Google SecOps 用に Google Cloud プロジェクトを構成する
Google Cloud プロジェクトは、リンクされた Google SecOps インスタンスの制御レイヤとして機能します。セキュリティ テレメトリー、監査ログ、取り込みアラートなどの顧客固有のデータや、インスタンス レベルの機密性の高い情報を保存します。
以降のセクションでは、 Google Cloud プロジェクトを構成する方法について説明します。
前提条件
新しい Google SecOps インスタンスはそれぞれ、1 つのGoogle Cloud プロジェクトにリンクする必要があります。組織の設定と要件に応じて、既存の Google Cloud プロジェクトにリンクするか、新しいプロジェクトを作成できます。
Google SecOps インスタンスごとに新しい専用の Google Cloud プロジェクトを作成することをおすすめします。このアプローチは、Google SecOps インスタンスに固有の機密性の高いセキュリティ テレメトリーと監査データを分離するのに役立ちます。
新しい Google Cloud プロジェクトを作成するには、 Google Cloud プロジェクトを作成するをご覧ください。
Google SecOps インスタンスを既存のGoogle Cloud プロジェクトにリンクする場合は、インスタンスの動作やアクセスに影響する可能性のある既存の権限と制限を確認します。
詳細については、Google SecOps インスタンスに権限を付与するをご覧ください。
Google Cloud プロジェクトを構成する
以降のセクションでは、 Google Cloud プロジェクトで Chronicle API を有効にして、緊急連絡先を構成する方法について説明します。
Google Cloud プロジェクトで Chronicle API を有効にする
Google SecOps インスタンスがリンクされた Google Cloud プロジェクトから読み取りと書き込みを行えるようにするには、次の操作を行います。
- Google Cloud コンソールの [リソースの管理] ページに移動します。
- 上部にある [プロジェクト選択ツール] をクリックし、組織リソースを選択します。
- 新しく作成したプロジェクトを選択します。
- [API とサービス] に移動します。
- [+ API とサービスの有効化] をクリックします。
- [Chronicle API] を検索して選択します。
- [有効にする] をクリックして、プロジェクトの Chronicle API を有効にします。
詳細については、 Google Cloud プロジェクトで API を有効にするをご覧ください。
重要な連絡先を構成する
Google Cloudからターゲット通知を受け取るように重要な連絡先を構成します。通知の連絡先の管理の手順を行います。
プロジェクト内の新しいサービス アカウント
新しいサービス アカウントがプロジェクトに追加されます。サービス アカウントは Google SecOps によって管理され、次の属性があります。
サービス アカウントの命名パターンは次のとおりです。ここで、
PROJECT_NUMBERはプロジェクトに固有です。service-PROJECT_NUMBER@gcp-sa-chronicle.iam.gserviceaccount.comこのアカウントには、Chronicle サービス エージェントのロールが割り当てられています。
プロジェクトに IAM 権限が付与されます。
IAM 権限の詳細を表示する手順は次のとおりです。
- Google Cloud プロジェクトの IAM ページに移動します。
右上にある [Google 提供のロール付与を含める] チェックボックスをオンにします。
新しいサービス アカウントが表示されない場合は、IAM ページで [Google 提供のロール付与を含める] ボタンが有効であることを確認します。
次のステップ
このドキュメントの手順を完了したら、以下のことを行います。
ビジネス ユースケースと組織のポリシーを満たすように、セキュリティとコンプライアンスの制御をプロジェクトに適用します。詳しい手順については、Assured Workloads のドキュメントをご覧ください。
Google SecOps インスタンスを ID プロバイダ（IdP）（Cloud Identity またはサードパーティの ID プロバイダ）と統合します。
Google Cloud プロジェクトは、次の操作を行うための制御レイヤとして機能します。
- Google SecOps で生成され、Cloud Audit Logs に保存された監査ログへのアクセスを有効化、検査、管理します。
- Cloud Monitoring を使用してカスタム取り込み停止アラートを設定します。
- エクスポートされた過去のデータを保存します。
Google Security Operations の監査ロギングの情報の手順に沿って、Google SecOps の監査ロギングを有効にします。Google SecOps は、データアクセス ログと管理アクティビティ ログをプロジェクトに書き込みます。
さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。