关于 SOAR 迁移的常见问题解答

支持范围：

获取有关 SOAR 迁移流程的常见问题解答。查找常见问题的解决方案和成功过渡的最佳实践。

迁移范围和影响

问：如何知道迁移是否成功？

当已启用 CloudIAM 处于活跃状态，并且 Cloud Logging 连续 30 天记录的需要客户采取行动的旧版 SOAR API 调用次数为零时，您的环境即已完全迁移。按如下方式验证每个阶段：

  1. 检查平台和 Identity and Access Management (IAM) 状态：前往 SOAR 设置 > 许可管理，然后查看系统版本号旁边的文本：
    • 第 1 阶段之后：Google.com 会显示在系统版本号旁边。
    • 第 2 阶段 IAM 迁移后：系统版本号旁边会同时显示 Google.com 和 CloudIAM Enabled。

  2. 在 Cloud Logging 中确认旧版 API 调用次数为零：

    1. 验证 SOAR 操作日志 (resource.labels.namespace_name="chronicle-soar") 是否正在流向 Google Cloud 项目中的 Cloud Logging。系统会自动为统一的 Google Security Operations 实例启用日志导出功能，并使用 Logs Writer 服务账号为 SOAR 独立实例配置日志导出功能；请参阅收集 SOAR 平台日志。所有旧版 API 弃用警告 (labels.auth_deprecation="true") 都会在此处作为 WARNING 严重级别的操作日志发出，而不是在 Cloud Audit Logs 中发出，并且只有客户可采取行动的警告 (labels.actionable_by="Customer") 会导出到您的 Google Cloud 项目（内部 Google 界面和系统调用会自动过滤掉）。

    2. 在 Google Cloud 控制台中，前往 Logging > Logs Explorer，将时间范围设置为 30 天，然后运行以下查询：

      resource.labels.namespace_name="chronicle-soar"
labels.auth_deprecation="true"

    3. 确认该查询在连续 30 天内返回零个日志条目，如以下示例所示：

      Logs Explorer 显示 auth_deprecation 查询的结果为零。
      图 1：Logs Explorer 显示零个旧版 API 弃用日志条目。

      如果出现条目，请在 Logs Explorer 中运行以下查询，并检查发出的字段，以找出仍在调用旧版 siemplify-soar.com 端点的组件：

      • Outdated Content Hub（开箱即用）集成：
      resource.labels.namespace_name="chronicle-soar"
labels.auth_deprecation="true"
labels.is_system="true"
labels.is_custom="false"

      检查 labels.integration_name、labels.integration_version、labels.latest_integration_version 和触发组件（labels.action_name、labels.connector_name、labels.job_name、labels.playbook_name），找到要更新的 Content Hub 软件包。

      • 手动发出 HTTP 调用的自定义 Python 代码：
      resource.labels.namespace_name="chronicle-soar"
labels.auth_deprecation="true"
labels.is_custom="true"

      检查 labels.integration_name、labels.action_name、labels.connector_name、labels.job_name 和 labels.playbook_name，找到自定义脚本。

      • 直接调用旧版 API 的外部脚本和第三方工具 (AppKey)：
      resource.labels.namespace_name="chronicle-soar"
labels.auth_deprecation="true"
labels.is_system="false"

      检查 labels.app_key（旧版 API 密钥标识符）、labels.via_xlb（"true"，用于外部入站流量）以及 textPayload (Deprecated direct AppKey authentication detected (Route: ROUTE).) 中调用的 HTTP 路由，如以下示例所示：

      Logs Explorer 显示活跃的旧版 API 密钥弃用日志。
      图 2. 展开的弃用日志条目，其中显示了 app_key 标签和 HTTP 路由。

      • 远程代理归因 (labels.is_remote="true")：表示来自远程代理上运行的代码的旧版调用。首先，将远程代理升级到 2.6.2 或更高版本，并将其迁移到服务账号身份验证（请参阅迁移远程代理身份验证基础架构）。升级远程代理并为其配置 Google Cloud 服务账号后，代理自身的控制平面轮询将使用 OAuth 2.0；远程代理 SDK 调用的完整组件标签归因功能正在生产环境中分阶段发布。如果迁移代理后条目仍然存在，请检查该代理上运行的过时集成或自定义代码。

  3. 验证远程代理和 webhook：如果您的环境使用远程代理或传入 webhook，请确认它们在新基础设施上正常运行：

    • 远程代理：前往 SOAR 设置 > 高级 > 远程代理，确认每个已迁移的代理都报告活跃状态。
    • 网络钩子：向每个更新后的区域级 : ingest 网络钩子网址 发送测试事件，并确认 Google SecOps 提取了该提醒。

问：为什么必须进行此次迁移？

我们正在通过迁移到 Google Cloud对 SOAR 基础设施进行现代化改造。 此次关键升级带来了诸多重要优势，包括更高的可靠性、更强的安全性、更出色的合规性以及更精细的访问权限控制。它还通过 Model Context Protocol (MCP) 集成提供对智能体 AI 功能的访问权限。

迁移提供以下功能：

  • 利用 Google 业界领先的 API 层，增强 SOAR 的可靠性和监控功能。该层提供领先的 API 解决方案，具备配额管理、审核和可观测性等高级功能。
  • 解锁整个平台中功能和数据的基于角色的访问控制 (RBAC)。
  • 提供更强大的合规功能，例如 VPC Service Controls、数据驻留和客户管理的加密密钥 (CMEK)。

问：迁移范围是什么？

迁移涉及以下组件：

  • 正在将 SOAR 项目迁移到客户拥有的 Google Cloud 项目。
  • 将 SOAR 身份验证和权限迁移到 Google Cloud IAM。
  • 将 SOAR API 迁移到 Chronicle API。
  • 迁移远程代理身份验证基础设施。

问：迁移后会立即发生哪些变化？

迁移完成后，您会立即体验到以下几项重大变化：

  • GCP 项目所有权：您的 SOAR 项目将从 Google 所有迁移到客户所有的 Google Cloud 项目。
  • 身份验证：
    • Unified SecOps 客户：无变化。身份验证将继续由 Google Cloud IAM 管理。
    • SOAR 独立版客户：身份验证现在将由 Google Cloud IAM 管理。对于使用 SAML 的用户，这意味着采用员工身份联合，并且 SAML 配置将不再存储和管理在 SOAR 系统本身中，从而实现更强大的安全控制。
  • RBAC：用户权限将变得更加精细，并使用 IAM 进行管理。环境和 SOC 角色将继续在 SOAR 模块中使用身份提供方 (IdP) 组进行管理。
  • 审计日志记录：审计日志将更加详细，并在 Cloud Audit Logs 中进行管理。
  • 新网址（仅限 SOAR）：SOAR 独立版用户将收到用于访问 SOAR 的新网址（新网域）。

问：客户/合作伙伴会如何收到此次迁移的通知？

所有客户和合作伙伴都会看到一个产品内弹出式窗口，其中包含迁移日期和要填写的表单链接。系统会提示他们确认迁移日期和时间段。

问：SOAR 绑定到我们的 Google Cloud 项目后，我们的基础设施费用会发生变化吗？

不会，您的费用不会受到影响。您应该不会看到前端有任何变化。您的项目中不会运行任何新资源，因此不会产生相关费用。

问：如何将我们的项目与 SOAR 关联？

Google 会将您的 SOAR 项目迁移到您的 Google Cloud 项目。 如果您是 Unified SecOps 客户，我们已经有您的 Google Cloud 项目 ID。 如果您是 SOAR 独立客户，则需要与我们分享您的 Google Cloud 项目 ID。

问：对于已经部署了 Google SecOps 的客户，我们应该使用与 SIEM 相同的项目 ID，还是需要单独的项目？

对于统一的 Google SecOps 部署（一个 SIEM，一个 SOAR），您应使用与 SIEM 关联的现有 Google Cloud 项目 ID。这样可以统一管理管理流程，例如 RBAC 和日志。

问：对于有特殊注意事项（例如 VPC Service Controls [VPC-SC]）的 Google SecOps 实例，需要执行哪些步骤？

如需启用迁移，您需要在 VPC-SC 政策中同时定义入站流量和出站流量规则。 如果您的 Google Cloud 项目启用了 VPC SC，请与支持团队联系，获取有关这些特定规则的详细指导。

使用 VPC-SC 时，不支持以下两项 API 功能：

  • 网络钩子
  • Playbook 审批链接

问：如何检查迁移是否成功？

前往 SOAR 设置 > License Manager，检查是否已成功完成。第 1 阶段之后，系统版本号后面会显示 Google.com。 在将 SOAR 权限迁移到 IAM 角色的第 2 阶段之后，系统版本号后面会同时显示 Google.com 和 CloudIAM Enabled。

停机时间和连续性

问：迁移期间是否会出现停机？会有什么影响？

可以。预计停机时间如下：

  • 对于 SOAR 独立客户，最长 2 小时。
  • 对于 Google SecOps 客户，最长 1.5 小时。

在此期间，您将无法登录该平台。SOAR 服务（包括提取、playbook、作业）将暂停，但 SIEM 服务将继续在后台运行。

问：SOAR 服务恢复后，系统会自动提取停机期间生成的数据吗？

可以。系统恢复在线状态后，提取和 playbook 将恢复运行，并处理停机期间生成或提取的所有提醒。

问：在停机开始时，正在运行的 playbook 会发生什么情况？

Playbook 服务将在迁移开始前关闭，一些正在运行的 Playbook 可能会失败，需要手动重启或在迁移完成后恢复。

问：如果迁移过程中出现问题，是否有回滚或应急计划？

可以。迁移过程会使现有 SOAR 实例保持完好无损（尽管已关闭）。 如果迁移过程未成功完成，我们可以切换回您现有的实例，并移除新实例。 此回滚过程最多需要 30 分钟。我们将进行广泛的测试和密切的监控，并安排值班人员随时待命，以确保迁移成功。

如果您在迁移后遇到访问问题，则可能是身份验证设置不正确。您需要与身份、IDP 或 Google Cloud 管理员协调，使用问题排查指南进行识别和解决。如果问题仍然存在或与访问权限无关，请提交支持服务工单，记录问题并跟踪其解决情况。

问：我何时可以迁移到 Chronicle API 端点？迁移顺序是怎样的？

实例完成第 1 阶段迁移（Google.com 显示在 SOAR 设置 > 许可管理中）后，Chronicle API 端点即处于活跃状态，您可以按照自己的节奏以任意顺序迁移组件（包括外部 API 脚本、远程代理、Content Hub 集成、Webhook 和 IAM 权限），甚至可以在点击启用 IAM 之前进行迁移。在 2027 年 3 月 31 日之前，旧版 siemplify-soar.com API 端点和 AppKey 身份验证将继续与 Chronicle API 并行运行，不会出现停机。

如需将外部脚本或自定义集成迁移到 Chronicle API，请执行以下操作：

  1. 授予 IAM 权限并在“群组映射”中进行映射：向您的服务账号或工作负载身份联合主账号授予所需的预定义 Chronicle IAM 角色，或者如果您想根据现有的 SOAR 权限群组生成自定义 IAM 角色，请先运行 SOAR IAM 迁移脚本，然后在 SOAR 设置 > 高级 > 群组映射中映射该账号。点击启用 IAM 还会更新 Google SecOps 界面，以便在 Webhook 页面上显示更新后的 chronicle.googleapis.com 网址。
  2. 更新端点和身份验证：更新外部脚本和自定义集成，以使用 OAuth 2.0 身份验证调用相应的 Chronicle API 端点。

身份验证和权限

问：如何迁移 SOAR 权限组和权限？

您将在 Google Cloud 控制台中使用迁移脚本，将现有权限组迁移到 IAM 自定义角色。该脚本还会向用户（对于 Cloud Identity 客户）或 IdP 群组（对于员工身份联合客户）分配自定义角色。

问：如果我不想迁移自定义权限组，只想使用预定义角色，该怎么办？

您可以选择不进行自动迁移，而是手动将 IdP 群组映射到 Cloud IAM 角色。

问：我们是 SOAR 独立客户，使用自定义 SAML 提供商进行手动身份验证。如果我们将此设置更改为“IdP 群组”以进行 IdP 映射，对现有用户账号会有什么影响？

假设您的现有用户与其中一个群组匹配，并且权限映射正确，那么您的现有用户账号应该不会受到任何影响。 不过，如果用户未映射到群组，则无法登录。 如果权限映射方式不同，用户将根据新映射获得新权限。

问：对于使用多个身份提供方的 MSSP，是否有特定的前提条件？

如果客户在 SOAR 外部身份验证页面上配置了多个身份提供方，则应定义员工身份联合进行身份验证，并为每个提供方创建一个单独的员工池。 每个提供商都与不同的子网域相关联。如需了解详情，请参阅 MSSP 迁移指南。

问：如何向 Chronicle API 进行身份验证？

按照向 Chronicle API 进行身份验证中的说明操作。

问：访问新 SOAR API 需要哪些新 IP？

无需将任何 IP 地址列入许可清单即可访问 Chronicle API。（可选）您可以将 Google 服务 IP 范围和 Google Cloud 资源 IP 范围中指明的 IP 地址范围列入许可名单。

日志记录和监控

问：我们完成了第一阶段的迁移，但在 Cloud Audit Logs 中没有看到 SOAR 事件。

  • SOAR 操作日志（resource.labels.namespace_name="chronicle-soar" 下的 playbook、Python、ETL 和 labels.auth_deprecation="true" 警告）将在第 1 阶段 (Google.com) 完成后在 Logging 中提供。如需了解设置和查询说明，请参阅收集 SOAR 平台日志。
  • Cloud Audit Logs (cloudaudit.googleapis.com)：完成第 1 阶段后，审计日志仍会存储在 SOAR 平台的审计页面上。完成第 2 阶段（即启用 Google Cloud IAM 并将 API 调用迁移到chronicle.googleapis.com）后，SOAR 用户和 API 审计事件将在 Google Cloud 项目的 Cloud Audit Logs 中提供。在 2027 年 3 月 31 日之前，任何仍使用旧版 siemplify-soar.com 端点的调用都会继续记录在内部 SOAR 审计页面上，并在 Logging 中发出 labels.auth_deprecation="true" 警告日志。

问：将 SOAR 数据发送到托管式 BigQuery (BQ) 实例的客户在迁移后是否仍能访问这些 BigQuery 数据？

可以。现有的代管式 BigQuery 将继续运行。

其他事宜与支持

问：我可以选择其他时间段进行迁移吗？

不可以。您无法在建议的时间段之外进行迁移。

问：在迁移过程中，我们会收到实时状态更新吗？

在迁移流程开始和结束时，您都会收到邮件通知。

问：如果迁移后出现问题，我们应该联系谁？

如果您在迁移后遇到访问问题，则可能是身份验证设置不正确。 您需要与身份、IDP 或 Google Cloud 管理员协调，使用问题排查指南进行识别和解决。如果问题仍然存在或与访问权限无关，请提交支持服务工单，记录问题并跟踪其解决情况。

将 SOAR 权限组迁移到 IAM

以下部分介绍了在将权限迁移到 IAM 期间和之后遇到的常见问题。

迁移工具和脚本问题

问：为什么我在 Google Cloud 控制台中看不到或无法加载迁移脚本？

这可能有两种原因：

  • 缺少权限：迁移工具要求您的用户账号在 Google Cloud 和 Google SecOps 实例中都拥有足够的权限。确保您登录的账号在 Google Cloud 中具有所需的 IAM 角色，并且是 Google SecOps SOAR 中的公认用户。为 Google Cloud 和 SOAR 使用不同的账号可能会导致授权失败。如果您拥有所需权限，但仍无法加载迁移脚本，请提交支持服务工单。

  • SIEM 不使用 Cloud IAM：如果您是 Google SecOps 统一客户，请确保您使用 IAM 来管理平台 SIEM 端的角色和权限。如需了解详情，请参阅从旧版 RBAC 迁移到功能 RBAC 的迁移指南。

问：我在尝试运行迁移脚本时收到错误消息。我该怎么做？

  • 错误 -“群组不存在”：使用 add-iam-policy-binding commands 时，请确保为 --member 标志使用完整的群组邮箱（例如 your-group@example.com），而不仅仅是群组简称。

  • 与预先存在的角色相关的错误：绑定到已有条件绑定的主账号时，可能会发生冲突。如需解决此问题，请重新运行脚本，并确保选择无，而不是指定新条件。

迁移后访问权限问题

问：为什么在 IAM 迁移后，我尝试访问某些页面或功能（例如 Playbook 或 IDE）时会收到“403 禁止访问”错误？

迁移后出现 403 错误可能表示分配给用户的 Google Cloud IAM 角色缺少 Google SecOps 平台的 SOAR 端所需的权限。如果您使用的是自定义 IAM 角色，这种情况很常见。

查看 Google SecOps 角色和权限。确保您的自定义 IAM 角色包含访问所需 SOAR 功能所需的全部权限。

（可选）检查浏览器的开发者工具，找出返回 403 错误的特定 API 调用。响应载荷会记录缺少的权限，界面中也会显示通知横幅，详细说明所需的访问权限。

如果上述方法均无法解决问题，请提交支持服务工单。

权限和角色

问：我手动执行了 IAM 迁移，没有使用提供的工具，现在遇到了权限问题。如何解决此问题？

手动 IAM 迁移有时可能会导致 SOAR 角色缺少必要的权限。我们强烈建议您使用提供的迁移脚本，以确保正确设置所有必需的权限。如果您仍计划执行手动迁移，请仔细查看 Google SecOps IAM 权限，以创建具有所需权限的自定义角色。

问：迁移后，部分用户在 SOAR 中的权限似乎超出了预期。为什么会出现这种情况？

如果用户或群组在迁移前已分配到预定义的 Chronicle 宽泛 Google Cloud 角色，则可能会发生这种情况。完成迁移后，Chronicle 预定义角色（例如 chronicle.apiAdmin）将自动包含 SOAR 权限。例如，Chronicle API 管理员角色现在将包含 SOAR 管理员权限。

为确保遵循最小权限原则，请按以下步骤操作：

  1. 在 IAM 角色页面中查看您的预定义角色（包括 Chronicle API Admin），以确定所有已分配的主账号（用户和群组）。
  2. 确认只有需要 SOAR 权限的用户才会被分配到这些角色。
  3. 如需限制特定主账号的 SOAR 访问权限，请将其从预定义角色中移除，并将其分配给明确排除 SOAR 管理员权限的自定义角色。

问：迁移成功了，但我仍然可以在“群组映射”页面中看到“权限组”列。为什么？

迁移成功后，权限组列仍会显示在群组映射页面中，以实现向后兼容。请勿删除这些分配。该列将于 2027 年 3 月 31 日之前移除，不会对客户造成任何影响。

最佳做法

  • 使用迁移脚本：尽可能使用 Google Cloud 中的官方迁移脚本来处理从 SOAR 权限组到 IAM 角色的转换。
  • 查看 IAM 权限：熟悉不同 SOAR 功能和角色所需的 Google Cloud IAM 权限。
  • 全面测试：迁移后，测试不同用户角色和角色的访问权限，确保一切按预期运行。
  • 与支持团队联系：如果遇到任何持续性错误或异常行为，请与支持团队联系，并提供尽可能多的详细信息。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。