Déployer une instance supplémentaire

Compatible avec :

Google SecOps

Ce guide aide les administrateurs de plate-forme et les ingénieurs en sécurité à déployer des instances Google SecOps supplémentaires dans un abonnement unifié existant. Il explique comment provisionner et associer de nouvelles instances à l'aide du workflow en libre-service dans la console Google Cloud . En suivant cette méthode, vous pouvez faire évoluer les opérations de sécurité mutualisées dans les unités commerciales, les filiales ou les clients gérés sans attendre l'assistance manuelle. Un déploiement réussi simplifie l'isolation de l'environnement tout en maintenant un temps d'arrêt nul pour les instances actives existantes.

Cas d'utilisation courants

Les cas d'utilisation suivants décrivent comment les organisations déploient des instances supplémentaires pour isoler les environnements et faire évoluer les opérations :

Isolation des unités commerciales et des filiales

• Objectif : déployer des instances dédiées pour des unités commerciales, des filiales ou des environnements opérationnels distincts (tels que le développement, la préproduction et la production) dans le cadre d'un seul contrat.
• Valeur : appliquez des limites de données strictes et des contrôles d'accès indépendants tout en consolidant la facturation sous un seul abonnement.

Intégration des clients des fournisseurs de services de sécurité gérés

• Objectif : provisionner des instances Google SecOps distinctes pour chaque client géré dans le cadre d'un abonnement actif à un fournisseur de services de sécurité gérés (MSSP).
• Valeur : accélérez l'intégration des clients et maintenez l'isolation des locataires sans escalade manuelle de l'assistance.

Terminologie clé

• Instance unifiée : locataire Google SecOps qui combine les fonctionnalités SIEM et SOAR dans un seul environnement associé à un projet Google Cloud .
• Contrat parent : contrat d'abonnement Google SecOps actif associé à votre compte de facturation Cloud qui régit la résidence régionale, le niveau de package et les paramètres de conservation des données par défaut pour toutes les instances associées.
• Projet de contrôle administratif : projet Google Cloud dédié associé à une instance Google SecOps individuelle qui contrôle les autorisations (IAM), les API et les paramètres de ressources de ce locataire.

Avant de commencer

Avant de commencer, vérifiez que vous disposez des autorisations et de la configuration d'environnement requises :

• Autorisations : vous devez disposer des rôles suivants :
  • Autorisations du compte de facturation : vous devez disposer de l'autorisation billing.resourceAssociations.list ou du rôle Utilisateur du compte de facturation (roles/billing.user) sur le compte de facturation Cloud associé à votre contrat Google SecOps.
  • Autorisations du projet cible : sur le projet cible Google Cloud qui héberge la nouvelle instance, vous avez besoin des rôles suivants :
  • Administrateur de projet IAM (roles/resourcemanager.projectIamAdmin)
  • Éditeur (roles/editor)
  • Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin)
  • Administrateur du service Chronicle (roles/chroniclesm.admin)
  • Autorisations de configuration du fournisseur d'identité : si vous utilisez un fournisseur d'identité (IdP) tiers, vous devez disposer du rôle Administrateur de pools d'employés IAM (roles/iam.workforcePoolAdmin) au niveau de l'organisation.
• Vérification de l'environnement : vous devez associer chaque instance Google SecOps à un projet Google Cloud dédié qui utilise le même compte de facturation Cloud que votre contrat d'abonnement Google SecOps. Pour en savoir plus, consultez Associer une instance à Google Cloud.

Limites

Le provisionnement d'instances supplémentaires en libre-service est soumis aux contraintes de compatibilité suivantes :

• Au moins une instance active : votre organisation doit disposer d'au moins une instance Google SecOps existante, déjà intégrée et active dans le cadre de votre contrat d'abonnement. Le provisionnement en libre-service est désactivé si aucune instance active n'existe.
• Limite maximale d'instances : le provisionnement en libre-service n'est disponible que si le nombre total d'instances associées à votre compte de facturation Cloud et à votre contrat d'abonnement est inférieur à 25. Si 25 instances ou plus sont associées, le bouton Ajouter une instance reste désactivé.
• Abonnement actif : votre contrat d'abonnement Google SecOps doit être actif et valide. Vous ne pouvez pas provisionner d'instances supplémentaires si votre abonnement est arrivé à expiration ou s'il est suspendu.
• Niveau Standard, Enterprise ou Enterprise Plus : l'abonnement doit être un enregistrement actif pour l'un des packages Google SecOps compatibles.
• Instances unifiées uniquement : toutes les instances existantes de votre contrat doivent être des instances unifiées. Le provisionnement en libre-service n'est pas possible si une instance existante du contrat est de type SIEM uniquement.
• Instances non conformes uniquement : le provisionnement en libre-service n'est disponible que pour les environnements commerciaux standards. Si une instance existante de votre contrat est configurée avec des contrôles de conformité ou des exigences de souveraineté (par exemple, FedRAMP, IL4, IL5, IL6, CMEK ou DRZ_Advanced), le provisionnement en libre-service est désactivé. Pour les environnements contrôlés par la conformité, contactez votre représentant Google ou l'assistance Google SecOps pour un provisionnement manuel par l'équipe d'ingénierie de la conformité.
• Alignement de la résidence des données : toutes les instances supplémentaires résident dans la même région géographique (par exemple, us ou europe) que votre instance initiale. La sélection de la région est verrouillée pour correspondre à votre contrat parent et ne peut pas être modifiée.
• Héritage de la conservation des données : les instances supplémentaires héritent automatiquement de la durée de conservation des données contractuelle de votre contrat d'abonnement parent.

Préparer un projet Google Cloud

Préparez le projet Google Cloud dédié qui sert de couche de contrôle administratif pour la nouvelle instance :

1. Créer ou sélectionner un projet dédié : nous vous recommandons de créer un projet Google Cloud dédié pour chaque nouvelle instance. Suivez la procédure décrite dans Créer un projet.
2. Vérifiez l'association du compte de facturation : le projet Google Cloud doit utiliser exactement le même compte de facturation Cloud que votre contrat d'abonnement Google SecOps.
3. Vérifier la disponibilité du projet : le projet Google Cloud ne doit pas déjà être associé à une autre instance Google SecOps. Chaque projet ne peut héberger qu'une seule instance.

4. Configurer VPC Service Controls (facultatif) : si votre organisation utilise VPC Service Controls, configurez les règles d'entrée et de sortie documentées dans Configurer VPC Service Controls pour Google SecOps.

   Remarque : Si le projet utilise un autre compte de facturation Cloud ou est déjà associé à une instance existante, la sélection du projet échoue lors de la configuration. Vérifiez l'association de facturation sur la page Facturation avant de lancer le déploiement.

Déployer une instance supplémentaire

Pour déployer une instance Google SecOps supplémentaire à l'aide de la consoleGoogle Cloud , suivez les procédures décrites dans les sections suivantes :

1. Ouvrir la page Google SecOps
2. Sélectionner le projet cible
3. Ajouter des contacts essentiels
4. Examiner les détails du déploiement et configurer l'authentification unique
5. Démarrer la configuration de l'instance

Ouvrir la page Google SecOps

Ouvrez la page Google SecOps dans la console Google Cloud pour lancer le déploiement :

1. Dans la console Google Cloud , accédez à la page Google SecOps.
2. Le tableau Instances liste toutes les instances Google SecOps existantes associées à votre compte de facturation.

3. Cliquez sur Ajouter une instance.

   Remarque : Si le bouton Ajouter une instance n'est pas disponible ou est désactivé, cela signifie que votre compte ne dispose pas des autorisations de facturation, qu'il n'a pas d'instance intégrée initiale, qu'il comporte au moins 25 instances associées au compte de facturation et au contrat, ou qu'il appartient à un abonnement contrôlé par la conformité. Consultez la section Limites et vérifiez les rôles de votre compte de facturation avant de réessayer.

Sélectionner le projet cible

Associez le projet Google Cloud préparé à votre nouvelle instance Google SecOps :

1. Sur la page Associer SecOps à un projet, cliquez sur Sélectionner un projet pour ouvrir la boîte de dialogue Sélectionner une ressource.
2. Sélectionnez votre organisation dans la liste déroulante.
3. Dans la liste Projets et dossiers, sélectionnez le projet Google Cloud que vous avez préparé pour cette instance.

4. Cliquez sur le nom du projet Google Cloud éligible pour le sélectionner.

   Remarque: Google Cloud Les projets qui ne peuvent pas être sélectionnés affichent une icône d'avertissement warning. Pointez sur l'icône d'avertissement pour afficher la restriction spécifique (par exemple, une incompatibilité de compte de facturation, des autorisations insuffisantes ou une association d'instance Google SecOps existante), puis sélectionnez un projet conforme.

Ajouter des contacts essentiels

Attribuez des contacts pour recevoir les notifications critiques concernant les problèmes techniques, de sécurité, juridiques et de facturation :

1. Dans le tableau Contacts essentiels, cliquez sur Ajouter un contact (ou cliquez sur l'icône de modification à côté d'une catégorie existante).
2. Saisissez l'adresse e-mail de la personne à contacter.
3. Sélectionnez une ou plusieurs catégories de notifications. Vous devez attribuer au moins un contact pour chacune des catégories obligatoires :
   • Technique
   • Sécurité
   • Legal
   • Facturation
4. Cliquez sur Enregistrer.

5. Après avoir attribué des contacts à toutes les catégories obligatoires, cliquez sur Suivant pour ouvrir la page Déploiement.

   Remarque : Si une catégorie de contact obligatoire n'est pas attribuée, le bouton Suivant reste désactivé. Pour continuer, attribuez au moins une adresse e-mail valide à chaque catégorie.

Examiner les détails du déploiement et configurer l'authentification unique

Examinez les paramètres de contrat hérités et configurez l'authentification des utilisateurs pour la nouvelle instance :

1. Examiner les détails du déploiement : vérifiez la configuration de déploiement préremplie.

   • Région : affiche l'emplacement géographique de résidence. La région est verrouillée pour correspondre à votre contrat parent et ne peut pas être modifiée.
   • Niveau du package : affiche le niveau de votre package Google SecOps hérité de votre abonnement.
   • Durée de conservation des données : affiche la durée de conservation héritée de votre abonnement.

   Cliquez sur Suivant.

2. Vérifier le compte de service : confirmez les détails du compte de service créé par le système pour les opérations d'instance, puis cliquez sur Suivant.

3. Configurer l'authentification unique (SSO) : sélectionnez le fournisseur d'identité utilisé pour gérer l'authentification des utilisateurs et les contrôles d'accès :

   • Google Cloud Identity : sélectionnez cette option si vous utilisez Cloud Identity ou Google Workspace. Pour en savoir plus, consultez Configurer un fournisseur d'identité Google Cloud .
   • Fédération d'identité de personnel : sélectionnez cette option si vous utilisez un fournisseur d'identité tiers (tel qu'Okta ou Microsoft Entra ID). Pour en savoir plus, consultez Configurer un fournisseur d'identité tiers.

   Cliquez sur Suivant.

4. Accepter les conditions d'utilisation : lisez les conditions d'utilisation et cochez la case d'acceptation.

   Remarque : Vérifiez que la configuration du fournisseur d'identité que vous avez choisi est active avant de terminer la configuration. Si les pools d'identités de personnel sont mal configurés, les utilisateurs ne pourront pas se connecter une fois le déploiement terminé.

Démarrer la configuration de l'instance

Démarrez le pipeline de provisionnement automatisé pour déployer votre instance :

1. Cliquez sur Démarrer la configuration pour lancer le déploiement.
2. Le pipeline de provisionnement automatisé associe le projet Google Cloud à votre contrat, configure le stockage des données, configure l'infrastructure de service et active votre instance.

3. Une fois le déploiement terminé, la nouvelle instance apparaît dans le tableau Instances avec l'état Actif. Une fois la configuration lancée, l'affichage de la nouvelle instance dans le tableau Instances peut prendre entre 30 minutes et une heure.

   Remarque : Si le déploiement échoue, vérifiez que l'API Chronicle est activée dans votre projet Google Cloud cible. Si le problème persiste, contactez votre représentant Google ou l'assistance Google SecOps.

Exemples et informations de référence

Utilisez les commandes et les liens de référence de cette section pour préparer votre projet cible à l'aide de la Google Cloud CLI (gcloud CLI) et effectuer les tâches post-déploiement.

Activer l'API Chronicle à l'aide de la Google Cloud CLI

Exécutez la commande gcloud CLI suivante pour activer l'API Chronicle sur votre projet Google Cloud cible avant de commencer le déploiement :

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

Remplacez PROJECT_ID par l'ID de votre projet Google Clouddédié.

Attribuer des rôles IAM au niveau du projet à l'aide de la Google Cloud CLI

Exécutez les commandes de CLI gcloud suivantes pour accorder les rôles requis au niveau du projet à l'administrateur qui effectue le déploiement :

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

Remplacez PROJECT_ID par l'ID de votre projet dédié et ADMIN_EMAIL par l'adresse e-mail de l'administrateur.

Documentation associée

Une fois votre nouvelle instance déployée, effectuez les tâches de configuration suivantes :

• Configurez le contrôle des accès aux fonctionnalités à l'aide d'IAM.
• Configurer le RBAC des données pour les utilisateurs
• Connectez-vous à votre nouvelle instance.

Dépannage

Cette section décrit les attentes en termes de performances et fournit des correctifs en libre-service pour les problèmes de déploiement courants.

Latence et limites

Le provisionnement d'une instance Google SecOps supplémentaire prend généralement entre 30 minutes et une heure pour l'allocation de l'infrastructure, l'association du stockage et l'activation du locataire, et pour que la nouvelle instance apparaisse dans le tableau Instances après le déclenchement du provisionnement. Pendant le provisionnement, les instances actives existantes de votre contrat continuent de fonctionner sans temps d'arrêt ni verrouillage de session. Évitez d'actualiser la page de configuration ou d'envoyer des demandes de configuration en double pendant cette période.

Correction des erreurs

Utilisez le tableau suivant pour diagnostiquer et résoudre les problèmes lors du provisionnement d'une instance :

Problème	Description	Corriger
Bouton Ajouter une instance désactivé	Le bouton Ajouter une instance de la page Google SecOps n'est pas disponible.	Vérifiez que votre abonnement contractuel est actif, qu'au moins une instance initiale est déjà intégrée, que moins de 25 instances sont associées à votre compte de facturation et à votre contrat, que votre compte dispose du rôle roles/billing.user et que votre abonnement n'est pas contrôlé par la conformité.
La configuration de l'abonnement n'est pas valide ou a expiré	La page de configuration affiche le message d'avertissement "La configuration de l'abonnement n'est pas valide ou a expiré" et désactive les interactions avec la page.	Vérifiez que votre contrat d'abonnement Google SecOps est actif et qu'il n'a pas expiré ni été suspendu. Si votre jeton d'intégration de contrat (valide pendant 30 jours) a expiré, contactez votre représentant Google ou l'assistance Google SecOps.
Icône d'avertissement warning concernant la sélection du projet	Une icône d'avertissement warning s'affiche à côté d'un projet Google Cloud dans la boîte de dialogue Sélectionner une ressource.	Pointez sur l'icône d'avertissement warning pour afficher la restriction. Vérifiez que le projet utilise exactement le même compte de facturation Cloud que votre contrat d'abonnement et qu'il n'est pas associé à une autre instance.
Le bouton Suivant est désactivé sur la page Contacts essentiels	Vous ne pouvez pas passer de la page Contacts essentiels à la page Déploiement.	Attribuez au moins une adresse e-mail de contact valide à chacune des catégories de notification obligatoires : Technique, Sécurité, Juridique et Facturation.
Échec de la configuration du déploiement	Le provisionnement échoue après avoir cliqué sur Commencer la configuration.	Vérifiez que chronicle.googleapis.com est activé dans le projet cible Google Cloud et que votre compte dispose des rôles roles/chroniclesm.admin et roles/serviceusage.serviceUsageAdmin.

Validation et test

Pour vérifier que votre instance supplémentaire a bien été déployée :

1. Dans la console Google Cloud , accédez à la page Google SecOps.
2. Dans le tableau Instances, vérifiez que la nouvelle instance affiche l'état Actif.
3. Sélectionnez le projet Google Cloud cible qui héberge la nouvelle instance, puis cliquez sur le lien de l'instance pour ouvrir l'interface Web Google SecOps et connectez-vous à l'aide de votre fournisseur d'identité configuré.

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.