Google Cloud -Identität konfigurieren

Unterstützt in:

Sie können Cloud Identity, Google Workspace oder einen externen Identitätsanbieter wie Okta oder Azure AD verwenden, um Nutzer, Gruppen und die Authentifizierung zu verwalten.

Auf dieser Seite wird beschrieben, wie Sie Cloud Identity oder Google Workspace verwenden.

Wenn Sie Cloud Identity oder Google Workspace verwenden, erstellen Sie verwaltete Nutzerkonten, um den Zugriff auf Ressourcen von Google Cloud und auf Google SecOps zu steuern.

Sie erstellen IAM-Richtlinien, die festlegen, welche Nutzer und Gruppen Zugriff auf Google SecOps-Funktionen haben. Diese IAM-Richtlinien werden mithilfe vordefinierter Rollen und Berechtigungen definiert, die von Google SecOps bereitgestellt werden, oder mithilfe von benutzerdefinierten Rollen, die Sie erstellen.

Im Rahmen der Verknüpfung einer Google SecOps-Instanz mit Diensten von Google Cloudkonfigurieren Sie eine Verbindung zu einem Identitätsanbieter von Google Cloud . Die Google SecOps-Instanz ist direkt in Cloud Identity oder Google Workspace eingebunden, um Nutzer zu authentifizieren und die Zugriffssteuerung basierend auf Ihren konfigurierten IAM-Richtlinien zu erzwingen.

Ausführliche Informationen zum Erstellen von Cloud Identity- oder Google Workspace-Konten finden Sie unter Identitäten für Nutzer.

Gängige Anwendungsfälle

Google SecOps erfordert die Verwendung von Cloud Identity oder Google Workspace als SSO-Broker für eine Vielzahl von Anwendungsfällen.

Strenge Sicherheitsstandards einhalten

  • Ziel: Strenge gesetzliche Vorgaben für den System- und Cloud-Zugriff erfüllen.
  • Wert: Hilft bei der Einhaltung der Compliance-Anforderungen von FedRAMP High (oder höher), indem SSO sicher vermittelt wird.

Zugriffssteuerung für Unternehmen verwalten

  • Ziel: Den Zugriff auf Funktionen und Daten zentral in der gesamten Organisation steuern.
  • Value: Ermöglicht die RBAC auf Unternehmensebene in Google SecOps mithilfe von IAM.

Programmatischen Zugriff auf die API automatisieren

  • Ziel: Self-Service-Methoden für die sichere Interaktion mit den Chronicle APIs bereitstellen.
  • Wert: Reduziert den manuellen Verwaltungsaufwand, da Kunden ihre Anmeldedaten programmatisch verwalten können.

Rolle zuweisen, um die Anmeldung in Google SecOps zu ermöglichen

In den folgenden Schritten wird beschrieben, wie Sie eine bestimmte Rolle mit IAM zuweisen, damit sich ein Nutzer in Google SecOps anmelden kann. Führen Sie die Konfiguration mit dem zuvor erstellten, an Google SecOps gebundenen Projekt Google Cloud durch.

  1. Weisen Sie Nutzern oder Gruppen, die Zugriff auf die Google Security Operations-Anwendung haben sollen, die Rolle Chronicle API Viewer (roles/chronicle.viewer) zu.

    • Im folgenden Beispiel wird einer bestimmten Gruppe die Rolle „Chronicle API Viewer“ zugewiesen:

      gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "group:GROUP_EMAIL"

      Ersetzen Sie Folgendes:

    • Führen Sie den folgenden Befehl aus, um einem bestimmten Nutzer die Rolle „Chronicle API Viewer“ zuzuweisen:

      gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "user:USER_EMAIL"

      Ersetzen Sie USER_EMAIL durch die E-Mail-Adresse des Nutzers, z. B. alice@example.com.

    • Beispiele für das Zuweisen von Rollen zu anderen Mitgliedern, z. B. einer Gruppe oder Domain, finden Sie in der Referenzdokumentation zu gcloud projects add-iam-policy-binding und Hauptkonto-IDs.

  2. Konfigurieren Sie zusätzliche IAM-Richtlinien, um die Zugriffs- und Sicherheitsanforderungen Ihrer Organisation zu erfüllen.

Nächste Schritte

Führen Sie nach Abschluss der Schritte in diesem Dokument die folgenden Schritte aus:

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten