הגדרת Google Cloud זהות

נתמך ב:

אתם יכולים להשתמש ב-Cloud Identity, ב-Google Workspace או בספק זהויות של צד שלישי (כמו Okta או Azure AD) כדי לנהל משתמשים, קבוצות ואימות.

בדף הזה מוסבר איך להשתמש ב-Cloud Identity או ב-Google Workspace.

כשמשתמשים ב-Cloud Identity או ב-Google Workspace, יוצרים חשבונות משתמשים מנוהלים כדי לשלוט בגישה למשאבי Google Cloud ול-Google SecOps.

אתם יוצרים כללי מדיניות IAM שמגדירים לאילו משתמשים וקבוצות יש גישה לתכונות של Google SecOps. כללי המדיניות האלה ב-IAM מוגדרים באמצעות תפקידים והרשאות מוגדרים מראש ש-Google SecOps מספק, או באמצעות תפקידים בהתאמה אישית שאתם יוצרים.

כחלק מהקישור של מכונה של Google SecOps לשירותי Google Cloud, צריך להגדיר חיבור לספק זהויות (IdP) של Google Cloud . מכונה של Google SecOps משתלבת ישירות עם Cloud Identity או Google Workspace כדי לאמת משתמשים ולאכוף בקרת גישה על סמך כללי מדיניות ה-IAM שהגדרתם.

במאמר זהויות של משתמשים מוסבר בפירוט איך יוצרים חשבונות Cloud Identity או Google Workspace.

תרחישים נפוצים לדוגמה

כדי להשתמש ב-Google SecOps, צריך להשתמש ב-Cloud Identity או ב-Google Workspace בתור מתווך ה-SSO במגוון תרחישים לדוגמה.

עמידה בתקני אבטחה מחמירים

  • המטרה: עמידה בתקנים רגולטוריים מחמירים בנוגע לגישה למערכת ולענן.
  • ערך: עוזר לעמוד בדרישות התאימות של FedRAMP High (או גבוהות יותר) באמצעות תיווך מאובטח של SSO.

ניהול בקרת הגישה ברמה הארגונית

  • המטרה: שליטה מרכזית בגישה לתכונות ולנתונים בכל הארגון.
  • ערך: מאפשר להשתמש ב-IAM כדי להגדיר בקרת גישה מבוססת-תפקידים (RBAC) ברמת הארגון ב-Google SecOps.

אוטומציה של גישה פרוגרמטית ל-API

  • מטרה: לספק שיטות בשירות עצמי לאינטראקציה מאובטחת עם ממשקי ה-API של Chronicle.
  • הערך: הלקוחות יכולים לנהל את פרטי הכניסה שלהם באופן פרוגרמטי, וכך להפחית את התקורה האדמיניסטרטיבית הידנית.

הקצאת תפקיד שמאפשר כניסה ל-Google SecOps

כדי שמשתמש יוכל להיכנס ל-Google SecOps, צריך להקצות לו תפקיד ספציפי באמצעות IAM. כך עושים את זה: מבצעים את ההגדרה באמצעות הפרויקט שמקושר ל-Google SecOps Google Cloud שיצרתם קודם.

  1. מקצים את התפקיד צפייה ב-Chronicle API‏ (roles/chronicle.viewer) למשתמשים או לקבוצות שצריכים גישה לאפליקציית Google Security Operations.

    • בדוגמה הבאה, התפקיד "צפייה ב-Chronicle API" מוקצה לקבוצה ספציפית:

      gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "group:GROUP_EMAIL"

      מחליפים את מה שכתוב בשדות הבאים:

    • כדי להקצות את התפקיד "צפייה ב-Chronicle API" למשתמש ספציפי, מריצים את הפקודה הבאה:

      gcloud projects add-iam-policy-binding PROJECT_ID \
  --role roles/chronicle.viewer \
  --member "user:USER_EMAIL"

      מחליפים את USER_EMAIL בכתובת האימייל של המשתמש, למשל alice@example.com.

    • דוגמאות להקצאת תפקידים לחברים אחרים, כמו קבוצה או דומיין, מופיעות במאמרי העזרה gcloud projects add-iam-policy-binding ומזהי חשבונות משתמשים.

  2. להגדיר כללי מדיניות נוספים של IAM כדי לעמוד בדרישות הגישה והאבטחה של הארגון.

המאמרים הבאים

אחרי שמשלימים את השלבים שבמסמך הזה, מבצעים את הפעולות הבאות:

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.