整合 ServiceNow 與 Google SecOps

本文說明如何將 ServiceNow 與 Google Security Operations (Google SecOps) 整合。

用途

ServiceNow 整合功能會使用 Google SecOps 功能，支援下列用途：

  • 自動建立事件單：根據 SIEM 或其他安全工具產生的安全性警示，自動建立 ServiceNow 事件。

  • 事件擴充和應變：減少手動建立票證，並使用原始警示中的相關資訊擴充事件，簡化事件應變工作流程。

  • 網路釣魚修復：自動執行重複的網路釣魚調查步驟，例如收集電子郵件標頭、調查附件，以及搜尋類似的電子郵件，加快應變速度。

  • 安全漏洞修復自動化調度管理：根據安全漏洞掃描結果，自動建立 ServiceNow 變更要求，以便執行修補或緩解動作，藉此自動調度管理安全漏洞修復工作流程。

  • 使用者生命週期自動化：根據 ServiceNow 工作流程的觸發條件，自動執行各種系統 (存取控管、電子郵件平台、應用程式) 的使用者佈建和取消佈建工作。

  • 威脅情報背景資訊：直接從 ServiceNow 平台取得威脅情報資料，充實安全性警示內容，為分析師提供更多背景資訊，以便排定應變措施的優先順序。

事前準備

在 Google SecOps 平台設定整合功能前，請務必完成下列必要條件：

  • ServiceNow 使用者帳戶：專用使用者帳戶，具備足夠權限，可查詢、建立及更新目標記錄。
  • ServiceNow 角色：確認帳戶具備必要的系統角色 (sn_incident_write 和 itil) 和自訂使用者存取權設定，可讀取日誌留言。
  • 網路連線：網路設定，允許來自 Google SecOps IP 位址或遠端代理基礎架構的流量，連至 ServiceNow 執行個體端點。
  • 驗證詳細資料：決定貴組織的驗證政策。您可以使用標準基本驗證或 OAuth 2.0 驗證。

在 ServiceNow 中設定使用者存取權

如要讓整合功能順暢同步註解、更新欄位及執行動作，您必須在 ServiceNow 平台中執行下列管理工作。

如需操作 ServiceNow 介面的具體說明，請參閱官方 ServiceNow 產品說明文件。

  1. 建立自訂角色：依序前往 「Roles」 > 「New」，建立 專門處理 API 留言存取權的新角色。
  2. 建立新的存取控管清單 (ACL) 規則：整合功能需要 sys_journal_field 資料表的讀取權限，才能追蹤留言和工作附註。依序前往「存取控管」>「新增」。您必須使用具備更高權限的帳戶登入，才能建立這項規則。

  3. 設定 ACL 參數：

    • 將「Type」設為 record。
    • 將「Operation」(作業) 設為 read。
    • 在「Name」(名稱) 欄位中，從 第一個下拉式選單選取「Journal Entry sys_journal_field」(日記帳項目 )，然後從第二個下拉式選單選取「-- None --」(無)。
    • 前往表單底部的「Requires role」(需要角色) 清單，新增您建立的自訂留言角色。按一下「Submit」。

  4. 將角色指派給整合帳戶：前往「Users」(使用者)，開啟專屬整合帳戶，然後授予下列角色：

    • 您建立用來讀取留言的自訂角色。
    • sn_incident_write：基本互動的必要權限，例如「Get Incident」(取得事件) 和「Update Incident」(更新事件) 動作。
    • itil：執行 CMDB 動作和相關資產設定管理查詢函式時，必須具備這項權限。

驗證設定選項

ServiceNow 整合功能支援三種驗證方式。請根據貴組織的安全需求，選擇下列其中一種設定選項。

選項 1：OAuth 2.0 用戶端憑證流程 (建議)

這個方法會使用 OAuth 2.0 用戶端憑證授權和使用者身分模擬，安全地限制資料存取權，不向平台公開靜態使用者密碼。

第 1 階段：在 ServiceNow 建立 OAuth 端點

  1. 在 ServiceNow 導覽選單中搜尋「Application Registries」，然後點選「New」。
  2. 選取「New Inbound Integration Experience」。
  3. 從連線類型清單中，選取「OAuth - Client credentials grant」(OAuth - 用戶端憑證授權)。
  4. 在「Name」(名稱) 欄位中，輸入端點設定的描述性名稱。
  5. 提供建立身分設定檔情境所需的 OAuth 供應商名稱或 ID。
  6. 在「OAuth application user」(OAuth 應用程式使用者) 欄位中，選取要模擬並用於所有自動化 API 活動的專用 ServiceNow 使用者帳戶。
  7. 按一下「提交」或「儲存」。
  8. 重新開啟新建立的註冊資料庫記錄，複製並妥善保存產生的用戶端 ID 和用戶端密鑰。

第 2 階段：在 Google SecOps 中設定

  1. 在 Google SecOps 中，依序前往 「Response」>「Integrations Setup」，然後開啟 ServiceNow 設定視窗。
  2. 輸入「Api Root」(API 根目錄)，將預設預留位置網域替換為實際的 ServiceNow 執行個體網址。
  3. 提供在階段 1 產生的用戶端 ID 和用戶端密鑰。
  4. 確認「Username」(使用者名稱)、「Password」(密碼) 和「Refresh Token」(更新權杖) 欄位完全空白。
  5. 勾選「Use Oauth Authentication」核取方塊。
  6. 按一下「測試」，使用連線能力連線偵測 (ping) 測試來驗證參數。如果成功，請按一下「Save」(儲存)。

選項 2：基本驗證

這個方法會直接驗證憑證。設定方式很簡單，但如果企業強制執行多重驗證 (MFA) 或封鎖基本驗證標頭，則可能會受到限制。

  1. 在 ServiceNow 中，確認整合使用者具有本機使用者名稱和密碼。
  2. 在 Google SecOps 中設定整合功能時，請提供 Api Root (將預設預留位置網域替換為實際的 ServiceNow 執行個體網址)、Username 和 Password。
  3. 將 OAuth 相關欄位留空，並確認 Use Oauth Authentication 已關閉 (取消勾選核取方塊)。
  4. 按一下「測試」來驗證連線參數。如果成功，請按一下「Save」(儲存)。

選項 3：更新權杖流程

如果貴組織需要使用更新權杖鏈結的 OAuth 安全控管機制，以程式輔助方式在背景擷取存取權杖，請使用這個方法。

  1. 在 ServiceNow 執行個體中完成階段 1，產生用戶端 ID 和用戶端密鑰。
  2. 完成「產生更新權杖」一節中的步驟，擷取有效的授權權杖字串。
  3. 在 Google SecOps 中，開啟 ServiceNow 整合執行個體設定視窗。
  4. 使用設定的憑證完整填入參數：
    • Api Root (將預設預留位置網域替換為實際的 ServiceNow 執行個體網址)。
    • 使用者名稱
    • 密碼
    • 用戶端 ID
    • 用戶端密鑰
  5. 勾選「Use Oauth Authentication」核取方塊。
  6. 將您從「產生更新權杖」一節的工作流程中擷取的權杖字串，貼到「Refresh Token」(更新權杖) 欄位中。
  7. 按一下「測試」來驗證連線參數。如果成功，請按一下「Save」(儲存)。

產生更新權杖 (Google SecOps)

如要產生更新權杖，您必須暫時設定整合項目，以執行輔助動作。

  1. 在 Google SecOps 中，依序前往 「Response」 >「Integrations Setup」。
  2. 在這個初始設定步驟中，請確認「Use Oauth Authentication」(使用 OAuth 驗證) 核取方塊仍未勾選。
  3. 使用「Api Root」(API 根目錄)、「Username」(使用者名稱)、「Password」(密碼)、「Client ID」(用戶端 ID) 和「Client Secret」(用戶端密鑰) 設定臨時 ServiceNow 整合執行個體，然後按一下「Save」(儲存)。
  4. 模擬案件或開啟現有案件。
  5. 手動對案件執行 ServiceNow 的「Get Oauth Token」動作。
  6. 從動作的 JSON 結果中複製 refresh_token 值，以便在設定最終整合執行個體時，用於「更新權杖」欄位。

整合參數

ServiceNow 整合需要下列參數：

參數 說明
Api Root

這是必填欄位。

ServiceNow 執行個體的 API 根層級。

預設值為 https://INSTANCE.service-now.com/api/now/v1/。
Username

這是必填欄位。

ServiceNow 帳戶的使用者名稱。
Password

這是必填欄位。

ServiceNow 帳戶的密碼。
Incident Table

選填。

用於事件相關動作和記錄擷取的 API 資料表名稱或路徑。

根據預設，整合功能會使用 table/incident 路徑。
Verify SSL

選填。

如果選取，整合功能會在連線至 ServiceNow 伺服器時驗證 SSL 憑證。

(預設為啟用)。
Client ID

選填。

ServiceNow 整合的用戶端 ID，使用用戶端憑證進行 OAuth 2.0 驗證時必須提供。

您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Client Secret

選填。

ServiceNow 整合的用戶端密鑰，使用用戶端憑證進行 OAuth 2.0 驗證時必須提供。

您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Refresh Token

選填。

ServiceNow 整合的更新權杖，使用更新權杖進行 OAuth 2.0 驗證時必須提供。

設定的更新權杖每 90 天會到期。

您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Use Oauth Authentication

選填。

如果選取，整合項目會使用 OAuth 2.0 進行驗證。

OAuth 2.0 驗證需要設定用戶端憑證 (Client ID 和 Client Secret) 或 Refresh Token。

預設為停用。

如要瞭解如何在 Google SecOps 中設定整合功能，請參閱「設定整合功能」。

如有需要，您可以在後續階段進行變更。設定整合執行個體後，即可在應對手冊中使用。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

動作

如要進一步瞭解動作，請參閱「 在工作區回應待處理動作」和「在案件中執行手動動作」。

新增附件

使用「Add Attachment」動作，在 ServiceNow 中將附件新增至表格記錄。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「新增附件」動作需要下列參數：

參數 說明
Table Name

這是必填欄位。

資料表名稱，其中包含新增附件的記錄。
Record Sys ID

這是必填欄位。

新增附件的記錄系統 ID (sys_id)。
File Path

這是必填欄位。

以半形逗號分隔的清單，列出要附加檔案的絕對路徑。
Mode

選填。

如果記錄中已有名稱相同的檔案，動作的行為。

可能的值如下：

  • Add New Attachment：這項動作會將檔案新增為獨立附件。檔案名稱可以相同。
  • Overwrite Existing Attachment：這項動作會取代同名的現有附件。

預設值為 Add New Attachment。

動作輸出內容

「新增附件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Add Attachment」動作時，收到的 JSON 結果輸出內容：

{
    "result": {
        "size_bytes": "742",
        "file_name": "placeholder_document.txt",
        "sys_mod_count": "0",
        "average_image_color": "",
        "image_width": "",
        "sys_updated_on": "2025-01-01 10:00:00",
        "sys_tags": "",
        "table_name": "incident",
        "sys_id": "TEST_SYS_ID_ATTACH_123456789",
        "image_height": "",
        "sys_updated_by": "admin",
        "download_link": "https://placeholder.service-now.com/api/now/attachment/TEST_SYS_ID_ATTACH_123456789/file",
        "content_type": "multipart/form-data",
        "sys_created_on": "2025-01-01 10:00:00",
        "size_compressed": "438",
        "compressed": "true",
        "state": "pending",
        "table_sys_id": "TEST_SYS_ID_RECORD_ABCDEFG",
        "chunk_size_bytes": "700000",
        "hash": "test_hash_0000000000000000000000000000000000000000000000000000000000000000",
        "sys_created_by": "admin"
    }
}
輸出訊息

「Add Attachment」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully added the following attachments to the record with a Sys ID RECORD_SYS_ID from a table TABLE_NAME in ServiceNow: FILE_PATHS

Action wasn't able to add the following attachments to the record with a Sys ID RECORD_SYS_ID from a table TABLE_NAME in ServiceNow: FILE_PATHS

No attachments were added to the record with a Sys ID RECORD_SYS_ID from a table TABLE_NAME in ServiceNow: FILE_PATHS

 動作成功。
Error executing action "Add Attachment". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add Attachment」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

新增註解

使用「新增註解」動作，在 ServiceNow 事件中新增註解。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Comment」動作需要下列參數：

參數 說明
Incident Number

這是必填欄位。

要新增註解的事件編號，格式為 INCINCIDENT_NUMBER。
Comment

這是必填欄位。

要新增至事件的註解。

動作輸出內容

「新增註解」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Add Comment」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

新增留言並等待回覆

使用「Add Comment and Wait for Reply」動作，在 ServiceNow 事件中新增註解，然後暫停執行應對手冊，直到該事件新增註解或回覆為止。動作的輸出內容是新留言的內容。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「新增註解並等待回覆」動作需要下列參數：

參數 說明
Incident Number

這是必填欄位。

要新增註解的事件編號，格式為 INCINCIDENT_NUMBER。
Comment

這是必填欄位。

要新增至事件的註解。

動作輸出內容

「新增留言並等待回覆」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「新增留言並等待回覆」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
new_comment

在記錄中新增註解

使用「Add Comment To Record」動作，在 ServiceNow 的特定資料表記錄中新增註解或工作附註。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Comment To Record」動作需要下列參數：

參數 說明
Table Name

這是必填欄位。

要新增註解或附註的資料表名稱。
Type

這是必填欄位。

要新增的註解或附註類型。

可能的值如下：

  • Comment
  • Work Note

預設值為 Comment。
Record Sys ID

這是必填欄位。

要新增註解或工作附註的系統 ID (sys_id)。
Text

這是必填欄位。

註解或工作附註的內容。
Wait For Reply

選填。

如果選取這個選項，動作會以非同步方式執行，並暫停執行，直到記錄中新增註解或工作附註。

如果您新增註解，這項動作會追蹤註解；如果您新增工作附註，則會追蹤工作附註。

預設為停用。

動作輸出內容

「Add Comment To Record」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Add Comment To Record」動作時，收到的 JSON 結果輸出內容：

{
    "sys_id": "4355183607523010ff23f6fd7c1ed0a8",
    "sys_created_on": "2021-09-03 10:29:48",
    "name": "incident",
    "element_id": "552c48888c033300964f4932b03eb092",
    "sys_tags": "",
    "value": "Test comment content.",
    "sys_created_by": "admin",
    "element": "comments"
}
輸出訊息

「Add Comment To Record」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully added COMMENT_OR_NOTE " CONTENT" to TABLE_NAME with Sys_ID SYS_ID in ServiceNow. 動作成功。
Error executing action "Add Comment To Record". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Add Comment To Record」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

新增上層事件

使用「Add Parent Incident」動作，為 ServiceNow 中的事件新增上層事件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Add Parent Incident」動作需要下列參數：

參數 說明
Parent Incident Number

這是必填欄位。

上層事件編號，格式為 INCINCIDENT_NUMBER (例如 INC0000051)。

這項動作會將 Child Incident Numbers 中的所有事件新增為上層事件的子事件。
Child Incident Numbers

這是必填欄位。

以半形逗號分隔的事件編號清單，格式為 INCINCIDENT_NUMBER (例如 INC0000051)，用於設為指定父項事件的子項事件。

動作輸出內容

「新增上層事件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Add Parent Incident」動作時，收到的 JSON 結果輸出內容：

{
    "result": [
        {
            "parent": "",
            "made_sla": "true",
            "caused_by": "",
            "watch_list": "",
            "upon_reject": "cancel",
            "sys_updated_on": "2020-10-20 07:19:11",
            "child_incidents": "0",
            "hold_reason": "",
            "approval_history": "",
            "skills": "",
            "number": "INC0010009",
            "resolved_by": "",
            "sys_updated_by": "admin",
            "opened_by": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "user_input": "",
            "sys_created_on": "2020-10-20 07:19:11",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "1",
            "sys_created_by": "admin",
            "knowledge": "false",
            "order": "",
            "calendar_stc": "",
            "closed_at": "",
            "cmdb_ci": "",
            "delivery_plan": "",
            "contract": "",
            "impact": "3",
            "active": "true",
            "work_notes_list": "",
            "business_service": "",
            "priority": "5",
            "sys_domain_path": "/",
            "rfc": "",
            "time_worked": "",
            "expected_start": "",
            "opened_at": "2020-10-20 07:18:56",
            "business_duration": "",
            "group_list": "",
            "work_end": "",
            "caller_id": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "reopened_time": "",
            "resolved_at": "",
            "approval_set": "",
            "subcategory": "",
            "work_notes": "",
            "short_description": "Assessment :  Assessor",
            "close_code": "",
            "correlation_display": "",
            "delivery_task": "",
            "work_start": "",
            "assignment_group": "",
            "additional_assignee_list": "",
            "business_stc": "",
            "description": "",
            "calendar_duration": "",
            "close_notes": "",
            "notify": "1",
            "service_offering": "",
            "sys_class_name": "incident",
            "closed_by": "",
            "follow_up": "",
            "parent_incident": {
                "link": "https://example.service-now.com/api/now/table/incident/ID",
                "value": "ID"
            },
            "sys_id": "2a100a1c2fc42010c518532a2799b621",
            "contact_type": "",
            "reopened_by": "",
            "incident_state": "1",
            "urgency": "3",
            "problem_id": "",
            "company": "",
            "reassignment_count": "0",
            "activity_due": "",
            "assigned_to": "",
            "severity": "3",
            "comments": "",
            "approval": "not requested",
            "sla_due": "",
            "comments_and_work_notes": "",
            "due_date": "",
            "sys_mod_count": "0",
            "reopen_count": "0",
            "sys_tags": "",
            "escalation": "0",
            "upon_approval": "proceed",
            "correlation_id": "",
            "location": "",
            "category": "inquiry"
        }
    ]
}
輸出訊息

「新增上層事件」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully set PARENT_INCIDENT_NUMBER as the "Parent Incident" for the following incidents in ServiceNow: CHILD_INCIDENT_NUMBERS. 動作成功。
Error executing action "Add Parent Incident". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。

關閉事件

使用「Close Incident」動作關閉 ServiceNow 事件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Close Incident」(關閉事件) 動作需要下列參數：

參數 說明
Incident Number

這是必填欄位。

要關閉的事件編號，格式為 INCINCIDENT_NUMBER。
Close Reason

這是必填欄位。

關閉事件的原因。
Resolution Code

這是必填欄位。

事件的解決代碼。

可能的值如下：

  • Duplicate
  • Known error
  • No resolution provided
  • Resolved by caller
  • Resolved by change
  • Resolved by problem
  • Resolved by request
  • Solution provided
  • Workaround provided
  • User error

預設值為 Solution provided。
Close Notes

這是必填欄位。

事件的結案附註。

動作輸出內容

「Close Incident」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Close Incident」(關閉事件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

建立警告事件

使用「Create Alert Incident」(建立警告事件) 動作，根據啟動應對手冊執行的警告詳細資料，在 ServiceNow 中建立新事件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Create Alert Incident」(建立快訊事件) 動作需要下列參數：

參數 說明
Impact

這是必填欄位。

事件的影響程度。

可能的值如下：

  • 1：高
  • 2 (中)
  • 3 (低)

預設值為 1。
Urgency

這是必填欄位。

事件的緊急程度。

可能的值如下

  • 1：高
  • 2 (中)
  • 3 (低)

預設值為 1。
Category

選填。

事件類別。
Assignment Group ID

選填。

事件指派對象群組的全名。
Assigned User ID

選填。

事件指派對象的全名。
Description

選填。

事件說明。

動作輸出內容

「Create Alert Incident」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Create Alert Incident」動作時，收到的 JSON 結果輸出內容：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": " ",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010005",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "0",
    "notify": "1",
    "resolved_by": " ",
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": " ",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "1",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by":
    "admin", "caused_by": " ",
    "comments": " ",
    "closed_by": " ",
    "priority": "1",
    "state": "1",
    "sys_id": "ID",
    "opened_at": "2020-07-10 05:13:25",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": "4187b92c-7aaa-40ec-a032-833dd5a854e6",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": " ",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": " ",
    "business_duration": " ",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 05:13:25",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": " ",
    "caller_id": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "active": "true",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": "2020-07-10 07:13:25",
    "severity": "3",
    "incident_state": "1",
    "resolved_at": " ",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 05:13:25",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": " ",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "1",
    "reopen_count": "0"
}
指令碼執行結果

下表列出使用「Create Alert Incident」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

建立事件

使用「Create Incident」動作，在 ServiceNow 建立新的事件。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Create Incident」(建立事件) 動作需要下列參數：

參數 說明
Short Description

這是必填欄位。

事件的簡短說明。
Impact

這是必填欄位。

事件的影響程度。

可能的值如下：

  • 1：高
  • 2 (中)
  • 3 (低)

預設值為 1。
Urgency

這是必填欄位。

事件的緊急程度。

可能的值如下

  • 1：高
  • 2 (中)
  • 3 (低)

預設值為 1。
Category

選填。

事件類別。
Assignment Group ID

選填。

要指派事件的群組全名。

Assigned User ID

選填。

要指派事件的使用者全名。

Description

選填。

事件說明。
Custom Fields

選填。

JSON 格式的字串，包含要更新的欄位名稱和對應值 (例如 {"location":"London", "category":"database"})。

您可以使用這個參數，修改未明確定義為動作輸入內容的欄位。

動作輸出內容

「Create Incident」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Create Incident」動作時，收到的 JSON 結果輸出內容：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": " ",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010005",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "0",
    "notify": "1",
    "resolved_by": " ",
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": " ",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "1",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by":
    "admin", "caused_by": " ",
    "comments": " ",
    "closed_by": " ",
    "priority": "1",
    "state": "1",
    "sys_id": "ID",
    "opened_at": "2020-07-10 05:13:25",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": "4187b92c-7aaa-40ec-a032-833dd5a854e6",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": " ",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": " ",
    "business_duration": " ",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 05:13:25",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": " ",
    "caller_id": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "active": "true",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": "2020-07-10 07:13:25",
    "severity": "3",
    "incident_state": "1",
    "resolved_at": " ",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 05:13:25",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": " ",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "1",
    "reopen_count": "0"
}
指令碼執行結果

下表列出使用「Create Incident」(建立事件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
incident_number INCIDENT_NUMBER

建立記錄

使用「Create Record」(建立記錄) 動作，在不同的 ServiceNow 資料表中建立新記錄。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Create Record」(建立記錄) 動作需要下列參數：

參數 說明
Table Name

選填。

要建立新記錄的 ServiceNow 資料表名稱 (例如 incident)。
Object Json Data

選填。

JSON 物件，包含定義新記錄所需的欄位值組合 (例如事件欄位或 CMDB 項目屬性)。

動作輸出內容

「Create Record」(建立記錄) 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Create Record」動作時，收到的 JSON 結果輸出內容：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": " ",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010021",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "0",
    "notify": "1",
    "resolved_by": " ",
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": " ",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "3",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by": "admin",
    "caused_by": " ",
    "comments": " ",
    "closed_by": " ",
    "priority": "5",
    "state": "1",
    "sys_id": "ID",
    "opened_at": "2020-07-10 08:24:34",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": " ",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": " ",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": " ",
    "business_duration": " ",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 08:24:34",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": " ",
    "caller_id": " ",
    "active": "true",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": " ",
    "severity": "3",
    "incident_state": "1",
    "resolved_at": " ",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 08:24:34",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": " ",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "3",
    "reopen_count": "0"
}
指令碼執行結果

下表列出使用「Create Record」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
object_sys_id OBJECT_SYS_ID

下載附件

使用「下載附件」動作，將附加至特定 ServiceNow 記錄的檔案和文件，下載到 Google SecOps 環境中的本機資料夾。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Download Attachments」動作需要下列參數：

參數 說明
Table Name

這是必填欄位。

ServiceNow 資料表的名稱，其中包含要下載附件的記錄 (例如 incident)。
Record Sys ID

這是必填欄位。

附件下載來源記錄的系統 ID (sys_id)。
Download Folder Path

這是必填欄位。

Google SecOps 環境中儲存下載附件的資料夾絕對路徑。
Overewrite

選填。

如果選取，這項動作會覆寫同名檔案。

預設為停用。

動作輸出內容

「下載附件」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「下載附件」動作時，收到的 JSON 結果輸出內容：

{
    "result": [
        {"absolute_file_path" : ["PATH"]
            "size_bytes": "187",
            "file_name": "example.txt",
            "sys_mod_count": "1",
            "average_image_color": "",
            "image_width": "",
            "sys_updated_on": "2020-10-19 09:58:39",
            "sys_tags": "",
            "table_name": "problem",
            "sys_id": "SYS_ID",
            "image_height": "",
            "sys_updated_by": "system",
            "download_link": "https://example.service-now.com/api/now/attachment/ID/file",
            "content_type": "text/plain",
            "sys_created_on": "2020-10-19 09:58:38",
            "size_compressed": "172",
            "compressed": "true",
            "state": "available",
            "table_sys_id": "57771d002f002010c518532a2799b6cc",
            "chunk_size_bytes": "700000",
            "hash": "a4fbb8ab71268903845b59724835274ddc66e095de553c5e0c1da8fecd04ee45",
            "sys_created_by": "admin"
        }
    ]
}
輸出訊息

「下載附件」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully downloaded the following attachments related to the record with Sys ID SYS_ID from table TABLE_NAME in ServiceNow: FILENAME

Action wasn't able to download the following attachments related to the record with Sys ID SYS_ID from table TABLE_NAME in ServiceNow: FILENAME

Action wasn't able to download attachments related to the record with Sys ID SYS_ID from table TABLE_NAME in ServiceNow: FILENAME

 動作成功。
Error executing action "Download Attachments". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Download Attachments」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得子事件詳細資料

使用「Get Child Incident Details」動作，根據 ServiceNow 中的上層事件擷取子事件的相關資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Child Incident Details」動作需要下列參數：

參數 說明
Parent Incident Number

這是必填欄位。

要擷取子事件詳細資料的父事件編號，格式為 INCINCIDENT_NUMBER。
Max Child Incident To Return

選填。

動作從父項事件傳回的子事件數量上限。

預設值為 50。

動作輸出內容

「Get Child Incident Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「Get Child Incident Details」動作會提供下表：

資料表名稱：Child Incident Details

表格欄：

  • Sys ID (對應為 sys_id)
  • 數字 (對應為 number)
  • Short Description (對應為 short_description)
  • Created At (對應為 sys_created_on)
JSON 結果

以下範例顯示使用「Get Child Incident Details」動作時，收到的 JSON 結果輸出內容：

{
    "result": [
        {
            "parent": "",
            "made_sla": "true",
            "caused_by": "",
            "watch_list": "",
            "upon_reject": "cancel",
            "sys_updated_on": "2020-10-20 07:19:11",
            "child_incidents": "0",
            "hold_reason": "",
            "approval_history": "",
            "skills": "",
            "number": "INC0010009",
            "resolved_by": "",
            "sys_updated_by": "admin",
            "opened_by": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "user_input": "",
            "sys_created_on": "2020-10-20 07:19:11",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "1",
            "sys_created_by": "admin",
            "knowledge": "false",
            "order": "",
            "calendar_stc": "",
            "closed_at": "",
            "cmdb_ci": "",
            "delivery_plan": "",
            "contract": "",
            "impact": "3",
            "active": "true",
            "work_notes_list": "",
            "business_service": "",
            "priority": "5",
            "sys_domain_path": "/",
            "rfc": "",
            "time_worked": "",
            "expected_start": "",
            "opened_at": "2020-10-20 07:18:56",
            "business_duration": "",
            "group_list": "",
            "work_end": "",
            "caller_id": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "reopened_time": "",
            "resolved_at": "",
            "approval_set": "",
            "subcategory": "",
            "work_notes": "",
            "short_description": "Assessment :  ATF Assessor",
            "close_code": "",
            "correlation_display": "",
            "delivery_task": "",
            "work_start": "",
            "assignment_group": "",
            "additional_assignee_list": "",
            "business_stc": "",
            "description": "",
            "calendar_duration": "",
            "close_notes": "",
            "notify": "1",
            "service_offering": "",
            "sys_class_name": "incident",
            "closed_by": "",
            "follow_up": "",
            "parent_incident": {
                "link": "https://example.service-now.com/api/now/table/incident/ID",
                "value": "ID"
            },
            "sys_id": "2a100a1c2fc42010c518532a2799b621",
            "contact_type": "",
            "reopened_by": "",
            "incident_state": "1",
            "urgency": "3",
            "problem_id": "",
            "company": "",
            "reassignment_count": "0",
            "activity_due": "",
            "assigned_to": "",
            "severity": "3",
            "comments": "",
            "approval": "not requested",
            "sla_due": "",
            "comments_and_work_notes": "",
            "due_date": "",
            "sys_mod_count": "0",
            "reopen_count": "0",
            "sys_tags": "",
            "escalation": "0",
            "upon_approval": "proceed",
            "correlation_id": "",
            "location": "",
            "category": "inquiry"
        }
    ]
}
輸出訊息

「Get Child Incident Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved information about child incidents related to the PARENT_INCIDENT_NUMBER incident in ServiceNow.

Action wasn't able to retrieve information about the child incidents in ServiceNow. Reason: incident PARENT_INCIDENT_NUMBER was not found.

No child incidents were found.

 動作成功。
Error executing action "Get Child Incident Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Child Incident Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得 CMDB 記錄詳細資料

使用「Get CMDB Record Details」動作，從 ServiceNow 的相同類別中取得詳細的 CMDB 記錄。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get CMDB Record Details」動作需要下列參數：

參數 說明
Class Name

這是必填欄位。

要擷取記錄的 CMDB 類別名稱，例如 cmdb_ci_appl。

如要進一步瞭解類別名稱，請參閱「查看及編輯類別定義和中繼資料」。
Sys ID

這是必填欄位。

以半形逗號分隔的 CMDB 記錄系統 ID (sys_id) 清單，用於擷取詳細資料。
Max Records To Return

選填。

每種關係類型 (例如 relates to 或 depends on) 要傳回的記錄關係數量上限。

預設值為 50。

動作輸出內容

「Get CMDB Record Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get CMDB Record Details」動作時，收到的 JSON 結果輸出內容：

{
    "result": {
        "outbound_relations": [
            {
                "sys_id": "56f3a7ad7f701200bee45f19befa910f",
                "type": {
                    "display_value": "Members::Member of",
                    "link": "https://example.service-now.com/api/now/table/cmdb_rel_type/ID",
                    "value": "ID"
                },
                "target": {
                    "display_value": "Example",
                    "link": "https://example.service-now.com/api/now/cmdb/instance/cmdb_ci/ID",
                    "value": "ID"
                }
            }
        ],
        "attributes": {
            "attested_date": "",
            "skip_sync": "false",
            "operational_status": "1",
            "caption": "",
            "cluster_type": "",
            "sys_updated_on": "2016-01-06 19:04:07",
            "attestation_score": "",
            "discovery_source": "",
            "first_discovered": "",
            "sys_updated_by": "example.user",
            "cluster_status": "",
            "due_in": "",
            "sys_created_on": "2016-01-06 16:47:15",
            "sys_domain": {
                "display_value": "global",
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "install_date": "",
            "invoice_number": "",
            "gl_account": "",
            "sys_created_by": "example.user",
            "warranty_expiration": "",
            "cluster_version": "",
            "asset_tag": "",
            "fqdn": "",
            "change_control": "",
            "owned_by": "",
            "checked_out": "",
            "sys_domain_path": "/",
            "delivery_date": "",
            "maintenance_schedule": "",
            "install_status": "1",
            "cost_center": "",
            "attested_by": "",
            "supported_by": "",
            "dns_domain": "",
            "name": "SAP-LB-Win-Cluster",
            "assigned": "",
            "purchase_date": "",
            "subcategory": "Cluster",
            "short_description": "",
            "assignment_group": "",
            "managed_by": "",
            "managed_by_group": "",
            "last_discovered": "",
            "can_print": "false",
            "sys_class_name": "cmdb_ci_win_cluster",
            "manufacturer": "",
            "sys_id": "SYS_ID",
            "cluster_id": "",
            "po_number": "",
            "checked_in": "",
            "sys_class_path": "/!!/!5/!$",
            "vendor": "",
            "mac_address": "",
            "company": "",
            "model_number": "",
            "justification": "",
            "department": "",
            "assigned_to": "",
            "start_date": "",
            "cost": "",
            "comments": "",
            "sys_mod_count": "1",
            "serial_number": "",
            "monitor": "false",
            "model_id": "",
            "ip_address": "",
            "duplicate_of": "",
            "sys_tags": "",
            "cost_cc": "USD",
            "support_group": "",
            "order_date": "",
            "schedule": "",
            "environment": "",
            "due": "",
            "attested": "false",
            "unverified": "false",
            "correlation_id": "",
            "attributes": "",
            "location": "",
            "asset": "",
            "category": "Resource",
            "fault_count": "0",
            "lease_id": ""
        },
        "inbound_relations": [
            {
                "sys_id": "3b3d95297f701200bee45f19befa910c",
                "type": {
                    "display_value": "Depends on::Used by",
                    "link": "https://example.service-now.com/api/now/table/cmdb_rel_type/ID",
                    "value": "ID"
                },
                "target": {
                    "display_value": "IP-Router-3",
                    "link": "https://example.service-now.com/api/now/cmdb/instance/cmdb_ci/ID",
                    "value": "ID"
                }
            }
        ]
    }
}
輸出訊息

「Get CMDB Record Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned details for CMDB records in the Class CLASS_NAME from ServiceNow for the following Sys IDs: SYS_ID_LIST.

Action wasn't able to return details for CMDB records in the Class CLASS_NAME from ServiceNow for the following Sys IDs: SYS_ID_LIST

Action wasn't able to return details for CMDB records in the Class CLASS_NAME in ServiceNow. Reason: Class CLASS_NAME was not found.

Action wasn't able to return details for CMDB record with Sys ID SYS_ID in the Class CLASS_NAME in Service Now. Reason: Record with Sys ID SYS_ID was not found in Class CLASS_NAME.

Information about the provided Sys IDs was not found.

 動作成功。
Error executing action "Get CMDB Record Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get CMDB Record Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得事件

使用「Get Incident」動作擷取 ServiceNow 事件的相關資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Incident」動作需要下列參數：

參數 說明
Incident Number

這是必填欄位。

要擷取的 ServiceNow 事件專屬 ID，格式為 INCINCIDENT_NUMBER。

動作輸出內容

「Get Incident」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Incident」動作時，收到的 JSON 結果輸出內容：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": "2012",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010041",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "10",
    "notify": "1",
    "resolved_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": "2020-07-10 12:53:06",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "1",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by": "admin",
    "caused_by": " ",
    "comments": " ",
    "closed_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "priority": "1",
    "state": "7",
    "sys_id": "SYS_ID",
    "opened_at": "2020-07-10 12:18:04",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": "sdf",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": "0",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": "Closed by Caller",
    "business_duration": "1970-01-01 00:00:00",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 13:13:57",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": "1970-01-01 00:35:02",
    "caller_id": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "active": "false",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": "2020-07-10 14:33:28",
    "severity": "3",
    "incident_state": "7",
    "resolved_at": "2020-07-10 12:53:06",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 12:18:04",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": "Closed/Resolved by Caller",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "1",
    "reopen_count": "0"
}
指令碼執行結果

下表列出使用「Get Incident」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
incident_number INCIDENT_NUMBER

取得 OAuth 權杖

使用「Get Oauth Token」動作，取得 ServiceNow 的 OAuth 更新權杖。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Get Oauth Token」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Oauth Token」動作時，收到的 JSON 結果輸出內容：

{
    "access_token": "Na4Kb1oWpFcYNUnyAjsYldiTMxYF1Cz79Q",
    "refresh_token": "0ryCENbbvfggZbNG9rFFd8_C8X0UgAQSMQkPJNStGwEEt0qNt-F1lw",
    "scope": "useraccount",
    "token_type": "Bearer",
    "expires_in": 1799
}
輸出訊息

「Get Oauth Token」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明
Successfully generated Oauth tokens for ServiceNow. Now navigate to the configuration tab and put "refresh_token" value in the "Refresh Token" parameter. Note: "Username" and "Password" parameters can be emptied. 動作成功。
Error executing action "Get Oauth Token". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Oauth Token」(取得 OAuth 權杖) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得記錄詳細資料

使用「Get Record Details」(取得記錄詳細資料) 動作，擷取 ServiceNow 中特定資料表記錄的相關資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get Record Details」動作需要下列參數：

參數 說明
Table Name

這是必填欄位。

ServiceNow 資料表的名稱，其中包含要擷取資訊的記錄 (例如 incident)。
Record Sys ID

這是必填欄位。

要擷取詳細資料的特定 ServiceNow 記錄系統 ID (sys_id)。
Fields

選填。

從擷取的記錄 (例如 sys_id,number,short_description) 傳回的特定欄位 (資料欄) 逗號分隔的清單。

如未提供任何值，動作會傳回記錄的預設欄位。

動作輸出內容

「Get Record Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Get Record Details」動作時，收到的 JSON 結果輸出內容：

{
    "result": [
        {
            "parent": "",
            "made_sla": "true",
            "caused_by": "",
            "watch_list": "",
            "upon_reject": "cancel",
            "sys_updated_on": "2020-10-20 07:19:11",
            "child_incidents": "0",
            "hold_reason": "",
            "approval_history": "",
            "skills": "",
            "number": "INC0010009",
            "resolved_by": "",
            "sys_updated_by": "admin",
            "opened_by": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "user_input": "",
            "sys_created_on": "2020-10-20 07:19:11",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "1",
            "sys_created_by": "admin",
            "knowledge": "false",
            "order": "",
            "calendar_stc": "",
            "closed_at": "",
            "cmdb_ci": "",
            "delivery_plan": "",
            "contract": "",
            "impact": "3",
            "active": "true",
            "work_notes_list": "",
            "business_service": "",
            "priority": "5",
            "sys_domain_path": "/",
            "rfc": "",
            "time_worked": "",
            "expected_start": "",
            "opened_at": "2020-10-20 07:18:56",
            "business_duration": "",
            "group_list": "",
            "work_end": "",
            "caller_id": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "reopened_time": "",
            "resolved_at": "",
            "approval_set": "",
            "subcategory": "",
            "work_notes": "",
            "short_description": "Assessment :  ATF Assessor",
            "close_code": "",
            "correlation_display": "",
            "delivery_task": "",
            "work_start": "",
            "assignment_group": "",
            "additional_assignee_list": "",
            "business_stc": "",
            "description": "",
            "calendar_duration": "",
            "close_notes": "",
            "notify": "1",
            "service_offering": "",
            "sys_class_name": "incident",
            "closed_by": "",
            "follow_up": "",
            "parent_incident": {
                "link": "https://example.service-now.com/api/now/table/incident/ID",
                "value": "ID"
            },
            "sys_id": "SYS_ID",
            "contact_type": "",
            "reopened_by": "",
            "incident_state": "1",
            "urgency": "3",
            "problem_id": "",
            "company": "",
            "reassignment_count": "0",
            "activity_due": "",
            "assigned_to": "",
            "severity": "3",
            "comments": "",
            "approval": "not requested",
            "sla_due": "",
            "comments_and_work_notes": "",
            "due_date": "",
            "sys_mod_count": "0",
            "reopen_count": "0",
            "sys_tags": "",
            "escalation": "0",
            "upon_approval": "proceed",
            "correlation_id": "",
            "location": "",
            "category": "inquiry"
        }
    ]
}
輸出訊息

「Get Record Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved information about the TABLE_NAME record with a Sys ID RECORD_SYS_ID in ServiceNow.

Action wasn't able to retrieve information about the TABLE_NAME record with a Sys ID RECORD_SYS_ID in ServiceNow. Reason: ERROR_REASON.

 動作成功。
Error executing action "Get Record Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get Record Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

取得使用者詳細資料

使用「Get User Details」動作，透過 ServiceNow 中的 sys_id 參數擷取使用者資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Get User Details」動作需要下列參數：

參數 說明
User Sys IDs

選填。

以半形逗號分隔的系統 ID 清單，對應要擷取詳細資料的使用者 (例如 sys_id_1,sys_id_2)。
Emails

選填。

以半形逗號分隔的電子郵件地址清單，對應要擷取詳細資料的使用者 (例如 email1@example.com,email2@example.com)。

動作輸出內容

「Get User Details」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「Get User Details」動作會提供下表：

資料表名稱：User Details

表格欄：

  • Sys ID (對應為 sys_id)
  • Name (對應為 name)
  • Username (對應為 user_name)
  • Email (對應為 email)
JSON 結果

以下範例顯示使用「Get User Details」動作時，收到的 JSON 結果輸出內容：

{
    "result": [
        {
            "calendar_integration": "1",
            "country": "",
            "last_position_update": "",
            "user_password": "example",
            "last_login_time": "",
            "source": "",
            "sys_updated_on": "2020-08-29 02:42:42",
            "building": "",
            "web_service_access_only": "false",
            "notification": "2",
            "enable_multifactor_authn": "false",
            "sys_updated_by": "user@example",
            "sys_created_on": "2012-02-18 03:04:52",
            "agent_status": "",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "",
            "vip": "false",
            "sys_created_by": "admin",
            "longitude": "",
            "zip": "",
            "home_phone": "",
            "time_format": "",
            "last_login": "",
            "default_perspective": "",
            "geolocation_tracked": "false",
            "active": "true",
            "sys_domain_path": "/",
            "cost_center": {
                "link": "https://example.service-now.com/api/now/table/cmn_cost_center/ID",
                "value": "ID"
            },
            "phone": "",
            "name": "Example User",
            "employee_number": "",
            "password_needs_reset": "false",
            "gender": "Male",
            "city": "",
            "failed_attempts": "",
            "user_name": "example.user",
            "latitude": "",
            "roles": "",
            "title": "",
            "sys_class_name": "sys_user",
            "sys_id": "SYS_ID",
            "internal_integration_user": "false",
            "ldap_server": "",
            "mobile_phone": "",
            "street": "",
            "company": {
                "link": "https://example.service-now.com/api/now/table/core_company/ID",
                "value": "ID"
            },
            "department": {
                "link": "https://dev98773.service-now.com/api/now/table/cmn_department/ID",
                "value": "ID"
            },
            "first_name": "Example",
            "email": "example@example.com",
            "introduction": "",
            "preferred_language": "",
            "manager": "",
            "business_criticality": "3",
            "locked_out": "false",
            "sys_mod_count": "4",
            "last_name": "User",
            "photo": "",
            "avatar": "063e38383730310042106710ce41f13b",
            "middle_name": "",
            "sys_tags": "",
            "time_zone": "",
            "schedule": "",
            "on_schedule": "",
            "date_format": "",
            "location": {
                "link": "https://example.service-now.com/api/now/table/cmn_location/ID",
                "value": "ID"
            }
        }
    ]
}
輸出訊息

「Get User Details」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved information about users from ServiceNow with the following Sys IDs: SYS_ID_LIST.

Action wasn't able to retrieve information about the users in ServiceNow with the following Sys IDs: SYS_ID_LIST.

Information about the users with specified Sys IDs was not found in ServiceNow.

 動作成功。
Error executing action "Get User Details". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Get User Details」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

列出 CMDB 記錄

使用「List CMDB Records」(列出 CMDB 記錄) 動作，列出 ServiceNow 中相同類別的 CMDB 記錄。

這項動作不會在 Google SecOps 實體上執行。

生成查詢篩選器

Query Filter 參數接受標準 ServiceNow 編碼查詢字串 (sysparm_query)。您可以直接在 ServiceNow 介面中產生這些字串 (例如在清單檢視中建立篩選器，然後選取「Copy query」(複製查詢))，也可以手動建構。

如要瞭解如何產生及使用這些字串，請參閱 ServiceNow 說明文件中的「Encoded query strings」(編碼查詢字串)。

動作輸入內容

「List CMDB Records」(列出 CMDB 記錄) 動作需要下列參數：

參數 說明
Class Name

這是必填欄位。

要擷取記錄的 CMDB 類別名稱，例如 cmdb_ci_appl。

如要進一步瞭解 ServiceNow 類別名稱，請參閱「查看及編輯類別定義和中繼資料」。
Query Filter

選填。

用於篩選傳回記錄的編碼查詢字串 (例如 sys_idLIKE1^sys_idSTARTSWITH0)。

您可以使用 ServiceNow 清單檢視中的「Copy query」(複製查詢) 選項，產生有效的查詢字串。詳情請參閱「編碼查詢字串」。
Max Records To Return

選填。

根據套用的篩選條件，要擷取的記錄數量上限。

預設值為 50。

動作輸出內容

「List CMDB Records」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 可用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
案件總覽表格

「List CMDB Records」動作會提供下表：

資料表名稱：CLASS_NAME 記錄

表格欄：

  • Name (對應為 name)
  • Sys ID (對應為 sys_id)
JSON 結果

以下範例顯示使用「List CMDB Records」動作時，收到的 JSON 結果輸出內容：

{
    "result": [
        {
            "sys_id": "SYS_ID",
            "name": "Example server"
        }
    ]
}
輸出訊息

「List CMDB Records」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully listed CMDB records for the Class CLASS_NAME in ServiceNow.

Action wasn't able to list CMDB records for the Class CLASS_NAME in ServiceNow. Reason: Class CLASS_NAME was not found in Service Now.".format(Class name)

 動作成功。
Error executing action "List CMDB Records". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「List CMDB Records」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

列出記錄留言

使用「List Record Comments」動作，列出 ServiceNow 中與特定表格記錄相關的註解。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「List Record Comments」動作需要下列參數：

參數 說明
Table Name

這是必填欄位。

ServiceNow 資料表的名稱，其中包含要列出註解的記錄 (例如 incident)。
Record Sys ID

這是必填欄位。

要列出註解的記錄系統 ID (sys_id)。
Type

這是必填欄位。

要擷取的留言或附註類型。

可能的值如下：

  • Comment
  • Work Note

預設值為 Comment。
Max Results To Return

選填。

要傳回的留言或工作附註數量上限。

預設值為 50。

動作輸出內容

「List Record Comments」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「List Record Comments」動作時，收到的 JSON 結果輸出內容：

{
    "sys_id": "SYS_ID",
    "sys_created_on": "2021-09-03 10:29:48",
    "name": "incident",
    "element_id": "552c48888c033300964f4932b03eb092",
    "sys_tags": "",
    "value": "test",
    "sys_created_by": "admin",
    "element": "comments"
}
輸出訊息

List Record Comments 動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned CONTENT_TYPE related to TABLE_NAME with Sys ID SYS_ID in ServiceNow.

No CONTENT_TYPE were found for TABLE_NAME with Sys ID SYS_ID in ServiceNow.

 動作成功。
Error executing action "List Record Comments". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「List Record Comments」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

使用「List Records Related To User」動作，列出資料表中與 ServiceNow 使用者相關的記錄。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「List Records Related To User」動作需要下列參數：

參數 說明
Table Name

這是必填欄位。

要搜尋相關記錄的 ServiceNow 資料表名稱 (例如 incident)。
Usernames

這是必填欄位。

以半形逗號分隔的使用者名稱清單，用於擷取相關記錄。
Max Days Backwards

這是必填欄位。

從目前日期往回搜尋相關記錄的天數。

預設值為 1。
Max Records To Return

選填。

每位使用者可傳回的記錄數量上限。

預設值為 50。

動作輸出內容

「List Records Related To User」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「List Records Related To User」動作時，收到的 JSON 結果輸出內容：

{
    "result": [
        {
            "parent": "",
            "made_sla": "true",
            "caused_by": "",
            "watch_list": "",
            "upon_reject": "cancel",
            "sys_updated_on": "2020-10-19 14:18:40",
            "child_incidents": "0",
            "hold_reason": "",
            "approval_history": "",
            "skills": "",
            "number": "INC0010008",
            "resolved_by": "",
            "sys_updated_by": "admin",
            "opened_by": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "user_input": "",
            "sys_created_on": "2020-10-19 14:18:40",
            "sys_domain": {
                "link": "https://example.service-now.com/api/now/table/sys_user_group/global",
                "value": "global"
            },
            "state": "1",
            "sys_created_by": "admin",
            "knowledge": "false",
            "order": "",
            "calendar_stc": "",
            "closed_at": "",
            "cmdb_ci": "",
            "delivery_plan": "",
            "contract": "",
            "impact": "3",
            "active": "true",
            "work_notes_list": "",
            "business_service": "",
            "priority": "5",
            "sys_domain_path": "/",
            "rfc": "",
            "time_worked": "",
            "expected_start": "",
            "opened_at": "2020-10-19 14:18:20",
            "business_duration": "",
            "group_list": "",
            "work_end": "",
            "caller_id": {
                "link": "https://example.service-now.com/api/now/table/sys_user/ID",
                "value": "ID"
            },
            "reopened_time": "",
            "resolved_at": "",
            "approval_set": "",
            "subcategory": "",
            "work_notes": "",
            "short_description": "TEST",
            "close_code": "",
            "correlation_display": "",
            "delivery_task": "",
            "work_start": "",
            "assignment_group": "",
            "additional_assignee_list": "",
            "business_stc": "",
            "description": "",
            "calendar_duration": "",
            "close_notes": "",
            "notify": "1",
            "service_offering": "",
            "sys_class_name": "incident",
            "closed_by": "",
            "follow_up": "",
            "parent_incident": "",
            "sys_id": "SYS_ID",
            "contact_type": "",
            "reopened_by": "",
            "incident_state": "1",
            "urgency": "3",
            "problem_id": "",
            "company": {
                "link": "https://example.service-now.com/api/now/table/core_company/ID",
                "value": "ID"
            },
            "reassignment_count": "0",
            "activity_due": "",
            "assigned_to": "",
            "severity": "3",
            "comments": "",
            "approval": "not requested",
            "sla_due": "",
         "comments_and_work_notes": "",
            "due_date": "",
            "sys_mod_count": "0",
            "reopen_count": "0",
            "sys_tags": "",
            "escalation": "0",
            "upon_approval": "proceed",
            "correlation_id": "",
            "location": "",
            "category": "inquiry"
        }
    ]
}
輸出訊息

「List Records Related To User」動作可傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully retrieved related records from the table TABLE_NAME in ServiceNow for the following users: USERNAME_LIST.

Action wasn't able to retrieve related records from the table TABLE_NAME in ServiceNow for the following users: USERNAME_LIST.

No related table records were retrieved for the provided users.

動作成功。
Error executing action "List Records Related To User". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「List Records Related To User」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

乒乓

使用 Ping 動作測試與 ServiceNow 的連線能力。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

Ping 動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
指令碼執行結果

下表列出使用 Ping 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

更新事件

使用「Update Incident」動作更新事件資訊。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Incident」(更新事件) 動作需要下列參數：

參數 說明
Incident Number

這是必填欄位。

要更新的 ServiceNow 事件專屬 ID，格式為 INCINCIDENT_NUMBER。
Short Description

選填。

事件的簡短說明。
Impact

選填。

事件的影響程度。

可能的值如下：

  • 1：高
  • 2 (中)
  • 3 (低)

預設值為 1。
Urgency

選填。

事件的緊急程度。

可能的值如下

  • 1：高
  • 2 (中)
  • 3 (低)

預設值為 1。
Category

選填。

事件的類別。
Assignment Group ID

選填。

要指派事件的群組全名。
Assigned User ID

選填。

事件指派對象的全名。
Description

選填。

事件說明。
Incident State

選填。

事件狀態的基礎 ServiceNow 值 (例如 1 或 in_progress)，而非標籤 (例如 New 或 In Progress)。
Custom Fields

選填。

JSON 格式的字串，包含要更新的欄位名稱和對應值 (例如 {"location":"London", "category":"database"})。

您可以使用這個參數，修改未明確定義為動作輸入內容的欄位。

動作輸出內容

「Update Incident」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Update Incident」動作時，收到的 JSON 結果輸出內容：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": "2012",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010041",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "10",
    "notify": "1",
    "resolved_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": "2020-07-10 12:53:06",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "1",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by": "admin",
    "caused_by": " ",
    "comments": " ",
    "closed_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "priority": "1",
    "state": "7",
    "sys_id": "SYS_ID",
    "opened_at": "2020-07-10 12:18:04",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": "sdf",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": "0",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": "Closed by Caller",
    "business_duration": "1970-01-01 00:00:00",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 13:13:57",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": "1970-01-01 00:35:02",
    "caller_id": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "active": "false",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": "2020-07-10 14:33:28",
    "severity": "3",
    "incident_state": "7",
    "resolved_at": "2020-07-10 12:53:06",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 12:18:04",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": "Closed/Resolved by Caller",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "1",
    "reopen_count": "0"
}
指令碼執行結果

下表列出使用「Update Incident」(更新事件) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
incident_number INCIDENT_NUMBER

更新記錄

使用「Update Record」(更新記錄) 動作，修改 ServiceNow 中屬於各種資料表的現有記錄。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Update Record」動作需要下列參數：

參數 說明
Table Name

選填。

ServiceNow 資料表的名稱，其中包含要更新的記錄 (例如 incident)。
Object Json Data

這是必填欄位。

JSON 物件，包含要套用至記錄的欄位/值組合 (例如 {"short_description": "Updated description"})。
Record Sys ID

這是必填欄位。

要更新的特定記錄系統 ID (sys_id)。

動作輸出內容

「Update Record」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Update Record」動作時，收到的 JSON 結果輸出內容：

{
    "sys_tags": " ",
    "user_input": " ",
    "calendar_stc": " ",
    "subcategory": " ",
    "watch_list": " ",
    "follow_up": " ",
    "made_sla": "true",
    "sys_created_by": "admin",
    "sla_due": " ",
    "number": "INC0010021",
    "group_list": " ",
    "reassignment_count": "0",
    "assigned_to": " ",
    "sys_mod_count": "0",
    "notify": "1",
    "resolved_by": " ",
    "upon_reject": "cancel",
    "additional_assignee_list": " ",
    "category": "inquiry",
    "closed_at": " ",
    "parent_incident": " ",
    "cmdb_ci": " ",
    "contact_type": " ",
    "impact": "3",
    "rfc": " ",
    "expected_start": " ",
    "knowledge": "false",
    "sys_updated_by": "admin",
    "caused_by": " ",
    "comments": " ",
    "closed_by": " ",
    "priority": "5",
    "state": "1",
    "sys_id": "SYS_ID",
    "opened_at": "2020-07-10 08:24:34",
    "child_incidents": "0",
    "work_notes": " ",
    "delivery_task": " ",
    "short_description": " ",
    "comments_and_work_notes": " ",
    "time_worked": " ",
    "upon_approval": "proceed",
    "company": " ",
    "business_stc": " ",
    "correlation_display": " ",
    "sys_class_name": "incident",
    "delivery_plan": " ",
    "escalation": "0",
    "description": " ",
    "parent": " ",
    "close_notes": " ",
    "business_duration": " ",
    "problem_id": " ",
    "sys_updated_on": "2020-07-10 08:24:34",
    "approval_history": " ",
    "approval_set": " ",
    "business_service": " ",
    "reopened_by": " ",
    "calendar_duration": " ",
    "caller_id": " ",
    "active": "true",
    "approval": "not requested",
    "service_offering": " ",
    "sys_domain_path": "/",
    "hold_reason": " ",
    "activity_due": " ",
    "severity": "3",
    "incident_state": "1",
    "resolved_at": " ",
    "location": " ",
    "due_date": " ",
    "work_start": " ",
    "work_end": " ",
    "work_notes_list": " ",
    "sys_created_on": "2020-07-10 08:24:34",
    "correlation_id": " ",
    "contract": " ",
    "reopened_time": " ",
    "opened_by": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user/ID",
        "value": "ID"
    },
    "close_code": " ",
    "assignment_group": " ",
    "sys_domain": {
        "link": "https://example.service-now.com/api/now/v1/table/sys_user_group/global",
        "value": "global"
    },
    "order": " ",
    "urgency": "3",
    "reopen_count": "0"
}
指令碼執行結果

下表列出使用「更新記錄」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
record_sys_id RECORD_SYS_ID

等待留言

使用「Wait For Comments」動作暫停執行應急手冊，直到 ServiceNow 中特定表格記錄新增註解或工作附註為止。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Wait For Comments」動作需要下列參數：

參數 說明
Table Name

這是必填欄位。

ServiceNow 資料表的名稱，其中包含要等待註解的記錄 (例如 incident)。
Record Sys ID

這是必填欄位。

要監控留言的記錄系統 ID (sys_id)。
Type

這是必填欄位。

動作應等待的留言或附註類型。

可能的值如下：

  • Comment
  • Work Note

預設值為 Comment。
Wait Mode

這是必填欄位。

決定動作何時停止等待並繼續執行的條件。

可能的值如下：

  • Until Timeout：動作會等待整個逾時期間，然後傳回所有累積的註解。
  • Until First Message：動作啟動後，會等到第一則新留言或工作附註發布後才執行。
  • Until Specific Text：動作會等到含有 Text 指定文字的留言或工作附註發布後，才會執行。

預設值為 Until Timeout。
Text

選填。

動作在新的留言或工作附註中等待的特定文字字串。

只有在 Wait Mode 的值選取 Until Specific Text 時，才會使用這項參數。

動作輸出內容

「Wait For Comments」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 可用
輸出訊息 可用
指令碼執行結果 可用
JSON 結果

以下範例顯示使用「Wait For Comments」動作時，收到的 JSON 結果輸出內容：

{
    "sys_id": "SYS_ID",
    "sys_created_on": "2021-09-03 10:29:48",
    "name": "incident",
    "element_id": "552c48888c033300964f4932b03eb092",
    "sys_tags": "",
    "value": "test",
    "sys_created_by": "admin",
    "element": "comments"
}
輸出訊息

「Wait For Comments」動作可能會傳回下列輸出訊息：

輸出訊息 訊息說明

Successfully returned CONTENT_TYPE related to TABLE_NAME with Sys ID SYS_ID in ServiceNow.

No new CONTENT_TYPE were added during the timeframe of action execution to TABLE_NAME with Sys ID SYS_ID in ServiceNow.

 動作成功。
Error executing action "Wait For Comments". Reason: ERROR_REASON

動作失敗。

請檢查伺服器連線、輸入參數或憑證。
指令碼執行結果

下表列出使用「Wait For Comments」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
is_success true或false

等待欄位更新

使用「Wait for Field Update」動作，暫停執行應對手冊，直到 ServiceNow 資料記錄中的特定欄位更新為其中一個預期值。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Wait for Field Update」動作需要下列參數：

參數 說明
Table Name

這是必填欄位。

ServiceNow 資料表的名稱，其中包含要監控的記錄 (例如 incident)。
Record Sys ID

這是必填欄位。

要監控欄位更新的記錄系統 ID (sys_id)。
Field - Column Name

這是必填欄位。

動作監控變更的資料欄 (欄位) 名稱。
Field - Values

這是必填欄位。

以半形逗號分隔的值清單。如果在受監控欄位中找到這些值，動作就會停止等待並繼續執行 (例如 In Progress,Resolved)。

動作輸出內容

「Wait for Field Update」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Wait for Field Update」動作時，指令碼結果輸出的值：

指令碼結果名稱 值
updated_field UPDATED_FIELD

等待狀態更新

使用「Wait for Status Update」動作暫停執行自動化動作，直到特定 ServiceNow 事件狀態更新為預期值之一。

這項動作不會在 Google SecOps 實體上執行。

動作輸入內容

「Wait for Status Update」動作需要下列參數：

參數 說明
Incident Number

這是必填欄位。

要監控的 ServiceNow 事件專屬 ID，格式為 INCINCIDENT_NUMBER。
Statuses

這是必填欄位。

以半形逗號分隔的事件狀態清單。如果達到這些狀態，動作就會停止等待並繼續執行 (例如 In Progress,Resolved)。

動作輸出內容

「Wait for Status Update」動作會提供下列輸出內容：

動作輸出類型 可用性
案件總覽附件 無法使用
案件總覽連結 無法使用
案件總覽表格 無法使用
補充資訊表格 無法使用
JSON 結果 無法使用
輸出訊息 可用
指令碼執行結果 可用
指令碼執行結果

下表列出使用「Wait for Status Update」(等待狀態更新) 動作時，指令碼結果輸出的值：

指令碼結果名稱 值
new_status STATUS

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

ServiceNow 連接器

使用 ServiceNow 連接器從 ServiceNow 擷取事件。

使用動態查詢清單

在 ServiceNow 連接器中，動態清單會修改連接器用來查詢 ServiceNow 的 sysparm_query。這項功能可讓您根據記錄類型的任何支援欄位篩選記錄。

如要定義篩選器，請將每個動態清單項目設為包含一個欄位/值組合，格式如下： FIELD_NAME=VALUE.

例如：category=security。

啟用 Use whitelist as a blacklist 時，連接器會反轉查詢邏輯，使動態清單做為封鎖清單，而非篩選器。

連接器輸入

ServiceNow 連接器需要下列參數：

參數 說明
Product Field Name

這是必填欄位。

儲存產品名稱的欄位名稱。

產品名稱主要會影響對應。為簡化及改善連接器的對應程序，預設值會解析為程式碼參照的備用值。如果這個參數的輸入內容無效，預設會解析為備用值。

預設值為 Product Name。
Event Field Name

這是必填欄位。

決定事件名稱 (子類型) 的欄位名稱。

預設值為 sys_class_name。
Rule Generator

選填。

欄位名稱，其值定義擷取記錄時要套用的特定查詢或規則集。
Api Root

這是必填欄位。

ServiceNow 執行個體的 API 根層級。

預設值為 https://INSTANCE.service-now.com/api/now/v1/。
Username

這是必填欄位。

ServiceNow 帳戶的使用者名稱。
Password

這是必填欄位。

ServiceNow 帳戶的密碼。
Verify SSL

選填。

如果選取，整合功能會在連線至 ServiceNow 伺服器時驗證 SSL 憑證。

(預設為啟用)。
Use sys_domain Environment

選填。

如果選取，連接器會使用 ServiceNow sys_domain 欄位做為擷取案件的環境。

如果缺少或無法使用這個欄位，連接器會預設為 Environment 參數中指定的值。
Days Backwards

選填。

從目前時間往回擷取記錄的天數。

這個參數用於初始連接器執行作業，或在先前的連接器時間戳記過期時做為備用值。

預設值為 5。
Disable Overflow

選填。

如果選取，連接器會忽略 Google SecOps 溢位機制。
Max Incidents Per Cycle

選填。

每次連接器疊代期間可擷取的事件數量上限。

預設值為 10。
Environments Whitelist

選填。

連接器要擷取至 Google SecOps 的環境 (網域) 清單，以半形逗號分隔，例如 env1,env2。
Use whitelist as a blacklist

選填。

如果選取，連接器會將動態清單做為封鎖清單。

預設為停用。
PythonProcessTimeout

這是必填欄位。

執行目前指令碼的 Python 程序逾時限制 (以秒為單位)。

預設值為 60。
Incident Table

選填。

用於事件相關動作和記錄擷取的 API 資料表名稱或路徑。

根據預設，整合功能會使用 table/incident 路徑。
Client ID

選填。

ServiceNow 整合的用戶端 ID，使用用戶端憑證進行 OAuth 2.0 驗證時必須提供。

您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Client Secret

選填。

ServiceNow 整合的用戶端密鑰，使用用戶端憑證進行 OAuth 2.0 驗證時必須提供。

您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Refresh Token

選填。

ServiceNow 整合的更新權杖，使用更新權杖進行 OAuth 2.0 驗證時必須提供。

設定的更新權杖每 90 天會到期。

您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Assignment Group

選填。

指派群組的名稱，連接器應擷取該群組的記錄。
Use Oauth Authentication

選填。

如果選取，整合項目會使用 OAuth 2.0 進行驗證。

OAuth 2.0 驗證需要設定用戶端憑證 (Client ID 和 Client Secret) 或 Refresh Token。

預設為停用。
Server Time Zone

選填。

ServiceNow 伺服器上設定的時區 (例如 UTC 或 Asia/Jerusalem)。

預設值為 UTC。
Table Name

選填。

要擷取記錄的資料表名稱，例如 incident。
Event Name

選填。

擷取記錄時建立的 Google SecOps 事件名稱 (例如 ServiceNowEvent)。
Proxy Server Address

選填。

要使用的 Proxy 伺服器位址。
Proxy Username

選填。

用於驗證的 Proxy 使用者名稱。
Proxy Password

選填。

用於驗證的 Proxy 密碼。
Get User Information

選填。

如果選取這個選項，連接器也會擷取與事件相關的使用者資訊。

預設為停用。

工作

如要進一步瞭解工作，請參閱「 設定新工作」和「 進階排程」。

ServiceNow - 同步處理已結案的事件

使用「ServiceNow - Sync Closed Incidents」工作，將已關閉的 ServiceNow 事件與對應的 Google SecOps 警告和案件同步。

這項工作會處理擷取為快訊和案件的 ServiceNow 事件，其中包含 ServiceNow 標記和含有事件編號的 TICKET_ID 情境值。

工作參數

ServiceNow - Sync Closed Incidents 工作需要下列參數：

參數 說明
API Root 必要

ServiceNow 執行個體的 API 根層級。預設值為 https://INSTANCE.service-now.com/api/now/v1/。
Username 必要

ServiceNow 執行個體的使用者名稱。
Password 必要

ServiceNow 執行個體的密碼。
Verify SSL 選用

如果選取，整合功能會在連線至 ServiceNow 伺服器時驗證 SSL 憑證。(預設為啟用)。
Client ID 選用

ServiceNow 整合的用戶端 ID，使用用戶端憑證進行 OAuth 2.0 驗證時必須提供。您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Client Secret 選用

ServiceNow 整合的用戶端密鑰，使用用戶端憑證進行 OAuth 2.0 驗證時必須提供。您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Refresh Token 選用

ServiceNow 整合的更新權杖，使用更新權杖進行 OAuth 2.0 驗證時必須提供。設定的更新權杖每 90 天會到期。您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Use OAuth Authentication 選用

如果選取，整合作業會使用 OAuth 2.0 進行驗證。OAuth 2.0 驗證需要設定用戶端憑證 (Client ID 和 Client Secret) 或 Refresh Token。預設為停用。
Max Hours Backwards 選用

從目前時間往回推算，搜尋及同步處理已結案事件的小時數。預設值為 24。
Table Name 必要

要搜尋已結案事件的資料庫資料表名稱 (例如 incident)。

ServiceNow - 同步處理事件

使用「ServiceNow - Sync Incidents」工作，將 ServiceNow 事件欄位和附件，與 Google SecOps 中的相關案件和警示同步。

如要執行這項工作，ServiceNow 整合使用者必須具備 ITIL (itil) 角色。詳情請參閱 ServiceNow 說明文件中的「基本系統角色」。

工作要求

為確保工作正常運作，請確認 Google SecOps 案件或警示 (視 Sync Level 參數而定) 已設定下列項目：

  • 標記：案件必須有 ServiceNow Incident Sync 標記。
  • Context value：案件或快訊必須有 TICKET_ID 內容索引鍵，其中包含以逗號分隔的 ServiceNow 事件編號清單 (例如 INC0000050,INC0000051)。請使用 Siemplify Utilities 整合中的「Set Scope Context Value」動作，設定 TICKET_ID 內容值。

工作參數

ServiceNow - Sync Incidents 工作需要下列參數：

參數 說明
API Root 必要

ServiceNow 執行個體的 API 根層級。預設值為 https://INSTANCE.service-now.com/api/now/v1/。
Username 選用

ServiceNow 執行個體的使用者名稱。

使用基本密碼驗證時，必須提供這個參數。
Password 選用

ServiceNow 執行個體的密碼。

使用基本密碼驗證時，必須提供這個參數。
Sync Level 必要

工作同步處理資料的層級。可能的值：Case、Alert。預設值為 Case。
Max Hours Backwards 必要

從目前時間往回搜尋要同步處理的案件，最多可搜尋幾小時前的案件。預設值為 24。
Verify SSL 選用

如果選取，整合功能會在連線至 ServiceNow 伺服器時驗證 SSL 憑證。(預設為啟用)。
Use OAuth Authentication 選用

如果選取，工作會使用 OAuth 驗證，而非基本驗證。選取後，必須提供 Client ID、Client Secret 和 Refresh Token 參數。預設為停用。
Client ID 選用

ServiceNow 應用程式的用戶端 ID。如果選取 Use OAuth Authentication，則為必填。
Client Secret 選用

ServiceNow 應用程式的用戶端密鑰。如果選取 Use OAuth Authentication，則為必填。
Refresh Token 選用

ServiceNow 應用程式的更新權杖。如果選取 Use OAuth Authentication，則為必填。

同步處理表格記錄註解

使用「同步處理表格記錄註解」工作，同步處理 ServiceNow 表格記錄和 Google SecOps 案件之間的註解。

工作參數

同步處理表格記錄註解工作需要下列參數：

參數 說明
API Root 必要

ServiceNow 執行個體的 API 根層級。預設值為 https://INSTANCE.service-now.com/api/now/v1/。
Username 必要

ServiceNow 執行個體的使用者名稱。
Password 必要

ServiceNow 執行個體的密碼。
Verify SSL 選用

如果選取，整合功能會在連線至 ServiceNow 伺服器時驗證 SSL 憑證。(預設為啟用)。
Client ID 選用

ServiceNow 整合的用戶端 ID，使用用戶端憑證進行 OAuth 2.0 驗證時必須提供。您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Client Secret 選用

ServiceNow 整合的用戶端密鑰，使用用戶端憑證進行 OAuth 2.0 驗證時必須提供。您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Refresh Token 選用

ServiceNow 整合的更新權杖，使用更新權杖進行 OAuth 2.0 驗證時必須提供。設定的更新權杖每 90 天會到期。您可以使用更新權杖或用戶端憑證進行驗證。如果同時設定更新權杖和用戶端憑證，整合會使用更新權杖進行驗證。
Use OAuth Authentication 選用

如果選取，整合作業會使用 OAuth 2.0 進行驗證。OAuth 2.0 驗證需要設定用戶端憑證 (Client ID 和 Client Secret) 或 Refresh Token。預設為停用。
Table Name 必要

ServiceNow 資料表的名稱，用於搜尋要同步處理註解的記錄 (例如 incident)。

依標記同步處理表格記錄註解

使用「Sync Table Record Comments By Tag」工作，同步處理 ServiceNow 表格記錄和 Google SecOps 案件之間的註解。

工作要求

Google SecOps 案件必須具備下列兩個標記，工作才能正常運作：

  • ServiceNow TABLE_NAME (其中 <var class="readonly">TABLE_NAME</var> 是 ServiceNow 資料表的名稱，例如 incident)。
  • ServiceNow TicketId: TICKET_ID (<var class="readonly">TICKET_ID</var> 是對應記錄的系統 ID 或編號)。

工作參數

Sync Table Record Comments By Tag 工作需要下列參數：

參數 說明
API Root 必要

ServiceNow 執行個體的 API 根層級。預設值為 https://INSTANCE.service-now.com/api/now/v1/。
Username 必要

ServiceNow 執行個體的使用者名稱。
Password Mandatory

ServiceNow 執行個體的密碼。
Table Name 必要

要搜尋的資料庫資料表名稱，例如 incident。
Verify SSL 選用

如果選取，整合功能會在連線至 ServiceNow 伺服器時驗證 SSL 憑證。(預設為啟用)。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。