הגדרת זהות של צד שלישי

נתמך ב:

המדריך הזה מיועד לאדמינים ב-Google Security Operations שרוצים לאמת את כוח העבודה (משתמשים וקבוצות) ב-Google SecOps באמצעות ספק זהויות (IdP) של צד שלישי. התהליך הזה מתבצע באמצעותGoogle Cloud איחוד שירותי אימות הזהות של כוח העבודה.

איחוד שירותי אימות הזהות של כוח עבודה תומך בכל IdP שמשתמש ב-Security Assertion Markup Language ‏ (SAML 2.0) או ב-OpenID Connect ‏ (OIDC), כמו Okta, ‏Microsoft Entra ID ו-Microsoft Active Directory Federation Services ‏ (AD FS).

במסמך הזה מתוארים השלבים הכלליים להגדרת אימות באמצעות IdP מבוסס-SAML, באמצעות איחוד שירותי אימות הזהות של כוח העבודה.

  1. תכנון המשאבים הנדרשים מחליטים על הפרטים של מאגר הזהויות של כוח העבודה ושל הספק, ומזהים את מאפייני המשתמשים והקבוצות שנדרשים כדי להגדיר את הגישה לתכונות ב-Google SecOps.
  2. מגדירים את אפליקציית ה-IdP של הצד השלישי. יוצרים אפליקציית SAML של IdP כדי לשלב אותה עם איחוד שירותי אימות הזהות של כוח העבודה ועם Google SecOps.
  3. הגדרת איחוד שירותי אימות הזהות של כוח העבודה. מגדירים את מאגר הזהויות של כוח העבודה ואת ספק הזהויות, ונותנים תפקידים של ניהול זהויות והרשאות גישה (IAM) לקבוצות ולמשתמשים ב-IdP. Google Cloud
  4. מגדירים כניסה יחידה (SSO) באמצעות הספק החדש שנוצר.

אחרי שתשלימו את השלבים האלה, תוכלו להיכנס ל-Google SecOps באמצעות ספק הזהויות שלכם ולנהל את הגישה של המשתמשים באמצעות בקרת גישה מבוססת-תפקידים (RBAC) דרך IAM.

תרחישים נפוצים לדוגמה

כדי להשתמש ב-Google SecOps, צריך להשתמש באיחוד שירותי אימות הזהות של כוח העבודה בתור מתווך SSO למגוון רחב של תרחישים לדוגמה.

עמידה בתקני אבטחה מחמירים

  • המטרה: עמידה בתקנים רגולטוריים מחמירים בנוגע לגישה למערכת ולענן.
  • ערך: עוזר לעמוד בדרישות התאימות של FedRAMP High (או גבוהות יותר) באמצעות תיווך מאובטח של SSO.

ניהול בקרת הגישה ברמה הארגונית

  • המטרה: שליטה מרכזית בגישה לתכונות ולנתונים בכל הארגון.
  • ערך: מאפשר להשתמש ב-IAM כדי להגדיר בקרת גישה מבוססת-תפקידים (RBAC) ברמת הארגון ב-Google SecOps.

מונחים חשובים

  • מאגר של כוח עבודה: משאב ייחודי ברמה הגלובלית שמוגדר ברמת הארגון, ומעניק לכוח העבודה גישה ל-Google SecOps. Google Cloud
  • ספק של כוח עבודה: משאב משני של מאגר הזהויות של כוח העבודה, שבו מאוחסנים פרטי ההגדרות של IdP חיצוני יחיד.
  • מיפוי מאפיינים: התהליך שבו מאפייני טענת הנכוֹנוּת (assertion) שספק הזהויות נותן מתורגמים למאפייני Google Cloud באמצעות Common Expression Language‏ (CEL).
  • כתובת URL של Assertion Consumer Service ‏ (ACS): כתובת URL ספציפית (לפעמים נקראת כתובת URL לכניסה יחידה, בהתאם לספק) שמשמשת להגדרת אפליקציית SAML לתקשורת עם Google SecOps.
  • מזהה ישות: כתובת URL של מזהה ייחודי גלובלי שמזהה אפליקציה או שירות ספציפיים, כמו Google SecOps, ומגדירה את אפליקציית ה-SAML ב-IdP.

סקירה כללית על התהליך

‫Google SecOps תומך ב-SSO ב-SAML ביוזמת ספק השירות (SP) למשתמשים. היכולת הזו מאפשרת למשתמשים לעבור ישירות אל Google SecOps. מערכת Google SecOps שולחת בקשה לספק הזהויות של הצד השלישי דרך איחוד שירותי אימות הזהות של כוח עבודה ב-IAM.

אחרי שספק הזהויות מאמת את זהות המשתמש, המשתמש מוחזר אל Google SecOps עם טענת נכוֹנוּת (assertion) של אימות. Google Cloud איחוד שירותי אימות הזהות של כוח עבודה פועל כמתווך בתהליך האימות.

תקשורת בין Google SecOps, איחוד שירותי אימות הזהות של כוח עבודה ב-IAM ( Google Cloud ) ו-IdP

תקשורת בין Google SecOps, איחוד שירותי אימות הזהות של כוח עבודה ב-IAM ו-IdP

ככלל, התקשורת מתבצעת באופן הבא:

  1. המשתמש עובר אל Google SecOps.
  2. מערכת Google SecOps מחפשת את פרטי ה-IdP במאגר הזהויות של כוח העבודה ב- Google Cloud.
  3. בקשה נשלחת ל-IdP.
  4. טענת הנכונות של SAML נשלחת ל Google Cloud מאגר הזהויות של כוח העבודה.
  5. אם האימות מצליח, Google SecOps מקבלת רק את מאפייני ה-SAML שהוגדרו כשהגדרתם את ספק כוח העבודה במאגר הזהויות של כוח העבודה.

האדמינים ב-Google SecOps יוצרים קבוצות בספק הזהויות שלהם, מגדירים את אפליקציית ה-SAML כך שתעביר את פרטי החברות בקבוצה בטענת הנכוֹנוּת (assertion), ומשייכים משתמשים וקבוצות לתפקידים מוגדרים מראש ב-IAM ב-Google SecOps או לתפקידים בהתאמה אישית שהם יצרו.

לפני שמתחילים

תכנון ההטמעה

בקטע הזה מתוארות ההחלטות שצריך לקבל והמידע שצריך להגדיר לפני שמבצעים את השלבים שבמסמך.

הגדרת מאגר הזהויות של כוח העבודה וספק הזהויות של כוח העבודה

כדי להגדיר אימות באמצעות IdP, צריך להגדיר את איחוד שירותי אימות הזהות של כוח העבודה כמתווך בתהליך האימות. לפני שמגדירים את איחוד שירותי אימות הזהות של כוח העבודה, צריך להגדיר את המשאבים הבאים ב-Google Cloud :

  • מאגר כוח עבודה: מאגר זהויות של כוח עבודה נותן לכוח העבודה (למשל, לעובדים) גישה ל-Google SecOps.
  • ספק של כוח עבודה: משאב משנה של מאגר הזהויות של כוח העבודה, שבו מאוחסנים פרטים על IdP יחיד.

הקשר בין מאגר זהויות של כוח עבודה, ספקי כוח עבודה ומכונה של Google SecOps, שמזוהה על ידי תת-דומיין של לקוח יחיד, הוא:

  • מאגר זהויות של כוח עבודה מוגדר ברמת הארגון.
  • לכל מכונה של Google SecOps יש מאגר זהויות של כוח עבודה שמוגדר ומשויך אליה.
  • למאגר זהויות של כוח עבודה יכולים להיות כמה ספקים של כוח עבודה.

  • כל ספק של כוח עבודה משלב IdP של צד שלישי עם מאגר הזהויות של כוח העבודה.

  • מאגר הזהויות של כוח העבודה חייב להיות ייעודי ל-Google SecOps. אי אפשר לשתף את המאגר שנוצר בשביל Google SecOps למטרות אחרות.

  • מאגר הזהויות של כוח העבודה חייב להיות באותו ארגון ב-Google Cloud שמכיל את הפרויקט שמקושר ל-Google SecOps.

אלה ההנחיות להגדרת הערכים של המזהים העיקריים של מאגר כוח העבודה ושל ספק כוח העבודה:

  • מזהה מאגר כוח העבודה (WORKFORCE_POOL_ID): מגדירים ערך שמציין את ההיקף או המטרה של מאגר הזהויות של כוח העבודה. הערך צריך לעמוד בדרישות הבאות:
    • חייב להיות ייחודי באופן גלובלי.
    • אפשר להשתמש רק באותיות קטנות [a-z], בספרות [0-9] ובמקפים [-].
    • חייב להתחיל באות קטנה [a-z].
    • הוא חייב להסתיים באות קטנה [a-z] או בספרה [0-9].
    • יכול להיות באורך של בין 4 ל-61 תווים.
  • השם המוצג של מאגר כוח העבודה (WORKFORCE_POOL_DISPLAY_NAME): מגדירים שם ידידותי למשתמש של מאגר הזהויות של כוח העבודה.
  • תיאור מאגר כוח העבודה (WORKFORCE_POOL_DESCRIPTION): תיאור מפורט של מאגר הזהויות של כוח העבודה.
  • מזהה הספק של כוח העבודה (WORKFORCE_PROVIDER_ID): מגדירים ערך שמציין את ה-IdP שהוא מייצג. הערך צריך לעמוד בדרישות הבאות:
    • אפשר להשתמש רק באותיות קטנות [a-z], בספרות [0-9] ובמקפים [-].
    • יכול להיות באורך של 4 עד 32 תווים.
  • שם התצוגה של הספק של מאגר כוח העבודה (WORKFORCE_PROVIDER_DISPLAY_NAME): הגדירו שם ידידותי למשתמש לספק של מאגר כוח העבודה. האורך המקסימלי הוא 31 תווים.
  • תיאור הספק של מאגר כוח העבודה (WORKFORCE_PROVIDER_DESCRIPTION): תיאור מפורט של הספק של מאגר כוח העבודה.

הגדרת מאפייני משתמשים וקבוצות ב-IdP

לפני שיוצרים את אפליקציית ה-SAML ב-IdP, צריך לזהות את מאפייני המשתמשים והקבוצות שנדרשים כדי להגדיר את הגישה לתכונות ב-Google SecOps. מאפייני המשתמשים הנפוצים כוללים:

  • נושא
  • אימייל
  • שם פרטי
  • שם משפחה
  • השם המוצג

אתם צריכים את המידע על קבוצות המשתמשים והמאפיינים בשלבים הבאים של התהליך:

  • כשמגדירים את אפליקציית ה-SAML, יוצרים את הקבוצות שהוגדרו במהלך התכנון. מגדירים את אפליקציית ה-SAML של ה-IdP כך שתעביר את החברויות בקבוצות בטענת הנכוֹנוּת (assertion).

  • כשיוצרים את ספק הזהויות של כוח העבודה, ממפים את המאפיינים והקבוצות של טענת הנכוֹנוּת (assertion) למאפיינים שלGoogle Cloud . המידע הזה נשלח בטענת האימות כחלק מהזהות של המשתמש.

הגדרת האפליקציה של ה-IdP

בקטע הזה מוסבר רק על ההגדרה הספציפית שנדרשת באפליקציית SAML של IdP כדי לשלב אותה עם Google Cloud Workforce Identity Federation ו-Google SecOps. כדי לקבל הוראות מפורטות, אפשר לעיין במסמכי התיעוד של ספק הזהויות.

  1. אם עדיין לא יצרתם קבוצות ב-IdP, אתם צריכים ליצור אותן.

    כשיטה מומלצת, השתמשו בקבוצות ולא בחשבונות משתמשים נפרדים כדי לנהל את הגישה למכונה של Google SecOps. ‫Google ממליצה ליצור ב-IdP קבוצות שתואמות ישירות לתפקידי ברירת המחדל ב-Google SecOps.

    לדוגמה:

    תפקיד ב-Google SecOps קבוצת IdP (מומלץ)
    אדמין של Chronicle API chronicle_secops_admins
    עריכת Chronicle API chronicle_secops_editor
    צפייה ב-Chronicle API chronicle_secops_viewer

  2. יוצרים אפליקציית SAML חדשה ב-IdP.

  3. מגדירים את האפליקציה עם הפרטים הבאים:

    1. מציינים את כתובת ה-URL של Assertion Consumer Service ‏(ACS), שנקראת גם כתובת URL של כניסה יחידה (SSO) בהתאם לספק השירות.

      https://auth.backstory.chronicle.security/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

      מחליפים את מה שכתוב בשדות הבאים:

      • ‫WORKFORCE_POOL_ID: המזהה שהגדרתם למאגר הזהויות של כוח העבודה.
      • ‫WORKFORCE_PROVIDER_ID: המזהה שהגדרתם לספק של כוח העבודה.

      לתיאורים של הערכים, ראו הגדרת מאגר הזהויות של כוח העבודה וספק הזהויות של כוח העבודה.

    2. מציינים את מזהה הישות הבא (נקרא גם מזהה ישות של ספק השירות).

      https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

    3. מגדירים את מזהה השם ב-IdP כדי לוודא שהשדה NameID יחזור בתשובה של SAML.

      אפשר להגדיר את זה לערך שתומך במדיניות הארגון, כמו כתובת אימייל או שם משתמש. במסמכי התיעוד של ה-IdP מוסבר איך להגדיר את הערך הזה. מידע נוסף על הדרישה הזו זמין במאמר פתרון בעיות באיחוד שירותי אימות הזהות של כוח עבודה.

  4. מוסיפים את הצהרות המאפיינים שמאפשרות להעביר את פרטי המשתמשים מ-IdP לשילובי Application Integration. הגדרתם את המאפיינים כשתכננתם את ההטמעה של ה-IdP.

    לדוגמה, בטבלה הבאה מפורטות הצהרות מאפייני המשתמש שאפשר להוסיף לספקי הזהויות הכי רווחיים, כמו Okta,‏ Microsoft AD FS או Entra ID:

    שם המאפיין ערך Okta (ביטוי) ‫AD FS או Entra ID (מאפיין מקור)
    subject user.email user.mail או user.userprincipalname
    emailaddress user.email user.mail
    first_name user.firstName user.givenname
    last_name user.lastName user.surname
    display_name user.displayName user.displayname

    אם אתם מגדירים אפליקציית IdP של Okta, ודאו שבחרתם באפשרות לא צוין בתור הפורמט כשאתם מוסיפים את המאפיינים. אם אתם משתמשים ב-Microsoft AD FS או ב-Entra ID בתור ה-IdP, השאירו את מרחב השמות ריק.

    אם רוצים, מוסיפים את מאפייני הקבוצה, כמו groups, באפליקציית ה-IdP.

  5. מקצים את הקבוצות והמשתמשים המתאימים לאפליקציה ב-IdP.

    הקבוצות והמשתמשים האלה יקבלו הרשאת גישה ל-Google SecOps.

  6. מורידים את קובץ ה-XML של המטא-נתונים של האפליקציה.

    בקטע הבא תשתמשו בקובץ המטא-נתונים הזה כדי להגדיר את ספק הזהויות של כוח העבודה. אם אתם משתמשים ב-Google Cloud CLI, אתם צריכים להעלות את הקובץ הזה מהמערכת המקומית לספריית הבית ב- Google Cloud באמצעות Cloud Shell.

הגדרת איחוד שירותי אימות הזהות של כוח העבודה

בקטע הזה מתוארים רק השלבים הספציפיים שצריך לבצע כדי להגדיר את איחוד שירותי אימות הזהות של כוח העבודה באמצעות אפליקציית ה-SAML של ה-IdP שיצרתם בקטע הקודם. מידע נוסף על ניהול מאגרי זהויות של כוח עבודה מופיע במאמר ניהול ספקים של מאגרי זהויות של כוח עבודה.

הגדרת הפרויקט לחיוב ולמכסות

  1. פותחים את מסוף Google Cloud בתור המשתמש עם ההרשאות הנדרשות בפרויקט שקשור ל-Google SecOps. זיהיתם או יצרתם את המשתמש הזה קודם. עיינו בקטע לפני שמתחילים.

  2. מפעילים סשן של Cloud Shell.

  3. מגדירים את הפרויקט Google Cloud שמחויב על פעולות שבוצעו באמצעות ה-CLI של gcloud, ושהמכסה שלו מנוצלת. משתמשים בפקודה הבאה של gcloud כדוגמה:

    gcloud config set billing/quota_project PROJECT_ID

    מחליפים את PROJECT_ID במזהה הפרויקט ב-Google Cloud שקשור ל-Google SecOps, שיצרתם בקטע הגדרת פרויקט ב- Google Cloud בשביל Google SecOps. במאמר יצירה וניהול של פרויקטים מופיע תיאור של השדות שמזהים פרויקט.

    למידע נוסף על מכסות, אפשר לעיין במאמרים הבאים:

    אם נתקלתם בשגיאה, קראו את המאמר פתרון בעיות שקשורות לשגיאות במכסות.

יצירה והגדרה של מאגר זהויות של כוח עבודה

אתם יכולים להגדיר מאגר זהויות של כוח עבודה כדי לשלב אותו עם ספק זהויות (IdP) חיצוני, או עם Google Workspace או Cloud Identity.

המסוף

כדי ליצור את מאגר הזהויות של כוח העבודה:

  1. נכנסים לדף Workforce Identity Pools במסוף Google Cloud :

    כניסה לדף Workforce Identity Pools

  2. בוחרים את הארגון של מאגר הזהויות של כוח העבודה. מאגרי זהויות כוח עבודה זמינים בכל הפרויקטים והתיקיות בארגון.

  3. לוחצים על Create pool ומבצעים את הפעולות הבאות:

    1. בשדה Name, מזינים את השם לתצוגה של המאגר. מזהה המאגר נגזר באופן אוטומטי מהשם בזמן ההקלדה, ומוצג מתחת לשדה Name. כדי לעדכן את מזהה המאגר, לוחצים על Edit ליד מזהה המאגר.

    2. אופציונלי: בשדה Description, מזינים תיאור של המאגר.

  4. לוחצים על הבא.

כברירת מחדל, משך הסשן של מאגר הזהויות של כוח העבודה הוא שעה אחת. משך הזמן הזה קובע את התוקף של אסימוני הגישה ל- Google Cloud , של Google Cloud מסוף איחוד שירותי אימות הזהות של כוח העבודה ושל סשנים של כניסה ל-CLI של gcloud. אתם יכולים לעדכן את המאגר כדי להגדיר משך סשן בהתאמה אישית בין 15 דקות ל-12 שעות.

gcloud

  1. יוצרים מאגר זהויות של כוח עבודה.

    משתמשים בפקודה gcloud הבאה כדוגמה:

    gcloud iam workforce-pools create WORKFORCE_POOL_ID\
  --location="global" \
  --organization=ORGANIZATION_ID \
  --description="WORKFORCE_POOL_DESCRIPTION" \
  --display-name="WORKFORCE_POOL_DISPLAY_NAME" \
  --session-duration=SESSION_DURATION

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫WORKFORCE_POOL_ID: הערך שהגדרתם למזהה של מאגר הזהויות של כוח העבודה.
    • ‫ORGANIZATION_ID: מזהה הארגון (מספרי).
    • ‫WORKFORCE_POOL_DESCRIPTION: תיאור אופציונלי של מאגר הזהויות של כוח העבודה.
    • ‫WORKFORCE_POOL_DISPLAY_NAME: שם ידידותי למשתמש של מאגר הזהויות של כוח העבודה (אופציונלי).
    • ‫SESSION_DURATION: ערך אופציונלי למשך הסשן, שמיוצג כמספר שאחריו מופיע s, לדוגמה 3600s. משך הזמן הזה קובע את התוקף של טוקני הגישה ל- Google Cloud, של Google Cloud מסוף איחוד שירותי אימות הזהות של כוח העבודה ושל סשנים של כניסה ל-ה-CLI של gcloud. אתם יכולים לעדכן את המאגר כדי להגדיר משך סשן בהתאמה אישית בין 15 דקות ל-12 שעות.

    כדי להשתמש ב-Google Workspace או ב-Cloud Identity כדי להיכנס ל-Google SecOps, מוסיפים לפקודה את הדגלים --allowed-services domain=backstory.chronicle.security ו---disable-programmatic-signin.

    gcloud iam workforce-pools create WORKFORCE_POOL_ID\
      --location="global" \
      --organization="ORGANIZATION_ID" \
      --description="WORKFORCE_POOL_DESCRIPTION" \
      --display-name="WORKFORCE_POOL_DISPLAY_NAME" \
      --session-duration=SESSION_DURATION \
      --allowed-services domain=backstory.chronicle.security \
      --disable-programmatic-signin

    הפקודה הזו יוצרת מאגר זהויות של כוח העבודה שלא תומך בכניסה ל- Google Cloud. כדי להפעיל את פונקציונליות הכניסה, צריך להשתמש בדגלים המתאימים לכל תרחיש.

  2. אם מופיעה בקשה להפעיל את Chronicle API, מזינים Yes.

יצירת ספק של מאגר זהויות של כוח עבודה

ספק מאגר זהויות של כוח עבודה מתאר קשר בין הארגון שלכם ב-Google Cloud לבין ה-IdP שלכם.

המסוף

כדי להגדיר את הספק של מאגר הזהויות של כוח העבודה:

  1. במסוף Google Cloud , נכנסים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה Workforce Identity Pools, בוחרים את המאגר שרוצים ליצור בשבילו את הספק.

  3. בקטע ספקים, לוחצים על הוספת ספק.

  4. בקטע בחירת ספק, בוחרים את ה-IdP.

    אם ספק הזהויות שלכם לא מופיע ברשימה, בוחרים באפשרות ספק זהויות כללי.

  5. בקטע Select an authentication protocol, בוחרים באפשרות SAML.

  6. בקטע Create a provider, מבצעים את הפעולות הבאות:

    1. בקטע שם, מזינים שם לספק.

    2. אופציונלי: בשדה תיאור, מזינים תיאור של הספק.

    3. בשדה IDP metadata file (XML), בוחרים את קובץ ה-XML של המטא-נתונים שיצרתם קודם במדריך הזה.

    4. מוודאים שהאפשרות הפעלת הספק מופעלת.

    5. לוחצים על Continue.

  7. בקטע שיתוף פרטי הספק, מעתיקים את כתובות ה-URL. ב-IdP, מגדירים את כתובת ה-URL הראשונה כמזהה הישות, שמזהה את האפליקציה שלכם ב-IdP. מגדירים את כתובת ה-URL השנייה בתור ה-URI להפניה אוטומטית, שמציין ל-IdP לאן לשלוח את אסימון ההצהרה אחרי ההתחברות.

  8. לוחצים על Continue.

  9. בקטע Configure provider, מבצעים את הפעולות הבאות:

    1. בקטע מיפוי מאפיינים, מזינים את המיפויים בתיבות המתאימות. לדוגמה:

      ‫Google X (כאשר X הוא מספר) ‫SAML X (כאשר X הוא מספר)
      google.subject assertion.subject
      google.groups assertion.attributes.groups
      google.display_name assertion.attributes.display_name[0]
      attribute.first_name assertion.attributes.first_name[0]
      attribute.last_name assertion.attributes.last_name[0]
      attribute.user_email assertion.attributes.emailaddress[0]

    2. אופציונלי: אם בחרתם ב-Microsoft Entra ID בתור ה-IdP, אתם יכולים להגדיל את מספר הקבוצות באופן הבא:

      1. בוחרים באפשרות שימוש במאפיינים נוספים.
      2. בשדה מזהה URI של מנפיק המאפיינים הנוספים, מזינים את כתובת ה-URL של המנפיק.
      3. בשדה Extra Attributes Client ID (מזהה לקוח של מאפיינים נוספים), מזינים את מזהה הלקוח.
      4. בשדה Extra Attributes Client Secret, מזינים את סוד הלקוח.
      5. ברשימה Extra Attributes Type, בוחרים סוג מאפיין למאפיינים הנוספים.
      6. בשדה Extra Attributes Filter, מזינים ביטוי סינון שמשמש לשליחת שאילתות ל-Microsoft Graph API לגבי קבוצות.

    3. אופציונלי: כדי להוסיף תנאי של מאפיינים, לוחצים על Add condition ומזינים ביטוי CEL שמייצג תנאי של מאפיינים. לדוגמה, כדי להגביל את המאפיין ipaddr לטווח מסוים של כתובות IP, אפשר ליצור את התנאי assertion.attributes.ipaddr.startsWith('98.11.12.'). התנאי לדוגמה הזה מבטיח שרק משתמשים עם כתובת IP שמתחילה ב-98.11.12. יוכלו להיכנס באמצעות ספק הזהויות הזה לכוח העבודה.

    4. כדי להפעיל רישום מפורט ביומן הביקורת, בקטע Detailed logging לוחצים על המתג Enable attribute value audit logging.

  10. כדי ליצור את הספק, לוחצים על Submit.

gcloud

כדי להגדיר את הספק של מאגר הזהויות של כוח העבודה:

  1. מעלים את קובץ המטא-נתונים של אפליקציית SAML לספריית הבית של Cloud Shell בלחיצה על More >. אפשר להעלות קבצים רק לספריית הבית. במאמר העלאה והורדה של קבצים ותיקיות מ-Cloud Shell מפורטות אפשרויות נוספות להעברת קבצים בין Cloud Shell לבין תחנת העבודה המקומית.

  2. ב-Cloud Shell, מציינים את נתיב הספרייה שבה העליתם את קובץ ה-XML של המטא-נתונים של אפליקציית SAML. תצטרכו את הנתיב הזה בשלב הבא.

  3. יוצרים ספק של מאגר זהויות של כוח עבודה ומציינים את פרטי ה-IdP.

    משתמשים בפקודה gcloud הבאה כדוגמה:

    gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool="WORKFORCE_POOL_ID" \
  --location="global" \
  --display-name="WORKFORCE_PROVIDER_DISPLAY_NAME" \
  --description="WORKFORCE_PROVIDER_DESCRIPTION" \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="ATTRIBUTE_MAPPINGS"

    בקטע תכנון ההטמעה מפורטים תיאורי הערכים.

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫WORKFORCE_PROVIDER_ID: הערך שהגדרתם למזהה של ספק כוח העבודה.
    • ‫WORKFORCE_POOL_ID: הערך שהגדרתם למזהה של מאגר הזהויות של כוח העבודה.
    • ‫WORKFORCE_PROVIDER_DISPLAY_NAME: שם ידידותי למשתמש של ספק כוח העבודה (לא חובה). האורך המקסימלי הוא 32 תווים.
    • ‫WORKFORCE_PROVIDER_DESCRIPTION: תיאור אופציונלי של ספק כוח העבודה.
    • ‫PATH_TO_METADATA_XML: מיקום הספרייה ב-Cloud Shell של קובץ ה-XML של המטא-נתונים של האפליקציה שהעליתם באמצעות Cloud Shell, לדוגמה: /path/to/sso_metadata.xml.

    • ‫ATTRIBUTE_MAPPINGS: הגדרה של אופן המיפוי של מאפייני טענת הנכוֹנוּת (assertion) למאפייניGoogle Cloud . כדי לפרש את המיפוי הזה, משתמשים ב-Common Expression Language. לדוגמה:

      google.subject=assertion.subject,google.display_name=assertion.attributes.name[0],google.groups=assertion.attributes.groups

    בדוגמה הקודמת ממופים המאפיינים הבאים:

    • assertion.subject עד google.subject. זו דרישת המינימום.
    • assertion.attributes.name[0] עד google.display_name.
    • assertion.attributes.groups למאפיין google.groups.

    אם אתם מגדירים את Google Security Operations, שכולל את Google Security Operations SIEM ואת Google SecOps SOAR, אתם צריכים למפות גם את המאפיינים הבאים שנדרשים ל-Google SecOps SOAR:

    • attribute.first_name
    • attribute.last_name
    • attribute.user_email
    • google.groups
    • google.display_name

    לכן, המיפוי המלא הוא:

    google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.first_name=assertion.attributes.first_name[0],attribute.last_name=assertion.attributes.last_name[0],attribute.user_email=assertion.attributes.emailaddress[0],google.display_name=assertion.attributes.display_name[0]

    מידע נוסף זמין במאמר הקצאה ומיפוי של משתמשים ב-Google SecOps SOAR.

    כברירת מחדל, מערכת Google SecOps קוראת את פרטי הקבוצה משמות מאפייני טענת הנכוֹנוּת (assertion) הבאים, ללא תלות ברישיות: _assertion.attributes.groups_,‏ _assertion.attributes.idpGroup_ ו-_assertion.attributes.memberOf_.

    כשמגדירים את אפליקציית ה-SAML להעביר מידע על חברות בקבוצה בטענת הנכוֹנוּת (assertion), צריך להגדיר את שם המאפיין של הקבוצה בתור _group_, _idpGroup_ או _memberOf_.

    בפקודה לדוגמה, אתם יכולים להחליף את assertion.attributes.groups ב-assertion.attributes.idpGroup או ב-assertion.attributes.memberOf, שמייצג את שם מאפיין הקבוצה שהגדרתם באפליקציית ה-SAML של ה-IdP, ומכיל מידע על החברות בקבוצה בטענת הנכוֹנוּת (assertion).

    בדוגמה הבאה, כמה קבוצות ממופות למאפיין google.groups:

    google.groups="(has(assertion.attributes.idpGroup) ? assertion.attributes.idpGroup : []) + (has(assertion.attributes.groups) ? assertion.attributes.groups : []) + (has(assertion.attributes.memberof) ? assertion.attributes.memberof : [])"

    בדוגמה הבאה, הקבוצה http://schemas.xmlsoap.org/ws/2005/05/identity/claims/group שמכילה תווים מיוחדים ממופה ל-google.groups:

    google.groups="assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/group']"

    למידע נוסף על מיפוי מאפיינים, קראו את המאמר מיפוי מאפיינים.

הקצאת תפקיד שמאפשר כניסה ל-Google SecOps

בשלבים הבאים מוסבר איך להקצות תפקיד ספציפי באמצעות IAM, כדי שקבוצות ומשתמשים במאגר הזהויות של כוח העבודה יוכלו להיכנס ל-Google SecOps. מבצעים את ההגדרה באמצעות הפרויקט שמקושר ל-Google SecOps Google Cloud שיצרתם קודם.

המסוף

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. בוחרים את הפרויקט ב-Google SecOps שקשור ל- Google Cloud .

  3. בכרטיסייה View by principals, לוחצים על Grant Access.

  4. בקטע Add principals, מזינים מזהה חשבון משתמש בשדה New principals.

    לדוגמה:

    • כדי להוסיף את כל הזהויות שמנוהלות באמצעות מאגר הזהויות של כוח העבודה וספק הזהויות של כוח העבודה שיצרתם קודם, מזינים את הפרטים הבאים:

      principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID

    • כדי להוסיף קבוצה ספציפית כחשבון ראשי, מזינים את הפרטים הבאים:

      principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫WORKFORCE_POOL_ID: הערך שהגדרתם למזהה של מאגר הזהויות של כוח העבודה.
    • ‫GROUP_ID: קבוצה בהצהרה הממופה google.groups. הקבוצה הזו צריכה להיות קיימת ב-IdP.

  5. בקטע Assign roles, בוחרים או מחפשים תפקיד רלוונטי ב-Chronicle API, כמו Chronicle API Viewer (roles/chronicle.viewer).

  6. לוחצים על Save.

  7. חוזרים על שלבים 3 עד 5 לכל חשבון משתמש שרוצים להקצות לו תפקידים.

gcloud

  1. מקצים את התפקיד צפייה ב-Chronicle API‏ (roles/chronicle.viewer) למשתמשים או לקבוצות שצריכים גישה לאפליקציית Google SecOps.

    • בדוגמה הבאה, התפקיד "צפייה ב-Chronicle API" מוקצה לזהויות שמנוהלות באמצעות מאגר הזהויות של כוח העבודה והספק של כוח העבודה שיצרתם קודם.
    gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/*"

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט שמקושר ל-Google SecOps, שהגדרתם בקטע הגדרת פרויקט ב- Google Cloud ל-Google SecOps. לתיאור של השדות שמזהים פרויקט, קראו את המאמר יצירה וניהול של פרויקטים.

    • ‫WORKFORCE_POOL_ID: הערך שהגדרתם למזהה של מאגר הזהויות של כוח העבודה.

    • כדי להקצות את התפקיד "צפייה ב-Chronicle API" לקבוצה ספציפית, מריצים את הפקודה הבאה:

    gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

    ‫GROUP_ID: קבוצה בהצהרה הממופה google.groups. הקבוצה הזו צריכה להיות קיימת ב-IdP.

  2. מגדירים כללי מדיניות נוספים של IAM בהתאם לדרישות של הארגון.

  3. חובה: כדי להשלים את האימות ולאפשר למשתמשים לגשת לפלטפורמת Google SecOps, צריך להגדיר את הגישה של המשתמשים מהצד של SOAR ב-Google SecOps. מידע נוסף זמין במאמר מיפוי משתמשים בפלטפורמת Google SecOps.

חוזרים על השלבים הקודמים כדי להקצות תפקידים אחרים.

הגדרת כניסה יחידה (SSO) למכונה של Google SecOps

המשימה האחרונה בשילוב של IdP של צד שלישי עם Google SecOps היא להגדיר את ה-SSO. אחרי שתסיימו את השלב הזה, המשתמשים יוכלו להיכנס ל-Google SecOps באמצעות פרטי הכניסה שלהם ל-IdP.

כדי להגדיר SSO:

  1. במסוף Google Cloud , נכנסים לדף Security > Google SecOps.
  2. לוחצים על הכרטיסייה Single Sign-On ובוחרים באפשרות Workforce Identity Federation.
  3. ברשימת הספקים הזמינים, בוחרים את הספק של איחוד שירותי אימות הזהות של כוח העבודה שיצרתם בקטע יצירת ספק של מאגר זהויות של כוח עבודה.
  4. לוחצים על Save.

ניהול ההגדרות של איחוד שירותי אימות הזהות של כוח העבודה

בקטע הזה מוסבר איך לעדכן את הגדרות הספק ולוודא שרמות הגישה של המשתמשים מוגדרות בצורה נכונה.

אימות או הגדרה של בקרת הגישה לתכונות של Google SecOps

אם הגדרתם את איחוד שירותי אימות הזהות של כוח העבודה עם מאפיינים או קבוצות שממופים למאפיין google.groups, המידע הזה מועבר ל-Google SecOps כדי שתוכלו להגדיר את ה-RBAC לתכונות של Google SecOps.

אם למכונה של Google SecOps יש הגדרת RBAC קיימת, ודאו שההגדרה המקורית פועלת כצפוי.

אם לא הגדרתם בעבר את בקרת הגישה, קראו את המאמר הגדרת בקרת גישה לתכונות באמצעות IAM כדי לקבל מידע על בקרת הגישה לתכונות.

שינוי ההגדרות של איחוד שירותי אימות הזהות של כוח העבודה

אם אתם צריכים לעדכן את מאגר הזהויות של כוח העבודה או את הספק של מאגר הזהויות של כוח העבודה, קראו את המאמר ניהול ספקים של מאגרי זהויות של כוח עבודה כדי לקבל מידע על עדכון ההגדרות.

בקטע ניהול מפתחות במאמר יצירת ספק של מאגר זהויות של כוח עבודה ב-SAML מוסבר איך לעדכן את מפתחות החתימה של ה-IdP, ואז לעדכן את קובץ ה-XML של המטא-נתונים של האפליקציה בהגדרות של הספק של מאגר הזהויות של כוח עבודה.

המסוף

כדי לעדכן מאגר כוח עבודה ספציפי:

  1. נכנסים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר.

  3. מעדכנים את הפרמטרים של המאגר.

  4. לוחצים על שמירת המאגר.

כדי לעדכן ספק:

  1. נכנסים לדף Workforce Identity Pools:

    כניסה לדף Workforce Identity Pools

  2. בטבלה, בוחרים את המאגר שרוצים לעדכן את הספק שלו.

  3. בטבלה Providers, לוחצים על Edit.

  4. מעדכנים את פרטי הספק.

  5. כדי לשמור את פרטי הספק המעודכנים, לוחצים על שמירה.

gcloud

הפקודה הבאה היא דוגמה לפקודת gcloud שמעדכנת את ההגדרות של ספק כוח העבודה:

gcloud iam workforce-pools providers update-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool=WORKFORCE_POOL_ID \
  --location="global" \
  --display-name="WORKFORCE_PROVIDER_DISPLAY_NAME" \
  --description="WORKFORCE_PROVIDER_DESCRIPTION" \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="ATTRIBUTE_MAPPINGS"

מחליפים את מה שכתוב בשדות הבאים:

  • ‫WORKFORCE_PROVIDER_ID: הערך שהגדרתם למזהה של ספק כוח העבודה.
  • ‫WORKFORCE_POOL_ID: הערך שהגדרתם למזהה של מאגר הזהויות של כוח העבודה.
  • ‫WORKFORCE_PROVIDER_DISPLAY_NAME: שם ידידותי למשתמש של ספק כוח העבודה. הערך צריך לכלול פחות מ-32 תווים.
  • ‫WORKFORCE_PROVIDER_DESCRIPTION: תיאור הספק של כוח העבודה.
  • ‫PATH_TO_METADATA_XML: המיקום של קובץ ה-XML המעודכן של המטא-נתונים של האפליקציה, לדוגמה: /path/to/sso_metadata_updated.xml.
  • ‫ATTRIBUTE_MAPPINGS: מאפייני טענת הנכוֹנוּת (assertion) שממופים לGoogle Cloud מאפיינים. לדוגמה:

google.subject=assertion.subject,google.display_name=assertion.attributes.name[0],google.groups=assertion.attributes.memberOf

פתרון בעיות בהגדרות האישיות

אם נתקלתם בשגיאות במהלך התהליך, תוכלו להיעזר במאמר פתרון בעיות באיחוד שירותי אימות הזהות של כוח העבודה כדי לפתור בעיות נפוצות. אם הארגון שלכם משתמש בחומות אש או בשרתי proxy לאינטרנט, ודאו שרשימת ההיתרים של הרשת כוללת את האימות הנדרש ואת הדומיינים של איחוד שירותי אימות הזהות של כוח העבודה, כמו auth.backstory.chronicle.security,‏ iam.googleapis.com,‏ accounts.google.com והדומיינים האזוריים של accounts.google.ccTLD. מידע נוסף על גישה לרשת ורשימת הדומיינים המותרים בקטע הבא מפורט מידע על בעיות נפוצות שנתקלים בהן כשמבצעים את השלבים שבמסמך הזה.

אם הבעיות נמשכות, פנו לנציג של Google SecOps ושלחו לו את קובץ יומני הרשת של Chrome.

הפקודה לא נמצאה

כשיוצרים ספק של מאגר זהויות של כוח עבודה ומציינים את פרטי ה-IdP, מתקבלת השגיאה הבאה:

Error: bash: --attribute-mapping=google.subject=assertion.subject,
google.display_name=assertion.attributes.name[0],
google.groups=assertion.attributes.groups: command not found

מוודאים שהמיקום של PATH_TO_METADATA_XML הוא המיקום שבו העליתם את קובץ ה-XML של המטא-נתונים של אפליקציית SAML לספריית הבית של Cloud Shell.

לגורם המזמין אין הרשאה

כשמריצים את הפקודה gcloud projects add-iam-policy-binding כדי להקצות תפקידים למשתמשים או לקבוצות, מתקבלת השגיאה הבאה:

ERROR: (gcloud.organizations.add-iam-policy-binding) User [ ] does not have
permission to access organizations instance [538073083963:getIamPolicy]
(or it may not exist): The caller does not have permission

מוודאים שיש לכם את ההרשאות הנדרשות. למידע נוסף, קראו על התפקידים הנדרשים.

האימות נכשל: חסר מזהה סשן בבקשה

כשמנסים לבצע אימות, מופיעה בדפדפן השגיאה הבאה:

Verification failure: missing session ID in request

מוודאים שכתובות ה-URL הבסיסיות של ה-ACS ומזהה הישות נכונות. מידע נוסף מופיע במאמר הגדרת אפליקציית IdP.

ניפוי באגים ב-JWT שגדול מ-4KB

אם נתקלתם בבעיות בכניסה ל-Google SecOps, ודאו שאסימוני האינטרנט מסוג JSON‏ (JWT) לא חורגים מהמגבלה של 4KB ב-Google SecOps. אם משתמש מקבל את הודעת השגיאה "Authentication JWT larger than 4KB.‎ כדי לפתור את השגיאה, צריך לצמצם את נתוני החברות בקבוצה שנשלחים מספק הזהויות.", פועלים לפי השלבים הבאים לפתרון בעיות:

  1. ניפוי באגים באסימון: אתם יכולים לנפות באגים באסימון בדף הפרטים של הספק ב-Workforce Identity Federation (עוברים אל Workforce Identity Federation‏ > Workforce Pools‏ > [המאגר שלכם] > [הספק שלכם] ולוחצים על Debug IdP Token). כדי להשתמש בתכונה הזו, קודם צריך להוסיף את כתובת ה-URL של Google Cloud לכתובות ה-URL להפניה אוטומטית של ספק הזהויות. ההגדרה הזו רלוונטית גם לפרוטוקול SAML וגם לפרוטוקול OIDC. מידע נוסף זמין במאמר פתרון בעיות באיחוד שירותי אימות הזהות של כוח עבודה.

  2. סינון טענות נכונות לגבי קבוצות: אם ספק הזהויות שלכם שולח הרבה קבוצות שלא קשורות ל-Google SecOps, סננו את הטענות הנכונות לגבי קבוצות ברמת הספק. כדי להקטין את הגודל של ה-JWT ולמנוע שגיאות אימות, כדאי להגדיר את הספק החיצוני כך שישלח רק את קבוצת המינימום של הקבוצות שנדרשות ל-Google SecOps.

    • דוגמה (Microsoft Entra ID): אתם יכולים להשתמש בסינון קבוצות ב-Microsoft Entra כדי לשלוח רק קבוצה מינימלית של קבוצות רלוונטיות. באפליקציית Entra Enterprise, בקטע Single sign-on, עורכים את ההצהרה Groups כדי להחיל מסנן (לדוגמה, באמצעות התאמת קידומת) כך שרק הקבוצות הנדרשות יישלחו אל Google SecOps. מידע נוסף זמין במאמר בנושא סינון קבוצות ב-Microsoft Entra.

המאמרים הבאים

אחרי שמשלימים את השלבים שבמסמך הזה, מבצעים את הפעולות הבאות:

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.