Esegui il deployment di un'istanza aggiuntiva

Supportata in:

Google SecOps

Questa guida aiuta gli amministratori della piattaforma e gli ingegneri della sicurezza a eseguire il deployment di istanze Google SecOps aggiuntive all'interno di un abbonamento unificato esistente. Spiega come eseguire il provisioning e collegare nuove istanze utilizzando il flusso di lavoro self-service nella console Google Cloud . Seguendo questo metodo, puoi scalare le operazioni di sicurezza multi-tenant tra unità aziendali, filiali o clienti gestiti senza attendere l'assistenza manuale. Un deployment riuscito semplifica l'isolamento dell'ambiente, mantenendo al contempo un tempo di inattività pari a zero per le istanze attive esistenti.

Casi d'uso comuni

I seguenti casi d'uso descrivono come le organizzazioni eseguono il deployment di istanze aggiuntive per isolare gli ambienti e scalare le operazioni:

Isolamento di unità aziendali e società controllate

• Obiettivo: eseguire il deployment di istanze dedicate per unità aziendali, filiali o ambienti operativi distinti (come sviluppo, gestione temporanea e produzione) nell'ambito di un unico contratto.
• Valore: applica confini dei dati rigorosi e controlli di accesso indipendenti, consolidando al contempo la fatturazione in un unico abbonamento.

Onboarding dei clienti del fornitore di servizi di sicurezza gestiti

• Obiettivo: eseguire il provisioning di istanze Google SecOps separate per singoli clienti gestiti nell'ambito di un abbonamento attivo a un fornitore di servizi di sicurezza gestiti (MSSP).
• Valore: accelera l'onboarding dei clienti e mantieni l'isolamento dei tenant senza escalation manuale dell'assistenza.

Terminologia chiave

• Istanza unificata: un tenant Google SecOps che combina le funzionalità SIEM e SOAR in un unico ambiente collegato a un progetto Google Cloud .
• Contratto principale: il contratto di abbonamento a Google SecOps attivo associato al tuo account di fatturazione Cloud che regola la residenza regionale, il livello del pacchetto e le impostazioni di conservazione dei dati predefinite per tutte le istanze collegate.
• Progetto di controllo amministrativo: il progetto Google Cloud dedicato collegato a un'istanza Google SecOps individuale che controlla le autorizzazioni (IAM), le API e le impostazioni delle risorse per quel tenant.

Prima di iniziare

Prima di iniziare, verifica di disporre delle autorizzazioni richieste e della configurazione dell'ambiente:

• Autorizzazioni: devi disporre dei seguenti ruoli:
  • Autorizzazioni per l'account di fatturazione: devi disporre dell'autorizzazione billing.resourceAssociations.list o del ruolo Billing Account User (roles/billing.user) per l'account di fatturazione Cloud associato al tuo contratto Google SecOps.
  • Autorizzazioni per il progetto di destinazione: nel progetto Google Cloud di destinazione che ospita la nuova istanza, devi disporre dei seguenti ruoli:
  • Project IAM Admin (roles/resourcemanager.projectIamAdmin)
  • Editor (roles/editor)
  • Service Usage Admin (roles/serviceusage.serviceUsageAdmin)
  • Chronicle Service Admin (roles/chroniclesm.admin)
  • Autorizzazioni di configurazione del provider di identità: se utilizzi un provider di identità (IdP) di terze parti, devi disporre del ruolo IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) a livello di organizzazione.
• Controllo dell'ambiente: devi collegare ogni istanza di Google SecOps a un progetto Google Cloud dedicato che utilizza lo stesso account di fatturazione Cloud del contratto di abbonamento a Google SecOps. Per saperne di più, consulta Collega un'istanza a Google Cloud.

Limitazioni

Il provisioning self-service di istanze aggiuntive è soggetto ai seguenti vincoli di supportabilità:

• Almeno un'istanza attiva: la tua organizzazione deve avere almeno un'istanza Google SecOps esistente già integrata e attiva nell'ambito del contratto di abbonamento. Il provisioning self-service è disattivato se non esiste un'istanza attiva.
• Limite massimo di istanze: il provisioning self-service è disponibile solo quando il numero totale di istanze collegate al tuo account di fatturazione Cloud e al contratto di abbonamento è inferiore a 25. Se sono collegate 25 o più istanze, il pulsante Aggiungi istanza rimane disattivato.
• Abbonamento attivo: il tuo contratto di abbonamento a Google SecOps deve essere attivo e valido. Non puoi eseguire il provisioning di istanze aggiuntive se il tuo abbonamento è scaduto o sospeso.
• Livello Standard, Enterprise o Enterprise Plus: l'abbonamento deve essere una registrazione attiva per uno dei pacchetti Google SecOps supportati.
• Solo istanze unificate: tutte le istanze esistenti nel tuo contratto devono essere istanze unificate. Il provisioning self-service non è supportato se un'istanza esistente ai sensi del contratto è solo SIEM.
• Solo istanze di non conformità: il provisioning self-service è disponibile solo per gli ambienti commerciali standard. Se un'istanza esistente nel tuo contratto è configurata con controlli di conformità o requisiti di sovranità (ad esempio FedRAMP, IL4, IL5, IL6, CMEK o DRZ_Advanced), il provisioning self-service è disattivato. Per gli ambienti controllati dalla conformità, contatta il tuo rappresentante di Google o l'assistenza Google SecOps per il provisioning manuale da parte del team di engineering della conformità.
• Allineamento della residenza dei dati: tutte le istanze aggiuntive risiedono nella stessa regione geografica (ad esempio us o europe) dell'istanza iniziale. La selezione della regione è bloccata in modo da corrispondere al contratto principale e non può essere modificata.
• Eredità della conservazione dei dati: le istanze aggiuntive ereditano automaticamente la durata della conservazione dei dati contrattuale del contratto di abbonamento principale.

Prepara un progetto Google Cloud

Prepara il progetto Google Cloud dedicato che funge da livello di controllo amministrativo per la nuova istanza:

1. Crea o seleziona un progetto dedicato: ti consigliamo di creare un nuovo progetto Google Cloud dedicato per ogni nuova istanza. Segui i passaggi descritti in Crea un progetto.
2. Verifica l'associazione dell'account di fatturazione: il progetto Google Cloud deve utilizzare esattamente lo stesso account di fatturazione Cloud del tuo contratto di abbonamento a Google SecOps.
3. Verifica la disponibilità del progetto: il progetto Google Cloud non deve essere già collegato a un'altra istanza di Google SecOps. Ogni progetto può ospitare una sola istanza.

4. Configura i Controlli di servizio VPC (facoltativo): se la tua organizzazione utilizza i Controlli di servizio VPC, configura le regole in entrata e in uscita documentate in Configura i Controlli di servizio VPC per Google SecOps.

   Nota: se il progetto utilizza un account di fatturazione Cloud diverso o è già collegato a un'istanza esistente, la selezione del progetto non va a buon fine durante la configurazione. Verifica l'associazione della fatturazione nella pagina Fatturazione prima di avviare il deployment.

Esegui il deployment di un'istanza aggiuntiva

Per eseguire il deployment di un'istanza Google SecOps aggiuntiva utilizzando la consoleGoogle Cloud , completa le procedure descritte nelle sezioni seguenti:

1. Apri la pagina Google SecOps
2. Seleziona il progetto di destinazione
3. Aggiungi contatti fondamentali
4. Esamina i dettagli del deployment e configura il Single Sign-On
5. Avvia la configurazione dell'istanza

Apri la pagina Google SecOps

Apri la pagina Google SecOps nella console Google Cloud per avviare il deployment:

1. Nella console Google Cloud , vai alla pagina Google SecOps.
2. La tabella Istanze elenca tutte le istanze Google SecOps esistenti associate al tuo account di fatturazione.

3. Fai clic su Aggiungi istanza.

   Nota: se il pulsante Aggiungi istanza non è disponibile o è disattivato, il tuo account non dispone delle autorizzazioni di fatturazione, non ha un'istanza iniziale di onboarding, ha 25 o più istanze collegate all'account di fatturazione e al contratto o appartiene a un abbonamento controllato dalla conformità. Esamina la sezione Limitazioni e verifica i ruoli del tuo account di fatturazione prima di riprovare.

Seleziona il progetto di destinazione

Collega il progetto Google Cloud preparato alla nuova istanza Google SecOps:

1. Nella pagina Collega SecOps a un progetto, fai clic su Seleziona un progetto per aprire la finestra di dialogo Seleziona una risorsa.
2. Seleziona la tua organizzazione dall'elenco a discesa.
3. Dall'elenco Progetti e cartelle, seleziona il progetto Google Cloud che hai preparato per questa istanza.

4. Fai clic sul nome del progetto Google Cloud idoneo per selezionarlo.

   Nota: Google Cloud i progetti che non possono essere selezionati mostrano un'icona di avviso warning. Tieni il puntatore del mouse sull'icona di avviso per visualizzare la limitazione specifica (ad esempio, mancata corrispondenza dell'account di fatturazione, autorizzazioni insufficienti o un'associazione di istanze Google SecOps esistente) e seleziona un progetto conforme.

Aggiungi contatti fondamentali

Assegna i contatti per ricevere notifiche critiche relative ad argomenti tecnici, di sicurezza, legali e di fatturazione:

1. Nella tabella Contatti essenziali, fai clic su Aggiungi contatto (o sull'icona di modifica accanto a una categoria esistente).
2. Inserisci l'indirizzo email della persona di contatto.
3. Seleziona una o più categorie di notifiche. Devi assegnare almeno un contatto per ciascuna delle categorie obbligatorie:
   • Problemi tecnici
   • Sicurezza
   • Ufficio legale
   • Fatturazione
4. Fai clic su Salva.

5. Dopo aver assegnato i contatti a tutte le categorie obbligatorie, fai clic su Avanti per aprire la pagina Deployment.

   Nota: se una categoria di contatto obbligatoria rimane non assegnata, il pulsante Avanti rimane disattivato. Assegna almeno un indirizzo email valido a ogni categoria per procedere.

Esamina i dettagli del deployment e configura il Single Sign-On

Esamina le impostazioni del contratto ereditate e configura l'autenticazione utente per la nuova istanza:

1. Rivedi i dettagli del deployment: controlla la configurazione del deployment precompilata:

   • Regione: mostra la località geografica di residenza. La regione è bloccata in modo che corrisponda al contratto principale e non può essere modificata.
   • Livello del pacchetto: mostra il livello del pacchetto Google SecOps ereditato dal tuo abbonamento.
   • Durata della conservazione dei dati: mostra la durata della conservazione ereditata dal tuo abbonamento.

   Fai clic su Avanti.

2. Esamina il service account: conferma i dettagli del account di servizio creato dal sistema per le operazioni dell'istanza, quindi fai clic su Avanti.

3. Configura il Single Sign-On (SSO): seleziona il provider di identità utilizzato per gestire l'autenticazione degli utenti e i controlli degli accessi:

   • Google Cloud Identity: seleziona questa opzione se utilizzi Cloud Identity o Google Workspace. Per maggiori dettagli, consulta Configura un provider di identità Google Cloud .
   • Federazione delle identità per la forza lavoro: seleziona questa opzione se utilizzi un provider di identità di terze parti (come Okta o Microsoft Entra ID). Per i dettagli, consulta Configura un provider di identità di terze parti.

   Fai clic su Avanti.

4. Accetta i Termini di servizio: leggi i Termini di servizio e seleziona la casella di controllo di accettazione.

   Nota: verifica che la configurazione del provider di identità scelto sia attiva prima di completare la configurazione. I pool di identità della forza lavoro configurati in modo errato impediscono agli utenti di accedere al termine del deployment.

Avvia la configurazione dell'istanza

Avvia la pipeline di provisioning automatico per eseguire il deployment dell'istanza:

1. Fai clic su Avvia configurazione per avviare il deployment.
2. La pipeline di provisioning automatico collega il progetto Google Cloud al tuo contratto, configura il datastore, imposta Service Infrastructure e attiva l'istanza.

3. Al termine del deployment, la nuova istanza viene visualizzata nella tabella Istanze con lo stato Attiva. Dopo aver avviato la configurazione, potrebbero essere necessari da 30 minuti a 1 ora prima che la nuova istanza venga visualizzata nella tabella Istanze.

   Nota: se il deployment non va a buon fine, verifica che l'API Chronicle sia abilitata nel progetto Google Cloud di destinazione. Se il problema persiste, contatta il tuo rappresentante di Google o l'assistenza di Google SecOps.

Esempi e informazioni di riferimento

Utilizza i comandi e i link di riferimento in questa sezione per preparare il progetto di destinazione utilizzando Google Cloud CLI (interfaccia a riga di comando gcloud) e completare le attività post-deployment.

Abilita l'API Chronicle utilizzando Google Cloud CLI

Esegui il seguente comando CLI gcloud per abilitare l'API Chronicle nel tuo progetto Google Cloud di destinazione prima di avviare il deployment:

gcloud services enable chronicle.googleapis.com \
    --project=PROJECT_ID

Sostituisci PROJECT_ID con l'ID progetto del tuo progetto Google Clouddedicato.

Concedi ruoli IAM a livello di progetto utilizzando Google Cloud CLI

Esegui i seguenti comandi dell'interfaccia a riga di comando gcloud per concedere i ruoli a livello di progetto richiesti all'amministratore che esegue il deployment:

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/chroniclesm.admin"

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="user:ADMIN_EMAIL" \
    --role="roles/serviceusage.serviceUsageAdmin"

Sostituisci PROJECT_ID con l'ID progetto dedicato e ADMIN_EMAIL con l'indirizzo email dell'amministratore.

Documentazione correlata

Dopo aver eseguito il deployment della nuova istanza, completa le seguenti attività di configurazione:

• Configura il controllo dell'accesso alle funzionalità utilizzando IAM.
• Configura l'RBAC dei dati per gli utenti.
• Accedi alla nuova istanza.

Risoluzione dei problemi

Questa sezione descrive le aspettative in termini di prestazioni e fornisce soluzioni self-service per i problemi di deployment più comuni.

Latenza e limiti

Il provisioning di un'istanza Google SecOps aggiuntiva richiede in genere tra 30 minuti e 1 ora per l'allocazione dell'infrastruttura, il collegamento dello spazio di archiviazione e l'attivazione del tenant, nonché per la visualizzazione della nuova istanza nella tabella Istanze dopo l'attivazione del provisioning. Durante il provisioning, le istanze attive esistenti nell'ambito del tuo contratto continuano a funzionare senza tempi di inattività o blocchi delle sessioni. Evita di aggiornare la pagina di configurazione o di inviare richieste di configurazione duplicate durante questo periodo.

Correzione degli errori

Utilizza la seguente tabella per diagnosticare e risolvere i problemi durante il provisioning delle istanze:

Problema	Descrizione	Correggi
Pulsante Aggiungi istanza disattivato	Il pulsante Aggiungi istanza nella pagina Google SecOps non è disponibile.	Verifica che l'abbonamento al contratto sia attivo, che sia già stato eseguito l'onboarding di almeno un'istanza iniziale, che meno di 25 istanze siano collegate al tuo account di fatturazione e al tuo contratto, che il tuo account abbia il ruolo roles/billing.user e che l'abbonamento non sia controllato dalla conformità.
La configurazione della sottoscrizione non è valida o è scaduta	La pagina di configurazione mostra il messaggio di avviso "La configurazione dell'abbonamento non è valida o è scaduta" e disattiva le interazioni con la pagina.	Verifica che il contratto di abbonamento a Google SecOps sia attivo e non sia scaduto o sospeso. Se il token di onboarding del contratto (valido per 30 giorni) è scaduto, contatta il tuo rappresentante di Google o l'assistenza di Google SecOps.
Icona di avviso warning per la selezione del progetto	Accanto a un progetto Google Cloud nella finestra di dialogo Seleziona una risorsa viene visualizzata un'icona di avviso warning.	Tieni premuto il puntatore sopra l'icona di avviso warning per visualizzare la limitazione. Verifica che il progetto utilizzi esattamente lo stesso account di fatturazione Cloud del tuo contratto di abbonamento e non sia collegato a un'altra istanza.
Pulsante Avanti disattivato nella pagina Contatti fondamentali	Non puoi passare dalla pagina Contatti fondamentali alla pagina Deployment.	Assegna almeno un indirizzo email di contatto valido a ciascuna delle categorie di notifica obbligatorie: Tecnica, Sicurezza, Legale e Fatturazione.
Errore di configurazione del deployment	Il provisioning non va a buon fine dopo aver fatto clic su Avvia configurazione.	Verifica che chronicle.googleapis.com sia abilitato nel progetto Google Cloud di destinazione e che il tuo account disponga dei ruoli roles/chroniclesm.admin e roles/serviceusage.serviceUsageAdmin.

Convalida e test

Per verificare che il deployment dell'istanza aggiuntiva sia andato a buon fine:

1. Nella console Google Cloud , vai alla pagina Google SecOps.
2. Nella tabella Istanze, verifica che la nuova istanza abbia lo stato Attiva.
3. Seleziona il progetto Google Cloud di destinazione che ospita la nuova istanza, quindi fai clic sul link dell'istanza per aprire l'interfaccia web di Google SecOps e accedi utilizzando il provider di identità configurato.

Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.