Associer une instance à Google Cloud

Compatible avec :

Ce document explique comment associer une instance Google SecOps à un nouvel abonnement.

Scénarios d'activation d'abonnement

Ce document s'applique aux scénarios d'activation d'abonnement suivants :

Pour les nouveaux clients :

  • Pour provisionner une nouvelle instance Google SecOps pour la première fois.
  • Pour conserver les données de votre démonstration de faisabilité (POC) récemment terminée.

Pour les clients existants :

  • Pour activer les renouvellements d'abonnement et les avenants contractuels pour les instances Google SecOps existantes.

Scénarios d'association d'abonnement non traités dans ce document

Les scénarios d'association d'instances suivants nécessitent des actions différentes qui ne sont pas décrites dans ce document :

  • Associer une instance de fournisseur de services de sécurité gérés (MSSP) :

    Pour associer l'instance Google SecOps initiale d'un fournisseur de services de sécurité gérés (MSSP), contactez votre représentant Google (ou, s'il n'est pas disponible, l'assistance Google SecOps) pour obtenir de l'aide concernant la configuration. Si votre abonnement MSSP est déjà actif et associé, vous pouvez déployer des instances supplémentaires à l'aide du flux en libre-service dans la console Google Cloud. Pour en savoir plus, consultez Déployer une instance supplémentaire.

  • Locataires (instances) contrôlés par la conformité :

    • Un locataire (instance) contrôlé par la conformité est conforme à l'une des normes de contrôle de conformité suivantes : FedRAMP, FedRAMP_MODERATE, HIPAA, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1 ou DRZ_ADVANCED.

    • Pour un locataire (instance) contrôlé par la conformité, contactez votre représentant Google (ou, s'il n'est pas disponible, contactez l'assistance Google SecOps). Ils fournissent une invitation distincte qui suit un workflow différent pour les locataires contrôlés par la conformité.

      Dans le workflow contrôlé par la conformité, notez les points suivants :

      • Vous devez localiser un locataire (instance) contrôlé par la conformité dans un projet au sein d'un dossier Assured Workloads. Pour en savoir plus, consultez Fédération des identités des employés.

      • Lorsque vous sélectionnez un projet Google Cloud pour héberger un locataire soumis à des contrôles de conformité :

        1. Sélectionnez un dossier Assured Workloads pour l'ouvrir.
        2. Dans le dossier Assured Workloads, cliquez sur le nom d'un projetGoogle Cloud .
        3. Terminez la configuration comme décrit dans Configurer l'IdP.

  • Migrer une instance Google SecOps hors POC d'un projet Google Cloud vers un projet BYOP (Bring Your Own Project) Google Cloud

    Vous pouvez migrer votre instance Google SecOps (et ses données) d'un projet Google Cloud vers un projet BYOP (Bring Your Own Project) Google Cloud . Pour en savoir plus, consultez Migrer un projet non POC vers un BYOP.

  • Migrer une ancienne instance Google SecOps :

    Vous pouvez migrer une ancienne instance Google SecOps existante vers Google Cloud si elle remplit l'une des conditions suivantes :

    • Il n'est pas déployé dans votre projet Google Cloud .
    • N'utilise pas l'authentification Google Cloud (fédération d'identité de personnel/Cloud Identity).
    • N'utilise pas Google Cloud Identity and Access Management (IAM) pour le contrôle des accès basé sur les rôles (RBAC).

    Pour migrer une telle instance Google SecOps existante, suivez les étapes du guide Migrer l'ancienne infrastructure SIEM vers Google Cloud.

Avant de commencer

Avant de pouvoir utiliser une instance Google SecOps avec les services Google Cloud, vous devez effectuer les opérations suivantes :

  • Vérifiez les autorisations. Assurez-vous de disposer des autorisations nécessaires pour suivre les étapes de ce document. Pour en savoir plus sur les autorisations requises pour chaque phase du processus d'intégration, consultez Rôles et autorisations requis.

Avant de pouvoir créer une instance Google SecOps avec les services Google Cloud, vous devez effectuer les opérations suivantes :

  • Choisissez un projet Google Cloud  : vous pouvez créer un projet Google Cloudpour votre instance Google SecOps ou l'associer à un projet Google Cloud existant.

    Pour créer un projet Google Cloud et activer l'API Chronicle, suivez les étapes de la section Configurer un projet Google Cloud pour Google SecOps.

  • Planifiez la configuration de votre fournisseur d'identité (IdP) pour l'instance Google SecOps :

    Votre instance Google SecOps utilise l'authentification unique (SSO) et des fournisseurs d'identité (IdP) pour authentifier les utilisateurs et appliquer des contrôles d'accès sécurisés. Configurez l'un des éléments suivants pour gérer les utilisateurs, les groupes et l'authentification pour votre instance Google SecOps : Cloud Identity, Google Workspace ou un fournisseur d'identité tiers (tel qu'Okta ou Azure AD) :

  • Configurez des règles pour VPC Service Controls :

    Si votre organisation utilise VPC Service Controls, vous devez configurer les règles d'entrée et de sortie appropriées, qui sont documentées dans Configurer VPC Service Controls pour Google SecOps.

  • Configurer les règles de liste d'autorisation du pare-feu et du proxy :

    Si votre organisation utilise des pare-feu ou des proxys Web, autorisez les connexions HTTPS et WebSocket Secure (WSS) sortantes sur le port TCP 443 vers les domaines requis. Pour en savoir plus, consultez Accès réseau et liste d'autorisation de domaines.

Associer une instance Google SecOps à un nouvel abonnement

Une fois que votre organisation a signé le nouveau contrat d'abonnement Google SecOps, Google envoie un e-mail d'activation de l'abonnement à l'expert en intégration de votre organisation (votre contact technique) à la date de début de l'abonnement. Cet e-mail contient des instructions pour activer l'abonnement et un lien d'activation à usage unique, valable pendant 60 jours.

Pour associer votre instance Google SecOps à un nouvel abonnement, procédez comme suit :

  1. Activer l'abonnement
  2. Sélectionnez le projet Google Cloud
  3. Ajouter des contacts essentiels
  4. Vérifier les détails du déploiement
  5. Démarrer la configuration de l'instance

Activer l'abonnement

Terminez l'activation de l'abonnement Google SecOps :

  1. Lisez les instructions d'activation dans l'e-mail d'activation.

  2. Cliquez sur le lien Activer votre abonnement pour ouvrir la page Activation de Google Security Operations.

  3. La page d'activation affiche les droits d'accès de votre abonnement.

    Lisez et vérifiez les détails de vos droits d'abonnement et l'ID de votre compte de facturation.

    • Si toutes les informations sont correctes, cochez la case J'ai lu et j'accepte les informations, et je souhaite procéder à l'activation. Notez l'ID du compte de facturation pour l'utiliser lors des étapes suivantes.
    • Pour modifier les détails d'un droit d'accès, contactez votre représentant Google (ou, s'il n'est pas disponible, contactez l'assistance Google SecOps).

  4. Dans la section Créer une instance SecOps ou commencer avec une instance existante, associez votre nouvel abonnement à une instance existante ou créez-en une en fonction de vos besoins d'activation :

    • Pour créer une instance Google SecOps pour un nouvel abonnement :

      Sélectionnez Créer une instance pour ouvrir la page Associer SecOps à un projet.

    • Pour renouveler un abonnement Google SecOps existant ou appliquer un avenant à un abonnement :

      1. Sélectionnez Instance existante.

        Le système affiche la liste des instances Google SecOps existantes associées au compte de facturation. Après l'activation, le système applique les nouveaux droits d'abonnement à toutes ces instances associées.

      2. Vérifiez que la liste des instances est correcte.

        Si des instances sont manquantes dans la liste, effectuez l'une des opérations suivantes :

        • Vérifiez que les comptes de facturation des projets Google Cloud hébergeant les instances manquantes correspondent au compte de facturation du nouvel abonnement. Si ce n'est pas le cas, modifiez les comptes de facturation des projets Google Cloud pour qu'ils correspondent au compte de facturation du nouvel abonnement.
        • Contactez votre représentant Google (ou, s'il n'est pas disponible, contactez l'assistance Google SecOps).

      3. (Facultatif) Si vous souhaitez créer une autre instance Google SecOps en même temps que vous activez l'abonnement, cochez la case Je souhaite créer une instance....

      4. Cliquez sur Activer l'abonnement.

        Le système applique les nouveaux droits d'abonnement à toutes les instances associées à ce compte de facturation.

  1. Sur la page Associer SecOps à un projet, cliquez sur Sélectionner un projet pour ouvrir la page Sélectionner une ressource.

  2. Sur la page Sélectionner une ressource, sélectionnez votre organisation dans la liste.

  3. Facultatif : Nous vous recommandons de créer un projet Google Cloud dédié pour chaque instance Google SecOps.

    Cliquez sur Nouveau projet pour créer un projet Google Cloud pour votre instance, puis suivez les étapes de la section Configurer un projet Google Cloud pour Google SecOps.

  4. Sélectionnez un projet Google Cloud dans la liste Projets et dossiers comme suit :

    • Critères de sélection des projets :

      • Vous ne pouvez pas sélectionner un projet ou un dossier à côté duquel se trouve une icône d' avertissement  . Pour en connaître la raison, pointez sur l'icône (par exemple, autorisations manquantes ou compte de facturation non concordant).

        • Le projet doit utiliser le même compte de facturation que l'instance Google SecOps.

        • Vous ne pouvez associer le projet Google Cloud qu'à une seule instance Google SecOps.

        • Vous devez disposer des autorisations IAM requises pour accéder au projet et l'utiliser. Consultez Autorisations pour ajouter un projet Google Cloud .

    • Sélectionnez un projet Google Cloud  :

      • Cliquez sur le nom du projet Google Cloud .

      • Après avoir sélectionné un projet, si vous souhaitez en sélectionner un autre, procédez comme suit : sur la page Associer SecOps à un projet, cliquez sur le projet pour ouvrir la page Sélectionner une ressource, puis sélectionnez un autre projet.

Ajouter des contacts essentiels

Ajoutez des contacts pour recevoir les notifications critiques concernant les problèmes techniques, de sécurité, juridiques et de facturation.

Une fois que vous avez sélectionné un projet, le tableau Contacts essentiels s'affiche. Ce tableau affiche les catégories de notifications et les adresses e-mail que vous avez définies comme contacts. Vous devez attribuer un contact à au moins ces quatre catégories obligatoires : technique, sécurité, juridique et facturation.

Pour attribuer un contact à une catégorie de notification, procédez comme suit :

  1. Pour ouvrir la fenêtre Modifier le contact, cliquez sur Ajouter un contact ou sur edit Modifier dans une catégorie de notification qui comporte un contact existant.

  2. Saisissez l'adresse e-mail de la personne à contacter, puis sélectionnez une ou plusieurs catégories de notification.

  3. Cliquez sur Enregistrer.

    Répétez les étapes pour la catégorie de notification suivante.

  4. Après avoir attribué les contacts, cliquez sur Suivant pour associer votre instance Google SecOps au projet sélectionné, puis ouvrez la page Déploiement.

Vérifier les détails du déploiement

La page Déploiement affiche les détails finaux que vous devez examiner avant de procéder au déploiement.

Validez les détails de chaque section préremplie :

  1. Détails du déploiement

    Cette section affiche les détails de l'instance définis par votre contrat, par exemple l'entreprise, la région, le niveau du package et la durée de conservation des données.

    • Pour afficher les informations sur l'instance, accédez àhttps://console.cloud.google.com/security/chronicle/settings.

    • Pour mettre à jour des informations, contactez votre représentant Google (ou, s'il n'est pas disponible, contactez l'assistance Google SecOps).

    Cliquez sur Suivant pour passer à la section suivante.

  2. Examiner le compte de service

    Examinez les détails du compte de service créé par le système. Cliquez sur Suivant pour passer à la section suivante.

  3. Configurer l'authentification unique (SSO)

    Choisissez l'une des options de fournisseur SSO suivantes en fonction du fournisseur d'identité que vous utilisez pour gérer l'accès des utilisateurs et des groupes à Google SecOps :

    • Google Cloud Identity : pour utiliser Cloud Identity ou Google Workspace.

    • Fédération des identités des employés : votre fournisseur d'identité tiers.

      Si votre fournisseur d'identité ne figure pas dans la liste, configurez-le, puis sélectionnez-le dans la liste. Pour en savoir plus, consultez Configurer un fournisseur d'identité tiers.

      Cliquez sur Suivant pour passer à la section suivante.

  4. Conditions d'utilisation

    Cochez la case J'accepte… pour accepter les conditions.

Démarrer la configuration de l'instance

Cliquez sur Démarrer la configuration pour configurer votre instance Google SecOps en fonction des détails affichés.

Le système vérifie si l'API Chronicle est activée. Si l'API est activée, elle exécute le processus de déploiement, qui peut prendre jusqu'à 30 minutes.

  • Une fois le déploiement terminé, le système vous envoie une notification.
  • Si le déploiement échoue, contactez votre représentant Google (ou, s'il n'est pas disponible, l'assistance Google SecOps).

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.