部署執行個體

支援的服務：

Google SecOps

本文說明如何部署 Google SecOps (SIEM 和 SOAR) 執行個體，並根據 Google SecOps 套件層級和授權啟用 Google SecOps 功能。這些新手上路步驟適用於下列 Google SecOps 套件：Standard、Enterprise 和 Enterprise Plus。

指定新進人員訓練 SME (也稱為 Google SecOps SME 或帳單管理員) 執行新進人員訓練程序。這個人是貴組織的 Google SecOps 主要聯絡窗口。

必要條件

如要啟用新的 Google SecOps 執行個體，請先確認貴組織符合下列條件：

• 有效註冊下列其中一個 Google SecOps 套件：Standard、Enterprise 或 Enterprise Plus。

• 貴機構簽署的 Google SecOps 合約。這份合約會授權您佈建每個新的 Google SecOps 執行個體。

• 如果貴組織使用 VPC Service Controls，您必須設定相關的輸入和輸出規則，詳情請參閱「設定 Google SecOps 的 VPC Service Controls」。

• 如果貴機構使用輸出防火牆、企業 Proxy 或網頁篩選功能，請設定網路許可清單，以便存取瀏覽器和 API 連線能力。詳情請參閱「網路存取權和網域許可清單」和「驗證 Chronicle API 的防火牆設定」。

部署新的 Google SecOps 執行個體

請按照下列步驟部署新的 Google SecOps 執行個體：

1. 簽署 Google SecOps 合約。

   貴組織簽署 Google SecOps 合約後，系統就會開始佈建新的 Google SecOps 執行個體。這項操作會觸發 Google 的內部新手上路工作流程，並在 Google 系統中註冊合約詳細資料，包括您的帳單帳戶和新手上路 SME 的電子郵件地址。

2. 準備環境以進行新手上路程序。

   在您啟用新的 Google SecOps 執行個體前，負責新進人員訓練的中小企業應先準備好環境。

3. 啟用新的 Google SecOps 執行個體。

4. 部署其他執行個體。

準備環境，以便開始使用

導入 SME 應在導入 Google SecOps 執行個體前準備環境，如以下各節所述：

1. 授予執行新手上路程序的權限。
2. 設定 Assured Workloads 資料夾 (選用)。
3. 設定 Google Cloud 專案。
4. 設定識別資訊提供者。

授予執行新手上路的權限

針對每個新的 Google SecOps 執行個體，請按照「必要角色和權限」一節所述，將必要的新手上路角色和權限授予新手上路 SME。

設定 Assured Workloads 資料夾 (選用)

如要建立 Assured Workloads 資料夾，請按照下列步驟操作：

1. 請參閱「控管套件支援的產品」。
2. 在清單中，選取要套用至 Assured Workloads 資料夾的控管套件類型。
3. 確認您具備「必要 IAM 角色」一節列出的必要權限。

4. 請按照「為...建立 Assured Workloads 資料夾」一節的步驟操作。

   注意： 如果您管理多個組織，請選取要建立 Assured Workloads 資料夾的正確組織。在「region」(區域) 部分，選取「US」，這對應於「US multi-region」(美國多區域)。

設定資料夾時，請考量下列準則：

• 法規遵循控管租戶 (執行個體) 必須符合下列一或多項法規遵循控管標準：FedRAMP、FedRAMP_MODERATE、PCI_DSS、FedRAMP_HIGH、IL4、IL5、CMEK_V1 或 DRZ_ADVANCED。

• 與受法規遵循控管的租戶相關聯的所有檔案，都必須位於已設定適當法規遵循控管標準的 Assured Workloads 資料夾中。

• Assured Workloads 資料夾是在組織層級建立。

• 組織可以建立多個 Assured Workloads 資料夾，並根據需求，為每個資料夾指定特定的法規遵循控管套件。舉例來說，一個資料夾可能支援 FedRAMP_MODERATE 執行個體，另一個資料夾則支援 FedRAMP_HIGH 執行個體。

部署法規遵循控管租戶 (執行個體) 時，請考量下列準則：

• 您必須將受法規遵循控管的租戶 (執行個體) 連結至位於 Assured Workloads 資料夾中的 Google Cloud專案。

• 如果您打算為 Google SecOps 執行個體建立新的 Google Cloud 專案，請務必在 Assured Workloads 資料夾中建立專案，並為該資料夾設定必要的法規遵循控制套件。

• 如果貴組織沒有 Assured Workloads 資料夾，請務必建立一個。

每個新的 Google SecOps 執行個體都必須連結至Google Cloud 專案。您可以使用現有的 Google Cloud 專案，也可以建立新專案。

如要建立新的 Google Cloud 專案，請按照下列步驟操作：

1. 如要建立符合 FedRAMP 規範的租戶 (執行個體)，請在組織的 Assured Workloads 資料夾中建立專案。如果貴組織沒有所需控管套件的 Assured Workloads 資料夾，請建立一個。

2. 請按照「建立專案」中的步驟操作。

   注意： 請使用 <CUSTOMER-name>-chronicle 命名慣例，並確認專案的帳單帳戶與 Google SecOps 執行個體的帳單帳戶相符。
   注意： 如要將費用分配至其他帳單帳戶，您必須輸入新訂單。

設定 Google Cloud 專案

Google Cloud 專案是連結 Google SecOps 執行個體的控制層。

如要正確設定，請按照「設定 Google SecOps 的 Google Cloud 專案」中的步驟操作。

設定識別資訊提供者

設定識別資訊提供者，管理 Google SecOps 執行個體的使用者、群組和驗證。

支援的選項有兩種：

• 選項 1：Google Cloud Identity：

  如果您有 Google Workspace 帳戶，或從 IdP 同步處理身分至 Google Cloud，請使用這個選項。

  1. 建立受管理的使用者帳戶，控管 Google Cloud 資源和 Google SecOps 執行個體的存取權。

  2. 使用預先定義或自訂角色定義 IAM 政策，將功能存取權授予使用者和群組。

  如需詳細操作說明，請參閱「設定 Google Cloud 識別資訊提供者」。

  注意： 這項選項不適用於 FedRAMP、IL4 或 IL5 法規遵循客戶。

• 選項 2：員工身分聯盟：

  如果您使用第三方 IdP (例如 Okta 或 Azure AD)，請選用這個選項。

  設定 Google 的員工身分聯盟，並建立員工身分集區。Google 的員工身分聯盟可讓您將 Google Cloud 資源的存取權授予地端部署或多雲端工作負載，不必使用服務帳戶金鑰。

  如需詳細操作說明，請參閱「設定第三方識別資訊提供者」。

啟用新的 Google SecOps 執行個體

Google 系統會傳送 Google SecOps 新手上路邀請電子郵件給您的新手上路 SME。這封電子郵件包含啟用連結，可啟動設定程序。

重要事項： 託管 Google SecOps 執行個體的 Google Cloud 專案，必須連結至預訂 Google SecOps 訂閱訂單時使用的帳單帳戶 ID。如果帳戶不相符，系統就無法將訂閱抵免額套用至用量，導致收費不正確。如要將費用分配至其他帳單帳戶，請輸入新訂單。

為環境做好導入準備後，導入 SME 應執行下列操作：

• 按一下邀請電子郵件中的啟用連結。

• 請按照下列各節的步驟部署 Google SecOps 執行個體：

  1. 設定新的 Google SecOps 執行個體，並連結至 Google Cloud 專案。
  2. 使用 IAM 設定功能存取控管機制。
  3. 為使用者設定資料 RBAC。
  4. 將 IdP 群組對應至存取控管參數，完成部署作業。

必要角色和權限

本節列出部署 Google SecOps 執行個體所需的角色和權限。請將這些權限授予執行部署作業的新進人員訓練 SME：

• 所有角色和權限都必須在專案層級授予。這些權限僅適用於指定的 Google Cloud 專案和相關聯的 Google SecOps 執行個體。如要在現有訂閱方案中部署其他執行個體，請使用 Google Cloud 控制台中的自助式工作流程。詳情請參閱「部署其他執行個體」。
• 如果您在其他合約下部署另一個 Google SecOps 執行個體，則必須為該部署作業授予一組新的角色和權限。

將下列各節列出的角色和權限授予新手上路 SME：

1. Google 帳單帳戶中的權限
2. 預先定義的 IAM 角色
3. 建立 Assured Workloads 資料夾的權限
4. 新增 Google Cloud 專案的權限
5. 設定識別資訊提供者的權限
   1. 設定 Cloud Identity 或 Google Workspace 的權限
   2. 設定第三方識別資訊提供者的權限
6. 將 Google SecOps 執行個體連結至 Google Cloud 服務的權限
7. 使用 IAM 設定功能存取控管機制的權限
8. 設定資料存取控管機制的權限
9. Google SecOps 進階功能需求條件

Google 帳單帳戶的權限

將合約中指定的 Google 帳單帳戶 billing.resourceAssociations.list 權限授予新進人員訓練 SME。如需詳細步驟，請參閱「更新 Cloud Billing 帳戶的使用者權限」。

預先定義的 IAM 角色

將下列預先定義的 IAM 角色授予新進 SME：

• Chronicle API 管理員
• Chronicle 服務管理員

• Chronicle SOAR 管理員

  注意： 即使部署非 SOAR 執行個體，也應授予 IAM 角色。

建立 Assured Workloads 資料夾的權限

注意： 您必須具備這些權限，才能執行「建立新的 Assured Workloads 資料夾」中的步驟。

將 Assured Workloads 管理員 (roles/assuredworkloads.admin) 角色授予新進人員訓練 SME，該角色包含建立及管理 Assured Workloads 資料夾所需的最低 IAM 權限。

新增 Google Cloud 專案的權限

注意： 您必須具備這些 IAM 權限，才能執行「為 Google SecOps 設定 Google Cloud 專案」中的步驟。

授予新進人員訓練 SME 建立 Google Cloud 專案和啟用 Chronicle API 所需的專案建立者權限：

• 如果新進人員訓練 SME 在組織層級具備專案建立者 (resourcemanager.projects.create) 權限，則不需額外權限。

• 如果新進人員訓練 SME 在組織層級沒有專案建立者權限，請授予下列專案層級 IAM 角色：

  • Chronicle 服務管理員 (roles/chroniclesm.admin) (如果先前未授予這個角色)
  • 編輯者 (roles/editor)
  • 專案 IAM 管理員 (roles/resourcemanager.projectIamAdmin)
  • 服務使用情形管理員 (roles/serviceusage.serviceUsageAdmin)

設定識別資訊提供者的權限

您可以使用 IdP 管理使用者、群組和驗證。

將下列權限授予負責設定 IdP 的新手上路 SME：

設定 Cloud Identity 或 Google Workspace 的權限

注意： 您必須具備這些權限，才能執行「設定 Google Cloud 識別資訊提供者」中的步驟。

• Cloud Identity：

  如果您使用 Cloud Identity，請授予新進人員訓練 SME 管理專案、資料夾和組織的存取權一文所述的角色和權限。

• Google Workspace：

  如果您使用 Google Workspace，負責新進人員訓練的中小企業必須擁有 Cloud Identity 管理員帳戶，並能登入管理控制台。

如要進一步瞭解如何使用 Cloud Identity 或 Google Workspace 做為 IdP，請參閱「設定 Google Cloud IdP」。

設定第三方 IdP 的權限

如果您使用第三方 IdP (例如 Okta 或 Azure AD)，請設定員工身分聯盟和員工身分集區，啟用安全驗證機制。

注意： 您必須具備這些權限，才能執行「設定第三方 IdP」中的步驟。

授予新進中小企業下列 IAM 角色和權限：

• 編輯者 (roles/editor)：具備 Google SecOps 繫結專案的專案編輯者權限。

• 組織層級的 IAM 工作團隊集區管理員 (roles/iam.workforcePoolAdmin) 權限。

  請參考下列範例，設定 roles/iam.workforcePoolAdmin 角色：

    gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
    --member "user:USER_EMAIL" \
    --role roles/iam.workforcePoolAdmin
  

  更改下列內容：

  • ORGANIZATION_ID：組織 ID。
  • USER_EMAIL：管理員的電子郵件地址。

• 組織層級的組織檢視者 (resourcemanager.organizations.get) 權限。

將 Google SecOps 執行個體連結至 Google Cloud 服務的權限

注意： 您必須具備這些權限，才能執行「將 Google SecOps 連結至 Google Cloud 服務」中的步驟。

授予新進中小企業與新增 Google Cloud 專案權限相同的權限。

如果您打算遷移現有的 Google SecOps 執行個體，則需要 Google SecOps 的存取權限。如需預先定義角色的清單，請參閱「IAM 中的 Google SecOps 預先定義角色」。

使用 IAM 設定功能存取控管機制的權限

注意： 您需要這些權限，才能執行「使用 IAM 設定功能存取控管機制」中的步驟。

• 在專案層級，將專案 IAM 管理員 (roles/resourcemanager.projectIamAdmin) 角色授予新進中小企業。必須具備這項權限，才能指派及修改專案的 IAM 角色繫結。

• 根據使用者的職責指派 IAM 角色。如需範例，請參閱「為使用者和群組指派角色」。

  如果您打算將現有的 Google SecOps 執行個體遷移至 IAM，請授予新進人員訓練 SME 與設定識別資訊提供者相同的權限。

設定資料存取控管的權限

注意： 您需要這些權限，才能為使用者設定資料 RBAC。

將下列 IAM 角色授予新進人員訓練 SME：

• Chronicle API 管理員 (roles/chronicle.admin) 和角色檢視者 (roles/iam.roleViewer) 角色，用於為使用者設定資料 RBAC。
• 專案 IAM 管理員 (roles/resourcemanager.projectIamAdmin) 或安全管理員 (roles/iam.securityAdmin) 角色，用於將範圍指派給使用者。

如果沒有必要角色，請在 IAM 中指派角色。

Google SecOps 進階功能需求

下表列出 Google SecOps 進階功能，以及這些功能對客戶提供的 Google Cloud 專案和 Google 員工身分聯盟的依賴關係。

功能	Google Cloud foundation	是否需要 Google Cloud 專案？	是否需要整合 IAM？
Cloud 稽核記錄：管理活動	Cloud 稽核記錄	是	是
Cloud 稽核記錄：資料存取	Cloud 稽核記錄	是	是
Cloud Billing：線上訂閱或即付即用	Cloud Billing	是	否
Chronicle API：一般存取權、使用第三方 IdP 建立及管理憑證	Google Cloud API	是	是
Chronicle API：一般存取權、使用 Cloud Identity 建立及管理憑證	Google Cloud API、Cloud Identity	是	是
符合規定的控管機制：CMEK	Cloud Key Management Service 或 Cloud External Key Manager	是	否
法規遵循控管：FedRAMP 高等風險或以上	Assured Workloads	是	是
法規遵循控管機制：組織政策服務	組織政策服務	是	否
聯絡人管理：依法揭露	重要聯絡人	是	否
健康狀態監控：擷取管道中斷	Cloud Monitoring	是	否
擷取：Webhook、Pub/Sub、Azure 事件中樞、Amazon Kinesis Data Firehose	Identity and Access Management	是	否
角色式存取控管：資料	Identity and Access Management	是	是
角色式存取控管：功能或資源	Identity and Access Management	是	是
支援存取權：提交及追蹤案件	Cloud Customer Care	是	否
統合 SecOps 驗證	Google 員工身分聯盟	否	是

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。