部署实例

支持范围：

Google SecOps

本文档介绍了如何部署 Google SecOps（SIEM 和 SOAR）实例，以及如何根据您的 Google SecOps 软件包层级和权利启用 Google SecOps 功能。这些新手入门步骤适用于以下 Google SecOps 软件包：标准版、企业版和企业 Plus 版。

您指定的初始配置 SME（也称为 Google SecOps SME 或结算管理员）会执行初始配置流程。此人是贵组织在 Google SecOps 方面的主要联系人。

前提条件

在初始配置新的 Google SecOps 实例之前，请确保您的组织满足以下前提条件：

• 已有效注册以下 Google SecOps 软件包之一：标准版、企业版或企业 Plus 版。

• 贵组织签署的 Google SecOps 合同。此合同授予您预配每个新 Google SecOps 实例的权限。

• 如果贵组织使用 VPC Service Controls，则您必须配置相关的入站流量和出站流量规则，这些规则在为 Google SecOps 配置 VPC Service Controls 中有详细说明。

• 如果您的组织使用出站流量防火墙、企业代理或 Web 过滤，请配置网络许可清单，以实现浏览器访问和 API 连接。如需了解详情，请参阅网络访问权限和网域许可清单以及验证 Chronicle API 的防火墙配置。

部署新的 Google SecOps 实例

请按照以下步骤部署新的 Google SecOps 实例：

1. 签署 Google SecOps 合同。

   当贵组织签署 Google SecOps 合同时，系统会开始预配新的 Google SecOps 实例。此操作会触发 Google 的内部新手入门工作流，并在 Google 的系统中注册合同详细信息，包括您的结算账号和新手入门 SME 的电子邮件地址。

2. 为初始配置准备好环境。

   在您初始配置新的 Google SecOps 实例之前，您的初始配置 SME 应准备好您的环境。

3. 创建新的 Google SecOps 实例。

4. 部署其他实例。

为初始配置准备环境

在初始配置 Google SecOps 实例之前，初始配置 SME 应准备好您的环境，如以下部分所述：

1. 授予执行初始配置的权限。
2. 设置 Assured Workloads 文件夹（可选）。
3. 配置 Google Cloud 项目。
4. 配置身份提供方。

授予执行初始配置的权限

对于每个新的 Google SecOps 实例，请向入职 SME 授予所需的入职角色和权限，如所需的角色和权限中所述。

设置 Assured Workloads 文件夹（可选）

如需创建 Assured Workloads 文件夹，请执行以下操作：

1. 前往按控制措施套餐支持的产品。
2. 在列表中，选择要应用于 Assured Workloads 文件夹的控制包类型。
3. 确保您拥有所需 IAM 角色部分中列出的所需权限。

4. 按照为…创建 Assured Workloads 文件夹部分中的步骤操作。

   注意 ：如果您管理多个组织，请选择应在其中创建 Assured Workloads 文件夹的正确组织。对于区域，选择美国，这对应于美国多区域。

设置文件夹时，请考虑以下准则：

• 合规性受控租户（实例）是指必须符合以下一项或多项合规性控制标准的租户：FedRAMP、FedRAMP_MODERATE、PCI_DSS、FedRAMP_HIGH、IL4、IL5、CMEK_V1 或 DRZ_ADVANCED。

• 与受合规控制的租户关联的所有文件都必须位于为相应合规控制标准配置的 Assured Workloads 文件夹中。

• Assured Workloads 文件夹是在组织级层创建的。

• 组织可以创建多个 Assured Workloads 文件夹，每个文件夹都专用于根据其要求提供特定的合规性控制包。例如，一个文件夹可能支持 FedRAMP_MODERATE 实例，而另一个文件夹可能支持 FedRAMP_HIGH 实例。

部署合规性受控租户（实例）时，请考虑以下准则：

• 您必须将受合规性控制的租户（实例）关联到位于 Assured Workloads 文件夹中的 Google Cloud项目。

• 如果您计划为 Google SecOps 实例创建新的 Google Cloud 项目，则必须在为所需合规性控制包配置的 Assured Workloads 文件夹中创建该项目。

• 如果您的组织没有 Assured Workloads 文件夹，则必须创建一个。

每个新的 Google SecOps 实例都必须关联到一个Google Cloud 项目。您可以使用现有 Google Cloud 项目，也可以创建新项目。

如需创建新的 Google Cloud 项目，请执行以下操作：

1. 对于符合 FedRAMP 要求的租户（实例），请在组织的 Assured Workloads 文件夹中创建项目。如果您的组织没有所需控制包的 Assured Workloads 文件夹，请创建一个。

2. 按照创建项目中的步骤操作。

   注意： 使用 <CUSTOMER-name>-chronicle 命名惯例，并确认项目的结算账号与 Google SecOps 实例的结算账号一致。
   注意： 如需将费用分配给其他结算账号，您必须输入新订单。

配置 Google Cloud 项目

Google Cloud 项目充当关联的 Google SecOps 实例的控制层。

如需正确设置，请按照为 Google SecOps 配置 Google Cloud 项目中的步骤操作。

配置身份提供方

配置身份提供方，以便为 Google SecOps 实例管理用户、群组和身份验证。

支持以下两种选项：

• 选项 1：Google Cloud 身份：

  如果您有 Google Workspace 账号，或者您将身份从 IdP 同步到 Google Cloud，请使用此选项。

  1. 创建受管理的用户账号，以控制对 Google Cloud 资源和 Google SecOps 实例的访问权限。

  2. 使用预定义角色或自定义角色定义 IAM 政策，以向用户和群组授予功能访问权限。

  如需了解详细说明，请参阅配置 Google Cloud 身份提供方。

  注意： 此选项不适用于 FedRAMP、IL4 或 IL5 合规性客户。

• 选项 2：员工身份联合：

  如果您使用第三方 IdP（例如 Okta 或 Azure AD），请使用此选项。

  配置 Google 的员工身份联合并创建员工身份池。借助 Google 的员工身份联合，您可以授予本地或多云工作负载对 Google Cloud 资源的访问权限，而无需使用服务账号密钥。

  如需了解详细说明，请参阅配置第三方身份提供方。

配置新的 Google SecOps 实例

Google 系统会向您的入职 SME 发送 Google SecOps 入职邀请电子邮件。此电子邮件包含一个激活链接，用于启动设置流程。

重要提示： 托管 Google SecOps 实例的 Google Cloud 项目必须与预订 Google SecOps 订阅订单时使用的结算账号 ID 完全相同。如果这些账号不一致，系统将无法将您的订阅赠金应用于您的用量，从而导致扣款不正确。如需将费用分配到其他结算账号，您必须输入新订单。

为环境做好初始配置准备后，初始配置 SME 应执行以下操作：

• 点击邮件邀请中的激活链接。

• 执行以下部分中的步骤以部署 Google SecOps 实例：

  1. 配置新的 Google SecOps 实例并将其关联到 Google Cloud 项目。
  2. 使用 IAM 配置功能访问权限控制。
  3. 为用户配置数据 RBAC。
  4. 将 IdP 群组映射到访问权限控制参数，以完成部署。

所需的角色和权限

本部分列出了部署 Google SecOps 实例所需的角色和权限。 向执行部署任务的入职 SME 授予以下权限：

• 所有角色和权限都必须在项目级层授予。这些权限仅适用于指定的 Google Cloud 项目和关联的 Google SecOps 实例。如需在现有订阅中部署其他实例，您可以使用 Google Cloud 控制台中的自助工作流。如需了解详情，请参阅部署其他实例。
• 如果您根据其他合同部署另一个 Google SecOps 实例，则必须为该部署授予一组新的角色和权限。

向入职 SME 授予以下部分中列出的角色和权限：

1. Google 结算账号中的权限
2. 预定义 IAM 角色
3. 创建 Assured Workloads 文件夹所需的权限
4. 添加 Google Cloud 项目的权限
5. 配置身份提供方所需的权限
   1. 配置 Cloud Identity 或 Google Workspace 的权限
   2. 配置第三方身份提供方所需的权限
6. 将 Google SecOps 实例关联到 Google Cloud 服务的权限
7. 使用 IAM 配置功能访问权限控制所需的权限
8. 配置数据访问权限控制所需的权限
9. Google SecOps 高级功能要求

Google 结算账号中的权限

为入职 SME 授予合同中指定的 Google 结算账号的 billing.resourceAssociations.list 权限。如需了解详细步骤，请参阅更新 Cloud Billing 账号的用户权限。

预定义 IAM 角色

向入职 SME 授予以下预定义 IAM 角色：

• Chronicle API Admin
• Chronicle Service Admin

• Chronicle SOAR Admin

  注意： 即使部署非 SOAR 实例，也应授予 IAM 角色。

创建 Assured Workloads 文件夹所需的权限

注意： 执行创建新的 Assured Workloads 文件夹中的步骤需要这些权限。

向入职 SME 授予 Assured Workloads Administrator (roles/assuredworkloads.admin) 角色，该角色包含创建和管理 Assured Workloads 文件夹所需的最低 IAM 权限。

添加 Google Cloud 项目的权限

注意 ：需要这些 IAM 权限才能执行为 Google SecOps 配置 Google Cloud 项目中的步骤。

向负责初始配置的 SME 授予创建 Google Cloud 项目和启用 Chronicle API 所需的项目创建者权限：

• 如果入职 SME 在组织级层具有 Project Creator (resourcemanager.projects.create) 权限，则不需要其他权限。

• 如果入职 SME 在组织级层没有项目创建者权限，请授予以下项目级 IAM 角色：

  • Chronicle Service Admin (roles/chroniclesm.admin)（如果之前未授予此角色）
  • Editor (roles/editor)
  • Project IAM Admin (roles/resourcemanager.projectIamAdmin)
  • Service Usage Admin (roles/serviceusage.serviceUsageAdmin)

配置身份提供方的权限

您可以使用 IdP 来管理用户、群组和身份验证。

向负责配置 IdP 的入驻 SME 授予以下权限：

配置 Cloud Identity 或 Google Workspace 的权限

注意： 执行配置 Google Cloud 身份提供方中的步骤需要这些权限。

• 对于 Cloud Identity：

  如果您使用的是 Cloud Identity，请向入职 SME 授予管理对项目、文件夹和组织的访问权限中所述的角色和权限。

• 对于 Google Workspace：

  如果您使用的是 Google Workspace，则入职 SME 必须拥有 Cloud Identity 管理员账号，并且能够登录管理控制台。

如需详细了解如何将 Cloud Identity 或 Google Workspace 用作身份提供方，请参阅配置 Google Cloud 身份提供方。

配置第三方 IdP 的权限

如果您使用第三方 IdP（例如 Okta 或 Azure AD），请配置员工身份联合以及员工身份池，以实现安全身份验证。

注意： 执行配置第三方 IdP 中的步骤需要这些权限。

向入职 SME 授予以下 IAM 角色和权限：

• Editor (roles/editor)：对 Google SecOps 绑定项目的项目 Editor 权限。

• 组织级层的 IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) 权限。

  使用以下示例设置 roles/iam.workforcePoolAdmin 角色：

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/iam.workforcePoolAdmin
  

  替换以下内容：

  • ORGANIZATION_ID：组织 ID。
  • USER_EMAIL：管理员的邮箱。

• 组织级层的 Organization Viewer (resourcemanager.organizations.get) 权限。

将 Google SecOps 实例关联到 Google Cloud 服务的权限

注意 ：执行将 Google SecOps 关联到 Google Cloud 服务中的步骤需要这些权限。

向负责初始配置的 SME 授予与添加 Google Cloud 项目的权限相同的权限。

如果您计划迁移现有 Google SecOps 实例，则需要拥有访问 Google SecOps 的权限。如需查看预定义角色的列表，请参阅 IAM 中的 Google SecOps 预定义角色。

使用 IAM 配置功能访问权限控制所需的权限

注意： 使用 IAM 配置功能访问权限控制中的步骤需要这些权限。

• 在项目级层向入职 SME 授予 Project IAM Admin (roles/resourcemanager.projectIamAdmin) 角色。您需要拥有此权限才能为项目分配和修改 IAM 角色绑定。

• 根据用户的职责为其分配 IAM 角色。如需查看示例，请参阅向用户和群组分配角色。

  如果您计划将现有 Google SecOps 实例迁移到 IAM，请向负责初始配置的中小企业授予与配置身份提供方所需的权限相同的权限。

配置数据访问权限控制的权限

注意 ：为用户配置数据 RBAC 需要这些权限。

向入驻 SME 授予以下 IAM 角色：

• Chronicle API Admin (roles/chronicle.admin) 和 Role Viewer (roles/iam.roleViewer) 角色，用于为用户配置数据 RBAC。
• Project IAM Admin (roles/resourcemanager.projectIamAdmin) 或 Security Admin (roles/iam.securityAdmin) 角色，用于向用户分配范围。

如果您没有所需角色，请在 IAM 中分配角色。

Google SecOps 高级功能要求

下表列出了 Google SecOps 高级功能及其对客户提供的 Google Cloud 项目和 Google 员工身份联合的依赖关系。

能力	Google Cloud 基础	需要 Google Cloud 项目？	是否需要 IAM 集成？
Cloud Audit Logs：管理活动	Cloud Audit Logs	是	是
Cloud Audit Logs：数据访问	Cloud Audit Logs	是	是
Cloud Billing：在线订阅或随用随付	Cloud Billing	是	否
Chronicle API：使用第三方 IdP 进行常规访问、生成和管理凭证	Google Cloud API	是	是
Chronicle API：常规访问权限，使用 Cloud Identity 签发和管理凭据	Google Cloud API、Cloud Identity	是	是
合规控制措施：CMEK	Cloud Key Management Service 或 Cloud External Key Manager	是	否
合规控制措施：FedRAMP 高影响级别或更高级别	Assured Workloads	是	是
合规控制措施：Organization Policy Service	Organization Policy Service	是	否
联系人管理：依法披露	重要联系人	是	否
运行状况监控：提取流水线服务中断	Cloud Monitoring	是	否
注入：Webhook、Pub/Sub、Azure 事件中心、Amazon Kinesis Data Firehose	Identity and Access Management	是	否
基于角色的访问控制：数据	Identity and Access Management	是	是
基于角色的访问控制：功能或资源	Identity and Access Management	是	是
支持服务访问权限：提交和跟踪支持请求	Cloud Customer Care	是	否
统一 SecOps 身份验证	Google 员工身份联合	否	是

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。