Implementa una instancia adicional

Compatible con:

Google SecOps

Esta guía ayuda a los administradores de plataformas y a los ingenieros de seguridad a implementar instancias adicionales de Google SecOps dentro de una suscripción unificada existente. En él, se explica cómo aprovisionar y vincular instancias nuevas con el flujo de trabajo de autoservicio en la consola de Google Cloud . Si sigues este método, puedes escalar las operaciones de seguridad de múltiples usuarios en unidades de negocios, subsidiarias o clientes administrados sin esperar la asistencia manual del equipo de asistencia. La implementación exitosa optimiza el aislamiento del entorno y, al mismo tiempo, mantiene un tiempo de inactividad nulo para las instancias activas existentes.

Casos de uso habituales

En los siguientes casos de uso, se describe cómo las organizaciones implementan instancias adicionales para aislar entornos y escalar operaciones:

Aislamiento de unidades de negocios y subsidiarias

• Objetivo: Implementar instancias dedicadas para distintas unidades de negocio, subsidiarias o entornos operativos (como desarrollo, etapa de pruebas y producción) en un solo contrato.
• Valor: Aplica límites de datos estrictos y controles de acceso independientes, mientras consolidas la facturación consolidada en una sola suscripción.

Incorporación de clientes de proveedores de servicios de seguridad administrados

• Objetivo: Aprovisionar instancias de Google SecOps independientes para clientes administrados individuales con una suscripción activa de proveedor de servicios de seguridad administrados (MSSP).
• Valor: Acelera la incorporación de clientes y mantén el aislamiento de los usuarios sin derivar la asistencia de forma manual.

Terminología clave

• Instancia unificada: Es un inquilino de Google SecOps que combina las capacidades de SIEM y SOAR en un solo entorno vinculado a un proyecto de Google Cloud .
• Contrato superior: Es el acuerdo de suscripción activo de Google SecOps asociado a tu cuenta de Facturación de Cloud que rige la residencia regional, el nivel de paquete y la configuración predeterminada de retención de datos en todas las instancias vinculadas.
• Proyecto de control administrativo: Es el proyecto de Google Cloud dedicado vinculado a una instancia individual de Google SecOps que controla los permisos (IAM), las APIs y la configuración de recursos de ese inquilino.

Antes de comenzar

Antes de comenzar, confirma que tienes los permisos y la configuración del entorno necesarios:

• Permisos: Debes tener los siguientes roles:
  • Permisos de la cuenta de facturación: Necesitas el permiso billing.resourceAssociations.list o el rol de usuario de cuentas de facturación (roles/billing.user) en la cuenta de Facturación de Cloud asociada con tu contrato de Google SecOps.
  • Permisos del proyecto de destino: En el proyecto de destino Google Cloud que aloja la instancia nueva, necesitas los siguientes roles:
  • Administrador de IAM de proyecto (roles/resourcemanager.projectIamAdmin)
  • Editor (roles/editor)
  • Administrador de Service Usage (roles/serviceusage.serviceUsageAdmin)
  • Administrador del servicio de Chronicle (roles/chroniclesm.admin)
  • Permisos de configuración del proveedor de identidad: Si usas un proveedor de identidad (IdP) de terceros, necesitas el rol de Administrador de grupos de trabajadores de IAM (roles/iam.workforcePoolAdmin) a nivel de la organización.
• Verificación del entorno: Debes vincular cada instancia de Google SecOps a un proyecto de Google Cloud dedicado que use la misma cuenta de Facturación de Cloud que tu contrato de suscripción a Google SecOps. Para obtener más información, consulta Vincula una instancia a Google Cloud.

Limitaciones

El aprovisionamiento de instancias adicionales de autoservicio está sujeto a las siguientes restricciones de compatibilidad:

• Al menos una instancia activa: Tu organización debe tener al menos una instancia de Google SecOps existente que ya esté incorporada y activa en tu contrato de suscripción. El aprovisionamiento de autoservicio se inhabilita si no existe una instancia activa.
• Límite máximo de instancias: El aprovisionamiento de autoservicio solo está disponible cuando la cantidad total de instancias vinculadas a tu cuenta de Facturación de Cloud y al contrato de suscripción es inferior a 25. Si se vinculan 25 o más instancias, el botón Agregar instancia permanecerá inhabilitado.
• Suscripción activa: Tu contrato de suscripción a Google SecOps debe estar activo y ser válido. No puedes aprovisionar instancias adicionales si tu suscripción venció o se suspendió.
• Nivel Standard, Enterprise o Enterprise Plus: La suscripción debe ser un registro activo para uno de los paquetes de Google SecOps admitidos.
• Solo instancias unificadas: Todas las instancias existentes en tu contrato deben ser instancias unificadas. El aprovisionamiento de autoservicio no se admite si alguna instancia existente en el acuerdo es solo de SIEM.
• Solo instancias que no cumplen con los requisitos: El aprovisionamiento de autoservicio solo está disponible para entornos comerciales estándar. Si alguna instancia existente en tu contrato está configurada con controles de cumplimiento o requisitos soberanos (por ejemplo, FedRAMP, IL4, IL5, IL6, CMEK o DRZ_Advanced), el aprovisionamiento de autoservicio está inhabilitado. En el caso de los entornos controlados por el cumplimiento, comunícate con tu representante de Google o con el equipo de asistencia de Google SecOps para que el equipo de ingeniería de cumplimiento realice el aprovisionamiento manual.
• Alineación de la residencia de los datos: Todas las instancias adicionales residen en la misma región geográfica (por ejemplo, us o europe) que la instancia inicial. La selección de la región está bloqueada para que coincida con tu contrato superior y no se puede cambiar.
• Herencia de retención de datos: Las instancias adicionales heredan automáticamente la duración de la retención de datos contractual de tu acuerdo de suscripción superior.

Prepara un proyecto de Google Cloud

Prepara el proyecto de Google Cloud dedicado que actúa como la capa de control administrativo para la instancia nueva:

1. Crea o selecciona un proyecto dedicado: Te recomendamos crear un proyecto de Google Cloud nuevo y dedicado para cada instancia nueva. Sigue los pasos en Crea un proyecto.
2. Verifica la asociación de la cuenta de facturación: El proyecto de Google Cloud debe usar exactamente la misma cuenta de Facturación de Cloud que tu contrato de suscripción a Google SecOps.
3. Verifica la disponibilidad del proyecto: El proyecto de Google Cloud no debe estar vinculado a otra instancia de Google SecOps. Cada proyecto puede alojar solo una instancia.

4. Configura los Controles del servicio de VPC (opcional): Si tu organización usa los Controles del servicio de VPC, configura las reglas de entrada y salida que se documentan en Configura los Controles del servicio de VPC para Google SecOps.

   Nota: Si el proyecto usa una cuenta de Facturación de Cloud diferente o ya está vinculado a una instancia existente, la selección del proyecto fallará durante la configuración. Verifica la asociación de facturación en la página Facturación antes de iniciar la implementación.

Implementa una instancia adicional

Para implementar una instancia adicional de Google SecOps con la consola deGoogle Cloud , completa los procedimientos que se indican en las siguientes secciones:

1. Abre la página de Google SecOps
2. Selecciona el proyecto de destino
3. Agrega contactos esenciales
4. Revisa los detalles de la implementación y configura el inicio de sesión único
5. Inicia la configuración de la instancia

Abre la página de Google SecOps

Abre la página Google SecOps en la consola de Google Cloud para iniciar la implementación:

1. En la consola de Google Cloud , ve a la página Google SecOps.
2. En la tabla Instancias, se enumeran todas las instancias de Google SecOps existentes asociadas con tu cuenta de facturación.

3. Haz clic en Agregar instancia.

   Nota: Si el botón Agregar instancia no está disponible o está inhabilitado, tu cuenta no tiene permisos de facturación, no tiene una instancia inicial incorporada, tiene 25 o más instancias vinculadas a la cuenta de facturación y al contrato, o pertenece a una suscripción controlada por el cumplimiento. Revisa la sección Limitaciones y verifica los roles de tu cuenta de facturación antes de volver a intentarlo.

Selecciona el proyecto de destino

Vincula el proyecto de Google Cloud preparado a tu nueva instancia de Google SecOps:

1. En la página Vincula SecOps a un proyecto, haz clic en Seleccionar un proyecto para abrir el diálogo Seleccionar un recurso.
2. Selecciona tu Organización en la lista desplegable.
3. En la lista Proyectos y carpetas, selecciona el proyecto de Google Cloud que preparaste para esta instancia.

4. Haz clic en el nombre del proyecto de Google Cloud elegible para seleccionarlo.

   Nota: Google Cloud Los proyectos que no se pueden seleccionar muestran un ícono de advertencia warning. Mantén el puntero sobre el ícono de advertencia para ver la restricción específica (por ejemplo, falta de coincidencia de la cuenta de facturación, permisos insuficientes o una asociación de instancias de Google SecOps existente) y selecciona un proyecto que cumpla con los requisitos.

Agrega contactos esenciales

Asigna contactos para que reciban notificaciones críticas sobre temas técnicos, de seguridad, legales y de facturación:

1. En la tabla Contactos esenciales, haz clic en Agregar contacto (o haz clic en el ícono de edición junto a una categoría existente).
2. Ingresa la dirección de correo electrónico de la persona de contacto.
3. Selecciona una o más categorías de notificaciones. Debes asignar al menos un contacto para cada una de las categorías obligatorias:
   • Beneficios técnicos
   • Seguridad
   • Legal
   • Facturación
4. Haz clic en Guardar.

5. Después de asignar contactos a todas las categorías obligatorias, haz clic en Siguiente para abrir la página Implementación.

   Nota: Si alguna categoría de contacto obligatoria permanece sin asignar, el botón Siguiente permanecerá inhabilitado. Asigna al menos una dirección de correo electrónico válida a cada categoría para continuar.

Revisa los detalles de la implementación y configura el inicio de sesión único

Revisa la configuración del contrato heredado y configura la autenticación de usuarios para la instancia nueva:

1. Revisa los detalles de la implementación: Verifica la configuración de implementación completada previamente:

   • Región: Muestra la ubicación geográfica de residencia. La región está bloqueada para que coincida con tu contrato superior y no se puede cambiar.
   • Nivel del paquete: Muestra el nivel del paquete de Google SecOps heredado de tu suscripción.
   • Duración de la retención de datos: Muestra la duración de la retención heredada de tu suscripción.

   Haz clic en Siguiente.

2. Revisa la cuenta de servicio: Confirma los detalles de la cuenta de servicio que creó el sistema para las operaciones de la instancia y, luego, haz clic en Siguiente.

3. Configura el inicio de sesión único (SSO): Selecciona el proveedor de identidad que se usa para administrar la autenticación de usuarios y los controles de acceso:

   • Google Cloud Identity: Selecciona esta opción si usas Cloud Identity o Google Workspace. Para obtener más información, consulta Configura un proveedor de identidad de Google Cloud .
   • Federación de identidades de personal: Selecciona esta opción si usas un proveedor de identidad de terceros (como Okta o Microsoft Entra ID). Para obtener más detalles, consulta Configura un proveedor de identidad de terceros.

   Haz clic en Siguiente.

4. Acepta las Condiciones del Servicio: Lee las Condiciones del Servicio y selecciona la casilla de verificación de aceptación.

   Nota: Verifica que la configuración del proveedor de identidad que elegiste esté activa antes de completar la configuración. Los grupos de identidades de personal mal configurados impiden que los usuarios accedan después de que se completa la implementación.

Inicia la configuración de la instancia

Inicia la canalización de aprovisionamiento automatizado para implementar tu instancia:

1. Haz clic en Iniciar la configuración para iniciar la implementación.
2. La canalización de aprovisionamiento automatizada vincula el proyecto de Google Cloud con tu contrato, configura el almacenamiento de datos, establece la infraestructura de servicios y activa tu instancia.

3. Cuando se completa la implementación, la instancia nueva aparece en la tabla Instancias con el estado Activa. Después de iniciar la configuración, la instancia nueva puede tardar entre 30 minutos y 1 hora en aparecer en la tabla Instancias.

   Nota: Si la implementación falla, verifica que la API de Chronicle esté habilitada en tu proyecto de Google Cloud objetivo. Si el problema persiste, comunícate con tu representante de Google o con el equipo de asistencia de Google SecOps.

Ejemplos e información de referencia

Usa los comandos y vínculos de referencia de esta sección para preparar tu proyecto de destino con Google Cloud CLI (CLI de gcloud) y completar las tareas posteriores a la implementación.

Habilita la API de Chronicle con Google Cloud CLI

Ejecuta el siguiente comando de la CLI de gcloud para habilitar la API de Chronicle en tu proyecto de Google Cloud antes de iniciar la implementación:

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

Reemplaza PROJECT_ID por el ID del proyecto de Google Cloud dedicado.

Otorga roles de IAM a nivel de proyecto con Google Cloud CLI

Ejecuta los siguientes comandos de la CLI de gcloud para otorgar los roles necesarios a nivel del proyecto al administrador que realiza la implementación:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

Reemplaza PROJECT_ID por el ID del proyecto dedicado y ADMIN_EMAIL por la dirección de correo electrónico del administrador.

Documentación relacionada

Después de implementar la instancia nueva, completa las siguientes tareas de configuración:

• Configura el control de acceso a las funciones con la IAM.
• Configura el RBAC de datos para los usuarios.
• Accede a tu instancia nueva.

Soluciona problemas

En esta sección, se describen las expectativas de rendimiento y se proporcionan correcciones de autoservicio para problemas de implementación comunes.

Latencia y límites

El aprovisionamiento de una instancia adicional de Google SecOps suele tardar entre 30 minutos y 1 hora para que se complete la asignación de infraestructura, la vinculación de almacenamiento y la activación del usuario, y para que la instancia nueva aparezca en la tabla Instancias después de activar el aprovisionamiento. Durante el aprovisionamiento, las instancias activas existentes en tu contrato siguen funcionando sin tiempo de inactividad ni bloqueos de sesión. Evita actualizar la página de configuración o enviar solicitudes de configuración duplicadas durante este período.

Corrección de errores

Usa la siguiente tabla para diagnosticar y resolver problemas durante el aprovisionamiento de instancias:

Problema	Descripción	Corregir
Se inhabilitó el botón Agregar instancia	El botón Agregar instancia de la página Google SecOps no está disponible.	Verifica que la suscripción de tu contrato esté activa, que ya se haya incorporado al menos una instancia inicial, que haya menos de 25 instancias vinculadas a tu cuenta de facturación y contrato, que tu cuenta tenga el rol roles/billing.user y que tu suscripción no esté controlada por el cumplimiento.
La configuración de la suscripción no es válida o venció	En la página de configuración, se muestra el mensaje de advertencia "La configuración de la suscripción no es válida o venció" y se inhabilitan las interacciones de la página.	Verifica que tu contrato de suscripción a Google SecOps esté activo y no haya vencido ni se haya suspendido. Si tu token de incorporación de contrato (válido por 30 días) venció, comunícate con tu representante de Google o con el equipo de asistencia de Google SecOps.
Ícono de advertencia warning de selección de proyecto	Aparece un ícono de advertencia warning junto a un proyecto de Google Cloud en el cuadro de diálogo Selecciona un recurso.	Mantén el cursor sobre el ícono de advertencia warning para ver la restricción. Verifica que el proyecto use exactamente la misma cuenta de Facturación de Cloud que tu contrato de suscripción y que no esté vinculado a otra instancia.
Botón Siguiente inhabilitado en la página Contactos esenciales	No puedes pasar de la página Contactos esenciales a la página Implementación.	Asigna al menos una dirección de correo electrónico de contacto válida a cada una de las categorías de notificación obligatorias: Técnica, Seguridad, Legal y Facturación.
Error en la configuración de la Deployment	El aprovisionamiento falla después de hacer clic en Iniciar configuración.	Verifica que chronicle.googleapis.com esté habilitada en el proyecto de destino Google Cloud y que tu cuenta tenga los roles roles/chroniclesm.admin y roles/serviceusage.serviceUsageAdmin.

Validación y prueba

Para verificar que tu instancia adicional se haya implementado correctamente, haz lo siguiente:

1. En la consola de Google Cloud , ve a la página Google SecOps.
2. En la tabla Instancias, confirma que la instancia nueva muestre un estado Activo.
3. Selecciona el proyecto de Google Cloud de destino que aloja la instancia nueva y, luego, haz clic en el vínculo de la instancia para abrir la interfaz web de Google SecOps y acceder con tu proveedor de identidad configurado.

¿Necesitas más ayuda? Obtén respuestas de miembros de la comunidad y profesionales de Google SecOps.