遷移遠端代理程式驗證基礎架構

支援：

本文說明如何使用 Google Cloud 服務帳戶遷移遠端代理基礎架構。這項遷移作業僅適用於驗證基礎架構。您不必遷移或更換遠端代理程式執行個體或主機。

事前準備

請確認您已具備以下條件：

  • 在 Google Cloud中建立服務帳戶的必要權限。
  • 建立服務帳戶金鑰的必要角色。
  • 遠端代理程式最低需求版本為 2.6.2。

建立服務帳戶

服務帳戶是一種特殊的 Google 帳戶，可供應用程式執行已授權的 API 呼叫。

如要建立服務帳戶，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「Service Accounts」(服務帳戶) 頁面。
    2. 前往「Service Accounts」(服務帳戶)
  2. 按一下「Create Service Account」(建立服務帳戶)。
  3. 在「Service account details」(服務帳戶詳細資料) 部分，執行下列操作：
    1. 輸入服務帳戶名稱。
    2. 輸入服務帳戶的說明。
    3. 按一下「建立並繼續」。
  4. 在「權限」部分執行下列操作：
    1. 在「Select a role」(選取角色) 清單中，選取「Chronicle SOAR Remote Agent」角色。
    2. 按一下「繼續」。
  5. 在「將這個服務帳戶的存取權授予使用者」部分中，按一下「完成」。

建立服務帳戶金鑰

必須提供服務帳戶金鑰，才能驗證遠端代理程式。如要建立這項金鑰，請按照下列步驟操作：

  1. 前往 Google Cloud 控制台的「Service Accounts」(服務帳戶) 頁面。
    2. 前往「Service Accounts」(服務帳戶)
  2. 按一下您建立的服務帳戶名稱。
  3. 按一下「Keys」(金鑰) 分頁標籤。
  4. 依序點選「新增金鑰」>「建立新的金鑰」。
  5. 選取「JSON」做為金鑰類型，然後按一下「建立」。

    A JSON file containing the key is downloaded to your computer.

  6. 按一下 [關閉]。

安全儲存金鑰檔案

下載服務帳戶金鑰後，您必須將金鑰移至要執行遠端代理程式的主體機器。

Podman

  1. 在電腦上找到下載的 JSON 檔案。
  2. 將檔案儲存在主機上安全的位置，讓代理程式程序可以存取。
  3. 在主體機器上輸入代理程式服務帳戶金鑰的完整路徑。
    AGENT_SERVICE_ACCOUNT_PATH

Docker

  1. 在電腦上找出下載的 JSON 檔案。
  2. 將檔案儲存在主機上安全的位置，讓代理程式程序可以存取。
  3. 在主機上輸入代理程式服務帳戶金鑰的完整路徑。 
    AGENT_SERVICE_ACCOUNT_PATH

安裝程式

  1. 在電腦上找到下載的 JSON 檔案。
  2. 將檔案儲存在下列位置：
    AGENT_SERVICE_ACCOUNT_PATH
  3. 請記下這個檔案的完整路徑，設定遠端代理程式時會用到。

對應遠端代理程式服務帳戶

為遠端代理程式建立服務帳戶後，您必須在平台中授權該帳戶，確保帳戶能順利與 Google SecOps 通訊。

如要將服務帳戶存取權或工作負載身分聯合存取權授予 Google SecOps，您必須將身分對應至平台的存取權控管參數。這項對應作業是必要步驟，可為身分提供執行自動化工作或 API 作業所需的 SOC 角色和環境存取權。

  1. 依序前往「SOAR 設定」>「進階」>「群組對應」。
  2. 按一下「新增」。

  3. 在「Add Mapping」(新增對應) 對話方塊中填寫欄位，將身分對應至平台的存取控管參數。

    1. 在「IdP / User group」(IdP/使用者群組) 欄位中，輸入下列其中一項：
      • 如果身分是透過 Cloud Identity 設定，請提供服務帳戶的完整電子郵件地址。
      • 如果身分是透過員工身分聯盟設定，則為 Workload Identity 主體字串。

    2. 設定下列存取控管欄位：

      欄位 說明
      權限群組 選取權限群組，定義身分可存取的模組和子模組。
      資安營運中心 (SOC) 角色 選取資安營運中心 (SOC) 角色，定義身分的角色 (例如第 1 層)。
      環境 選取身分可存取的環境或環境群組 (例如「所有環境」)。
      群組成員 視需要輸入必要的使用者電子郵件地址。每新增一個電子郵件地址，就按下 Enter 鍵。
      受限制的動作 選取受限動作，限制模組內的特定作業。

  4. 按一下「新增」。

設定遠端代理程式驗證至 Google Cloud

Podman

如要部署新代理程式，請參閱「使用 Podman 部署代理程式」。

如要升級代理程式，請參閱「使用 Podman 升級代理程式」一文。

Docker

如要部署新的代理程式，請參閱「使用 Docker 部署代理程式」。

如要升級代理程式，請參閱「使用 Docker 升級代理程式」一文。

安裝程式

如要部署新的代理程式，請參閱「使用 CentOS 部署代理程式 」或「使用 RHEL 部署代理程式」。

如要升級代理程式，請參閱「使用 CentOS 升級代理程式」或「使用 RHEL 升級代理程式 」一文。

遷移現有代理程式的環境變數

依序前往「SOAR 設定」>「進階」>「遠端代理程式」，然後點選所需遠端代理程式的「查看更多」。

從「Docker Command」(Docker 指令) 欄位複製下列值，並貼到下列指令中。
您會在遷移程序中使用這些值：

  • ONE PLATFORM URL DOMAIN 版本的服務設定。
    ONE_PLATFORM_URL_DOMAIN
  • ONE PLATFORM URL PROJECT 版本的服務設定。
    ONE_PLATFORM_URL_PROJECT
  • ONE PLATFORM URL LOCATION 版本的服務設定。
    ONE_PLATFORM_URL_LOCATION
  • ONE PLATFORM URL INSTANCE 版本的服務設定。
    ONE_PLATFORM_URL_INSTANCE

Podman

如要遷移遠端代理程式環境變數，請按照下列步驟操作：

  1. 列出正在執行的 Podman 容器。 
    podman ps
  2. 輸入代理的容器 ID： 
    CONTAINER_ID

  3. 從先前的程序貼上下列環境變數，然後執行這項指令：

    podman exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

Docker

如要遷移遠端代理程式環境變數，請按照下列步驟操作：

  1. 列出正在執行的 Docker 容器。 
    docker ps
  2. 輸入代理商的容器 ID： 
    CONTAINER_ID

  3. 貼上先前程序中的下列環境變數，然後執行這個指令：

    docker exec CONTAINER_ID sh -c 'printf "export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN\nexport ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT\nexport ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION\nexport ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE\nexport GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json" >> /home/siemplify_agent/.bash_profile'

安裝程式

如要遷移遠端代理程式環境變數，請按照下列步驟操作：

貼上先前程序中的下列環境變數，然後執行這個指令：

cat << EOF >> /home/siemplify_agent/.bash_profile
export ONE_PLATFORM_URL_DOMAIN=ONE_PLATFORM_URL_DOMAIN
export ONE_PLATFORM_URL_PROJECT=ONE_PLATFORM_URL_PROJECT
export ONE_PLATFORM_URL_LOCATION=ONE_PLATFORM_URL_LOCATION
export ONE_PLATFORM_URL_INSTANCE=ONE_PLATFORM_URL_INSTANCE
export GOOGLE_APPLICATION_CREDENTIALS=/opt/SiemplifyAgent/agent-key.json
EOF

將服務帳戶遷移至遠端代理

完成這個步驟後，所有環境變數都會出現在遠端代理程式中， 遷移作業即告完成，遠端代理程式會透過 Google Cloud

Podman

如要遷移遠端代理程式驗證基礎架構，請按照下列步驟操作：

  1. 列出正在執行的 Podman 容器。 
    podman ps
  2. 輸入代理商的容器 ID： 
    CONTAINER_ID

  3. 執行下列指令，將服務帳戶金鑰複製到容器中的專屬路徑。

    podman cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

  4. 使用下列指令，變更容器中服務帳戶金鑰的擁有者：

    podman exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  5. 執行下列指令來套用變更： 
    podman restart CONTAINER_ID

Docker

如要遷移遠端代理程式驗證基礎架構，請按照下列步驟操作：

  1. 列出正在執行的 Docker 容器。 
    docker ps
  2. 輸入代理的容器 ID： 
    CONTAINER_ID

  3. 執行下列指令，將服務帳戶金鑰複製到容器中的專屬路徑。

    docker cp AGENT_SERVICE_ACCOUNT_PATH CONTAINER_ID:/opt/SiemplifyAgent/agent-key.json

  4. 使用下列指令，變更容器中服務帳戶金鑰的擁有者：

    docker exec -u 0 CONTAINER_ID chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  5. 執行下列指令來套用變更：
    docker restart CONTAINER_ID

安裝程式

如要遷移遠端代理程式驗證基礎架構，請按照下列步驟操作：

  1. 將服務帳戶移至預期路徑

    mv AGENT_SERVICE_ACCOUNT_PATH /opt/SiemplifyAgent/agent-key.json

  2. 使用下列指令變更容器中服務帳戶金鑰的擁有者：

    chown siemplify_agent:siemplify_agent /opt/SiemplifyAgent/agent-key.json
  3. 執行下列指令，重新啟動代理程式服務： 
    supervisorctl restart siemplify_agent

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求解答。