Configurer l'identité Google Cloud

Compatible avec :

Vous pouvez utiliser Cloud Identity, Google Workspace ou un fournisseur d'identité tiers (tel qu'Okta ou Azure AD) pour gérer les utilisateurs, les groupes et l'authentification.

Cette page explique comment utiliser Cloud Identity ou Google Workspace.

Lorsque vous utilisez Cloud Identity ou Google Workspace, vous créez des comptes utilisateur gérés pour contrôler l'accès aux ressources Google Cloud et à Google SecOps.

Vous créez des stratégies IAM qui définissent les utilisateurs et les groupes ayant accès aux fonctionnalités Google SecOps. Ces stratégies IAM sont définies à l'aide de rôles prédéfinis et d'autorisations fournis par Google SecOps ou de rôles personnalisés que vous créez.

Lorsque vous associez une instance Google SecOps aux services Google Cloud, configurez une connexion à un IdP Google Cloud . L'instance Google SecOps s'intègre directement à Cloud Identity ou Google Workspace pour authentifier les utilisateurs et appliquer le contrôle des accès en fonction des stratégies IAM que vous avez configurées.

Consultez Identités pour les utilisateurs pour en savoir plus sur la création de comptes Cloud Identity ou Google Workspace.

Cas d'utilisation courants

Google SecOps nécessite l'utilisation de Cloud Identity ou de Google Workspace comme agent SSO pour divers cas d'utilisation.

Respecter des normes de sécurité strictes

  • Objectif : respecter des normes réglementaires strictes pour l'accès au système et au cloud.
  • Valeur : aide à respecter les exigences de conformité FedRAMP High (ou supérieures) en gérant l'authentification unique de manière sécurisée.

Gérer le contrôle des accès pour les entreprises

  • Objectif : contrôler l'accès aux fonctionnalités et aux données de manière centralisée dans l'ensemble de l'organisation.
  • Valeur : active le RBAC au niveau de l'entreprise dans Google SecOps à l'aide d'IAM.

Automatiser l'accès programmatique à l'API

  • Objectif : fournir des méthodes en libre-service pour interagir de manière sécurisée avec les API Chronicle.
  • Avantage : réduit les frais administratifs manuels en permettant aux clients de gérer leurs identifiants de manière programmatique.

Attribuer un rôle pour permettre la connexion à Google SecOps

Les étapes suivantes décrivent comment accorder un rôle spécifique à l'aide d'IAM afin qu'un utilisateur puisse se connecter à Google SecOps. Effectuez la configuration à l'aide du projet Google Cloud lié à Google SecOps que vous avez créé précédemment.

  1. Attribuez le rôle Lecteur de l'API Chronicle (roles/chronicle.viewer) aux utilisateurs ou aux groupes qui doivent avoir accès à l'application Google Security Operations.

    • L'exemple suivant attribue le rôle de lecteur de l'API Chronicle à un groupe spécifique :

      gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "group:GROUP_EMAIL"

      Remplacez les éléments suivants :

    • Pour attribuer le rôle de lecteur de l'API Chronicle à un utilisateur spécifique, exécutez la commande suivante :

      gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "user:USER_EMAIL"

      Remplacez USER_EMAIL par l'adresse e-mail de l'utilisateur, par exemple alice@example.com.

    • Pour obtenir des exemples d'attribution de rôles à d'autres membres, tels qu'un groupe ou un domaine, consultez la documentation de référence sur gcloud projects add-iam-policy-binding et les identifiants de comptes principaux.

  2. Configurez des stratégies IAM supplémentaires pour répondre aux exigences d'accès et de sécurité de votre organisation.

Étapes suivantes

Après avoir suivi les étapes de ce document, procédez comme suit :

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.