本頁面由 Cloud Translation API 翻譯而成。

收集 Cloud Identity 裝置記錄

支援的國家/地區：

Google SecOps SIEM

本指南說明如何使用 Cloud Storage，將 Cloud Identity 裝置記錄匯出至 Google Security Operations。剖析器會從 JSON 記錄中擷取欄位、轉換特定欄位 (例如 deviceType 和日期)，然後將這些欄位對應至 UDM，建立代表裝置的 asset_entity，並以硬體和中繼資料資訊擴充該 asset_entity。

事前準備

請確認您已完成下列事前準備事項：

在 Google Cloud 專案中啟用 Google Cloud Identity。
Google SecOps 執行個體。
Google Cloud Identity 和 Cloud Logging 的特殊存取權。

建立 Cloud Storage 值區

登入Google Cloud 控制台。
前往「Cloud Storage Buckets」(Cloud Storage bucket) 頁面。

前往「Buckets」(值區) 頁面
點選「建立」。
在「建立 bucket」頁面中，輸入 bucket 資訊。完成下列每個步驟後，請按一下「繼續」前往下一個步驟：
1. 在「開始使用」部分執行下列操作：
  1. 輸入符合值區名稱規定的不重複名稱，例如 gcp-cloudidentity-devices-logs。
  2. 如要啟用階層命名空間，請按一下展開箭頭，展開「為檔案導向和資料密集型工作負載提供最理想的儲存空間」部分，然後選取「為這個值區啟用階層結構式命名空間」。
    
    注意： 您無法在現有值區上啟用階層式命名空間。
  3. 如要新增值區標籤，請按一下展開箭頭，展開「標籤」部分。
  4. 按一下「新增標籤」，然後指定標籤的鍵和值。
2. 在「Choose where to store your data」(選擇資料的儲存位置) 專區中執行下列操作：
  1. 選取「位置類型」。
  2. 使用位置類型選單選取位置，永久儲存 bucket 中的物件資料。
    
    注意： 如果您選取「雙區域」位置類型，也可以使用相關核取方塊啟用強化型複製。
  3. 如要設定跨 bucket 複製作業，請展開「設定跨 bucket 複製作業」部分。
3. 在「為資料選擇儲存空間級別」部分，選取值區的預設儲存空間級別，或選取「Autoclass」，讓系統自動管理值區資料的儲存空間級別。
4. 在「選取如何控制物件的存取權」部分，取消勾選「強制禁止公開存取」，然後為 bucket 物件選取「存取權控管」模型。
  
  注意： 如果專案的機構政策已強制禁止公開存取，則「強制禁止公開存取這個 bucket」核取方塊會遭到鎖定。
5. 在「選擇保護物件資料的方式」部分，執行下列操作：
  1. 選取「資料保護」下要為值區設定的任何選項。
  2. 如要選擇物件資料的加密方式，請按一下標示為「資料加密」的展開箭頭，然後選取資料加密方法。
點選「建立」。

設定 Cloud Identity 裝置記錄匯出作業

登入Google Cloud 控制台。
依序前往「Logging」>「Log Router」。
按一下「建立接收器」。
提供下列設定參數：
- 接收器名稱：輸入有意義的名稱，例如 cloud-identity-devices-logs-sink。
- 接收器目的地：選取「Cloud Storage Storage」，然後輸入值區的 URI，例如 gs://gcp-cloudidentity-devices-logs。
- 記錄檔篩選器：
```
logName="projects/<your-project-id>/logs/cloudaudit.googleapis.com%2Factivity"
resource.type="cloud_identity_device"
```
- 設定匯出選項：包括所有記錄項目。
點選「建立」。

設定 Cloud Storage 的權限

前往「IAM 與管理」>「IAM」。
找到 Cloud Logging 服務帳戶。
授予值區的 roles/storage.admin。

設定動態饋給

在 Google SecOps 平台中，有兩種不同的進入點可設定動態饋給：

「SIEM 設定」>「動態消息」
內容中心 > 內容包

依序前往「SIEM 設定」>「動態饋給」，設定動態饋給

如要設定動態消息，請按照下列步驟操作：

依序前往「SIEM 設定」>「動態消息」。
按一下「新增動態消息」。
在下一個頁面中，按一下「設定單一動態饋給」。
在「動態消息名稱」欄位中，輸入動態消息的名稱，例如「GCP Cloud Identity 裝置記錄」。
選取「第三方 API」做為「來源類型」。
選取「GCP Cloud Identity Devices」做為「記錄類型」。
點選「下一步」。
指定下列輸入參數的值：
- OAuth JWT 端點：用於擷取 OAuth JSON Web Token 的端點。
- JWT 聲明核發者：通常是用戶端 ID。
- JWT 憑證主體：通常是電子郵件地址。
- JWT 憑證附加資訊目標對象：JWT 憑證附加資訊目標對象。
- RSA 私密金鑰：以 PEM 格式輸入。
- API 版本：用於擷取裝置資訊的 API 版本。值應為 v1、v1beta1 或 vx。如果未指定版本，則使用 v1。
點選「下一步」。
在「Finalize」畫面上檢查新的動態饋給設定，然後按一下「Submit」。

從內容中心設定動態饋給

為下列欄位指定值：

儲存空間值區 URI：Cloud Storage 值區網址，例如 gs://gcp-cloudidentity-devices-logs。
「URI Is A」(URI 為)：選取「Directory which includes subdirectories」(包含子目錄的目錄)。
來源刪除選項：根據偏好選取刪除選項。

注意： 如果選取 Delete transferred files 或 Delete transferred files and empty directories 選項，請務必授予服務帳戶適當的權限。

進階選項

動態饋給名稱：系統預先填入的值，用於識別動態饋給。
來源類型：將記錄收集到 Google SecOps 的方法。
資產命名空間：與動態饋給相關聯的命名空間。
擷取標籤：套用至這個動態饋給所有事件的標籤。

UDM 對應表

記錄欄位	UDM 對應	邏輯
`createTime`	`entity.metadata.creation_timestamp`	`createTime` 的值會剖析為時間戳記並對應。
`deviceId`	`entity.entity.asset.asset_id`	直接對應。
`deviceType`	`entity.entity.asset.platform_software.platform`	如果原始值為 `MAC_OS` 或 `IOS`，則會對應至 `MAC`。如果原始值相符，則會對應至 `WINDOWS`、`MAC` 或 `LINUX`。否則請設為 `UNKNOWN_PLATFORM`。
`encryptionState`	`entity.entity.asset.attribute.labels.key`	值設為 `encryptionState`。用來當做標籤的一部分。
`encryptionState`	`entity.entity.asset.attribute.labels.value`	直接對應。用來當做標籤的一部分。
`lastSyncTime`	`entity.entity.asset.system_last_update_time`	`lastSyncTime` 的值會剖析為時間戳記並對應。
`managementState`	`entity.entity.asset.attribute.labels.key`	值設為 `managementState`。用來當做標籤的一部分。
`managementState`	`entity.entity.asset.attribute.labels.value`	直接對應。用來當做標籤的一部分。
`model`	`entity.entity.asset.hardware.model`	直接對應。
`name`	`entity.entity.asset.product_object_id`	系統會擷取 `devices/` 後方的部分並進行對應。
`name`	`entity.entity.resource.name`	直接對應。
`osVersion`	`entity.entity.asset.platform_software.platform_version`	直接對應。
`securityPatchTime`	`entity.entity.asset.attribute.labels.key`	值設為 `securityPatchTime`。用來當做標籤的一部分。
`securityPatchTime`	`entity.entity.asset.attribute.labels.value`	直接對應。用來當做標籤的一部分。
`serialNumber`	`entity.entity.asset.hardware.serial_number`	直接對應。從原始記錄的頂層 `create_time` 欄位複製。值設為 `ASSET`。值設為 `GCP Cloud Identity Devices`。值設為 `Google Cloud Platform`。從原始記錄的頂層 `create_time` 欄位複製。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。