Déployer une instance

Compatible avec :

Google SecOps

Ce document explique comment intégrer (déployer) une instance Google SecOps (SIEM et SOAR) et activer les fonctionnalités Google SecOps en fonction de votre niveau de package et de vos droits d'accès Google SecOps. Ces étapes d'intégration s'appliquent aux packages Google SecOps suivants : Standard, Enterprise et Enterprise Plus.

L'expert en intégration désigné, également appelé expert Google SecOps ou administrateur de facturation, effectue le processus d'intégration. Cette personne est le contact principal de votre organisation pour Google SecOps.

Prérequis

Avant de pouvoir intégrer une nouvelle instance Google SecOps, assurez-vous que votre organisation remplit les conditions préalables suivantes :

• Une inscription active à l'un des packages Google SecOps suivants : Standard, Enterprise ou Enterprise Plus.

• Un contrat Google SecOps signé par votre organisation. Ce contrat vous autorise à provisionner chaque nouvelle instance Google SecOps.

• Si votre organisation utilise VPC Service Controls, vous devez configurer les règles d'entrée et de sortie appropriées, qui sont documentées dans Configurer VPC Service Controls pour Google SecOps.

• Si votre organisation utilise des pare-feu de sortie, des proxys d'entreprise ou un filtrage Web, configurez la liste d'autorisation de votre réseau pour l'accès au navigateur et la connectivité des API. Pour en savoir plus, consultez Accès au réseau et liste d'autorisation de domaines et Vérifier la configuration du pare-feu pour l'API Chronicle.

Déployer une nouvelle instance Google SecOps

Pour déployer une nouvelle instance Google SecOps, procédez comme suit :

1. Signez le contrat Google SecOps.

   Le provisionnement d'une nouvelle instance Google SecOps commence lorsque votre organisation signe un contrat Google SecOps. Cette action déclenche le workflow d'intégration interne de Google et enregistre les détails du contrat dans le système de Google, y compris votre compte de facturation et l'adresse e-mail de votre expert en intégration.

2. Préparez votre environnement pour l'intégration.

   Votre expert en intégration doit préparer votre environnement avant d'intégrer une nouvelle instance Google SecOps.

3. Intégrez une nouvelle instance Google SecOps.

4. Déployer des instances supplémentaires

Préparer votre environnement pour l'intégration

L'expert en intégration doit préparer votre environnement avant d'intégrer une instance Google SecOps, comme décrit dans les sections suivantes :

1. Accordez les autorisations nécessaires pour effectuer l'intégration.
2. Configurez un dossier Assured Workloads (facultatif).
3. Configurer un projet Google Cloud
4. Configurez un fournisseur d'identité.

Accorder des autorisations pour effectuer l'intégration

Pour chaque nouvelle instance Google SecOps, accordez les rôles et autorisations d'intégration requis à l'expert en intégration, comme décrit dans Rôles et autorisations requis.

Configurer un dossier Assured Workloads (facultatif)

Pour créer un dossier Assured Workloads, procédez comme suit :

1. Accédez à Produits compatibles par package de contrôles.
2. Dans la liste, sélectionnez le type de package de contrôle que vous souhaitez appliquer au dossier Assured Workloads.
3. Assurez-vous de disposer des autorisations requises listées dans la section Rôles IAM requis.

4. Suivez la procédure décrite dans la section Créer un dossier Assured Workloads pour....

   Remarque : Si vous gérez plusieurs organisations, sélectionnez l'organisation dans laquelle le dossier Assured Workloads doit être créé. Pour Région, sélectionnez US, qui correspond à l'emplacement multirégional US.

Lorsque vous configurez votre dossier, tenez compte des consignes suivantes :

• Un locataire (instance) contrôlé par la conformité est un locataire qui doit respecter une ou plusieurs des normes de contrôle de conformité suivantes : FedRAMP, FedRAMP_MODERATE, PCI_DSS, FedRAMP_HIGH, IL4, IL5, CMEK_V1 ou DRZ_ADVANCED.

• Tous les fichiers associés à un locataire soumis à un contrôle de conformité doivent se trouver dans un dossier Assured Workloads configuré pour la norme de contrôle de conformité appropriée.

• Un dossier Assured Workloads est créé au niveau de l'organisation.

• Une organisation peut créer plusieurs dossiers Assured Workloads, chacun dédié à un package de contrôle de conformité spécifique en fonction de ses exigences. Par exemple, un dossier peut accepter les instances FedRAMP_MODERATE, tandis qu'un autre accepte les instances FedRAMP_HIGH.

Tenez compte de ces consignes lorsque vous déployez un locataire (instance) contrôlé par la conformité :

• Vous devez associer le locataire (instance) contrôlé par la conformité à un projet Google Cloudsitué dans un dossier Assured Workloads.

• Si vous prévoyez de créer un projet Google Cloud pour votre instance Google SecOps, vous devez le créer dans un dossier Assured Workloads configuré pour le package de contrôle de conformité requis.

• Si votre organisation ne dispose pas d'un dossier Assured Workloads, vous devez en créer un.

Chaque nouvelle instance Google SecOps doit être associée à un projetGoogle Cloud . Vous pouvez utiliser un projet Google Cloud existant ou en créer un.

Pour créer un projet Google Cloud  :

1. Pour un locataire (instance) conforme à FedRAMP, créez le projet dans le dossier Assured Workloads de votre organisation. Si votre organisation ne dispose pas d'un dossier Assured Workloads pour le package de contrôle requis, créez-en un.

2. Suivez les étapes décrites dans Créer un projet.

   Remarque : Utilisez la convention d'attribution de noms <CUSTOMER-name>-chronicle et vérifiez que le compte de facturation du projet correspond à celui de votre instance Google SecOps.
   Remarque : Pour imputer des frais à un autre compte de facturation, vous devez saisir une nouvelle commande.

Configurer un projet Google Cloud

Un projet Google Cloud sert de couche de contrôle pour l'instance Google SecOps associée.

Pour le configurer correctement, suivez les étapes de la section Configurer un projet Google Cloud pour Google SecOps.

Configurer un fournisseur d'identité

Configurez un fournisseur d'identité pour gérer les utilisateurs, les groupes et l'authentification pour votre instance Google SecOps.

Deux options sont acceptées :

• Option 1 : Google Cloud Identité :

  Utilisez cette option si vous possédez un compte Google Workspace ou si vous synchronisez les identités de votre IdP avec Google Cloud.

  1. Créez des comptes utilisateur gérés pour contrôler l'accès aux ressources Google Cloud et à votre instance Google SecOps.

  2. Définissez des stratégies IAM à l'aide de rôles prédéfinis ou personnalisés pour accorder l'accès aux fonctionnalités aux utilisateurs et aux groupes.

  Pour obtenir des instructions détaillées, consultez Configurer un fournisseur d'identité Google Cloud .

  Remarque : Cette option n'est pas disponible pour les clients soumis aux normes de conformité FedRAMP, IL4 ou IL5.

• Option 2 : Fédération des identités des employés :

  Utilisez cette option si vous utilisez un IdP tiers (tel qu'Okta ou Azure AD).

  Configurez la fédération d'identité de personnel de Google et créez un pool d'identités de personnel. La fédération d'identité de personnel de Google vous permet d'accorder aux charges de travail sur site ou multicloud un accès aux ressources Google Cloud sans utiliser de clés de compte de service.

  Pour obtenir des instructions détaillées, consultez Configurer un fournisseur d'identité tiers.

Intégrer une nouvelle instance Google SecOps

Le système Google envoie un e-mail d'invitation à l'intégration Google SecOps à votre expert en intégration. Cet e-mail inclut un lien d'activation pour lancer le processus de configuration.

Important : Le projet Google Cloud qui héberge votre instance Google SecOps doit être associé au même ID de compte de facturation que celui utilisé pour réserver votre abonnement Google SecOps. Si ces comptes ne correspondent pas, le système ne peut pas appliquer vos crédits d'abonnement à votre utilisation, ce qui entraîne des frais incorrects. Pour imputer des frais à un autre compte de facturation, vous devez saisir une nouvelle commande.

Après avoir préparé votre environnement pour l'intégration, l'expert en intégration doit effectuer les opérations suivantes :

• Cliquez sur le lien d'activation figurant dans l'e-mail d'invitation.

• Suivez les étapes des sections suivantes pour déployer l'instance Google SecOps :

  1. Configurez une nouvelle instance Google SecOps et associez-la à un projet Google Cloud .
  2. Configurez le contrôle des accès aux fonctionnalités à l'aide d'IAM.
  3. Configurer le RBAC des données pour les utilisateurs
  4. Mappez les groupes IdP aux paramètres de contrôle des accès pour terminer le déploiement.

Rôles et autorisations nécessaires

Cette section liste les rôles et les autorisations requis pour déployer une instance Google SecOps. Accordez ces autorisations à l'expert en intégration qui effectue les tâches de déploiement :

• Tous les rôles et autorisations doivent être accordés au niveau du projet. Ces autorisations ne s'appliquent qu'au projet Google Cloud spécifié et à l'instance Google SecOps associée. Pour déployer des instances supplémentaires dans votre abonnement existant, vous pouvez utiliser le workflow en libre-service dans la console Google Cloud . Pour en savoir plus, consultez Déployer une instance supplémentaire.
• Si vous déployez une autre instance Google SecOps sous un autre contrat, vous devez accorder un nouvel ensemble de rôles et d'autorisations pour ce déploiement.

Attribuez à l'expert en intégration les rôles et les autorisations listés dans les sections suivantes :

1. Autorisations dans le compte de facturation Google
2. Rôles IAM prédéfinis
3. Autorisations pour créer un dossier Assured Workloads
4. Autorisations d'ajout d'un projet Google Cloud
5. Autorisations pour configurer un fournisseur d'identité
   1. Autorisations pour configurer Cloud Identity ou Google Workspace
   2. Autorisations pour configurer un fournisseur d'identité tiers
6. Autorisations permettant d'associer une instance Google SecOps aux services Google Cloud
7. Autorisations pour configurer le contrôle des accès aux fonctionnalités à l'aide d'IAM
8. Autorisations pour configurer le contrôle des accès aux données
9. Exigences liées aux fonctionnalités avancées de Google SecOps

Autorisations dans le compte de facturation Google

Accordez à l'expert en intégration l'autorisation billing.resourceAssociations.list pour le compte de facturation Google spécifié dans le contrat. Pour connaître la procédure détaillée, consultez Mettre à jour les autorisations d'un utilisateur pour un compte de facturation Cloud.

Rôles IAM prédéfinis

Attribuez les rôles IAM prédéfinis suivants à l'expert en intégration :

• Administrateur de l'API Chronicle
• Administrateur du service Chronicle

• Administrateur Chronicle SOAR

  Remarque : Le rôle IAM doit être accordé même lors du déploiement d'une instance non SOAR.

Autorisations pour créer un dossier Assured Workloads

Remarque : Ces autorisations sont nécessaires pour effectuer les étapes de la section Créer un dossier Assured Workloads.

Attribuez à l'expert en intégration le rôle Administrateur Assured Workloads (roles/assuredworkloads.admin), qui contient les autorisations IAM minimales pour créer et gérer des dossiers Assured Workloads.

Autorisations d'ajout d'un projet Google Cloud

Remarque : Ces autorisations IAM sont nécessaires pour effectuer les étapes de la section Configurer un projet Google Cloud pour Google SecOps.

Accordez à l'expert en intégration les autorisations de créateur de projet requises pour créer un projet Google Cloud et activer l'API Chronicle :

• Si l'expert en intégration dispose des autorisations de créateur de projet (resourcemanager.projects.create) au niveau de l'organisation, aucune autorisation supplémentaire n'est requise.

• Si l'expert en intégration ne dispose pas des autorisations de créateur de projet au niveau de l'organisation, accordez-lui les rôles IAM suivants au niveau du projet :

  • Administrateur du service Chronicle (roles/chroniclesm.admin) (si ce rôle n'a pas été attribué précédemment)
  • Éditeur (roles/editor)
  • Administrateur de projet IAM (roles/resourcemanager.projectIamAdmin)
  • Administrateur Service Usage (roles/serviceusage.serviceUsageAdmin)

Autorisations pour configurer un fournisseur d'identité

Vous pouvez utiliser un IdP pour gérer les utilisateurs, les groupes et l'authentification.

Accordez les autorisations suivantes à l'expert en intégration pour configurer un IdP :

Autorisations pour configurer Cloud Identity ou Google Workspace

Remarque : Ces autorisations sont nécessaires pour effectuer les étapes de la section Configurer un fournisseur d'identité Google Cloud .

• Avec Cloud Identity :

  Si vous utilisez Cloud Identity, accordez à l'expert en intégration les rôles et autorisations décrits dans Gérer l'accès aux projets, aux dossiers et aux organisations.

• Pour Google Workspace :

  Si vous utilisez Google Workspace, l'expert en intégration doit disposer d'un compte administrateur Cloud Identity et pouvoir se connecter à la console d'administration.

Pour en savoir plus sur l'utilisation de Cloud Identity ou de Google Workspace comme fournisseur d'identité, consultez Configurer le fournisseur d'identité Google Cloud .

Autorisations permettant de configurer un IdP tiers

Si vous utilisez un IdP tiers (tel qu'Okta ou Azure AD), configurez la fédération des identités des employés ainsi qu'un pool d'identités des employés pour activer l'authentification sécurisée.

Remarque : Ces autorisations sont nécessaires pour effectuer les étapes de la section Configurer un IdP tiers.

Attribuez à l'expert en intégration les rôles et autorisations IAM suivants :

• Éditeur (roles/editor) : autorisations d'éditeur de projet sur le projet lié à Google SecOps.

• Autorisation Administrateur de pools d'employés IAM (roles/iam.workforcePoolAdmin) au niveau de l'organisation.

  Utilisez l'exemple suivant pour définir le rôle roles/iam.workforcePoolAdmin :

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/iam.workforcePoolAdmin
  

  Remplacez les éléments suivants :

  • ORGANIZATION_ID : ID d'organisation numérique.
  • USER_EMAIL : adresse e-mail de l'administrateur.

• Lecteur de l'organisation (resourcemanager.organizations.get) au niveau de l'organisation.

Autorisations permettant d'associer une instance Google SecOps aux services Google Cloud

Remarque : Ces autorisations sont nécessaires pour effectuer les étapes de la section Associer Google SecOps aux services Google Cloud .

Accordez à l'expert en intégration les mêmes autorisations que celles décrites dans Autorisations d'ajout d'un projet Google Cloud .

Si vous prévoyez de migrer une instance Google SecOps existante, vous devez disposer des autorisations nécessaires pour accéder à Google SecOps. Pour obtenir la liste des rôles prédéfinis, consultez Rôles Google SecOps prédéfinis dans IAM.

Autorisations pour configurer le contrôle des accès aux fonctionnalités à l'aide d'IAM

Remarque : Ces autorisations sont nécessaires pour effectuer les étapes décrites dans Configurer le contrôle des accès aux fonctionnalités à l'aide d'IAM.

• Attribuez le rôle Administrateur IAM de projet (roles/resourcemanager.projectIamAdmin) au niveau du projet à l'expert en intégration. Cette autorisation est requise pour attribuer et modifier les liaisons de rôles IAM pour le projet.

• Attribuez des rôles IAM aux utilisateurs en fonction de leurs responsabilités. Pour obtenir des exemples, consultez Attribuer des rôles aux utilisateurs et aux groupes.

  Si vous prévoyez de migrer une instance Google SecOps existante vers IAM, accordez à l'expert en intégration les mêmes autorisations que celles décrites dans Autorisations pour configurer un fournisseur d'identité.

Autorisations permettant de configurer le contrôle des accès aux données

Remarque : Ces autorisations sont nécessaires pour configurer le RBAC des données pour les utilisateurs.

Attribuez les rôles IAM suivants à l'expert en intégration :

• Rôles Administrateur de l'API Chronicle (roles/chronicle.admin) et Lecteur de rôles (roles/iam.roleViewer), pour configurer le RBAC des données pour les utilisateurs.
• Rôle Administrateur IAM de projet (roles/resourcemanager.projectIamAdmin) ou Administrateur de sécurité (roles/iam.securityAdmin) pour attribuer les champs d'application aux utilisateurs.

Si vous ne disposez pas des rôles requis, attribuez-les dans IAM.

Exigences concernant les fonctionnalités avancées de Google SecOps

Le tableau suivant répertorie les fonctionnalités avancées de Google SecOps et leurs dépendances vis-à-vis d'un projet Google Cloud fourni par le client et de la fédération des identités de personnel Google.

Capacité	Google Cloud fondation	Nécessite un projet Google Cloud  ?	Nécessite une intégration IAM ?
Cloud Audit Logs : activités d'administration	Cloud Audit Logs	Oui	Oui
Cloud Audit Logs : accès aux données	Cloud Audit Logs	Oui	Oui
Cloud Billing : abonnement en ligne ou paiement à l'usage	Cloud Billing	Oui	Non
API Chronicle : accès général, création et gestion des identifiants à l'aide d'un IdP tiers	Google Cloud API	Oui	Oui
API Chronicle : accès général, création et gestion des identifiants à l'aide de Cloud Identity	Google Cloud API, Cloud Identity	Oui	Oui
Contrôles conformes : CMEK	Cloud Key Management Service ou Cloud External Key Manager	Oui	Non
Contrôles conformes : FedRAMP High ou supérieur	Assured Workloads	Oui	Oui
Contrôles conformes : service de règles d'administration	Service de règles d'administration	Oui	Non
Gestion des contacts : divulgations réglementaires	Contacts essentiels	Oui	Non
Surveillance de l'état : pannes du pipeline d'ingestion	Cloud Monitoring	Oui	Non
Ingestion : webhook, Pub/Sub, Azure Event Hub, Amazon Kinesis Data Firehose	Identity and Access Management	Oui	Non
Contrôles des accès basés sur les rôles : données	Identity and Access Management	Oui	Oui
Contrôles d'accès basés sur les rôles : fonctionnalités ou ressources	Identity and Access Management	Oui	Oui
Accès à l'assistance : envoi et suivi des demandes	Cloud Customer Care	Oui	Non
Authentification SecOps unifiée	Fédération des identités des employés Google	Non	Oui

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.