Mengonfigurasi identitas pihak ketiga

Didukung di:

Panduan ini ditujukan untuk administrator Google Security Operations yang ingin mengautentikasi tenaga kerja mereka (pengguna dan grup) di Google SecOps menggunakan penyedia identitas (IdP) pihak ketiga. Proses ini dapat dilakukan dengan memanfaatkan Google Cloud Workforce Identity Federation.

Workforce Identity Federation mendukung IdP apa pun yang menggunakan Security Assertion Markup Language (SAML 2.0) atau OpenID Connect (OIDC), seperti Okta, Microsoft Entra ID, dan Microsoft Active Directory Federation Services (AD FS).

Dokumen ini menjelaskan langkah-langkah tingkat tinggi untuk menyiapkan autentikasi melalui IdP berbasis SAML menggunakan Workforce Identity Federation.

  1. Rencanakan resource yang diperlukan. Tentukan detail workforce identity pool dan penyedia Anda, serta identifikasi atribut dan grup pengguna yang diperlukan untuk mengonfigurasi akses ke fitur di Google SecOps.
  2. Konfigurasikan aplikasi IdP pihak ketiga. Buat aplikasi SAML IdP untuk diintegrasikan dengan Workforce Identity Federation dan Google SecOps.
  3. Mengonfigurasi Workforce Identity Federation. Konfigurasikan pool dan penyedia workforce identity Anda, serta berikan peran Google Cloud Identity and Access Management (IAM) ke grup dan pengguna IdP.
  4. Konfigurasikan single sign-on (SSO) menggunakan penyedia yang baru dibuat.

Setelah menyelesaikan langkah-langkah ini, Anda dapat login ke Google SecOps dengan penyedia identitas Anda dan mengelola akses pengguna melalui kontrol akses berbasis peran (RBAC) fitur menggunakan IAM.

Kasus penggunaan umum

Google SecOps memerlukan penggunaan Workforce Identity Federation sebagai broker SSO untuk berbagai kasus penggunaan.

Mematuhi standar keamanan yang ketat

  • Tujuan: Memenuhi standar peraturan yang ketat untuk akses sistem dan cloud.
  • Nilai: Membantu memenuhi persyaratan kepatuhan FedRAMP High (atau lebih tinggi) dengan menjadi perantara SSO yang aman.

Mengelola kontrol akses perusahaan

  • Tujuan: Mengontrol akses fitur dan data secara terpusat di seluruh organisasi.
  • Nilai: Mengaktifkan RBAC tingkat perusahaan di Google SecOps dengan menggunakan IAM.

Terminologi utama

  • Kumpulan tenaga kerja: Resource Google Cloud unik secara global yang ditentukan di tingkat organisasi yang memberi tenaga kerja Anda akses ke Google SecOps.
  • Penyedia tenaga kerja: Sub-resource workforce identity pool yang menyimpan detail konfigurasi untuk satu IdP eksternal.
  • Pemetaan atribut: Proses menerjemahkan atribut pernyataan yang disediakan oleh IdP Anda menjadi atribut Google Cloud menggunakan Common Expression Language (CEL).
  • URL Assertion Consumer Service (ACS): URL tertentu (terkadang disebut sebagai URL single sign-on, bergantung pada penyedia) yang digunakan untuk mengonfigurasi aplikasi SAML agar berkomunikasi dengan Google SecOps.
  • ID Entitas: URL ID unik global yang mengidentifikasi aplikasi atau layanan tertentu, seperti Google SecOps, dan mengonfigurasi aplikasi SAML dalam IdP Anda.

Ringkasan proses

Google SecOps mendukung SSO SAML yang Dimulai Penyedia Layanan (dimulai SP) untuk pengguna. Dengan kemampuan ini, pengguna dapat langsung membuka Google SecOps. Google SecOps mengeluarkan permintaan melalui Workforce Identity Federation IAM ke IdP pihak ketiga.

Setelah IdP mengautentikasi identitas pengguna, pengguna akan dikembalikan ke Google SecOps dengan pernyataan autentikasi. Google Cloud Workforce Identity Federation bertindak sebagai perantara dalam alur autentikasi.

Komunikasi antara Google SecOps, Workforce Identity Federation IAM Google Cloud , dan IdP

Komunikasi antara Google SecOps, Workforce Identity Federation IAM, dan IdP

Secara garis besar, komunikasinya adalah sebagai berikut:

  1. Pengguna membuka Google SecOps.
  2. Google SecOps mencari informasi IdP di Google Cloud workforce identity pool.
  3. Permintaan dikirim ke IdP.
  4. Pernyataan SAML dikirim ke workforce identity pool Google Cloud .
  5. Jika autentikasi berhasil, Google SecOps hanya akan menerima atribut SAML yang ditentukan saat Anda mengonfigurasi penyedia tenaga kerja di pool workforce identity.

Administrator Google SecOps membuat grup di penyedia identitas mereka, mengonfigurasi aplikasi SAML untuk meneruskan informasi keanggotaan grup dalam pernyataan, dan mengaitkan pengguna dan grup ke peran yang telah ditetapkan Google SecOps di IAM atau ke peran khusus yang mereka buat.

Sebelum memulai

Merencanakan implementasi

Bagian ini menjelaskan keputusan yang harus Anda buat dan informasi yang Anda tentukan sebelum melakukan langkah-langkah dalam dokumen ini.

Menentukan workforce identity pool dan penyedia workforce

Untuk menyiapkan autentikasi melalui IdP, Anda perlu mengonfigurasi Workforce Identity Federation sebagai perantara dalam alur autentikasi. Sebelum mengonfigurasi Workforce Identity Federation, tentukan resource Google Cloud berikut:

  • Kumpulan tenaga kerja: Kumpulan identitas tenaga kerja memberi tenaga kerja Anda (seperti karyawan) akses ke Google SecOps.
  • Penyedia tenaga kerja: Sub-resource workforce identity pool yang menyimpan detail tentang satu IdP.

Hubungan antara workforce identity pool, penyedia tenaga kerja, dan instance Google SecOps, yang diidentifikasi oleh satu subdomain pelanggan, adalah sebagai berikut:

  • Workforce identity pool ditentukan di level organisasi.
  • Setiap instance Google SecOps memiliki workforce identity pool yang dikonfigurasi dan dikaitkan dengannya.
  • Workforce identity pool dapat memiliki beberapa penyedia tenaga kerja.

  • Setiap penyedia tenaga kerja mengintegrasikan IdP pihak ketiga dengan workforce identity pool.

  • Workforce identity pool harus dikhususkan untuk Google SecOps. Anda tidak dapat membagikan pool yang dibuat untuk Google SecOps untuk tujuan lain.

  • Anda harus memiliki workforce identity pool di Google Cloud organisasi yang sama yang berisi project yang terikat ke Google SecOps.

Berikut adalah panduan untuk menentukan nilai ID kunci workforce pool dan penyedia workforce:

  • ID workforce pool (WORKFORCE_POOL_ID): tentukan nilai yang menunjukkan cakupan atau tujuan workforce identity pool. Nilai harus memenuhi persyaratan berikut:
    • Harus unik secara global.
    • Hanya boleh menggunakan karakter huruf kecil [a-z], angka [0-9], dan tanda hubung [-].
    • Harus diawali dengan karakter huruf kecil [a-z].
    • Harus diakhiri dengan karakter huruf kecil [a-z] atau digit [0-9].
    • Dapat berisi antara 4 hingga 61 karakter.
  • Nama tampilan workforce pool (WORKFORCE_POOL_DISPLAY_NAME): tentukan nama yang mudah digunakan untuk workforce identity pool.
  • Workforce pool description (WORKFORCE_POOL_DESCRIPTION): tentukan deskripsi mendetail tentang workforce identity pool.
  • ID penyedia tenaga kerja (WORKFORCE_PROVIDER_ID): tentukan nilai yang menunjukkan IdP yang diwakilinya. Nilai harus memenuhi persyaratan berikut:
    • Hanya boleh menggunakan karakter huruf kecil [a-z], angka [0-9], dan tanda hubung [-].
    • Dapat berisi antara 4 hingga 32 karakter.
  • Nama tampilan penyedia tenaga kerja (WORKFORCE_PROVIDER_DISPLAY_NAME): tentukan nama yang mudah digunakan untuk penyedia tenaga kerja. Panjangnya harus kurang dari 32 karakter.
  • Deskripsi penyedia workforce (WORKFORCE_PROVIDER_DESCRIPTION): tentukan deskripsi mendetail tentang penyedia workforce.

Menentukan atribut dan grup pengguna di IdP

Sebelum membuat aplikasi SAML di IdP, identifikasi atribut pengguna dan grup yang diperlukan untuk mengonfigurasi akses ke fitur di Google SecOps. Atribut pengguna umum mencakup hal berikut:

  • Subjek
  • Email
  • Nama depan
  • Nama belakang
  • Nama tampilan

Anda memerlukan informasi tentang grup dan atribut pengguna selama fase proses berikut:

  • Saat mengonfigurasi aplikasi SAML, Anda membuat grup yang ditentukan selama perencanaan. Anda mengonfigurasi aplikasi SAML IdP untuk meneruskan keanggotaan grup dalam pernyataan.

  • Saat membuat penyedia tenaga kerja, Anda memetakan atribut dan grup pernyataan ke atributGoogle Cloud . Informasi ini dikirim dalam klaim pernyataan sebagai bagian dari identitas pengguna.

Mengonfigurasi aplikasi IdP

Bagian ini hanya menjelaskan konfigurasi spesifik yang diperlukan dalam aplikasi SAML IdP untuk berintegrasi dengan Google Cloud Workforce Identity Federation dan Google SecOps. Lihat dokumentasi IdP Anda untuk mengetahui langkah-langkah mendetail.

  1. Buat grup di IdP Anda, jika belum dibuat.

    Sebagai praktik terbaik, gunakan grup, bukan akun pengguna perorangan, untuk mengelola akses ke instance Google SecOps Anda. Google merekomendasikan pembuatan grup di IdP Anda yang sesuai langsung dengan peran Google SecOps default.

    Lihat contoh berikut:

    Peran Google SecOps Grup IdP (Disarankan)
    Chronicle API Admin chronicle_secops_admins
    Chronicle API Editor chronicle_secops_editor
    Chronicle API Viewer chronicle_secops_viewer

  2. Buat aplikasi SAML baru di IdP Anda.

  3. Konfigurasikan aplikasi dengan hal berikut:

    1. Tentukan URL Assertion Consumer Service (ACS), yang juga disebut sebagai URL single sign-on, bergantung pada penyedia layanan.

      https://auth.backstory.chronicle.security/signin-callback/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

      Ganti kode berikut:

      • WORKFORCE_POOL_ID: ID yang Anda tentukan untuk workforce identity pool.
      • WORKFORCE_PROVIDER_ID: ID yang Anda tentukan untuk penyedia workforce.

      Untuk mengetahui deskripsi nilai, lihat Menentukan workforce identity pool dan penyedia workforce.

    2. Tentukan ID Entitas berikut (juga disebut, ID Entitas SP).

      https://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/providers/WORKFORCE_PROVIDER_ID

    3. Konfigurasikan ID nama di IdP Anda untuk memastikan bahwa kolom NameID ditampilkan dalam respons SAML.

      Anda dapat menetapkan nilai yang mendukung kebijakan organisasi, seperti alamat email atau nama pengguna. Lihat dokumentasi IdP Anda untuk mengetahui informasi tentang cara mengonfigurasi nilai ini. Untuk mengetahui informasi selengkapnya tentang persyaratan ini, lihat Memecahkan masalah workforce identity federation.

  4. Tambahkan pernyataan atribut yang memungkinkan Anda meneruskan informasi pengguna dari IdP ke Application Integration Anda. Anda menentukan atribut saat merencanakan penerapan IdP.

    Misalnya, tabel berikut mencantumkan pernyataan atribut pengguna yang dapat Anda tambahkan di IdP yang umum digunakan, seperti Okta, Microsoft AD FS, atau Entra ID:

    Nama atribut Nilai Okta (Ekspresi) AD FS/Entra ID (Atribut sumber)
    subject user.email user.mail atau user.userprincipalname
    emailaddress user.email user.mail
    first_name user.firstName user.givenname
    last_name user.lastName user.surname
    display_name user.displayName user.displayname

    Jika Anda mengonfigurasi aplikasi IdP Okta, pastikan Anda memilih Unspecified sebagai format saat menambahkan atribut. Biarkan namespace kosong saat menggunakan Microsoft AD FS atau Entra ID sebagai IdP Anda.

    Secara opsional, tambahkan atribut grup, seperti groups, di aplikasi IdP.

  5. Tetapkan grup dan pengguna yang sesuai ke aplikasi dalam IdP Anda.

    Grup dan pengguna ini akan diberi otorisasi untuk mengakses Google SecOps.

  6. Download file XML metadata aplikasi.

    Di bagian berikutnya, Anda akan menggunakan file metadata ini saat mengonfigurasi penyedia workforce identity. Jika menggunakan Google Cloud CLI, Anda harus mengupload file ini dari sistem lokal ke direktori utama Google Cloud menggunakan Cloud Shell.

Mengonfigurasi Workforce Identity Federation

Bagian ini hanya menjelaskan langkah-langkah spesifik yang diperlukan untuk mengonfigurasi Workforce Identity Federation dengan aplikasi IdP SAML yang Anda buat di bagian sebelumnya. Untuk mengetahui informasi selengkapnya tentang cara mengelola workforce identity pool, lihat Mengelola penyedia workforce identity pool

Menetapkan project penagihan dan kuota

  1. Buka konsol Google Cloud sebagai pengguna dengan izin yang diperlukan pada project yang terikat dengan Google SecOps. Anda telah mengidentifikasi atau membuat pengguna ini sebelumnya. Lihat bagian Sebelum memulai.

  2. Luncurkan sesi Cloud Shell.

  3. Tetapkan project Google Cloud yang ditagih dan dikenai kuota untuk operasi yang dilakukan menggunakan gcloud CLI. Gunakan perintah gcloud berikut sebagai contoh:

    gcloud config set billing/quota_project PROJECT_ID

    Ganti PROJECT_ID dengan project ID dari project yang terikat dengan Google SecOps yang Anda buat di bagian Mengonfigurasi project Google Cloud untuk Google SecOps. Untuk deskripsi kolom yang mengidentifikasi project, lihat Membuat dan mengelola project.

    Untuk mengetahui informasi tentang kuota, lihat dokumen berikut:

    Jika Anda mengalami error, lihat Memecahkan masalah error kuota.

Membuat dan mengonfigurasi workforce identity pool

Anda dapat mengonfigurasi workforce identity pool untuk diintegrasikan dengan penyedia identitas (IdP) eksternal atau dengan Google Workspace atau Cloud Identity.

Konsol

Untuk membuat workforce identity pool, lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Pilih organisasi untuk workforce identity pool Anda. Kumpulan identitas tenaga kerja tersedia di semua project dan folder dalam organisasi.

  3. Klik Buat pool dan lakukan tindakan berikut:

    1. Di kolom Name, masukkan nama tampilan pool. ID pool otomatis diambil dari nama saat Anda mengetik, dan ditampilkan di bawah kolom Name. Anda dapat memperbarui ID pool dengan mengklik Edit di samping ID pool.

    2. Opsional: Di Deskripsi, masukkan deskripsi pool.

  4. Klik Berikutnya.

Durasi sesi workforce identity pool ditetapkan secara default ke satu jam. Durasi ini menentukan validitas token akses Google Cloud , Google Cloud konsol Workforce Identity Federation, dan sesi login gcloud CLI. Anda dapat memperbarui pool untuk menetapkan durasi sesi kustom antara 15 menit dan 12 jam.

gcloud

  1. Membuat workforce identity pool.

    Gunakan perintah gcloud berikut sebagai contoh:

    gcloud iam workforce-pools create WORKFORCE_POOL_ID\
  --location="global" \
  --organization=ORGANIZATION_ID \
  --description="WORKFORCE_POOL_DESCRIPTION" \
  --display-name="WORKFORCE_POOL_DISPLAY_NAME" \
  --session-duration=SESSION_DURATION

    Ganti kode berikut:

    • WORKFORCE_POOL_ID: nilai yang Anda tentukan untuk ID workforce identity pool.
    • ORGANIZATION_ID: ID organisasi numerik.
    • WORKFORCE_POOL_DESCRIPTION: deskripsi opsional workforce identity pool.
    • WORKFORCE_POOL_DISPLAY_NAME: nama yang mudah digunakan dan opsional untuk workforce identity pool.
    • SESSION_DURATION: nilai opsional untuk durasi sesi, yang dinyatakan sebagai angka yang ditambahkan dengan s—misalnya, 3600s. Durasi ini menentukan validitas token akses Google Cloud, Google Cloud konsol Workforce Identity Federation, dan sesi login gcloud CLI. Anda dapat memperbarui pool untuk menetapkan durasi sesi kustom antara 15 menit dan 12 jam.

    Untuk menggunakan Google Workspace atau Cloud Identity untuk login ke Google SecOps, tambahkan flag --allowed-services domain=backstory.chronicle.security dan --disable-programmatic-signin ke perintah.

    gcloud iam workforce-pools create WORKFORCE_POOL_ID\
      --location="global" \
      --organization="ORGANIZATION_ID" \
      --description="WORKFORCE_POOL_DESCRIPTION" \
      --display-name="WORKFORCE_POOL_DISPLAY_NAME" \
      --session-duration=SESSION_DURATION \
      --allowed-services domain=backstory.chronicle.security \
      --disable-programmatic-signin

    Perintah ini membuat workforce identity pool yang tidak mendukung login ke Google Cloud. Untuk mengaktifkan fungsi login, Anda harus menggunakan flag yang sesuai untuk setiap skenario.

  2. Jika diminta untuk mengaktifkan Chronicle API, masukkan Yes.

Membuat penyedia workforce identity pool

Penyedia workforce identity pool menjelaskan hubungan antara organisasiGoogle Cloud dan IdP Anda.

Konsol

Untuk mengonfigurasi penyedia workforce identity pool, lakukan hal berikut:

  1. Di konsol Google Cloud , buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di tabel Workforce Identity Pool, pilih pool yang ingin Anda buatkan penyedia.

  3. Di bagian Providers, klik Add Provider.

  4. Di Pilih vendor Penyedia, pilih IdP Anda.

    Jika IdP Anda tidak tercantum, pilih Generic Identity Provider.

  5. Pada bagian Select an authentication protocol, pilih SAML.

  6. Di bagian Create a provider, lakukan hal berikut:

    1. Di bagian Nama, masukkan nama penyedia.

    2. Opsional: Di bagian Deskripsi, masukkan deskripsi penyedia.

    3. Di file metadata IDP (XML), pilih file XML metadata yang Anda buat sebelumnya dalam panduan ini.

    4. Pastikan Aktifkan penyedia sudah aktif.

    5. Klik Lanjutkan.

  7. Di bagian Bagikan informasi penyedia Anda, salin URL. Di IdP Anda, konfigurasikan URL pertama sebagai ID entitas, yang mengidentifikasi aplikasi Anda ke IdP. Konfigurasikan URL lainnya sebagai URI pengalihan, yang memberi tahu IdP Anda tempat untuk mengirim token pernyataan setelah login.

  8. Klik Lanjutkan.

  9. Di bagian Configure provider, lakukan hal berikut:

    1. Di Pemetaan atribut, masukkan pemetaan di kotak masing-masing. Contoh:

      Google X (dengan X adalah angka) SAML X (dengan X adalah angka)
      google.subject assertion.subject
      google.groups assertion.attributes.groups
      google.display_name assertion.attributes.display_name[0]
      attribute.first_name assertion.attributes.first_name[0]
      attribute.last_name assertion.attributes.last_name[0]
      attribute.user_email assertion.attributes.emailaddress[0]

    2. Opsional: Jika Anda memilih Microsoft Entra ID sebagai IdP, Anda dapat meningkatkan jumlah grup dengan melakukan hal berikut:

      1. Pilih Gunakan Atribut Tambahan.
      2. Di kolom Extra Attributes Issuer URI, masukkan URL penerbit.
      3. Di kolom Extra Attributes Client ID, masukkan client ID.
      4. Di kolom Extra Attributes Client Secret, masukkan rahasia klien.
      5. Di daftar Extra Attributes Type, pilih jenis atribut untuk atribut tambahan.
      6. Di kolom Extra Attributes Filter, masukkan ekspresi filter yang digunakan saat mengkueri Microsoft Graph API untuk grup.

    3. Opsional: Untuk menambahkan kondisi atribut, klik Tambahkan kondisi, lalu masukkan ekspresi CEL yang mewakili kondisi atribut. Misalnya, untuk membatasi atribut ipaddr ke rentang IP tertentu, Anda dapat menetapkan kondisi assertion.attributes.ipaddr.startsWith('98.11.12.'). Contoh kondisi ini memastikan bahwa hanya pengguna dengan alamat IP yang diawali dengan 98.11.12. yang dapat login menggunakan penyedia workforce ini.

    4. Untuk mengaktifkan logging audit mendetail, di Detailed logging, klik tombol Enable attribute value audit logging.

  10. Untuk membuat penyedia, klik Kirim.

gcloud

Untuk mengonfigurasi penyedia workforce identity pool:

  1. Upload file metadata aplikasi SAML ke direktori utama Cloud Shell dengan mengklik More >. File hanya dapat diupload ke direktori utama Anda. Untuk opsi lainnya dalam mentransfer file antara Cloud Shell dan workstation lokal Anda, lihat Mengupload dan mendownload file dan folder dari Cloud Shell.

  2. Catat jalur direktori tempat Anda mengupload file XML metadata aplikasi SAML di Cloud Shell. Anda akan memerlukan jalur ini di langkah berikutnya.

  3. Buat penyedia workforce identity pool dan tentukan detail IdP.

    Gunakan perintah gcloud berikut sebagai contoh:

    gcloud iam workforce-pools providers create-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool="WORKFORCE_POOL_ID" \
  --location="global" \
  --display-name="WORKFORCE_PROVIDER_DISPLAY_NAME" \
  --description="WORKFORCE_PROVIDER_DESCRIPTION" \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="ATTRIBUTE_MAPPINGS"

    Tinjau Merencanakan penerapan untuk deskripsi nilai.

    Ganti kode berikut:

    • WORKFORCE_PROVIDER_ID: nilai yang Anda tentukan untuk ID penyedia workforce.
    • WORKFORCE_POOL_ID: nilai yang Anda tentukan untuk ID workforce identity pool.
    • WORKFORCE_PROVIDER_DISPLAY_NAME: nama yang mudah digunakan dan opsional untuk penyedia workforce. Panjangnya harus kurang dari 32 karakter.
    • WORKFORCE_PROVIDER_DESCRIPTION: deskripsi opsional untuk penyedia workforce.
    • PATH_TO_METADATA_XML: lokasi direktori Cloud Shell dari file XML metadata aplikasi yang Anda upload menggunakan Cloud Shell, misalnya: /path/to/sso_metadata.xml.

    • ATTRIBUTE_MAPPINGS: definisi cara memetakan atribut pernyataan ke atributGoogle Cloud . Common Expression Language digunakan untuk menafsirkan pemetaan ini. Contoh:

      google.subject=assertion.subject,google.display_name=assertion.attributes.name[0],google.groups=assertion.attributes.groups

    Contoh sebelumnya memetakan atribut berikut:

    • assertion.subject ke google.subject. Ini adalah persyaratan minimum.
    • assertion.attributes.name[0] ke google.display_name.
    • assertion.attributes.groups ke atribut google.groups.

    Jika Anda melakukan konfigurasi ini untuk Google Security Operations, yang mencakup SIEM Google Security Operations dan Google SecOps SOAR, Anda juga harus memetakan atribut berikut yang diperlukan oleh Google SecOps SOAR:

    • attribute.first_name
    • attribute.last_name
    • attribute.user_email
    • google.groups
    • google.display_name

    Jadi, pemetaan lengkapnya adalah sebagai berikut:

    google.subject=assertion.subject,google.groups=assertion.attributes.groups,attribute.first_name=assertion.attributes.first_name[0],attribute.last_name=assertion.attributes.last_name[0],attribute.user_email=assertion.attributes.emailaddress[0],google.display_name=assertion.attributes.display_name[0]

    Untuk mengetahui informasi selengkapnya, lihat Menyediakan dan memetakan pengguna untuk Google SecOps SOAR.

    Secara default, Google SecOps membaca informasi grup dari nama atribut pernyataan yang tidak peka huruf besar/kecil berikut: _assertion.attributes.groups_, _assertion.attributes.idpGroup_, dan _assertion.attributes.memberOf_.

    Saat mengonfigurasi aplikasi SAML untuk meneruskan informasi keanggotaan grup dalam pernyataan, tetapkan nama atribut kelompok ke _group_, _idpGroup_, atau _memberOf_.

    Dalam contoh perintah, Anda dapat mengganti assertion.attributes.groups dengan assertion.attributes.idpGroup atau assertion.attributes.memberOf, yang mewakili nama atribut kelompok yang Anda konfigurasi di aplikasi SAML IDP dan yang berisi informasi keanggotaan grup dalam pernyataan.

    Contoh berikut memetakan beberapa grup ke atribut google.groups:

    google.groups="(has(assertion.attributes.idpGroup) ? assertion.attributes.idpGroup : []) + (has(assertion.attributes.groups) ? assertion.attributes.groups : []) + (has(assertion.attributes.memberof) ? assertion.attributes.memberof : [])"

    Contoh berikut memetakan grup http://schemas.xmlsoap.org/ws/2005/05/identity/claims/group yang berisi karakter khusus ke google.groups:

    google.groups="assertion.attributes['http://schemas.xmlsoap.org/ws/2005/05/identity/claims/group']"

    Untuk mengetahui informasi selengkapnya tentang atribut pemetaan, lihat Pemetaan Atribut.

Memberikan peran untuk mengaktifkan login ke Google SecOps

Langkah-langkah berikut menjelaskan cara memberikan peran tertentu menggunakan IAM sehingga grup dan pengguna di workforce identity pool Anda dapat login ke Google SecOps. Lakukan konfigurasi menggunakan project Google Cloud yang terikat dengan Google SecOps yang Anda buat sebelumnya.

Konsol

  1. Di konsol Google Cloud , buka halaman IAM.

    Buka IAM

  2. Pilih project Google Cloud yang terikat dengan Google SecOps.

  3. Di tab View by principals, klik Grant Access.

  4. Di bagian Add principals, masukkan ID akun utama di kolom New principals.

    Contoh:

    • Untuk menambahkan semua identitas yang dikelola menggunakan workforce identity pool dan penyedia tenaga kerja yang Anda buat sebelumnya, masukkan kode berikut:

      principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID

    • Untuk menambahkan grup tertentu sebagai akun utama, masukkan perintah berikut:

      principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID

    Ganti kode berikut:

    • WORKFORCE_POOL_ID: nilai yang Anda tentukan untuk ID workforce identity pool.
    • GROUP_ID: grup dalam klaim google.groups yang dipetakan. Anda harus membuat grup ini di IdP.

  5. Di bagian Assign roles, pilih atau telusuri peran Chronicle API yang berlaku, seperti Chronicle API Viewer (roles/chronicle.viewer).

  6. Klik Simpan.

  7. Ulangi langkah 3 hingga 5 untuk setiap akun utama yang ingin Anda beri peran.

gcloud

  1. Berikan peran Chronicle API Viewer (roles/chronicle.viewer) kepada pengguna atau grup yang seharusnya memiliki akses ke aplikasi Google SecOps.

    • Contoh berikut memberikan peran Chronicle API Viewer ke identitas yang dikelola menggunakan workforce identity pool dan penyedia workforce yang Anda buat sebelumnya.
    gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/*"

    Ganti kode berikut:

    gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "principalSet://iam.googleapis.com/locations/global/workforcePools/WORKFORCE_POOL_ID/group/GROUP_ID"

    Ganti GROUP_ID: grup dalam klaim google.groups yang dipetakan. Anda harus membuat grup ini di IdP.

  2. Konfigurasikan kebijakan IAM tambahan untuk memenuhi persyaratan organisasi Anda.

  3. Wajib: Untuk menyelesaikan autentikasi dan mengaktifkan akses pengguna ke platform Google SecOps, Anda perlu mengonfigurasi akses pengguna dari sisi SOAR Google SecOps. Untuk mengetahui informasi selengkapnya, lihat Memetakan pengguna di platform Google SecOps.

Ulangi langkah sebelumnya untuk memberikan peran lain.

Mengonfigurasi SSO ke instance Google SecOps Anda

Tugas terakhir dalam mengintegrasikan IdP pihak ketiga dengan Google SecOps adalah mengonfigurasi SSO. Setelah menyelesaikan langkah ini, pengguna akan dapat login ke Google SecOps menggunakan kredensial IdP mereka.

Berikut adalah langkah-langkah untuk mengonfigurasi SSO:

  1. Di konsol Google Cloud , buka halaman Security > Google SecOps.
  2. Klik tab Single Sign-On, lalu pilih Workforce Identity Federation.
  3. Dari daftar penyedia yang tersedia, pilih penyedia Workforce Identity Federation yang Anda buat di Membuat penyedia workforce identity pool.
  4. Klik Simpan.

Mengelola konfigurasi Workforce Identity Federation

Bagian ini menjelaskan cara memperbarui setelan penyedia dan memverifikasi bahwa tingkat akses pengguna dikonfigurasi dengan benar.

Memverifikasi atau mengonfigurasi kontrol akses fitur Google SecOps

Jika Anda mengonfigurasi Workforce Identity Federation dengan atribut atau grup yang dipetakan ke atribut google.groups, informasi ini akan diteruskan ke Google SecOps sehingga Anda dapat mengonfigurasi RBAC ke fitur Google SecOps.

Jika instance Google SecOps memiliki konfigurasi RBAC yang ada, pastikan konfigurasi asli berfungsi seperti yang diharapkan.

Jika Anda belum mengonfigurasi kontrol akses, lihat Mengonfigurasi kontrol akses fitur menggunakan IAM untuk mengetahui informasi tentang cara mengontrol akses ke fitur.

Mengubah konfigurasi Workforce Identity Federation

Jika Anda perlu memperbarui workforce identity pool atau penyedia tenaga kerja, lihat Mengelola penyedia workforce identity pool untuk mengetahui informasi tentang cara memperbarui konfigurasi.

Bagian Pengelolaan kunci di Membuat penyedia workforce pool SAML menjelaskan cara mengupdate kunci penandatanganan IdP, lalu mengupdate konfigurasi penyedia workforce dengan file XML metadata aplikasi terbaru.

Konsol

Untuk memperbarui workforce pool tertentu:

  1. Buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Pada tabel, pilih pool.

  3. Perbarui parameter pool.

  4. Klik Simpan Pool.

Untuk memperbarui penyedia:

  1. Buka halaman Workforce Identity Pools:

    Buka Workforce Identity Pools

  2. Di tabel, pilih pool tempat Anda ingin memperbarui penyedia.

  3. Di tabel Penyedia, klik Edit.

  4. Perbarui detail penyedia.

  5. Untuk menyimpan detail penyedia yang diperbarui, klik Simpan.

gcloud

Berikut adalah contoh perintah gcloud yang memperbarui konfigurasi penyedia tenaga kerja:

gcloud iam workforce-pools providers update-saml WORKFORCE_PROVIDER_ID \
  --workforce-pool=WORKFORCE_POOL_ID \
  --location="global" \
  --display-name="WORKFORCE_PROVIDER_DISPLAY_NAME" \
  --description="WORKFORCE_PROVIDER_DESCRIPTION" \
  --idp-metadata-path=PATH_TO_METADATA_XML \
  --attribute-mapping="ATTRIBUTE_MAPPINGS"

Ganti kode berikut:

  • WORKFORCE_PROVIDER_ID: nilai yang Anda tentukan untuk ID penyedia workforce.
  • WORKFORCE_POOL_ID: nilai yang Anda tentukan untuk ID workforce identity pool.
  • WORKFORCE_PROVIDER_DISPLAY_NAME: nama yang mudah digunakan untuk penyedia workforce. Nilai harus kurang dari 32 karakter.
  • WORKFORCE_PROVIDER_DESCRIPTION: deskripsi penyedia workforce.
  • PATH_TO_METADATA_XML: lokasi file XML metadata aplikasi yang diperbarui, misalnya: /path/to/sso_metadata_updated.xml.
  • ATTRIBUTE_MAPPINGS: atribut pernyataan yang dipetakan ke atributGoogle Cloud . Contoh:

google.subject=assertion.subject,google.display_name=assertion.attributes.name[0],google.groups=assertion.attributes.memberOf

Memecahkan masalah konfigurasi

Jika Anda mengalami error selama proses ini, tinjau Memecahkan masalah workforce identity federation untuk menyelesaikan masalah umum. Jika organisasi Anda menggunakan firewall atau proxy web, pastikan daftar yang diizinkan jaringan Anda menyertakan domain autentikasi dan Workforce Identity Federation yang diperlukan, seperti domain auth.backstory.chronicle.security, iam.googleapis.com, accounts.google.com, dan accounts.google.ccTLD regional. Untuk mengetahui informasi selengkapnya, lihat Akses jaringan dan daftar domain yang diizinkan. Bagian berikut memberikan informasi tentang masalah umum yang dihadapi saat melakukan langkah-langkah dalam dokumen ini.

Jika Anda masih mengalami masalah, hubungi perwakilan Google SecOps Anda dan berikan File Log Jaringan Chrome Anda.

Perintah tidak ditemukan

Saat membuat penyedia workforce identity pool dan menentukan detail IdP, Anda akan mendapatkan error berikut:

Error: bash: --attribute-mapping=google.subject=assertion.subject,
google.display_name=assertion.attributes.name[0],
google.groups=assertion.attributes.groups: command not found

Pastikan PATH_TO_METADATA_XML adalah lokasi tempat Anda mengupload file XML metadata aplikasi SAML ke direktori utama Cloud Shell.

Pemanggil tidak memiliki izin

Saat menjalankan perintah gcloud projects add-iam-policy-binding untuk memberikan peran kepada pengguna atau grup, Anda akan mendapatkan error berikut:

ERROR: (gcloud.organizations.add-iam-policy-binding) User [ ] does not have
permission to access organizations instance [538073083963:getIamPolicy]
(or it may not exist): The caller does not have permission

Periksa apakah Anda memiliki izin yang diperlukan. Untuk informasi selengkapnya, lihat Peran yang diperlukan.

Kegagalan verifikasi: ID sesi tidak ada dalam permintaan

Saat mencoba melakukan autentikasi, Anda mendapatkan error berikut di browser:

Verification failure: missing session ID in request

Periksa apakah URL dasar ACS dan ID Entitas sudah benar. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi aplikasi IdP.

Men-debug JWT yang lebih besar dari 4 KB

Jika Anda mengalami masalah saat login ke Google SecOps, pastikan Token Web JSON (JWT) Anda tidak melebihi batas 4 KB untuk Google SecOps. Jika pengguna menerima error yang menyatakan "Authentication JWT larger than 4KB. Kurangi data keanggotaan grup yang dikirim dari IdP untuk mengatasi error ini.", ikuti langkah-langkah pemecahan masalah berikut:

  1. Debug token Anda: Anda dapat men-debug token di halaman detail penyedia di dalam Workforce Identity Federation (dengan membuka Workforce Identity Federation > Workforce Pools > [pool Anda] > [penyedia Anda] dan mengklik Debug IdP Token). Untuk menggunakan fitur ini, Anda harus menambahkan URL Google Cloud ke URL pengalihan penyedia identitas Anda terlebih dahulu. Hal ini berlaku untuk protokol SAML dan OIDC. Untuk mengetahui informasi selengkapnya, lihat Memecahkan Masalah Workforce Identity Federation.

  2. Memfilter klaim grup: Jika penyedia identitas Anda mengirimkan banyak grup yang tidak terkait dengan Google SecOps, filter klaim grup di tingkat penyedia Anda. Mengonfigurasi penyedia eksternal Anda untuk hanya mengirim kumpulan grup minimal yang diperlukan untuk Google SecOps akan mengurangi ukuran JWT dan menghindari error autentikasi.

    • Contoh (Microsoft Entra ID): Anda dapat menggunakan Microsoft Entra Group Filtering untuk hanya mengirim kumpulan minimal grup yang relevan. Di Entra Enterprise Application Anda di bagian Single sign-on, edit klaim Groups untuk menerapkan filter (misalnya, menggunakan Prefix match) sehingga hanya grup yang diperlukan yang dikirim ke Google SecOps. Untuk mengetahui informasi selengkapnya, lihat Pemfilteran Grup Microsoft Entra.

Langkah berikutnya

Setelah menyelesaikan langkah-langkah dalam dokumen ini, lakukan hal berikut:

Perlu bantuan lain? Dapatkan jawaban dari anggota Komunitas dan profesional Google SecOps.