关于 SOAR 迁移的常见问题解答

支持范围：

获取有关 SOAR 迁移流程的常见问题解答。查找常见问题的解决方案和成功过渡的最佳实践。

迁移范围和影响

问：为什么必须进行此次迁移？

我们正在通过迁移到 Google Cloud来对 SOAR 基础架构进行现代化改造。 此次关键升级带来了诸多重要优势，包括更高的可靠性、更强的安全性、更出色的合规性以及更精细的访问权限控制。它还通过 Model Context Protocol (MCP) 集成提供对智能体 AI 功能的访问权限。

迁移提供以下功能：

  • 利用 Google 业界领先的 API 层，增强 SOAR 的可靠性和监控功能。该层提供领先的 API 解决方案，具备配额管理、审核和可观测性等高级功能。
  • 解锁整个平台中功能和数据的基于角色的访问控制 (RBAC)。
  • 提供更强大的合规功能，例如 VPC Service Controls、数据驻留和客户管理的加密密钥 (CMEK)。

问：迁移范围是什么？

迁移涉及以下组件：

  • 正在将 SOAR 项目迁移到客户拥有的 Google Cloud 项目。
  • 将 SOAR 身份验证和权限迁移到 Google Cloud IAM。
  • 将 SOAR API 迁移到 Chronicle API。
  • 正在迁移远程代理身份验证基础设施。

问：迁移后会立即发生哪些变化？

迁移完成后，您会立即体验到以下几项重大变化：

  • GCP 项目所有权：您的 SOAR 项目将从 Google 所有迁移到客户所有的 Google Cloud 项目。
  • 身份验证：
    • Unified SecOps 客户：无变化。身份验证将继续由 Google Cloud IAM 管理。
    • SOAR 独立版客户：身份验证现在将由 Google Cloud IAM 管理。对于使用 SAML 的用户，这意味着采用员工身份联合，并且 SAML 配置将不再存储和管理在 SOAR 系统本身中，从而实现更强大的安全控制。
  • RBAC：用户权限将变得更加精细，并使用 IAM 进行管理。环境和 SOC 角色将继续在 SOAR 模块中使用身份提供方 (IdP) 组进行管理。
  • 审核日志记录：审核日志将更加详细，并在 **Cloud Audit Logs ** 中进行管理。
  • 新网址（仅限 SOAR）：SOAR 独立版用户将收到用于访问 SOAR 的新网址（新网域）。

问：客户/合作伙伴会如何收到此次迁移的通知？

所有客户和合作伙伴都会看到一个产品内弹出式窗口，其中包含迁移日期和要填写的表单链接。系统会提示他们确认迁移日期和时间段。

问：SOAR 绑定到我们的 Google Cloud 项目后，我们的基础设施费用会发生变化吗？

不会，您的费用不会受到影响。您应该不会在前端看到任何变化。您的项目中不会运行任何新资源，因此不会产生相关费用。

问：如何将我们的项目关联到 SOAR？

Google 会将您的 SOAR 项目迁移到您的 Google Cloud 项目。 如果您是 Unified SecOps 客户，我们已经有您的 Google Cloud 项目 ID。 如果您是 SOAR 独立客户，则需要与我们分享您的 Google Cloud 项目 ID。

问：对于已经部署了 Google SecOps 的客户，我们应该使用与 SIEM 相同的项目 ID，还是需要单独的项目？

对于统一的 Google SecOps 部署（一个 SIEM，一个 SOAR），您应使用与 SIEM 关联的现有 Google Cloud 项目 ID。这样可以统一管理管理流程，例如 RBAC 和日志。

问：对于有特殊注意事项（例如 VPC Service Controls [VPC-SC]）的 Google SecOps 实例，需要执行哪些步骤？

如需启用迁移，您需要在 VPC-SC 政策中同时定义入站流量和出站流量规则。 如果您的 Google Cloud 项目启用了 VPC SC，请与支持团队联系，获取有关这些特定规则的详细指导。

使用 VPC-SC 时，不支持以下两项 API 功能：

  • 网络钩子
  • Playbook 审批链接

问：如何检查迁移是否成功？

前往 SOAR 设置 > 许可管理，检查是否已成功完成。 第 1 阶段完成后，系统版本号后面会显示 Google.com。 在第 2 阶段将 SOAR 权限迁移到 IAM 角色后，系统版本号后面会同时显示 Google.com 和 CloudIAM Enabled。

停机时间和连续性

问：迁移期间是否会出现停机？会有什么影响？

可以。预计停机时间如下：

  • 对于 SOAR 独立客户，最长 2 小时。
  • 对于 Google SecOps 客户，最长 1.5 小时。

在此期间，您将无法登录该平台。SOAR 服务（包括提取、playbook、作业）将暂停，但 SIEM 服务将继续在后台运行。

问：SOAR 服务恢复后，系统会自动提取停机期间生成的数据吗？

可以。系统恢复在线状态后，提取和 playbook 将恢复并处理停机期间生成或提取的所有提醒。

问：停机开始时，正在运行的 playbook 会发生什么情况？

Playbook 服务将在迁移开始前关闭，一些正在运行的 Playbook 可能会失败，需要手动重启或在迁移完成后恢复。

问：如果迁移过程中出现问题，是否有回滚或应急计划？

可以。迁移过程会使现有 SOAR 实例保持完好无损（尽管已关闭）。 如果迁移过程未成功完成，我们可以切换回现有实例并移除新实例。 此回滚过程最多需要 30 分钟。我们将进行广泛的测试和密切的监控，并安排值班人员随时待命，以确保迁移成功。

如果您在迁移后遇到访问问题，则可能是身份验证设置不正确。您需要与身份、IDP 或 Google Cloud 管理员协调，使用问题排查指南进行识别和解决。如果问题仍然存在，或者与访问权限无关，请提交支持服务工单，记录问题并跟踪其解决情况。

问：我何时可以迁移到 Chronicle API 中的新 SOAR 端点 v1？

自 2026 年 1 月中旬起，您可以迁移到 Chronicle API 中的新 SOAR 端点 v1。

旧版 SOAR API 和 API 密钥将被弃用，并于 2027 年 3 月 31 日之后停止运行。为确保顺利过渡，请务必完成以下两个步骤：

  1. 您必须先完成 SOAR 权限组到 Cloud IAM 的迁移。
  2. 更新现有脚本和集成，将旧版 SOAR API 端点替换为相应的 Chronicle API 端点。

身份验证和权限

问：如何迁移 SOAR 权限组和权限？

您将在 Google Cloud 控制台中使用迁移脚本，将现有权限组迁移到 IAM 自定义角色。该脚本还会向用户（对于 Cloud Identity 客户）或 IdP 群组（对于员工身份联合客户）分配自定义角色。

问：如果我不想迁移自定义权限组，只想使用预定义角色，该怎么办？

您可以选择不进行自动迁移，而是手动将 IdP 群组映射到 Cloud IAM 角色。

问：我们是 SOAR 独立客户，使用自定义 SAML 提供商进行手动身份验证。如果我们将此设置更改为“IdP 群组”以进行 IdP 映射，对现有用户账号会有什么影响？

假设您的现有用户与其中一个群组匹配，并且权限映射正确，那么您的现有用户账号应该不会受到任何影响。 不过，如果用户未映射到群组，则无法登录。 如果权限映射方式不同，用户将根据新的映射获得新权限。

问：对于使用多个身份提供方的 MSSP，是否有特定的前提条件？

在 SOAR 外部身份验证页面上配置了多个身份提供方的客户，应定义员工身份联合进行身份验证，并为每个提供方创建一个单独的员工池。 每个提供商都与不同的子网域相关联。如需了解详情，请参阅 MSSP 迁移指南。

问：如何向 Chronicle API 进行身份验证？

按照向 Chronicle API 进行身份验证中的说明操作。

问：访问新 SOAR API 需要哪些新 IP？

无需将任何 IP 地址列入许可清单即可访问 Chronicle API。（可选）您可以将此处和此处所示的 IP 地址范围列入许可清单。

日志记录和监控

问：我们完成了第一阶段的迁移，但在 Cloud Audit Logs 中看不到日志。

在第一个迁移阶段完成后，日志会存储在 SOAR 平台中。 第二个迁移阶段完成后，日志将在您的 Google Cloud 项目中可用。

问：将 SOAR 数据发送到托管式 BigQuery (BQ) 实例的客户在迁移后是否仍能访问这些 BigQuery 数据？

可以。现有的代管式 BigQuery 将继续运行。

其他事宜与支持

问：我可以选择其他时间段进行迁移吗？

不可以。您无法在建议的时间段之外进行迁移。

问：在迁移过程中，我们会收到实时状态更新吗？

在迁移流程开始和结束时，您都会收到邮件通知。

问：如果迁移后出现问题，我们应该联系谁？

如果您在迁移后遇到访问问题，则可能是身份验证设置不正确。 您需要与身份、IDP 或 Google Cloud 管理员协调，使用问题排查指南进行识别和解决。如果问题仍然存在，或者与访问权限无关，请提交支持服务工单，记录问题并跟踪其解决情况。

将 SOAR 权限组迁移到 IAM

以下部分介绍了在将权限迁移到 IAM 期间和之后遇到的常见问题。

迁移工具和脚本问题

问：为什么我在 Google Cloud 控制台中看不到或无法加载迁移脚本？

这可能有两种原因：

  • 缺少权限：迁移工具要求您的用户账号在 Google Cloud 和 Google SecOps 实例中都拥有足够的权限。确保您登录的账号在 Google Cloud 中具有所需的 IAM 角色，并且是 Google SecOps SOAR 中的认可用户。为 Google Cloud 和 SOAR 使用不同的账号可能会导致授权失败。如果您拥有所需权限，但仍无法加载迁移脚本，请提交支持服务工单。

  • SIEM 不使用 Cloud IAM：如果您是 Google SecOps 统一客户，请确保您使用 IAM 来管理平台 SIEM 端的角色和权限。如需了解详情，请参阅旧版 RBAC 到功能 RBAC 迁移指南。

问：我在尝试运行迁移脚本时收到错误消息。我该怎么做？

  • 错误 -“群组不存在”：使用 add-iam-policy-binding commands 时，请确保为 --member 标志使用完整的群组邮箱（例如 your-group@example.com），而不仅仅是群组简称。

  • 与预先存在的角色相关的错误：绑定到已具有条件绑定的主账号时，可能会发生冲突。如需解决此问题，请重新运行脚本，并确保选择无，而不是指定新条件。

迁移后访问权限问题

问：为什么在 IAM 迁移后，我尝试访问某些页面或功能（例如 Playbook 或 IDE）时会收到“403 禁止访问”错误？

迁移后出现 403 错误可能表示分配给用户的 Google Cloud IAM 角色缺少 Google SecOps 平台的 SOAR 端所需的权限。如果您使用的是自定义 IAM 角色，这种情况很常见。

查看 Google SecOps 角色和权限。确保您的自定义 IAM 角色包含访问所需 SOAR 功能所需的所有权限。

（可选）检查浏览器的开发者工具，找出返回 403 错误的特定 API 调用。响应载荷会记录缺失的权限，界面中也会显示通知横幅，详细说明所需的访问权限。

如果上述解决方案均无法解决问题，请创建支持服务工单。

权限和角色

问：我手动执行了 IAM 迁移，没有使用提供的工具，现在遇到了权限问题。如何解决此问题？

手动 IAM 迁移有时可能会导致 SOAR 角色缺少必要的权限。我们强烈建议您使用提供的迁移脚本，以确保正确设置所有必需的权限。如果您仍计划执行手动迁移，请仔细查看 Google SecOps IAM 权限，以创建具有所需权限的自定义角色。

问：迁移后，部分用户在 SOAR 中的权限似乎超出了预期。为什么会出现这种情况？

如果用户或群组在迁移前已分配到预定义的 Chronicle 宽泛 Google Cloud 角色，则可能会发生这种情况。完成迁移后，Chronicle 预定义角色（例如 chronicle.apiAdmin）将自动包含 SOAR 权限。例如，Chronicle API Admin 角色现在将包含 SOAR 管理员权限。

为确保遵循最小权限原则，请按以下步骤操作：

  1. 在 IAM 角色页面中查看您的预定义角色（包括 Chronicle API Admin），以确定所有已分配的主账号（用户和群组）。
  2. 确认只有需要 SOAR 权限的用户才会被分配到这些角色。
  3. 如需限制特定主账号的 SOAR 访问权限，请将其从预定义角色中移除，并将其分配给明确排除 SOAR 管理员权限的自定义角色。

问：迁移成功，但我仍然可以在“群组映射”页面中看到“权限群组”列。为什么？

迁移成功后，权限组列仍会显示在群组映射页面中，以实现向后兼容。请勿删除这些分配。该列将于 2027 年 3 月 31 日之前移除，不会对客户造成任何影响。

最佳做法

  • 使用迁移脚本：尽可能使用 Google Cloud 中的官方迁移脚本来处理从 SOAR 权限组到 IAM 角色的转换。
  • 查看 IAM 权限：熟悉不同 SOAR 功能和角色所需的 Google Cloud IAM 权限。
  • 全面测试：迁移后，测试不同用户角色和角色的访问权限，确保一切按预期运行。
  • 与支持团队联系：对于任何持续出现的错误或异常行为，请与支持团队联系，并提供尽可能多的详细信息。

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。