SOAR 迁移概览

支持：

本文档介绍了将 SOAR 基础架构迁移到 Google Cloud的流程和时间表。此次迁移旨在实现基础架构的现代化，并增强其与 Google Cloud 服务的集成，从而使 Google Security Operations 统一客户和过渡到 Google Cloud的独立 SOAR 用户都能从中受益。

此次迁移对于提供关键基础设施升级至关重要，包括增强可靠性、提高安全性、加强合规性以及更精细的访问权限控制。它还支持通过 Model Context Protocol (MCP) 集成以及一流的服务（包括用于访问权限控制的 IAM、Cloud Monitoring 和 Cloud Audit Logs）访问智能体 AI 功能。

迁移分两个阶段进行：第 1 阶段和第 2 阶段。

第 1 阶段包括以下迁移：

  • 将您的 Google 拥有的 SOAR 项目迁移到 Google Cloud 基础设施。此阶段的评选由 Google 负责开展。
  • 将 SOAR 身份验证迁移到 Google Cloud （仅适用于 SOAR 独立客户）。

第 2 阶段包括以下迁移：

  • 将 SOAR 权限组和权限迁移到 Google Cloud IAM。
  • SOAR API 将迁移到新的统一 Chronicle API，因此需要更新现有脚本和集成。
  • Webhook 的迁移。
  • 迁移远程代理身份验证基础设施。

检查迁移是否成功

  • 前往 SOAR 设置 > 许可管理，验证系统版本号后面是否显示 Google.com，以检查第 1 阶段是否已成功完成。

  • 前往 SOAR 设置>许可管理，验证系统版本号后面是否显示 Google.com 和 CloudIAM Enabled，以检查 SOAR 权限到 IAM 角色的第 2 阶段迁移是否已成功完成。

Google SecOps 统一客户的迁移阶段 1

请查看产品内通知，了解第 1 阶段迁移日期，并通过其中包含的 Google 表单确认时间段。 第 1 阶段包括以下迁移。

  • 将 Google 自有的 SOAR 项目迁移到 Google Cloud

迁移期间，Google SecOps 平台将出现最长 90 分钟的停机时间，在此期间无法访问该平台。在此停机期间，您的 SIEM 服务将继续在后台运行，而 SOAR 服务将暂时暂停。 停机结束后，平台将恢复可用，SOAR 服务也会重新开始处理停机期间生成或注入的任何提醒。

迁移完成后，我们会向您发送一封邮件。

SOAR 独立客户的迁移第 1 阶段

您可以根据自己的需求和应用场景，选择以下迁移选项之一：

  • 选项 1（推荐）- 将 SOAR 实例与现有 SIEM 实例整合：如果您有未启用 SOAR 的现有 SIEM 实例，我们建议您尽可能将 SOAR 实例整合到现有 SIEM 部署中。此选项会使用与您现有 SIEM 实例关联的 Google Cloud 项目，并在具有共享身份验证、访问权限控制和审核日志记录功能的单个 Google SecOps 界面下统一这两个产品。

  • 选项 2 - 部署新的 Google SecOps 实例：或者，如果您没有现有的 SIEM 实例，或者需要将 SOAR 和 SIEM 部署分开，则可以在专用 Google Cloud 项目中部署新的 Google SecOps 实例。

当我们准备好为您启动第 1 阶段时，您会收到产品内通知消息。 请务必执行以下操作：

  1. 根据您选择的迁移选项，确定或设置 Google Cloud 项目：
    • 选项 1（与现有 SIEM 统一）：使用与 SIEM 实例关联的现有 Google Cloud 项目。
    • 方法 2（部署新的 Google SecOps 实例）：设置 Google Cloud 项目。您还可以使用 Google Cloud 已设置为访问 Google SecOps 支持但尚无 Google Security Operations 实例的项目。
  2. 在 Google Cloud 项目中启用 Chronicle API（如果尚未启用）。
  3. 设置 Google Cloud 身份验证以访问 SOAR。请参阅设置 Google Cloud 身份验证以访问 SOAR。
  4. 在产品内通知中的 Google 表单中提供 Google Cloud 项目 ID，并在提交表单之前确认迁移日期和时间段。
  5. 接受“获取 Google Security Operations 页面”的邮件邀请，并完成设置（如果要部署新的 Google SecOps 实例）。请确保您的区域信息准确无误。
  6. 请参阅迁移前验证指南，验证上述步骤是否已正确设置。

完成这些步骤后，Google 会在您安排的日期和时间执行迁移。迁移期间，SOAR 服务将停机大约 2 小时。完成后，您会收到一封电子邮件，其中包含用于访问 SOAR 平台的新网址。旧网址在 2026 年 6 月 30 日之前仍可正常使用，并会重定向到新网址。

设置 Google Cloud 身份验证以访问 SOAR

根据您要使用的身份类型，配置以下选项之一。您可能需要 Google Cloud 和身份或 IdP 管理员的协助才能完成这些步骤。

选项 1：在 Google Cloud （Google 管理的账号）中配置 Cloud Identity 身份验证

如果您直接在 Cloud Identity 中使用 Google 管理的用户名和密码来管理用户账号，则此场景适用。 如果您通过第三方身份提供方（例如 Okta 或 Azure AD）使用 Cloud Identity 进行单点登录，则此设置不适用。

请完成以下步骤：

  1. 在 Google Cloud中设置 Cloud Identity。

    如果您已设置 Cloud Identity 并使用 Google 管理的用户名和密码，则可以跳过此步骤。

  2. 确保所有现有 SOAR 用户都在 Cloud Identity 管理控制台中进行了配置。

  3. 按照 Google 账号的角色分配格式，在 IAM 中授予所需角色。

    1. 在 Google Cloud 中向入职 SME 分配以下预定义 IAM 角色：

    2. 为所有现有 SOAR 用户分配以下预定义的 IAM 角色之一：

  4. 将每个用户（包括管理员）映射到邮箱用户群组，以在 SOAR 中完成身份验证设置。

    1. 前往 SOAR 设置 > 高级 > 群组映射。

    2. 点击添加 添加，然后填写以下信息：

      • IdP / 用户群组：电子邮件用户群组的名称（例如 T1 analysts）。
      • 权限组：选择权限组。
      • SOC 角色：选择 SOC 角色。
      • 环境：选择环境（例如所有环境）。
      • 群组成员：输入所需的用户邮箱。每添加一个邮箱后按 Enter 键。

    3. 点击添加。

      每次用户登录平台时，系统都会自动将其添加到 SOAR 设置>组织>用户管理页面。迁移后的实例会保留这些映射，并将其作为确定用户对 SOAR 的访问权限的基础。您必须确保每个用户都已在此页面中映射，才能访问 Google SecOps。

方法 2：在 Google Cloud中配置员工身份联合身份验证

如果您使用 Microsoft Azure Active Directory、Okta、Ping Identity 和 AD FS 等第三方 IdP 管理用户身份，则此场景适用。

  1. 在 Google Cloud中设置员工身份联合。如果已设置，您可以跳过此步骤。
  2. 确保 SOAR 中的所有现有用户都属于在员工身份联合中设置的员工池群组。

  3. 按照员工身份的角色分配格式，在 IAM 中授予所需角色。

    1. 将以下所有预定义 IAM 角色分配给入职 SME。

    2. 在 IAM 中为所有现有 SOAR 用户分配以下角色之一：

  4. 通过映射需要访问 SOAR 的所有 IdP 群组，在 SOAR 中完成身份验证设置。

    确保现有用户至少映射到一个 IdP 群组。

    1. 前往 SOAR 设置 > 高级 > 群组映射。
    2. 点击添加 添加，然后填写以下信息：
      • IdP / 用户群组：输入 IdP 中的群组名称。
      • 权限组：选择权限组。
      • SOC 角色：选择 SOC 角色。
      • 环境：选择环境（例如所有环境）。
    3. 请确保您已添加具有管理员权限的管理员 IdP 群组，并为权限组、SOC 角色选择“所有环境”。
    4. 如果您在“外部身份验证”页面中已有任何 IdP 群组映射，则应保持原样，以免覆盖现有的 SOAR 身份验证。 如需让新的 Google Cloud 身份验证能够访问 SOAR，您仍必须在设置 > SOAR 设置 > 高级 > 组映射页面中设置 IdP 组映射。
    5. 点击添加。每次用户登录平台时，系统都会自动将其添加到设置>组织>用户管理页面。迁移后的实例会保留这些映射，并将其作为确定用户对 SOAR 的访问权限的基础。您必须确保每个用户都已在此页面中映射，才能访问 Google SecOps。

面向所有客户的第 2 阶段迁移

重要提示：您必须先完成第 1 阶段，然后才能开始第 2 阶段的迁移。

自 2026 年 1 月 26 日起，第 2 阶段迁移将面向所有客户正式发布。

完成第 2 阶段向 IAM 角色迁移的最终截止日期为 2026 年 11 月 30 日。API 迁移截止日期已延长至 2027 年 3 月 31 日。

将 SOAR 权限组迁移到 Google Cloud IAM

只需在 Google Cloud中一键运行迁移脚本，即可将 SOAR 权限组和权限迁移到 IAM。 该脚本会为每个权限组创建新的自定义角色，并将其分配给 Cloud Identity 客户的用户或员工身份联合客户的 IdP 群组。 您还可以使用 Terraform 迁移 SOAR 权限。

如需详细了解迁移脚本和 Terraform 命令，请参阅将 SOAR 权限迁移到 Google Cloud IAM。

如需详细了解如何设置权限，请参阅配置功能访问权限。

权限迁移完成后，会发生以下情况：

  • SOAR 设置 > 组织 > 权限页面在 2027 年 3 月 31 日之前仍可使用（以便向后兼容旧版 API）。请勿对此页面进行任何更改。所有权限均通过 IAM 进行管理。
  • 群组映射页面上的权限组列是为了向后兼容旧版 SOAR API 而显示的。请勿删除这些分配。该列将于 2027 年 3 月 31 日自动移除，不会对客户造成任何影响。
  • 权限页面中的“受限操作”部分将移至群组映射页面。

将 SOAR API 迁移到 Chronicle API

如果您通过 API 调用或集成以编程方式使用 SOAR API，则可以将其迁移到作为 Chronicle API 的一部分提供的新 SOAR v1 Beta 版端点。

您必须更新脚本和集成，将 SOAR API 端点替换为相应的 Chronicle API 端点。旧版 SOAR API 和 API 密钥在 2027 年 3 月 31 日之前仍可使用，之后将无法再使用。 如需了解详情，请参阅将端点迁移到 Chronicle API。

迁移 webhook

您需要在 2027 年 3 月 31 日之前执行以下操作，将 SOAR 网络钩子迁移到 Chronicle API：

在客户端更新网络钩子网址，方法是使用新请求格式将旧版 siemplify-soar.com 网域替换为新 googleapis.com 网域。旧版 siemplify-soar.com 网域将继续运行，直至 2027 年 3 月 31 日。

例如，在以下位置定义的 webhook：https://xxxx.siemplify-soar.com/api/external/v1/webhooks/{webhook_id}?api_key=xxxx

需要更新为：https://us-chronicle.googleapis.com/v1alpha/projects/{project_id}/locations/{location}/instances/{instance/{instance_id}/webhooks/{webhook_id}?api_key=xxxx

Webhook 的身份验证保持不变。Webhook 会继续使用最初与 Webhook 链接一起创建的 API 密钥。

迁移远程代理身份验证基础设施

以下步骤详细介绍了如何将远程代理的身份验证基础架构迁移到 Google Cloud 服务账号身份验证。此过程不需要迁移或替换远程代理实例或主机。

  1. 为远程代理创建服务账号，而不是 API 密钥。
  2. 对远程代理执行主要版本升级。

现有远程代理将保留到 2026 年 11 月 30 日，之后将无法再运行。 如需了解详细说明，请参阅将远程代理迁移到 Google Cloud。

对 SOAR 审核日志的影响

完成权限迁移到 IAM 后，SOAR 日志将在 Google Cloud 中提供。 在 2027 年 3 月 31 日之前，对旧版 SOAR API 的任何调用都将保留在 SOAR 审核日志中。 对于 Google SecOps 客户，请参阅收集 Google SecOps SOAR 日志。 对于 SOAR 独立客户，请参阅收集 SOAR 日志

迁移后的进一步变更：

许可类型 许可类型现在由用户在 IAM 中分配的权限决定。

着陆页 着陆页将从“权限”页面移至用户偏好设置菜单，您可以通过自己的头像访问该菜单。

后续步骤

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。