em Concluído.

Criar uma chave de conta de serviço

A chave da conta de serviço é necessária para autenticar o agente remoto. Para criar essa chave, siga estas etapas:

1. No console do Google Cloud , acesse a página Contas de serviço.
Acessar a página "Contas de serviço"
2. Clique no nome da conta de serviço que você criou.
3. Clique na guia Chaves.
4. Clique em Adicionar chave > Criar nova chave.
5. Selecione JSON como o tipo de chave e clique em Criar.

   A JSON file containing the key is downloaded to your computer.
   

6. Clique em Fechar.

Armazenar o arquivo de chave com segurança

Depois de fazer o download da chave da conta de serviço, mova-a para a máquina host em que o agente remoto será executado.

Aviso: não confirme esse arquivo de chave no repositório de código-fonte. Trate-o como uma senha confidencial.

Podman

1. Localize o arquivo JSON baixado no computador.
2. Armazene o arquivo em um local seguro na máquina host em que o processo do agente possa acessá-lo.
3. Insira o caminho completo da chave da conta de serviço do agente na máquina host.

   AGENT_SERVICE_ACCOUNT_PATH

Docker

1. Localize o arquivo JSON baixado no computador.
2. Armazene o arquivo em um local seguro na máquina host em que o processo do agente possa acessá-lo.
3. Insira o caminho completo da chave da conta de serviço do agente na máquina host.

   AGENT_SERVICE_ACCOUNT_PATH

Instalador

1. Localize o arquivo JSON baixado no computador.
2. Armazene o arquivo no seguinte local:

   AGENT_SERVICE_ACCOUNT_PATH

3. Anote o caminho completo para esse arquivo, porque ele será necessário quando você configurar o agente remoto.

Mapear a conta de serviço do agente remoto

Depois de criar a conta de serviço para o agente remoto, é necessário autorizá-la na plataforma para garantir que ela possa se comunicar com o Google SecOps.

Para conceder acesso à conta de serviço ou acesso à federação de identidade de carga de trabalho ao Google SecOps, é necessário mapear a identidade para os parâmetros de controle de acesso da plataforma. Esse mapeamento é uma etapa obrigatória para fornecer à identidade o acesso necessário aos papéis do SOC e aos ambientes necessários para realizar tarefas automatizadas ou operações de API.

1. Acesse Configurações > Gerenciamento de acesso > Mapeamento de grupos.
2. Clique em add Adicionar.

3. Preencha os campos na caixa de diálogo Adicionar mapeamento para mapear a identidade aos parâmetros de controle de acesso da plataforma.

   1. No campo IdP / Grupo de usuários, insira uma das seguintes opções:
      • O endereço de e-mail completo da sua conta de serviço, se a identidade tiver sido configurada usando o Cloud Identity.
      • A string principal da Identidade da carga de trabalho, se a identidade tiver sido configurada usando a federação de identidade de colaboradores.

   2. Configure os seguintes campos de controle de acesso:

      Campo	Descrição
      Grupos de permissões	Selecione os grupos de permissões para definir quais módulos e submódulos a identidade pode acessar.
      Funções do SOC	Selecione as funções do SOC para definir o papel da identidade (como Nível 1).
      Ambientes	Selecione os ambientes ou grupos de ambientes que a identidade pode acessar (como Todos os ambientes).
      Participantes do grupo	Insira os e-mails dos usuários necessários, se aplicável. Pressione Enter depois de adicionar cada e-mail.
      Ações restritas	Selecione as ações restritas para limitar operações específicas nos módulos.

4. Clique em Adicionar.

Configurar a autenticação do agente remoto para Google Cloud

Podman

Se você estiver implantando um novo agente, leia Implantar um agente com o Podman.

Se você estiver fazendo upgrade de um agente, leia Fazer upgrade de um agente com o Podman.

Docker

Se você estiver implantando um novo agente, leia Implantar um agente com o Docker.

Se você estiver fazendo upgrade de um agente, leia Fazer upgrade de um agente com o Docker.

Instalador

Se você estiver implantando um novo agente, leia Implantar um agente com o CentOS ou Implantar um agente com o RHEL.

Se você estiver fazendo upgrade de um agente, leia Fazer upgrade de um agente com o CentOS ou Fazer upgrade de um agente com o RHEL .

Migrar variáveis de ambiente para um agente atual

Observação: essa etapa pode ser ignorada para agentes remotos instalados após 10 de maio de 2026, porque as variáveis de ambiente estão presentes no comando do contêiner/arquivo .env.

Acesse Configurações do SOAR > Avançado > Agentes remotos e clique em Ver mais no agente remoto necessário.

Copie os seguintes valores do campo Comando do Docker e cole-os nos comandos a seguir.
Você vai usá-los no procedimento de migração:

• ONE PLATFORM URL DOMAIN.

  ONE_PLATFORM_URL_DOMAIN

• ONE PLATFORM URL PROJECT

  ONE_PLATFORM_URL_PROJECT

• ONE PLATFORM URL LOCATION

  ONE_PLATFORM_URL_LOCATION

• ONE PLATFORM URL INSTANCE.

  ONE_PLATFORM_URL_INSTANCE

Podman

Para migrar as variáveis de ambiente do agente remoto, siga estas etapas:

1. Liste os contêineres do Podman em execução.

   podman ps

2. Insira o ID do contêiner do agente:

   CONTAINER_ID

3. Cole as seguintes variáveis de ambiente dos procedimentos anteriores e execute este comando:

   podman exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

Docker

Para migrar as variáveis de ambiente do agente remoto, siga estas etapas:

1. Listar contêineres do Docker em execução.

   docker ps

2. Insira o ID do contêiner do agente:

   CONTAINER_ID

3. Cole as seguintes variáveis de ambiente dos procedimentos anteriores e execute este comando:

   docker exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

Instalador

Para migrar as variáveis de ambiente do agente remoto, siga estas etapas:

Cole as seguintes variáveis de ambiente dos procedimentos anteriores e execute este comando:

cat << EOF >> /home/siemplify_agent/.bash_profile
export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN
export ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT
export ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION
export ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE
export GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json
EOF

Migrar a conta de serviço para o agente remoto

Depois que essa etapa for concluída e todas as variáveis de ambiente estiverem presentes no agente remoto, a migração será concluída e o agente remoto se comunicará por meio de Google Cloud .

Podman

Para migrar a infraestrutura de autenticação do agente remoto, siga estas etapas:

1. Liste os contêineres do Podman em execução.

   podman ps

2. Insira o ID do contêiner do agente:

   CONTAINER_ID

3. Use o comando a seguir para copiar a chave da conta de serviço para um caminho dedicado no contêiner.

   podman cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

4. Use o seguinte comando para mudar o proprietário da chave da conta de serviço no contêiner:

   podman exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json

5. Execute o comando a seguir para aplicar as mudanças:

   podman restart CONTAINER_ID

Docker

Para migrar a infraestrutura de autenticação do agente remoto, siga estas etapas:

1. Listar contêineres do Docker em execução.

   docker ps

2. Insira o ID do contêiner do agente:

   CONTAINER_ID

3. Use o comando a seguir para copiar a chave da conta de serviço para um caminho dedicado no contêiner.

   docker cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

4. Use o seguinte comando para mudar o proprietário da chave da conta de serviço no contêiner:

   docker exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json

5. Execute o comando a seguir para aplicar as mudanças:

   docker restart CONTAINER_ID

Instalador

Para migrar a infraestrutura de autenticação do agente remoto, siga estas etapas:

1. Mova a conta de serviço para o caminho esperado.

   mv AGENT_SERVICE_ACCOUNT_PATH /opt/SiemplifyAgent/agent-key.json

2. Use o seguinte comando para mudar o proprietário da chave da conta de serviço no contêiner:

   chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json

3. Execute o seguinte comando para reiniciar o serviço do agente:

   supervisorctl restart siemplify_agent

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.