將 Microsoft Entra ID 與 Google SecOps 整合

本文說明如何將 Microsoft Entra ID 與 Google Security Operations (Google SecOps) 整合。

這項整合功能使用一或多個開放原始碼元件。 您可以從 Cloud Storage bucket 下載這項整合功能的完整原始碼壓縮副本。

用途

將 Microsoft Entra ID 與 Google SecOps 整合，可協助您解決下列用途：

• 使用者帳戶管理：使用 Google SecOps 功能，根據安全性事件 (例如疑似遭入侵或員工離職)，自動停用及啟用 Microsoft Entra ID 中的使用者帳戶。

• 重設密碼：使用 Google SecOps 功能，為遭盜用的帳戶或無法登入帳戶的使用者，自動執行密碼重設作業。重設密碼有助於簡化密碼救援程序，並減少服務中心收到的支援單。

• 群組管理：使用 Google SecOps 功能，自動建立、修改及刪除 Microsoft Entra ID 群組。

• 強制執行條件式存取政策：在 Google SecOps 應變手冊中使用 Microsoft Entra ID 條件式存取政策，根據情境動態控管存取權，並根據位置、裝置和使用者風險等因素，精細控管資源存取權。

• 安全性警示和事件應變：將 Microsoft Entra ID 安全性警示整合至 Google SecOps，自動執行事件應變工作流程。

事前準備

在 Google SecOps 中設定整合功能前，請確認 Microsoft 環境符合下列需求：

• Azure 應用程式註冊：您必須在 Microsoft Entra 系統管理中心註冊應用程式，才能取得用戶端 ID 和租戶 ID。

  如需詳細操作說明，請參閱「在 Microsoft Entra ID 中註冊應用程式」。

• API 權限：將下列 Microsoft Graph > 應用程式權限授予應用程式，並提供管理員同意聲明：

  • Directory.Read.All
  • Directory.ReadWrite.All
  • Group.ReadWrite.All
  • User.ReadWrite.All
  • AuditLog.Read.All (必須使用「Include MFA Details」參數)

• 角色指派：如要執行密碼相關動作，例如強制更新密碼或重設使用者密碼，您必須在 Microsoft Entra ID 中將 Password Administrator 角色指派給應用程式。

• 用戶端密鑰：在 Azure 應用程式的「Certificates & secrets」部分產生用戶端密鑰。請立即儲存密鑰值 (而非密鑰 ID)，因為密鑰值只會顯示一次，且設定時必須使用。

整合參數

Microsoft Entra ID 整合需要下列參數：

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

將使用者加入群組

使用「Add User to a Group」動作，將使用者新增至特定 Microsoft Entra ID 群組。這項動作需要您以 username@domain 格式設定 User 實體。

這項動作會在 Google SecOps User 實體上執行。

動作輸入內容

「Add User to a Group」動作需要下列參數：

動作輸出內容

「將使用者加入群組」動作會提供下列輸出內容：

輸出訊息

「Add User to a Group」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Add User to a Group」動作時，指令碼結果輸出的值：

停用帳戶

使用「停用帳戶」動作，停用 Microsoft Entra ID 中的帳戶。這項動作需要您以 username@domain 格式設定 User 實體。

如要執行「停用帳戶」動作，請將管理員權限授予整合中使用的 Microsoft Entra ID 帳戶。

這項動作會在 Google SecOps User 實體上執行。

設定其他權限

如要執行「停用帳戶」動作，您必須為應用程式額外設定下列 API 權限：

• User.EnableDisableAccount.All

如要瞭解如何在 Microsoft Entra ID 中設定 API 權限，請參閱本文的「設定 API 權限」一節。

動作輸入內容

無

動作輸出內容

「停用帳戶」動作會提供下列輸出內容：

輸出訊息

「停用帳戶」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「停用帳戶」動作時，指令碼結果輸出的值：

啟用帳戶

使用「啟用帳戶」動作，在 Microsoft Entra ID 中啟用帳戶。這項動作需要您以 username@domain 格式設定 User 實體。

這項動作會在 Google SecOps User 實體上執行。

設定其他權限

如要執行「Enable Account」(啟用帳戶) 動作，您必須為應用程式額外設定下列 API 權限：

• User.EnableDisableAccount.All

如要瞭解如何在 Microsoft Entra ID 中設定 API 權限，請參閱本文的「設定 API 權限」一節。

動作輸入內容

無

動作輸出內容

「啟用帳戶」動作會提供下列輸出內容：

輸出訊息

「啟用帳戶」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Enable Account」(啟用帳戶) 動作時，指令碼結果輸出的值：

擴充主機

使用「Enrich Host」動作，以 Microsoft Entra ID 的資訊擴充 Google SecOps Host 實體。這項操作會使用 Microsoft Entra ID 中的裝置 displayName 欄位，尋找與所提供 Host 實體相符的項目。

這項動作會在 Google SecOps Host 實體上執行。

動作輸入內容

無

動作輸出內容

「Enrich Host」動作會提供下列輸出內容：

實體擴充表格

「Enrich Host」動作支援下列實體擴充：

JSON 結果

以下範例顯示使用「Enrich Host」動作時，收到的 JSON 結果輸出內容：

[
    {
        "EntityResult": {
            "deletedDateTime": "1234569",
            "complianceExpirationDateTime": "1234567",
            "profileType": "RegisteredDevice",
            "key": "007",
            "if":"889922-aaaa-123123"
        },
        "Entity": "us-lt-v13001"
    }
]

輸出訊息

「Enrich Host」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Enrich Host」動作時，指令碼結果輸出的值：

充實使用者

使用「Enrich User」動作，透過 Microsoft Entra ID 的資訊擴充 Google SecOps User 實體。這項動作需要您以 username@domain 格式設定 User 實體。

這項動作會在 Google SecOps Host 實體上執行。

動作輸入內容

「Enrich User」(充實使用者) 動作需要下列參數：

動作輸出內容

「Enrich User」動作會提供下列輸出內容：

實體擴充表格

「Enrich User」動作支援下列實體擴充：

JSON 結果

以下範例顯示使用「Enrich User」動作時，收到的 JSON 結果輸出內容：

[
  {
    "Entity": "user@domain.com",
    "EntityResult": {
      "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
      "accountEnabled": true,
      "ageGroup": null,
      "businessPhones": [],
      "city": "New York",
      "companyName": "ExampleCorp",
      "consentProvidedForMinor": null,
      "country": "US",
      "createdDateTime": "2025-01-01T00:00:00Z",
      "creationType": null,
      "department": "Security",
      "displayName": "User Name",
      "mail": "user@domain.com",
      "employeeId": "12345",
      "employeeHireDate": null,
      "employeeType": null,
      "externalUserStateChangeDateTime": null,
      "faxNumber": null,
      "givenName": "User",
      "imAddresses": [],
      "externalUserState": null,
      "jobTitle": "Security Analyst",
      "surname": "Surname",
      "lastPasswordChangeDateTime": "2025-01-01T00:00:00Z",
      "legalAgeGroupClassification": null,
      "mailNickname": "usernickname",
      "mobilePhone": "+11234567890",
      "id": "user-id-12345",
      "officeLocation": null,
      "onPremisesSamAccountName": null,
      "onPremisesDistinguishedName": null,
      "onPremisesDomainName": null,
      "onPremisesImmutableId": null,
      "onPremisesLastSyncDateTime": null,
      "onPremisesProvisioningErrors": [],
      "onPremisesSecurityIdentifier": null,
      "onPremisesSyncEnabled": null,
      "onPremisesUserPrincipalName": null,
      "otherMails": [],
      "passwordPolicies": "None",
      "preferredDataLocation": null,
      "preferredLanguage": "en-US",
      "proxyAddresses": [],
      "signInSessionsValidFromDateTime": "2025-01-01T00:00:00Z",
      "state": "NY",
      "streetAddress": "123 Main St",
      "usageLocation": "US",
      "userPrincipalName": "user@domain.com",
      "userType": "Member",
      "postalCode": "10001",
      "deletedDateTime": null,
      "showInAddressList": null,
      "isResourceAccount": null,
      "refreshTokensValidFromDateTime": "2025-01-01T00:00:00Z",
      "employeeOrgData": null,
      "passwordProfile": null,
      "authorizationInfo": {
        "certificateUserIds": []
      },
      "mfa_details": {
        "id": "user-id-12345",
        "userPrincipalName": "user@domain.com",
        "userDisplayName": "User Name",
        "userType": "member",
        "isAdmin": false,
        "isSsprRegistered": true,
        "isSsprEnabled": true,
        "isSsprCapable": true
        "isMfaRegistered": true,
        "isMfaCapable": true,
        "isPasswordlessCapable": false,
        "methodsRegistered": [
          "email",
          "mobilePhone"
        ],
        "defaultMfaMethod": "mobilePhone",
        "isSystemPreferredAuthenticationMethodEnabled": false,
        "systemPreferredAuthenticationMethods": [],
        "userPreferredMethodForSecondaryAuthentication": "oath",
        "lastUpdatedDateTime": "2026-01-01T00:00:00Z"
      }
    }
  }
]

輸出訊息

「Enrich User」動作可傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Enrich User」動作時，指令碼結果輸出的值：

強制更新密碼

使用「強制更新密碼」動作，強制使用者更新密碼。這項操作會要求使用者在下次嘗試登入時變更密碼。

強制更新密碼動作需要您以 username@domain 格式設定 User 實體。

這項動作會在 Google SecOps User 實體上執行。

設定其他權限

如要執行「強制更新密碼」動作，您必須為應用程式額外設定下列 API 權限：

• User-PasswordProfile.ReadWrite.All

如要瞭解如何在 Microsoft Entra ID 中設定 API 權限，請參閱本文的「設定 API 權限」一節。

為應用程式指派角色

如要執行「強制更新密碼」動作，您必須將 Password Administrator 角色指派給應用程式。

如要將 Password Administrator 角色指派給應用程式，請完成下列步驟：

1. 使用 Microsoft 帳戶登入 Azure 入口網站。
2. 在 Microsoft Entra ID 中，搜尋「Roles and administrators」。
3. 從清單中選取或搜尋 Password Administrator 角色。
4. 按一下「Add Assignment」。
5. 選取您在整合中使用的帳戶 (成員)，然後按一下「Next」(下一步)。
6. 輸入指派角色的理由。
7. 按一下「指派」。

動作輸入內容

無

動作輸出內容

「強制更新密碼」動作會提供下列輸出內容：

輸出訊息

強制更新密碼動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「強制更新密碼」動作時，指令碼結果輸出的值：

取得管理員聯絡資料

使用「Get Manager Contact Details」動作，取得使用者的主管聯絡資料。

「Get Manager Contact Details」動作需要您以 username@domain 格式設定 User 實體。

這項動作會在 Google SecOps User 實體上執行。

動作輸入內容

「Get Manager Contact Details」動作需要下列參數：

動作輸出內容

「取得主管聯絡資料」動作會提供下列輸出內容：

案件總覽表格

「Get Manager Contact Details」動作可在 Google SecOps 傳回下列資料表：

資料表名稱：Manager contact

欄：

• 名稱
• 電話號碼

實體擴充表格

「Get Manager Contact Details」動作支援下列實體擴充：

JSON 結果

以下範例顯示使用「Get Manager Contact Details」動作時，收到的 JSON 結果輸出內容：

[
  {
    "Entity": "user@example.com",
    "EntityResult": {
      "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#users/$entity",
      "accountEnabled": true,
      "ageGroup": null,
      "businessPhones": [],
      "city": "Anytown",
      "companyName": "Example Corporation",
      "consentProvidedForMinor": null,
      "country": "US",
      "createdDateTime": "2025-01-01T00:00:00Z",
      "creationType": null,
      "department": "Security Operations",
      "displayName": "Internal User",
      "mail": "user@example.com",
      "employeeId": "ID-00001",
      "employeeHireDate": null,
      "employeeType": "Full-time",
      "externalUserStateChangeDateTime": null,
      "faxNumber": null,
      "givenName": "Alex",
      "imAddresses": [],
      "externalUserState": null,
      "jobTitle": "Security Lead",
      "surname": "Doe",
      "lastPasswordChangeDateTime": "2025-01-01T00:00:00Z",
      "legalAgeGroupClassification": null,
      "mailNickname": "alexdoe",
      "mobilePhone": "+1 555-0100",
      "id": "00000000-0000-0000-0000-000000000000",
      "officeLocation": null,
      "usageLocation": "US",
      "userPrincipalName": "user@example.com",
      "userType": "Member",
      "postalCode": "00000",
      "deletedDateTime": null,
      "showInAddressList": null,
      "isResourceAccount": null,
      "refreshTokensValidFromDateTime": "2025-01-01T00:00:00Z",
      "employeeOrgData": null,
      "authorizationInfo": {
        "certificateUserIds": []
      },
      "sponsors": [],
      "mfa_details": {
        "id": "00000000-0000-0000-0000-000000000000",
        "userPrincipalName": "user@example.com",
        "userDisplayName": "Internal User",
        "userType": "member",
        "isAdmin": true,
        "isSsprRegistered": false,
        "isSsprEnabled": true,
        "isSsprCapable": false,
        "isMfaRegistered": true,
        "isMfaCapable": true,
        "isPasswordlessCapable": false,
        "methodsRegistered": [
          "mobilePhone",
          "softwareOneTimePasscode"
        ],
        "defaultMfaMethod": "softwareOneTimePasscode",
        "isSystemPreferredAuthenticationMethodEnabled": true,
        "systemPreferredAuthenticationMethods": [
          "SoftwareOTP"
        ],
        "userPreferredMethodForSecondaryAuthentication": "oath",
        "lastUpdatedDateTime": "2026-01-01T00:00:00Z"
      }
    }
  }
]

輸出訊息

「Get Manager Contact Details」動作可傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Get Manager Contact Details」動作時，指令碼結果輸出的值：

使用者是否在群組中

使用「Is User in Group」動作，檢查使用者是否為特定 Microsoft Entra ID 群組的成員。這項動作需要您以 username@domain 格式設定 User 實體。

這項動作會在 Google SecOps User 實體上執行。

動作輸入內容

「Is User in Group」動作需要下列參數：

動作輸出內容

「Is User in Group」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「Is User in Group」動作時，收到的 JSON 結果輸出內容：

[
    {
        "EntityResult": "true",
        "Entity": "user@example.com"
    }
]

輸出訊息

「Is User in Group」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Is User in Group」動作時，指令碼結果輸出的值：

可列出群組

使用「List Groups」(列出群組) 動作，根據指定的搜尋條件列出 Microsoft Entra ID 群組。

如果是「商家資訊群組」動作，篩選功能會與 Name 欄位搭配運作。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

List Groups 動作需要下列參數：

動作輸出內容

「List Groups」動作會提供下列輸出內容：

案件總覽表格

List Groups 動作可在 Google SecOps 中傳回下列資料表：

資料表名稱：Groups

欄：

• 名稱
• ID
• 說明
• 郵件
• 建立時間
• 群組類型

實體擴充表格

「商家資訊群組」動作支援下列實體擴充：

JSON 結果

以下範例顯示使用「List Groups」動作時，收到的 JSON 結果輸出內容：

[
  {
    "Group_Type": "managed",
    "Id": "1212-12312-123",
    "Name": "Group Name",
    "Description": "This group is ...",
    "Created_Time": "2019-10-24T19:10:18Z",
    "onPremisesSamAccountName": "alext"
  }
]

輸出訊息

商家資訊群組 動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「List Groups」動作時，指令碼結果輸出的值：

列出群組成員

使用「List Members in the Group」動作，列出指定 Microsoft Entra ID 群組中的成員。

篩選邏輯會根據 Filter Key 參數值運作。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「List Members in the Group」動作需要下列參數：

動作輸出內容

「List Members in the Group」動作會提供下列輸出內容：

案件總覽表格

「List Members in the Group」動作可在 Google SecOps 中傳回下列資料表：

表格名稱：群組中的可用成員

欄：

• ID
• 使用者主體名稱
• 顯示名稱
• Surname
• Given Name
• 郵件
• 職稱
• 企業電話
• 手機
• 辦公室地點
• 偏好語言

JSON 結果

以下範例顯示使用「List Members in the Group」動作時，收到的 JSON 結果輸出內容：

[
  {
    "@odata.type": "#microsoft.graph.user",
    "id": "b786d3cf-e97d-4511-b61c-0559e9f4da75",
    "businessPhones": [],
    "displayName": "Alex T",
    "givenName": "Alex",
    "jobTitle": "Software Engineer",
    "mail": "alex.t@example.com",
    "mobilePhone": null,
    "officeLocation": "Building A",
    "preferredLanguage": "en-US",
    "surname": "T",
    "userPrincipalName": "alex.t@example.com"
  }
]

輸出訊息

「List Members in the Group」(列出群組成員) 動作可傳回下列輸出訊息：

指令碼執行結果

下表列出使用「列出群組成員」動作時，指令碼結果輸出的值：

列出使用者的群組成員資格

使用「List User's Groups Membership」(列出使用者的群組成員資格) 動作，列出使用者所屬的 Microsoft Entra ID 群組。

您可以將使用者名稱做為實體或動作輸入參數提供。如果將使用者名稱同時設為實體和輸入參數，動作會使用輸入參數。

如要設定使用者名稱，請按照 username@domain 格式操作。

這項動作會在 Google SecOps Username 實體上執行。

動作輸入內容

「List User's Groups Membership」(列出使用者的群組成員資格) 動作需要下列參數：

動作輸出內容

「List User's Groups Membership」動作會提供下列輸出內容：

案件總覽表格

「List User's Groups Membership」動作可在 Google SecOps 中傳回下表：

資料表名稱：Group Memberships

欄：

• ID
• 顯示名稱
• 說明
• 已啟用安全性
• 安全性 ID
• 建立日期時間
• 分類
• 瀏覽權限
• 郵件
• 已啟用郵件
• 郵件暱稱

JSON 結果

以下範例顯示使用「List User's Groups Membership」動作時，收到的 JSON 結果輸出內容：

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Collection(Edm.String)",
    "value": [
        "ID",
        "ID",
        "ID",
    ]
}

輸出訊息

「List User's Groups Membership」(列出使用者的群組成員資格) 動作可傳回下列輸出訊息：

指令碼執行結果

下表列出使用「List User's Groups Membership」動作時，指令碼結果輸出的值：

將使用者列入清單

使用「List Users」(列出使用者) 動作，根據指定的搜尋條件列出 Microsoft Entra ID 使用者。

如果是「List Users」(列出使用者) 動作，篩選功能會與 Username (userPrincipalName) 欄位搭配運作。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「List Users」動作需要下列參數：

動作輸出內容

「List Users」動作會提供下列輸出內容：

案件總覽表格

「List Users」動作可在 Google SecOps 中傳回下列資料表：

資料表名稱：Users

欄：

• 名稱
• 使用者名稱
• ID
• 名字
• 偏好語言
• 郵件
• 手機
• Surname
• 職稱

實體擴充表格

「List Users」動作支援下列實體擴充：

JSON 結果

以下範例顯示使用「List Users」動作時，收到的 JSON 結果輸出內容：

[
    {
        "Group Type": "managed",
        "Id": "ID",
        "Name": "Example",
        "Description": "Example",
        "Created Time":"2019-10-24T19:10:18Z"
    }
]

輸出訊息

「List Users」動作可傳回下列輸出訊息：

指令碼執行結果

下表列出使用「List Users」動作時，指令碼結果輸出的值：

乒乓

使用 Ping 動作，測試與 Microsoft Entra ID 的連線能力。

這項動作會對所有 Google SecOps 實體執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

輸出訊息

Ping 動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

將使用者從群組中移除

使用「Remove User from the Group」動作，從 Microsoft Entra ID 的指定群組中移除使用者。

您可以將使用者名稱做為實體或動作輸入參數提供。如果將使用者名稱同時設為實體和輸入參數，動作會使用輸入參數。

如要設定使用者名稱，請按照 username@domain 格式操作。

這項動作會在 Google SecOps Username 實體上執行。

動作輸入內容

「Remove User from the Group」動作需要下列參數：

動作輸出內容

「Remove User from the Group」動作會提供下列輸出內容：

輸出訊息

「Remove User from the Group」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Remove User from the Group」動作時，指令碼結果輸出的值：

重設使用者密碼

使用「Reset User Password」(重設使用者密碼) 動作，將使用者密碼重設為您在動作中指定的密碼。這項操作會要求使用者在下次嘗試登入時變更密碼。

「Reset User Password」動作需要您以 username@domain 格式設定 User 實體。

這項動作會在 Google SecOps User 實體上執行。

為應用程式指派角色

如要執行「重設使用者密碼」動作，您必須為應用程式指派 Password Administrator 角色。

如要將 Password Administrator 角色指派給應用程式，請完成下列步驟：

1. 使用 Microsoft 帳戶登入 Azure 入口網站。
2. 在 Microsoft Entra ID 中，搜尋「Roles and administrators」。
3. 從清單中選取或搜尋 Password Administrator 角色。
4. 按一下「Add Assignment」。
5. 選取您在整合中使用的帳戶 (成員)，然後按一下「Next」(下一步)。
6. 輸入指派角色的理由。
7. 按一下「指派」。

動作輸入內容

「重設使用者密碼」動作需要下列參數：

動作輸出內容

「重設使用者密碼」動作會提供下列輸出內容：

輸出訊息

「重設使用者密碼」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「Reset User Password」(重設使用者密碼) 動作時，指令碼結果輸出的值：

撤銷使用者工作階段

使用「撤銷使用者工作階段」動作，撤銷使用者工作階段。

這項動作會在下列 Google SecOps 實體上執行：

• Username
• Email Address

動作輸入內容

無

動作輸出內容

「撤銷使用者工作階段」動作會提供下列輸出內容：

JSON 結果

以下範例顯示使用「撤銷使用者工作階段」動作時，收到的 JSON 結果輸出內容：

• 如果使用者存在：

  {
      "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#Edm.Boolean",
      "value": true
  }
  

• 如果找不到使用者：

  {
      "error": "User not found."
  }
  

輸出訊息

「撤銷使用者工作階段」動作可能會傳回下列輸出訊息：

指令碼執行結果

下表列出使用「撤銷使用者工作階段」動作時，指令碼結果輸出的值：

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。