Google SecOps を Google Cloud サービスにリンクする

Google SecOps は、認証などの特定の機能について Google Cloud サービスに依存しています。このドキュメントでは、これらの Google Cloud サービスにバインドされるように Google SecOps インスタンスを構成する方法について説明します。このドキュメントには、新しい Google SecOps インスタンスを構成するユーザーと、既存の Google SecOps インスタンスを移行するユーザー向けの情報が記載されています。

始める前に

Google Cloud サービスで Google SecOps インスタンスを構成する前に、次の操作を行う必要があります。

新規のお客様か既存のお客様かに応じて、次のいずれかのセクションに入力します。

マネージド セキュリティ サービス プロバイダ（MSSP）用に作成された Google Security Operations インスタンスをバインドする場合は、Google SecOps カスタマー エンジニアにサポートについてお問い合わせください。この構成を行うには、Google Security Operations 担当者のサポートが必要です。

この手順を完了して Google Cloud プロジェクトを Google SecOps にバインドしたら、Google SecOps で Google Cloud プロジェクト データを調べて、あらゆる種類のセキュリティ侵害についてプロジェクトを詳細にモニタリングできます。

既存の Google SecOps インスタンスを移行する

以降のセクションでは、既存の Google SecOps インスタンスを移行して、Google Cloud プロジェクトにバインドし、IAM を使用して機能のアクセス制御を管理する方法について説明します。

プロジェクトと Workforce プロバイダにバインドする

次の手順では、既存の Google SecOps インスタンスを Google Cloud プロジェクトと接続し、IAM Workforce Identity 連携サービスを使用して SSO を構成する方法について説明します。

  1. Google SecOps にログインします。

  2. ナビゲーション バーで、[設定] > [SIEM の設定] を選択します。

  3. [Google Cloud Platform] をクリックします。

  4. Google Cloud プロジェクト ID を入力して、プロジェクトを Google SecOps インスタンスにリンクします。

  5. [リンクを生成] をクリックします。

  6. [Google Cloud Platform に接続] をクリックします。 Google Cloud コンソールが開きます。Google SecOps アプリケーションに誤った Google Cloud プロジェクト ID を入力した場合は、Google SecOps の [Google Cloud Platform] ページに戻り、正しいプロジェクト ID を入力します。

  7. Google Cloud コンソールで、[セキュリティ] > [Google SecOps] に移動します。

  8. Google Cloud プロジェクト用に作成されたサービス アカウントを確認します。

  9. [シングル サインオンの構成] で、Google SecOps へのユーザーとグループのアクセスを管理するために使用する ID プロバイダに基づいて、次のいずれかのオプションを選択します。

    • Cloud Identity または Google Workspace を使用している場合は、[Google Cloud Identity] を選択します。

    • サードパーティの ID プロバイダを使用している場合は、[Workforce Identity 連携] を選択してから、使用する Workforce プロバイダを選択します。これは、Workforce Identity 連携の構成時に設定します。

  10. [Workforce Identity 連携] を選択した場合は、[SSO のセットアップのテスト] リンクを右クリックして、プライベート ウィンドウまたはシークレット ウィンドウで開きます。

  11. 次のセクションの既存の権限を IAM に移行するに進みます。

既存の権限を IAM に移行する

既存の Google SecOps インスタンスを移行した後、自動生成されたコマンドを使用して既存の権限とロールを IAM に移行できます。Google SecOps は、移行前の機能 RBAC アクセス制御構成を使用してこれらのコマンドを作成します。実行時に、Google SecOps の [SIEM 設定] > [ユーザーとグループ] ページで定義されているように、既存の構成と同等の新しい IAM ポリシーが作成されます。

これらのコマンドを実行すると、前の機能 RBAC アクセス制御機能に戻すことはできません。問題が発生した場合は、テクニカル サポートにお問い合わせください。

  1. Google Cloud コンソールで、[セキュリティ] > [Google SecOps] > [アクセス管理] タブに移動します。
  2. [ロール バインディングの移行] に、自動生成された一連の Google Cloud CLI コマンドが表示されます。
  3. コマンドによって必要な権限が作成されることを確認します。Google SecOps のロールと権限の詳細については、IAM 権限が各機能 RBAC ロールをマッピングする方法をご覧ください。
  4. Cloud Shell セッションを開始する
  5. 自動生成されたコマンドをコピーして、gcloud CLI に貼り付けて実行します。
  6. すべてのコマンドを実行したら、[アクセス権を確認する] をクリックします。成功すると、Google SecOps [アクセス管理] に「アクセスが確認されました」というメッセージが表示されます。それ以外の場合は、「アクセスが拒否されました」というメッセージが表示されます。表示されるまでに 1～2 分かかることがあります。
  7. 移行を完了するには、[セキュリティ] > [Google SecOps] > [アクセス管理] タブに戻り、[IAM を有効にする] をクリックします。
  8. Chronicle API 管理者のロールを持つユーザーとして Google SecOps にアクセスできることを確認します。
    1. Chronicle API 管理者の事前定義ロールを持つユーザーとして Google SecOps にログインします。詳細については、Google Security Operations にログインするをご覧ください。
    2. [アプリケーション メニュー] > [設定] > [ユーザーとグループ] ページを開きます。「ユーザーとグループを管理するには、Google Cloud コンソールで Identity Access Management（IAM）に移動します」というメッセージが表示されます。ユーザーとグループの管理についての詳細
  9. 別のロールを持つユーザーとして Google SecOps にログインします。詳細については、Google SecOps にログインするをご覧ください。
  10. アプリケーションで使用可能な機能が IAM で定義された権限と一致していることを確認します。

新しい Google SecOps インスタンスを構成する

次の手順では、Google Cloud プロジェクトと IAM Workforce Identity 連携サービスを構成して Google SecOps にリンクした後、新しい Google SecOps インスタンスを初めてセットアップする方法について説明します。

Google SecOps を初めてご利用になる場合は、次の手順を行います。

  1. Google Cloud プロジェクトを作成し、Google SecOps API を有効にします。詳細については、Google SecOps 用に Google Cloud プロジェクトを構成するをご覧ください。

  2. Google SecOps カスタマー エンジニアに、Google SecOps インスタンスにバインドする予定のプロジェクト ID を提示します。Google SecOps カスタマー エンジニアがプロセスを開始すると、確認メールが届きます。

  3. Google Cloud コンソールを開き、前のステップで指定した Google Cloud プロジェクトを選択します。

  4. [セキュリティ] > [Google SecOps] に移動します。

  5. Google SecOps API を有効にしていない場合は、[開始する] ボタンが表示されます。[開始する] ボタンをクリックし、ガイド付きの手順に沿って Google SecOps API を有効にします。

  6. [会社情報] セクションで会社情報を入力し、[次へ] をクリックします。

  7. サービス アカウントの情報を確認し、[次へ] をクリックします。Google SecOps は、プロジェクトにサービス アカウントを作成し、必要なロールと権限を設定します。

  8. Google Security Operations へのユーザーとグループのアクセスを管理するために使用する ID プロバイダに基づいて、次のいずれかのオプションを選択します。

    • Cloud Identity または Google Workspace を使用している場合は、[Google Cloud Identity] オプションを選択します。

    • サードパーティの ID プロバイダを使用している場合は、使用する Workforce プロバイダを選択します。これは、Workforce Identity 連携の構成時に設定します。

  9. [Input your IDP Admin Groups here] で、SOAR 関連機能へのユーザー アクセスを構成する管理者を含む 1 つ以上の IdP グループの共通名を入力します。これらのグループは、IdP でユーザー属性とグループを定義する際に特定して作成したものです。

  10. [利用規約] を開きます。利用規約に同意する場合は、[設定を開始] をクリックします。

    Google Security Operations インスタンスがプロビジョニングされるまでに最大 15 分を要する場合があります。インスタンスが正常にプロビジョニングされると、通知が届きます。設定が失敗した場合は、Google Cloud のお客様担当にお問い合わせください。

  11. [Google Cloud Identity] を選択した場合は、ユーザーが Google Security Operations にログインできるように、IAM を使用してユーザーとグループに Google Security Operations のロールを付与してください。このステップは、先ほど作成した Google Security Operations にバインドされた Google Cloud プロジェクトを使用して行います。

    次のコマンドは、gcloud を使用して 1 人のユーザーに Chronicle API 閲覧者（roles/chronicle.viewer）のロールを付与します。

    Google Cloud コンソールを使用するには、単一のロールを付与するをご覧ください

    gcloud projects add-iam-policy-binding PROJECT_ID \
--role roles/chronicle.viewer \
--member='EMAIL_ALIAS"

    次のように置き換えます。

    グループやドメインなどの他のメンバーにロールを付与する方法の例については、gcloud projects add-iam-policy-binding とプリンシパル ID のリファレンス ドキュメントをご覧ください。

シングル サインオン（SSO）構成を変更する

以降のセクションでは、ID プロバイダを変更する方法について説明します。

サードパーティの ID プロバイダを変更する

  1. 新しいサードパーティ ID プロバイダと Workforce Identity プールを設定します。

  2. Google SecOps で [設定] > [SOAR 設定] > [詳細] > [IDP グループ マッピング] の順に選択し、IdP グループ マッピングを新しい ID プロバイダの参照グループに変更します。

Google SecOps の SSO 構成を変更するには、次の手順を行います。

  1. Google Cloud コンソールを開き、Google SecOps にバインドされている Google Cloud プロジェクトを選択します。

  2. [セキュリティ] > [Google SecOps] に移動します。

  3. [概要] ページで、[シングル サインオン] タブをクリックします。このページには、Google SecOps 用にサードパーティの ID プロバイダを構成するときに構成した ID プロバイダが表示されます。

  4. [シングル サインオン] メニューを使用して SSO プロバイダを変更します。

  5. [SSO の設定をテスト] リンクを右クリックし、プライベート ウィンドウまたはシークレット ウィンドウを開きます。

  6. Google Cloud コンソールに戻り、[セキュリティ] > [Google SecOps] > [概要] ページをクリックして、[シングル サインオン] タブをクリックします。

  7. ページ下部の [保存] をクリックして、新しいプロバイダに更新します。

  8. Google SecOps にログインできることを確認します。

サードパーティの ID プロバイダから Cloud Identity に移行する

次の手順で、SSO の構成をサードパーティの ID プロバイダを使用する状態から Google Cloud Identity を使用するように変更します。

  1. Cloud Identity または Google Workspace のいずれかを ID プロバイダとして構成します。
  2. Google SecOps にバインドされたプロジェクトのユーザーとグループに、事前定義された Chronicle IAM のロールと権限を付与します。

  3. Google SecOps で [設定] > [SOAR 設定] > [詳細] > [IDP グループ マッピング] の順に選択し、IdP グループ マッピングを新しい ID プロバイダの参照グループに変更します。

  4. Google Cloud コンソールを開き、Google SecOps にバインドされている Google Cloud プロジェクトを選択します。

  5. [セキュリティ] > [Chronicle SecOps] に移動します。

  6. [概要] ページで、[シングル サインオン] タブをクリックします。このページには、Google SecOps 用にサードパーティの ID プロバイダを構成するときに構成した ID プロバイダが表示されます。

  7. [Google Cloud Identity] チェックボックスをオンにします。

  8. [SSO の設定をテスト] リンクを右クリックし、プライベート ウィンドウまたはシークレット ウィンドウを開きます。

    • ログイン画面が表示されたら、SSO の設定は成功です。次のステップに進みます。
    • ログイン画面が表示されない場合は、ID プロバイダの構成を確認してください。

  9. Google Cloud コンソールに戻り、[セキュリティ] >Chronicle SecOps > [概要] ページ > [シングル サインオン] タブの順にクリックします。

  10. ページ下部の [保存] をクリックして、新しいプロバイダに更新します。

  11. Google SecOps にログインできることを確認します。