收集 Oracle NetSuite 記錄

支援的國家/地區：

本文說明如何使用 Google Cloud Storage V2，將 Oracle NetSuite 記錄檔擷取至 Google Security Operations。

Oracle NetSuite 是雲端企業資源規劃 (ERP) 平台，提供全方位的業務管理功能，包括財務管理、客戶關係管理、電子商務和商品目錄管理。NetSuite 會產生使用者登入、系統變更和 API 活動的稽核記錄，這些記錄可透過 SuiteQL REST API 查詢，並匯入 Google SecOps 進行安全性監控和法規遵循。

事前準備

請確認您已完成下列事前準備事項：

  • Google SecOps 執行個體
  • 已啟用 Cloud Storage、Cloud Run、Pub/Sub 和 Cloud Scheduler API 的 GCP 專案
  • 建立及管理 GCS bucket 的權限
  • 管理 Google Cloud Storage 值區 IAM 政策的權限
  • 建立 Cloud Run 服務、Pub/Sub 主題和 Cloud Scheduler 工作的權限
  • Oracle NetSuite 帳戶的管理員存取權
  • 在 NetSuite 帳戶中啟用 REST Web 服務和 OAuth 2.0 功能
  • NetSuite 帳戶 ID (位於「設定」>「公司」>「公司資訊」)

啟用必要的 NetSuite 功能

  1. 以管理員身分登入 NetSuite 帳戶。
  2. 依序前往「設定」>「公司」>「啟用功能」。
  3. 按一下「SuiteCloud」SuiteCloud子分頁。
  4. 在「SuiteTalk (Web Services)」(SuiteTalk (Web 服務)) 專區中，選取「REST Web Services」(REST Web 服務) 方塊。
  5. 在「管理驗證」部分中，選取「OAuth 2.0」方塊。
  6. 按一下 [儲存]。

設定 Oracle NetSuite OAuth 2.0 憑證

如要讓 Cloud Run 函式從 NetSuite 擷取稽核記錄，您必須使用 OAuth 2.0 用戶端憑證驗證建立整合記錄。

建立整合記錄

  1. 以管理員身分登入 NetSuite 帳戶。
  2. 依序前往「設定」>「整合」>「管理整合」>「新增」。
  3. 在「Name」(名稱) 欄位中，輸入 Google SecOps Integration。
  4. 在「Description」(說明) 欄位輸入 Integration with Google SecOps for audit log ingestion。
  5. 在「狀態」欄位中，選取「已啟用」。
  6. 按一下「驗證」子分頁標籤。
  7. 在「OAuth 2.0」部分，設定下列項目：
    • 選取「Client Credentials (Machine to Machine) Grant」(用戶端憑證 (機器對機器) 授權)。
    • 選取「REST Web Services」。
  8. 清除「Token-based Authentication」(以權杖為基礎的驗證) 部分的所有方塊。
  9. 按一下 [儲存]。

記錄 OAuth 2.0 憑證

儲存整合記錄後，NetSuite 會顯示 OAuth 2.0 憑證：

  • 用戶端 ID：您的專屬用戶端 ID

  • 用戶端密鑰：您的 API 密鑰

產生 OAuth 2.0 用戶端憑證的憑證

OAuth 2.0 用戶端憑證流程需要憑證才能簽署 JWT。請使用 OpenSSL 產生 ECDSA 憑證：

  1. 在安裝 OpenSSL 的電腦上執行下列指令，產生私密金鑰和憑證：

    openssl req -new -x509 -newkey ec \
    -pkeyopt ec_paramgen_curve:prime256v1 \
    -pkeyopt ec_param_enc:named_curve \
    -nodes -days 730 \
    -out public.pem -keyout private.pem

  2. 系統提示時，請輸入憑證主體欄位 (國家/地區、州別、機構等)。在「Common Name」(一般名稱) 欄位中，輸入 Google SecOps Integration。

  3. 這項指令會產生兩個檔案：

    • private.pem：私密金鑰 (請妥善保管，用於在 Cloud Run 函式中簽署 JWT)
    • public.pem：公開憑證 (上傳至 NetSuite)

建立 OAuth 2.0 用戶端憑證對應

  1. 在 NetSuite 中，依序前往「設定」>「整合」>「管理驗證」>「OAuth 2.0 用戶端憑證 (M2M) 設定」。
  2. 按一下「新建」。
  3. 在對話方塊中，設定下列項目：
    • 實體：選取要與 API 要求建立關聯的員工或使用者。
    • 角色：選取具有「使用 OAuth 2.0 存取權杖登入」權限的角色 (請參閱「必要權限」)。如果沒有這項權限，角色就不會顯示在這個清單中。
    • 應用程式：選取 Google SecOps Integration。
  4. 按一下「選擇檔案」，然後上傳 public.pem 憑證檔案。
  5. 按一下 [儲存]。
  6. 儲存後，請記下對應清單中顯示的「憑證 ID」值。這個值會做為 JWT 標頭中的 kid (金鑰 ID)。

所需權限

指派給 OAuth 2.0 對應的角色必須具備下列權限：

權限 存取層級 目的
使用 OAuth 2.0 存取權杖登入 完整 允許角色使用 OAuth 2.0 權杖登入
REST 網路服務 完整 執行 REST API 要求
登入稽核記錄 完整 存取登入稽核追蹤記錄資料
SuiteAnalytics Workbook 查看 使用 SuiteQL 存取數據分析資料

為整合項目建立自訂角色

  1. 依序前往「設定」>「使用者/角色」>「管理角色」>「新增」。
  2. 在「Name」(名稱) 欄位中，輸入 Google SecOps Integration Role。
  3. 按一下「權限」子分頁標籤。
  4. 按一下「設定」子子分頁。
  5. 新增下列權限：
    • 使用 OAuth 2.0 存取憑證登入：設為「完整」。
    • REST 網路服務：設為「完整」。
    • 登入稽核記錄：設為「完整」。
  6. 按一下「報表」子分頁標籤。
  7. 新增下列權限：
    • SuiteAnalytics Workbook：設為「View」(查看)。
  8. 按一下 [儲存]。

驗證權限

如要確認角色是否具備必要權限，請按照下列步驟操作：

  1. 登入 NetSuite。
  2. 依序前往「設定」>「使用者/角色」>「管理角色」。
  3. 找出 Google SecOps Integration Role，然後按一下「編輯」。
  4. 確認「權限」子分頁中列出的權限與「必要權限」一致。

測試 API 存取權

  • 請先測試憑證，再繼續進行整合：

    # Replace with your actual values
ACCOUNT_ID="your-account-id"
CLIENT_ID="your-client-id"
CERTIFICATE_ID="your-certificate-id"
PRIVATE_KEY_FILE="private.pem"

# Generate JWT (requires Python 3 with PyJWT and cryptography)
pip install PyJWT cryptography

TOKEN=$(python3 -c "
import jwt, time, json
with open('${PRIVATE_KEY_FILE}', 'r') as f:
    key = f.read()
now = int(time.time())
payload = {
    'iss': '${CLIENT_ID}',
    'scope': ['restlets', 'rest_webservices'],
    'aud': 'https://${ACCOUNT_ID}.suitetalk.api.netsuite.com/services/rest/auth/oauth2/v1/token',
    'iat': now,
    'exp': now + 3600
}
print(jwt.encode(payload, key, algorithm='ES256', headers={'kid': '${CERTIFICATE_ID}', 'typ': 'JWT'}))
")

# Obtain access token
ACCESS_TOKEN=$(curl -s -X POST \
    "https://${ACCOUNT_ID}.suitetalk.api.netsuite.com/services/rest/auth/oauth2/v1/token" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "grant_type=client_credentials&client_assertion_type=urn%3Aietf%3Aparams%3Aoauth%3Aclient-assertion-type%3Ajwt-bearer&client_assertion=${TOKEN}" \
    | python3 -c "import sys,json; print(json.load(sys.stdin)['access_token'])")

# Test SuiteQL query
curl -s -X POST \
    "https://${ACCOUNT_ID}.suitetalk.api.netsuite.com/services/rest/query/v1/suiteql?limit=5" \
    -H "Authorization: Bearer ${ACCESS_TOKEN}" \
    -H "Content-Type: application/json" \
    -H "Prefer: transient" \
    -d '{"q": "SELECT Date, Status, User, IPAddress FROM LoginAudit ORDER BY Date DESC"}' \
    | python3 -m json.tool

成功的回應會傳回 JSON 物件，其中包含登入稽核記錄的 items 陣列。

建立 Google Cloud Storage bucket

  1. 前往 Google Cloud 控制台。
  2. 選取專案或建立新專案。
  3. 在導覽選單中，依序前往「Cloud Storage」>「Bucket」。
  4. 按一下「建立值區」。

  5. 請提供下列設定詳細資料：

    設定 值
    為 bucket 命名 輸入全域不重複的名稱 (例如 netsuite-audit-logs)
    位置類型 根據需求選擇 (區域、雙區域、多區域)
    位置 選取位置 (例如 us-central1)
    儲存空間級別 標準 (建議用於經常存取的記錄)
    存取控管 統一 (建議)
    保護工具 選用：啟用物件版本管理或資料保留政策

  6. 點選「建立」。

為 Cloud Run 函式建立服務帳戶

Cloud Run 函式需要具備 GCS bucket 寫入權限的服務帳戶，並由 Pub/Sub 叫用。

建立服務帳戶

  1. 在 GCP 控制台中，依序前往「IAM & Admin」(IAM 與管理) >「Service Accounts」(服務帳戶)。
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 請提供下列設定詳細資料：
    • 「服務帳戶名稱」：輸入 netsuite-audit-collector-sa。
    • 服務帳戶說明：輸入 Service account for Cloud Run function to collect Oracle NetSuite audit logs。
  4. 按一下「建立並繼續」。
  5. 在「將專案存取權授予這個服務帳戶」部分，新增下列角色：
    1. 按一下「選擇角色」。
    2. 搜尋並選取「Storage 物件管理員」。
    3. 點選「+ 新增其他角色」。
    4. 搜尋並選取「Cloud Run Invoker」。
    5. 點選「+ 新增其他角色」。
    6. 搜尋並選取「Cloud Functions Invoker」(Cloud Functions 叫用者)。
  6. 按一下「繼續」。
  7. 按一下 [完成]。

這些角色適用於：

  • Storage 物件管理員：將記錄檔寫入 GCS bucket，並管理狀態檔案。
  • Cloud Run 叫用者：允許 Pub/Sub 叫用函式。
  • Cloud Functions 叫用者：允許叫用函式。

授予 GCS 值區的 IAM 權限

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下 bucket 名稱 (netsuite-audit-logs)。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：輸入服務帳戶電子郵件地址 (netsuite-audit-collector-sa@PROJECT_ID.iam.gserviceaccount.com)。
    • 指派角色：選取「Storage 物件管理員」。
  6. 按一下 [儲存]。

建立 Pub/Sub 主題

建立 Pub/Sub 主題，Cloud Scheduler 會將訊息發布至該主題，而 Cloud Run 函式會訂閱該主題。

  1. 在 GCP Console 中，前往「Pub/Sub」>「Topics」(主題)。
  2. 按一下「建立主題」。
  3. 請提供下列設定詳細資料：
    • 主題 ID：輸入 netsuite-audit-trigger。
    • 其他設定保留預設值。
  4. 點選「建立」。

建立 Cloud Run 函式來收集記錄

Cloud Run 函式會由 Cloud Scheduler 的 Pub/Sub 訊息觸發，從 Oracle NetSuite SuiteQL REST API 擷取稽核記錄，並將這些記錄寫入 GCS。

  1. 前往 GCP Console 的「Cloud Run」。
  2. 按一下「Create service」(建立服務)。
  3. 選取「函式」 (使用內嵌編輯器建立函式)。

  4. 在「設定」部分，提供下列設定詳細資料：

    設定 值
    服務名稱 netsuite-audit-collector
    區域 選取與 GCS bucket 相符的區域 (例如 us-central1)
    執行階段 選取 Python 3.12 以上版本

  5. 在「Trigger (optional)」(觸發條件 (選用)) 專區：

    1. 按一下「+ 新增觸發條件」。
    2. 選取「Cloud Pub/Sub」。
    3. 在「Select a Cloud Pub/Sub topic」(選取 Cloud Pub/Sub 主題) 中，選擇 netsuite-audit-trigger。
    4. 按一下 [儲存]。

  6. 在「Authentication」(驗證) 部分：

    1. 選取「需要驗證」。
    2. 選取「Identity and Access Management (IAM)」。

  7. 向下捲動並展開「容器」、「網路」和「安全性」。

  8. 前往「安全性」分頁：

    • 服務帳戶：選取 netsuite-audit-collector-sa。

  9. 前往「容器」分頁：

    1. 按一下「變數與密鑰」。
    2. 針對每個環境變數，按一下「+ 新增變數」：
    變數名稱 範例值 說明
    GCS_BUCKET netsuite-audit-logs GCS bucket 名稱
    GCS_PREFIX netsuite-audit 記錄檔的前置字串
    STATE_KEY netsuite-audit/state.json 狀態檔案路徑
    NS_ACCOUNT_ID 123456 NetSuite 帳戶 ID
    NS_CLIENT_ID your-client-id OAuth 2.0 用戶端 ID
    NS_CERTIFICATE_ID your-certificate-id M2M 對應中的憑證 ID (kid)
    NS_PRIVATE_KEY -----BEGIN EC PRIVATE KEY-----... ECDSA 私密金鑰內容
    LOOKBACK_HOURS 24 初始回溯期
    PAGE_SIZE 1000 每個 SuiteQL 頁面的記錄數 (最多 1000 筆)
    MAX_RECORDS 50000 每次執行的記錄數上限

  10. 在「變數與密鑰」部分，向下捲動至「要求」：

    • 要求逾時：輸入 600 秒 (10 分鐘)

  11. 前往「設定」分頁：

    • 在「資源」部分：
      • 記憶體：選取 512 MiB 以上。
      • CPU：選取 1。

  12. 在「修訂版本資源調度」部分：

    • 「執行個體數量下限」：輸入 0。
    • 「執行個體數量上限」：輸入 100。

  13. 點選「建立」。

  14. 等待服務建立完成 (1 到 2 分鐘)。

  15. 服務建立完成後，系統會自動開啟內嵌程式碼編輯器。

新增函式程式碼

  1. 在「進入點」欄位中輸入「main」。

  2. 在內嵌程式碼編輯器中建立兩個檔案：

    • main.py:

      import functions_framework
from google.cloud import storage
import json
import os
import urllib3
import urllib.parse
import jwt
import time
from datetime import datetime, timezone, timedelta

http = urllib3.PoolManager(
    timeout=urllib3.Timeout(connect=10.0, read=60.0),
    retries=False,
)

storage_client = storage.Client()

GCS_BUCKET = os.environ.get('GCS_BUCKET')
GCS_PREFIX = os.environ.get('GCS_PREFIX', 'netsuite-audit')
STATE_KEY = os.environ.get('STATE_KEY', 'netsuite-audit/state.json')
NS_ACCOUNT_ID = os.environ.get('NS_ACCOUNT_ID')
NS_CLIENT_ID = os.environ.get('NS_CLIENT_ID')
NS_CERTIFICATE_ID = os.environ.get('NS_CERTIFICATE_ID')
NS_PRIVATE_KEY = os.environ.get('NS_PRIVATE_KEY', '').replace('\\n', '\n')
LOOKBACK_HOURS = int(os.environ.get('LOOKBACK_HOURS', '24'))
PAGE_SIZE = int(os.environ.get('PAGE_SIZE', '1000'))
MAX_RECORDS = int(os.environ.get('MAX_RECORDS', '50000'))

@functions_framework.cloud_event
def main(cloud_event):
    if not all([GCS_BUCKET, NS_ACCOUNT_ID, NS_CLIENT_ID, NS_CERTIFICATE_ID, NS_PRIVATE_KEY]):
        print('Error: Missing required environment variables')
        return

    try:
        bucket = storage_client.bucket(GCS_BUCKET)
        state = load_state(bucket)
        now = datetime.now(timezone.utc)

        if isinstance(state, dict) and state.get('last_event_time'):
            try:
                last_val = state['last_event_time']
                if last_val.endswith('Z'):
                    last_val = last_val[:-1] + '+00:00'
                last_time = datetime.fromisoformat(last_val)
                last_time = last_time - timedelta(minutes=2)
            except Exception as e:
                print(f"Warning: Could not parse last_event_time: {e}")
                last_time = now - timedelta(hours=LOOKBACK_HOURS)
        else:
            last_time = now - timedelta(hours=LOOKBACK_HOURS)

        print(f"Fetching logs from {last_time.isoformat()} to {now.isoformat()}")

        access_token = get_access_token()

        login_audits = fetch_login_audit(access_token, last_time, now)
        system_notes = fetch_system_notes(access_token, last_time, now)

        all_records = []
        for record in login_audits:
            record['_netsuite_record_type'] = 'login_audit'
            all_records.append(record)
        for record in system_notes:
            record['_netsuite_record_type'] = 'system_note'
            all_records.append(record)

        if not all_records:
            print("No new records found.")
            save_state(bucket, now.isoformat())
            return

        timestamp = now.strftime('%Y%m%d_%H%M%S')
        object_key = f"{GCS_PREFIX}/netsuite_audit_{timestamp}.ndjson"
        blob = bucket.blob(object_key)

        ndjson = '\n'.join(
            [json.dumps(r, ensure_ascii=False, default=str) for r in all_records]
        ) + '\n'
        blob.upload_from_string(ndjson, content_type='application/x-ndjson')

        print(f"Wrote {len(all_records)} records to gs://{GCS_BUCKET}/{object_key}")

        newest = find_newest_time(login_audits, system_notes)
        save_state(bucket, newest if newest else now.isoformat())

        print(f"Successfully processed {len(all_records)} records "
            f"(login_audit: {len(login_audits)}, system_note: {len(system_notes)})")

    except Exception as e:
        print(f'Error processing logs: {str(e)}')
        raise

def get_access_token():
    token_url = (
        f"https://{NS_ACCOUNT_ID}.suitetalk.api.netsuite.com"
        f"/services/rest/auth/oauth2/v1/token"
    )

    now = int(time.time())
    payload = {
        'iss': NS_CLIENT_ID,
        'scope': ['restlets', 'rest_webservices'],
        'aud': token_url,
        'iat': now,
        'exp': now + 3600,
    }

    client_assertion = jwt.encode(
        payload,
        NS_PRIVATE_KEY,
        algorithm='ES256',
        headers={'kid': NS_CERTIFICATE_ID, 'typ': 'JWT'},
    )

    body = urllib.parse.urlencode({
        'grant_type': 'client_credentials',
        'client_assertion_type': 'urn:ietf:params:oauth:client-assertion-type:jwt-bearer',
        'client_assertion': client_assertion,
    }).encode('utf-8')

    response = http.request(
        'POST', token_url,
        body=body,
        headers={'Content-Type': 'application/x-www-form-urlencoded'},
    )

    if response.status != 200:
        raise Exception(
            f"Token request failed: {response.status} - "
            f"{response.data.decode('utf-8')}"
        )

    data = json.loads(response.data.decode('utf-8'))
    access_token = data.get('access_token')
    if not access_token:
        raise Exception("No access_token in token response")

    print("Successfully obtained NetSuite OAuth 2.0 access token")
    return access_token

def run_suiteql(access_token, query, page_size=1000, max_records=50000):
    base_url = (
        f"https://{NS_ACCOUNT_ID}.suitetalk.api.netsuite.com"
        f"/services/rest/query/v1/suiteql"
    )

    headers = {
        'Authorization': f'Bearer {access_token}',
        'Content-Type': 'application/json',
        'Prefer': 'transient',
    }

    all_items = []
    offset = 0
    backoff = 1.0

    while True:
        if len(all_items) >= max_records:
            print(f"Reached max_records limit ({max_records})")
            break

        url = f"{base_url}?limit={page_size}&offset={offset}"
        body = json.dumps({'q': query}).encode('utf-8')

        try:
            response = http.request('POST', url, body=body, headers=headers)

            if response.status == 429:
                retry_after = int(response.headers.get('Retry-After', str(int(backoff))))
                print(f"Rate limited (429). Retrying after {retry_after}s...")
                time.sleep(retry_after)
                backoff = min(backoff * 2, 60.0)
                continue

            backoff = 1.0

            if response.status != 200:
                print(f"SuiteQL error: {response.status} - "
                    f"{response.data.decode('utf-8')}")
                break

            data = json.loads(response.data.decode('utf-8'))
            items = data.get('items', [])

            if not items:
                break

            all_items.extend(items)
            page_num = (offset // page_size) + 1
            print(f"Page {page_num}: Retrieved {len(items)} records "
                f"(total: {len(all_items)})")

            has_more = data.get('hasMore', False)
            if not has_more:
                break

            offset += len(items)

        except Exception as e:
            print(f"Error executing SuiteQL query: {e}")
            break

    return all_items

def fetch_login_audit(access_token, start_time, end_time):
    start_str = start_time.strftime('%m/%d/%Y %H:%M:%S')
    end_str = end_time.strftime('%m/%d/%Y %H:%M:%S')

    query = (
        "SELECT "
        "LoginAudit.Date, "
        "LoginAudit.Status, "
        "LoginAudit.User, "
        "BUILTIN.DF(LoginAudit.User) AS Username, "
        "LoginAudit.EmailAddress, "
        "LoginAudit.Role, "
        "BUILTIN.DF(LoginAudit.Role) AS Rolename, "
        "LoginAudit.IPAddress, "
        "LoginAudit.UserAgent, "
        "LoginAudit.Detail, "
        "LoginAudit.oAuthAppName, "
        "LoginAudit.oAuthAccessTokenName, "
        "LoginAudit.requestUri "
        "FROM LoginAudit "
        f"WHERE LoginAudit.Date >= TO_DATE('{start_str}', 'MM/DD/YYYY HH24:MI:SS') "
        f"AND LoginAudit.Date <= TO_DATE('{end_str}', 'MM/DD/YYYY HH24:MI:SS') "
        "ORDER BY LoginAudit.Date ASC"
    )

    print("Fetching LoginAudit records...")
    return run_suiteql(access_token, query, PAGE_SIZE, MAX_RECORDS)

def fetch_system_notes(access_token, start_time, end_time):
    start_str = start_time.strftime('%m/%d/%Y %H:%M:%S')
    end_str = end_time.strftime('%m/%d/%Y %H:%M:%S')

    query = (
        "SELECT "
        "SystemNote.Date, "
        "SystemNote.RecordTypeID, "
        "BUILTIN.DF(SystemNote.RecordTypeID) AS RecordType, "
        "SystemNote.RecordID, "
        "SystemNote.Field, "
        "SystemNote.OldValue, "
        "SystemNote.NewValue, "
        "SystemNote.Name AS EmployeeID, "
        "BUILTIN.DF(SystemNote.Name) AS EmployeeName, "
        "SystemNote.Role, "
        "BUILTIN.DF(SystemNote.Role) AS RoleName, "
        "SystemNote.Context, "
        "BUILTIN.DF(SystemNote.Context) AS ContextName "
        "FROM SystemNote "
        f"WHERE SystemNote.Date >= TO_DATE('{start_str}', 'MM/DD/YYYY HH24:MI:SS') "
        f"AND SystemNote.Date <= TO_DATE('{end_str}', 'MM/DD/YYYY HH24:MI:SS') "
        "ORDER BY SystemNote.Date ASC"
    )

    print("Fetching SystemNote records...")
    return run_suiteql(access_token, query, PAGE_SIZE, MAX_RECORDS)

def find_newest_time(login_audits, system_notes):
    newest = None
    for r in login_audits:
        t = r.get('date')
        if t and (newest is None or t > newest):
            newest = t
    for r in system_notes:
        t = r.get('date')
        if t and (newest is None or t > newest):
            newest = t
    return newest

def load_state(bucket):
    try:
        blob = bucket.blob(STATE_KEY)
        if blob.exists():
            return json.loads(blob.download_as_text())
    except Exception as e:
        print(f"Warning: Could not load state: {e}")
    return {}

def save_state(bucket, last_event_time_iso):
    try:
        state = {
            'last_event_time': last_event_time_iso,
            'last_run': datetime.now(timezone.utc).isoformat()
        }
        blob = bucket.blob(STATE_KEY)
        blob.upload_from_string(
            json.dumps(state, indent=2),
            content_type='application/json'
        )
        print(f"Saved state: last_event_time={last_event_time_iso}")
    except Exception as e:
        print(f"Warning: Could not save state: {e}")

    • requirements.txt:

      functions-framework==3.*
google-cloud-storage==2.*
urllib3>=2.0.0
PyJWT[crypto]>=2.8.0

  3. 點選「部署」即可儲存並部署函式。

  4. 等待部署作業完成 (2 到 3 分鐘)。

建立 Cloud Scheduler 工作

Cloud Scheduler 會定期將訊息發布至 Pub/Sub 主題，觸發 Cloud Run 函式。

  1. 前往 GCP 主控台的「Cloud Scheduler」。
  2. 點選「建立工作」。

  3. 請提供下列設定詳細資料：

    設定 值
    名稱 netsuite-audit-collector-hourly
    區域 選取與 Cloud Run 函式相同的區域
    頻率 0 * * * * (每小時整點)
    時區 選取時區 (建議使用世界標準時間)
    目標類型 Pub/Sub
    主題 選取「netsuite-audit-trigger」
    郵件內文 {} (空白 JSON 物件)

  4. 點選「建立」。

排程頻率選項

根據記錄檔量和延遲時間要求選擇頻率：

頻率 Cron 運算式 用途
每 15 分鐘 */15 * * * * 大量、低延遲
每小時 0 * * * * 標準 (建議)
每 6 小時 0 */6 * * * 少量、批次處理
每天 0 0 * * * 歷來資料集合

測試整合項目

  1. 在 Cloud Scheduler 控制台中，找出您的工作 (netsuite-audit-collector-hourly)。
  2. 按一下「強制執行」即可手動觸發工作。
  3. 稍等幾秒鐘。
  4. 前往「Cloud Run」>「Services」。
  5. 按一下「netsuite-audit-collector」。
  6. 按一下 [Logs] (記錄) 分頁標籤。

  7. 確認函式是否已順利執行。請尋找：

    Fetching logs from YYYY-MM-DDTHH:MM:SS+00:00 to YYYY-MM-DDTHH:MM:SS+00:00
Successfully obtained NetSuite OAuth 2.0 access token
Fetching LoginAudit records...
Page 1: Retrieved X records (total: X)
Fetching SystemNote records...
Page 1: Retrieved X records (total: X)
Wrote X records to gs://netsuite-audit-logs/netsuite-audit/netsuite_audit_YYYYMMDD_HHMMSS.ndjson
Successfully processed X records (login_audit: X, system_note: X)

  8. 依序前往「Cloud Storage」>「Buckets」。

  9. 按一下「netsuite-audit-logs」。

  10. 前往 netsuite-audit/ 資料夾。

  11. 確認是否已建立新的 .ndjson 檔案，且檔案名稱包含目前的時間戳記。

如果記錄中顯示錯誤：

  • HTTP 401：確認 NS_CLIENT_ID、NS_CERTIFICATE_ID 和 NS_PRIVATE_KEY 環境變數是否正確。
  • HTTP 403：確認 NetSuite 角色是否具備「Log in using OAuth 2.0 Access Tokens (Full)」、「REST Web Services (Full)」和「Login Audit Trail (Full)」權限。
  • HTTP 429：頻率限制，函式會自動重試，並採用指數輪詢。
  • 缺少環境變數：確認 Cloud Run 函式設定中已設定所有必要變數。

擷取 Google SecOps 服務帳戶

  1. 依序前往「SIEM 設定」>「動態饋給」。
  2. 按一下「新增動態消息」。
  3. 按一下「設定單一動態饋給」。
  4. 在「動態饋給名稱」欄位中輸入動態饋給名稱 (例如 NetSuite Audit Logs)。
  5. 選取「Google Cloud Storage V2」做為「來源類型」。
  6. 選取「Oracle NetSuite」做為「記錄類型」。

  7. 按一下「取得服務帳戶」，系統會顯示專屬服務帳戶電子郵件地址，例如：

    chronicle-12345678@chronicle-gcp-prod.iam.gserviceaccount.com

  8. 複製這個電子郵件地址，以便在下一步中使用。

  9. 點選「下一步」。

  10. 指定下列輸入參數的值：

    • 儲存空間 bucket URL：輸入 GCS bucket URI，並加上前置路徑：

      gs://netsuite-audit-logs/netsuite-audit/

    • 來源刪除選項：根據偏好設定選取刪除選項：

      • 永不：移轉後一律不刪除任何檔案 (建議用於測試)。
      • 刪除已轉移的檔案：成功轉移檔案後刪除檔案。

      • 刪除已轉移的檔案和空白目錄：成功轉移後刪除檔案和空白目錄。

    • 檔案存在時間上限：包含在過去天數內修改的檔案 (預設為 180 天)。

    • 資產命名空間：資產命名空間。

    • 擷取標籤：要套用至這個動態饋給事件的標籤。

  11. 點選「下一步」。

  12. 在「Finalize」(完成) 畫面中檢查新的動態饋給設定，然後按一下「Submit」(提交)。

將 IAM 權限授予 Google SecOps 服務帳戶

Google SecOps 服務帳戶需要 GCS bucket 的「Storage 物件檢視者」角色。

  1. 依序前往「Cloud Storage」>「Buckets」。
  2. 按一下「netsuite-audit-logs」。
  3. 前往「權限」分頁標籤。
  4. 按一下「授予存取權」。
  5. 請提供下列設定詳細資料：
    • 新增主體：貼上 Google SecOps 服務帳戶電子郵件地址。
    • 指派角色：選取「Storage 物件檢視者」。

  6. 按一下 [儲存]。

NetSuite API 頻率限制

NetSuite REST API 的控管限制如下：

限制類型 值
並行限制 每個整合項目 10 個並行要求
每頁的 SuiteQL 查詢結果 最多 1,000 列
SuiteQL 總結果 每個查詢 100,000 個資料列

Cloud Run 函式會自動處理頻率限制，並採用指數輪詢。

UDM 對應表

記錄欄位 UDM 對應 邏輯
Login_Audit_Trail_Access_Token_Name_label additional.fields 已合併
Login_Audit_Trail_Detail_label additional.fields 已合併
additional_preview additional.fields 已合併
detail_label additional.fields 已合併
role_change_label additional.fields 已合併
sec_challenge_label additional.fields 已合併
oauthaccesstokenname extensions.auth.auth_details 直接對應
has_principal extensions.auth.type 已對應：true → AUTHTYPE_UNSPECIFIED
column7 metadata.description 直接對應
msg metadata.description 直接對應
Role_Change_Date metadata.event_timestamp 剖析為 M/d/yyyy h:mm a
date metadata.event_timestamp 剖析為 M/d/yyyy h:mm:ss a
result.Login_Audit_Trail_Date metadata.event_timestamp 剖析為 LDAP
ts metadata.event_timestamp 剖析為 MMM d HH:mm:ss
has_principal metadata.event_type 已對應：true → USER_LOGIN、true → STATUS_UPDATE
has_principal_user metadata.event_type 已對應：true → USER_UNCATEGORIZED
column1 metadata.product_event_type 直接對應
log_type metadata.product_event_type 直接對應
useragent network.http.parsed_user_agent 直接對應
Login_Audit_Trail_User_Agent network.http.user_agent 直接對應
result.Login_Audit_Trail_User_Agent network.http.user_agent 直接對應
useragent network.http.user_agent 直接對應
Login_Audit_Trail_Application principal.application 直接對應
column10 principal.application 直接對應
oauthappname principal.application 直接對應
result.host principal.asset.hostname 直接對應
column3 principal.asset.ip 已合併
ipaddress principal.asset.ip 已合併
result.Login_Audit_Trail_IP_Address principal.asset.ip 直接對應
src_ip principal.asset.ip 已合併
result.host principal.hostname 直接對應
column3 principal.ip 已合併
ipaddress principal.ip 已合併
result.Login_Audit_Trail_IP_Address principal.ip 直接對應
src_ip principal.ip 已合併
Login_Audit_Trail_Role_label principal.user.attribute.labels 已合併
login_audits_role_label principal.user.attribute.labels 已合併
supervisor_label principal.user.attribute.labels 已合併
role principal.user.attribute.roles 已合併
Email principal.user.email_addresses 已對應：^.+@.+$ → Email
column2 principal.user.email_addresses 已合併
emailaddress principal.user.email_addresses 已對應：^.+@.+$ → emailaddress
result.Login_Audit_Trail_Email_Address principal.user.email_addresses 已合併
Job_Title principal.user.title 直接對應
Name principal.user.user_display_name 直接對應
Login_Audit_Trail_User principal.user.userid 直接對應
result.Login_Audit_Trail_User principal.user.userid 直接對應
user principal.user.userid 直接對應
Login_Audit_Trail_Security_Challenge_label security_result.about.resource.attribute.labels 已合併
security_result_action security_result.action 已合併
Login_Audit_Trail_Status security_result.summary 直接對應
result.Login_Audit_Trail_Status security_result.summary 直接對應
api_type_label target.resource.attribute.labels 已合併
Login_Audit_Trail_Request_URI target.url 直接對應
result.Login_Audit_Trail_Request_URI target.url 直接對應
不適用 extensions.auth.type 常數：AUTHTYPE_UNSPECIFIED
不適用 metadata.event_type 常數：USER_LOGIN
不適用 network.http.parsed_user_agent 常數：parseduseragent

變更記錄

查看這個剖析器的變更記錄

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。