Mengumpulkan log Perangkat Cloud Identity

Didukung di:

Dokumen ini menjelaskan cara mengumpulkan log Perangkat Cloud Identity ke Google SecOps menggunakan metode Third Party API, yang merupakan pendekatan yang direkomendasikan. Parser mengekstrak kolom dari log JSON, mengubah kolom tertentu seperti deviceType dan tanggal, serta memetakannya ke UDM, sehingga membuat asset_entity yang merepresentasikan perangkat dan memperkayanya dengan informasi hardware dan metadata.

Sebelum memulai

Pastikan Anda memiliki prasyarat berikut:

  • Instance Google SecOps
  • Penyiapan Delegasi Tingkat Domain untuk Akun Layanan. Akun Layanan harus diotorisasi untuk cakupan berikut:
    • https://www.googleapis.com/auth/cloud-identity.devices.readonly
  • API berikut diaktifkan di project Google Cloud Anda:
    • Cloud Identity API
    • Google Workspace Admin SDK
    • Alert Center API

Direkomendasikan: Menyiapkan Feed API Pihak Ketiga

Ada dua titik entri berbeda untuk menyiapkan feed di platform Google SecOps:

  • Setelan SIEM > Feed > Tambahkan Feed Baru
  • Hub Konten > Paket Konten > Mulai

Cara menyiapkan feed Google Cloud Perangkat Identitas

  1. Klik paket Google Cloud Compute platform.
  2. Cari jenis log Google Cloud Perangkat Identitas, lalu klik Tambahkan feed baru.
  3. Tentukan nilai untuk kolom berikut:
    • Jenis Sumber: Pilih API pihak ketiga.
    • Endpoint JWT OAuth: Masukkan endpoint token OAuth: https://oauth2.googleapis.com/token
    • Penerbit klaim JWT: Masukkan alamat email Akun Layanan (ditemukan di file kunci JSON Akun Layanan).
    • Subjek klaim JWT: Masukkan alamat email pengguna yang diberi peran admin layanan atau admin super di konsol Workspace (pengguna yang di-impersonate melalui Delegasi Tingkat Domain).
    • Audiens klaim JWT: Masukkan endpoint lagi: https://oauth2.googleapis.com/token
    • Kunci pribadi RSA: Tempelkan seluruh konten kunci pribadi dari file kunci JSON Akun Layanan (termasuk baris -----BEGIN PRIVATE KEY----- dan -----END PRIVATE KEY-----).

Opsi lanjutan

  • Nama Feed: Nilai yang telah diisi otomatis yang mengidentifikasi feed.
  • Namespace Aset: Namespace yang terkait dengan feed.
  • Label Penyerapan: Label yang diterapkan ke semua peristiwa dari feed ini.
  1. Klik Buat feed.

Untuk mengetahui informasi selengkapnya tentang cara mengonfigurasi beberapa feed untuk berbagai jenis log dalam keluarga produk ini, lihat Mengonfigurasi feed menurut produk.

Metode Alternatif: Penyerapan melalui Cloud Storage

  1. Login ke Google Cloud konsol.

  2. Buka halaman Cloud Storage Buckets.

    Buka Bucket

  3. Klik Buat.

  4. Di halaman Buat bucket, masukkan informasi bucket Anda. Setelah setiap langkah berikut, klik Lanjutkan untuk melanjutkan ke langkah berikutnya:

    1. Di bagian Mulai, lakukan tindakan berikut:

      1. Masukkan nama unik yang memenuhi persyaratan nama bucket; misalnya, gcp-cloudidentity-devices-logs.

      2. Untuk mengaktifkan namespace hierarkis, klik panah peluas untuk meluaskan bagian Optimalkan untuk beban kerja berorientasi file dan intensif data, lalu pilih Aktifkan namespace hierarkis di bucket ini.

      3. Untuk menambahkan label bucket, klik panah peluas untuk meluaskan bagian Label.

      4. Klik Tambahkan label, lalu tentukan kunci dan nilai untuk label Anda.

    2. Di bagian Pilih tempat untuk menyimpan data Anda, lakukan tindakan berikut:

      1. Pilih Jenis lokasi.

      2. Gunakan menu jenis lokasi untuk memilih Lokasi tempat data objek dalam bucket Anda akan disimpan secara permanen.

      3. Untuk menyiapkan replikasi lintas bucket, luaskan bagian Siapkan replikasi lintas bucket.

    3. Di bagian Pilih kelas penyimpanan untuk data Anda, pilih kelas penyimpanan default untuk bucket, atau pilih Autoclass untuk pengelolaan kelas penyimpanan otomatis untuk data bucket Anda.

    4. Di bagian Choose how to control access to objects, hapus centang Enforce public access prevention, lalu pilih model Access control untuk objek bucket Anda.