En este documento se describe cómo puede recoger registros de inicio de sesión único (SSO) de OneLogin configurando webhooks de eventos de OneLogin y webhooks HTTPS de Google Security Operations.
En el menú de Google Security Operations, selecciona Configuración > Feeds (Feeds).
Haz clic en Añadir nuevo.
En el campo Nombre del feed, escriba el nombre del feed.
En la lista Tipo de fuente, selecciona Webhook.
Seleccione OneLogin como Tipo de registro.
Haz clic en Siguiente.
Opcional: Introduce los valores de los siguientes parámetros de entrada:
Delimitador de división:\n.
Espacio de nombres de recursos: el espacio de nombres de recursos.
Etiquetas de ingestión: etiqueta que se aplicará a los eventos de este feed.
Haz clic en Siguiente.
Revise la nueva configuración de la feed y haga clic en Enviar.
Haz clic en Generar clave secreta para generar una clave secreta que autentique este feed.
Copia y guarda la clave secreta, ya que no podrás volver a verla. Puedes generar una nueva clave secreta, pero si lo haces, la clave secreta anterior quedará obsoleta.
En la pestaña Detalles, copia la URL del endpoint del feed del campo Información del endpoint. Introduce esta URL de endpoint en tu webhook de eventos de OneLogin.
Haz clic en Listo.
Crear una clave de API para el feed de webhook HTTPS
Ve a la página Credenciales de la consola de Google Cloud console.
Haz clic en Crear credenciales y, a continuación, selecciona Clave de API.
Copia y guarda la clave de API.
Restringe el acceso de la clave de API a la API Chronicle.
Configurar el webhook de eventos de OneLogin
El webhook de eventos de OneLogin te permite transmitir datos de eventos de OneLogin a Google Security Operations, que acepta datos en formato JSON.
Esta integración te permite monitorizar actividades, recibir alertas sobre amenazas y ejecutar flujos de trabajo relacionados con la identidad basados en eventos en tu entorno de OneLogin y Google Security Operations.
Inicia sesión en el portal de administración de OneLogin.
Ve a la pestaña Desarrolladores > Webhooks > New Webhook (Nuevo webhook) y, a continuación, elige Event Webhook for Log Management (Webhook de eventos para la gestión de registros).
Introduce los siguientes datos:
En el campo Name (Nombre), introduce Google SecOps.
En el campo Format (Formato), introduce SIEM (NDJSON).
En URL de escucha, introduce el endpoint del webhook de Google SecOps que recibirá los datos de eventos de OneLogin.
En Encabezados personalizados, habilita la autenticación especificando la clave de API y la clave secreta como parte del encabezado personalizado con el siguiente formato:
X-goog-api-key:API_KEY
X-Webhook-Access-Key:SECRET
Haz clic en Guardar. Actualiza la página para ver el nuevo webhook conectado en tus Event Broadcasters de OneLogin.
[[["Es fácil de entender","easyToUnderstand","thumb-up"],["Me ofreció una solución al problema","solvedMyProblem","thumb-up"],["Otro","otherUp","thumb-up"]],[["Es difícil de entender","hardToUnderstand","thumb-down"],["La información o el código de muestra no son correctos","incorrectInformationOrSampleCode","thumb-down"],["Me faltan las muestras o la información que necesito","missingTheInformationSamplesINeed","thumb-down"],["Problema de traducción","translationIssue","thumb-down"],["Otro","otherDown","thumb-down"]],["Última actualización: 2025-08-20 (UTC)."],[],[],null,["# Collect OneLogin Single Sign-On (SSO) logs\n==========================================\n\nSupported in: \nGoogle secops [SIEM](/chronicle/docs/secops/google-secops-siem-toc)\n\nThis document describes how you can collect OneLogin Single Sign-On (SSO) logs\nby configuring OneLogin Event Webhooks and Google Security Operations HTTPS Webhooks.\n\nFor more information, see [Data ingestion to Google Security Operations](/chronicle/docs/data-ingestion-flow).\n\nConfigure Google SecOps HTTPS Webhook\n-------------------------------------\n\n### Create an HTTPS webhook feed\n\n1. From the Google Security Operations menu, select **Settings** \\\u003e **Feeds**.\n2. Click **Add new**.\n3. In the **Feed name** field, enter a name for the feed.\n4. In the **Source Type** list, select **Webhook**.\n5. Select **OneLogin** as the **Log type**.\n6. Click **Next**.\n7. Optional: Enter values for the following input parameters:\n 1. **Split delimiter** : `\\n`.\n 2. **Asset namespace**: the asset namespace.\n 3. **Ingestion labels**: the label to be applied to the events from this feed.\n8. Click **Next**.\n9. Review your new feed configuration, and then click **Submit**.\n10. Click **Generate Secret Key** to generate a secret key to authenticate this feed.\n11. Copy and store the secret key as you cannot view this secret again. You can generate a new secret key, but regeneration of the secret key makes the previous secret key obsolete.\n12. From the **Details** tab, copy the feed endpoint URL from the **Endpoint Information** field. Enter this endpoint URL in your OneLogin Event Webhook.\n13. Click **Done**.\n\n### Create an API key for the HTTPS webhook feed\n\n1. Go to the Google Cloud console console Credentials page.\n2. Click **Create credentials**, and then select API key.\n3. Copy and store the API key.\n4. Restrict the API key access to the Chronicle API.\n\nConfigure OneLogin Event Webhook\n--------------------------------\n\nThe OneLogin Event Webhook lets you stream OneLogin event data to\nGoogle Security Operations which accepts data in JSON format.\nThis integration lets you monitor activities, alert on threats, and execute\nevent-based identity related workflows across your OneLogin and Google Security Operations environment.\n\n1. Log on to the OneLogin admin portal.\n2. Go to the Developers tab \\\u003e **Webhooks** \\\u003e **New Webhook** , and then choose **Event Webhook for Log Management**.\n3. Enter the following details:\n\n - In the **Name** field, enter `Google SecOps`.\n - In the **Format** field, enter `SIEM (NDJSON)`.\n - In the **Listener URL**, enter the Google SecOps Webhook endpoint that will receive the event data from OneLogin.\n - In the **Custom Headers**, enable authentication by specifying the API key and secret key as part of the custom header in the following format:\n\n `X-goog-api-key:API_KEY`\n\n `X-Webhook-Access-Key:SECRET`\n4. Click **Save**. Refresh the page to see the new webhook in your OneLogin Event Broadcasters as connected.\n\n**Need more help?** [Get answers from Community members and Google SecOps professionals.](https://security.googlecloudcommunity.com/google-security-operations-2)"]]
