迁移远程代理身份验证基础架构

支持的平台：

本文档介绍了如何使用 Google Cloud 服务账号迁移远程代理基础架构。此迁移仅适用于身份验证基础架构。您无需迁移或替换远程代理实例或主机。

准备工作

请确保您已备好以下物品：

  • 在 Google Cloud中创建服务账号所需的权限。
  • 创建服务账号密钥所需的角色。
  • 所需的最低远程代理版本为 2.6.2 及更高版本。

创建服务账号

服务账号是一种特殊类型的 Google 账号，供应用进行已获授权的 API 调用。

如需创建服务账号，请按照以下步骤操作：

  1. 在 Google Cloud 控制台中，前往服务账号页面。
    2. 前往“服务账号”
  2. 点击创建服务账号。
  3. 在服务账号详情部分，执行以下操作：
    1. 输入服务账号的名称。
    2. 输入服务账号的说明。
    3. 点击创建并继续。
  4. 在权限部分中，执行以下操作：
    1. 在选择角色列表中，选择 Chronicle SOAR 远程代理角色。
    2. 点击继续。
  5. 在向用户授予访问此服务账号的权限部分中，点击完成。

创建服务账号密钥

需要服务账号密钥来对远程代理进行身份验证。如需创建此密钥，请按以下步骤操作：

  1. 在 Google Cloud 控制台中，前往服务账号页面。
    2. 前往“服务账号”
  2. 点击您创建的服务账号的名称。
  3. 点击密钥标签页。
  4. 依次点击添加密钥 > 创建新密钥。
  5. 选择 JSON 作为密钥类型，然后点击创建。

    A JSON file containing the key is downloaded to your computer.

  6. 点击关闭。

妥善存储密钥文件

下载服务账号密钥后，您必须将其移至将运行远程代理的主机。

Podman

  1. 在计算机上找到下载的 JSON 文件。
  2. 将文件存储在代理进程可以访问的宿主机上的安全位置。
  3. 在宿主机上输入代理的服务账号密钥完整路径。
    AGENT_SERVICE_ACCOUNT_PATH

Docker

  1. 在计算机上找到下载的 JSON 文件。
  2. 将文件存储在代理进程可以访问的宿主机上的安全位置。
  3. 在宿主机上输入代理的服务账号密钥完整路径。
    AGENT_SERVICE_ACCOUNT_PATH

安装程序

  1. 在计算机上找到下载的 JSON 文件。
  2. 将文件存储在以下位置： 
    AGENT_SERVICE_ACCOUNT_PATH
  3. 记下此文件的完整路径，因为在配置远程代理时需要用到它。

映射远程代理服务账号

为远程代理创建服务账号后，您必须在平台中为其授权，以确保其能够成功与 Google SecOps 通信。

如需向 Google SecOps 授予服务账号访问权限或工作负载身份联合访问权限，您必须将身份映射到平台的访问权限控制参数。此映射是必须执行的步骤，可为身份提供执行自动化任务或 API 操作所需的 SOC 角色和环境的必要访问权限。

  1. 前往 SOAR 设置 > 高级 > 群组映射。
  2. 依次点击添加 添加。

  3. 填写添加映射对话框中的字段，将身份映射到平台的访问权限控制参数。

    1. 在 IdP / 用户组字段中，输入以下内容之一：
      • 服务账号的完整邮箱（如果身份是使用 Cloud Identity 设置的）。
      • Workload Identity 主账号字符串（如果身份是使用员工身份联合设置的）。

    2. 配置以下访问权限控制字段：

      字段 说明
      权限组 选择权限组，以定义身份可以访问哪些模块和子模块。
      SOC 角色 选择 SOC 角色以定义身份的角色（例如第 1 级）。
      环境 选择身份可以访问的环境或环境组（例如所有环境）。
      群组成员 输入所需的用户电子邮件地址（如适用）。添加每个电子邮件地址后，按 Enter 键。
      受限操作 选择受限操作，以限制模块内的特定操作。

  4. 点击 Add（添加）。

配置对 Google Cloud的远程代理身份验证

Podman

如果您要部署新代理，请参阅使用 Podman 部署代理。

如果您要升级代理，请参阅使用 Podman 升级代理。

Docker

如果您要部署新代理，请参阅使用 Docker 部署代理。

如果您要升级代理，请参阅使用 Docker 升级代理。

安装程序

如果您要部署新代理，请参阅使用 CentOS 部署代理 或使用 RHEL 部署代理。

如果您要升级代理，请参阅使用 CentOS 升级代理或使用 RHEL 升级代理

迁移现有代理的环境变量

前往 SOAR 设置 > 高级 > 远程代理，然后点击所需远程代理上的查看更多。

从 Docker 命令字段中复制以下值，然后将其粘贴到以下命令中。
您将在迁移过程中使用它们：

  • ONE PLATFORM URL DOMAIN 的服务配置。
    ONE_PLATFORM_URL_DOMAIN
  • ONE PLATFORM URL PROJECT 的服务配置。
    ONE_PLATFORM_URL_PROJECT
  • ONE PLATFORM URL LOCATION 的服务配置。
    ONE_PLATFORM_URL_LOCATION
  • ONE PLATFORM URL INSTANCE 的服务配置。
    ONE_PLATFORM_URL_INSTANCE

Podman

如需迁移远程代理环境变量，请按以下步骤操作：

  1. 列出正在运行的 Podman 容器。 
    podman ps
  2. 输入代理的容器 ID： 
    CONTAINER_ID

  3. 粘贴之前过程中的以下环境变量，然后运行此命令：

    podman exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

Docker

如需迁移远程代理环境变量，请按以下步骤操作：

  1. 列出正在运行的 Docker 容器。 
    docker ps
  2. 输入代理的容器 ID： 
    CONTAINER_ID

  3. 粘贴之前过程中的以下环境变量，然后运行此命令：

    docker exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

安装程序

如需迁移远程代理环境变量，请按以下步骤操作：

粘贴前面步骤中的以下环境变量，然后运行此命令：

cat << EOF >> /home/siemplify_agent/.bash_profile
export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN
export ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT
export ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION
export ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE
export GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json
EOF

将服务账号迁移到远程代理中

完成此步骤后，远程代理中会包含所有环境变量， 此时迁移完成，远程代理将通过 Google Cloud 进行通信

Podman

如需迁移远程代理身份验证基础架构，请按以下步骤操作：

  1. 列出正在运行的 Podman 容器。 
    podman ps
  2. 输入代理的容器 ID： 
    CONTAINER_ID

  3. 使用以下命令将服务账号密钥复制到容器中的专用路径。

    podman cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

  4. 使用以下命令更改容器中服务账号密钥的所有者：

    podman exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  5. 运行以下命令以应用更改： 
    podman restart CONTAINER_ID

Docker

如需迁移远程代理身份验证基础架构，请按以下步骤操作：

  1. 列出正在运行的 Docker 容器。 
    docker ps
  2. 输入代理的容器 ID： 
    CONTAINER_ID

  3. 使用以下命令将服务账号密钥复制到容器中的专用路径。

    docker cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

  4. 使用以下命令更改容器中服务账号密钥的所有者：

    docker exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  5. 运行以下命令以应用更改： 
    docker restart CONTAINER_ID

安装程序

如需迁移远程代理身份验证基础设施，请按以下步骤操作：

  1. 将服务账号移至预期路径

    mv AGENT_SERVICE_ACCOUNT_PATH /opt/SiemplifyAgent/agent-key.json

  2. 使用以下命令更改容器中服务账号密钥的所有者：

    chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  3. 运行以下命令以重启代理服务： 
    supervisorctl restart siemplify_agent

需要更多帮助？获得社区成员和 Google SecOps 专业人士的解答。