Harness IO 監査ログを収集する

このドキュメントでは、Amazon S3 を使用して Harness IO 監査ログを Google Security Operations に取り込む方法について説明します。

始める前に

• Google SecOps インスタンス
• Harness への特権アクセス（API キーとアカウント ID）
• AWS（S3、IAM、Lambda、EventBridge）への特権アクセス

個人アカウントの Harness API キーとアカウント ID を取得する

1. Harness ウェブ UI にログインします。
2. [User Profile] > [My API Keys] に移動します。
3. [API キー] を選択します。
4. API キーの名前を入力します。
5. [保存] をクリックします。
6. 新しい API キーで [トークン] を選択します。
7. トークンの名前を入力します。
8. [Generate Token] をクリックします。
9. トークンをコピーして安全な場所に保存します。
10. [Account ID]（Harness の URL と [Account Settings] に表示されます）をコピーして保存します。

省略可: サービス アカウントの Harness API キーとアカウント ID を取得する

1. Harness ウェブ UI にログインします。
2. サービス アカウントを作成する
3. [Account Settings] > [Access Control] に移動します。
4. [サービス アカウント] を選択> API キーを作成するサービス アカウントを選択します。
5. [API キー] で [API キー] を選択します。
6. API キーの名前を入力します。
7. [保存] をクリックします。
8. 新しい API キーで [トークン] を選択します。
9. トークンの名前を入力します。
10. [Generate Token] をクリックします。
11. トークンをコピーして安全な場所に保存します。
12. [Account ID]（Harness の URL と [Account Settings] に表示されます）をコピーして保存します。

Google SecOps 用に AWS S3 バケットと IAM を構成する

1. バケットの作成のユーザーガイドに沿って、Amazon S3 バケットを作成します。
2. 後で参照できるように、バケットの名前とリージョンを保存します（例: harness-io）。
3. IAM ユーザーの作成のユーザーガイドに沿って、ユーザーを作成します。
4. 作成したユーザーを選択します。
5. [セキュリティ認証情報] タブを選択します。
6. [アクセスキー] セクションで [アクセスキーを作成] をクリックします。
7. [ユースケース] として [サードパーティ サービス] を選択します。
8. [次へ] をクリックします。
9. 省略可: 説明タグを追加します。
10. [アクセスキーを作成] をクリックします。
11. [CSV ファイルをダウンロード] をクリックして、[アクセスキー] と [シークレット アクセスキー] を保存し、後で使用できるようにします。
12. [完了] をクリックします。
13. [権限] タブを選択します。
14. [権限ポリシー] セクションで、[権限を追加] をクリックします。
15. [権限を追加] を選択します。
16. [ポリシーを直接アタッチする] を選択します。
17. AmazonS3FullAccess ポリシーを検索して選択します。
18. [次へ] をクリックします。
19. [権限を追加] をクリックします。

S3 アップロードの IAM ポリシーとロールを構成する

1. AWS コンソールで、[IAM] > [ポリシー] > [ポリシーの作成] > [JSON] タブに移動します。

2. 次のポリシーを入力します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Sid": "AllowPutHarnessObjects",
         "Effect": "Allow",
         "Action": "s3:PutObject",
         "Resource": "arn:aws:s3:::harness-io/*"
       },
       {
         "Sid": "AllowGetStateObject",
         "Effect": "Allow",
         "Action": "s3:GetObject",
         "Resource": "arn:aws:s3:::harness-io/harness/audit/state.json"
       }
     ]
   }
   
   

   • 別のバケット名を入力した場合は、harness-io を置き換えます。

3. [次へ] > [ポリシーを作成] をクリックします。

4. [IAM] > [ロール] > [ロールの作成] > [AWS サービス] > [Lambda] に移動します。

5. 新しく作成したポリシーを関連付けます。

6. ロールに「WriteHarnessToS3Role」という名前を付けて、[ロールを作成] をクリックします。

Lambda 関数を作成する

1. AWS コンソールで、[Lambda] > [Functions] > [Create function] に移動します。
2. [Author from scratch] をクリックします。

3. 次の構成情報を提供してください。

   設定	値
   名前	harness_io_to_s3
   ランタイム	Python 3.13
   アーキテクチャ	x86_64
   実行ロール	WriteHarnessToS3Role

4. 関数を作成したら、[コード] タブを開き、スタブを削除して次のコード（harness_io_to_s3.py）を入力します。

   #!/usr/bin/env python3
   
   import os, json, time, urllib.parse
   from urllib.request import Request, urlopen
   from urllib.error import HTTPError, URLError
   import boto3
   
   API_BASE = os.environ.get("HARNESS_API_BASE", "https://app.harness.io").rstrip("/")
   ACCOUNT_ID = os.environ["HARNESS_ACCOUNT_ID"]
   API_KEY = os.environ["HARNESS_API_KEY"]  # x-api-key token
   BUCKET = os.environ["S3_BUCKET"]
   PREFIX = os.environ.get("S3_PREFIX", "harness/audit/").strip("/")
   STATE_KEY = os.environ.get("STATE_KEY", "harness/audit/state.json")
   PAGE_SIZE = min(int(os.environ.get("PAGE_SIZE", "100")), 100)  # <=100
   START_MINUTES_BACK = int(os.environ.get("START_MINUTES_BACK", "60"))
   
   s3 = boto3.client("s3")
   HDRS = {"x-api-key": API_KEY, "Content-Type": "application/json", "Accept": "application/json"}
   
   def _read_state():
       try:
           obj = s3.get_object(Bucket=BUCKET, Key=STATE_KEY)
           j = json.loads(obj["Body"].read())
           return j.get("since"), j.get("pageToken")
       except Exception:
           return None, None
   
   def _write_state(since_ms: int, page_token: str | None):
       body = json.dumps({"since": since_ms, "pageToken": page_token}).encode("utf-8")
       s3.put_object(Bucket=BUCKET, Key=STATE_KEY, Body=body, ContentType="application/json")
   
   def _http_post(path: str, body: dict, query: dict, timeout: int = 60, max_retries: int = 5) -> dict:
       qs = urllib.parse.urlencode(query)
       url = f"{API_BASE}{path}?{qs}"
       data = json.dumps(body).encode("utf-8")
   
       attempt, backoff = 0, 1.0
       while True:
           req = Request(url, data=data, method="POST")
           for k, v in HDRS.items():
               req.add_header(k, v)
           try:
               with urlopen(req, timeout=timeout) as r:
                   return json.loads(r.read().decode("utf-8"))
           except HTTPError as e:
               if (e.code == 429 or 500 <= e.code <= 599) and attempt < max_retries:
                   time.sleep(backoff)
                   attempt += 1
                   backoff *= 2
                   continue
               raise
           except URLError:
               if attempt < max_retries:
                   time.sleep(backoff)
                   attempt += 1
                   backoff *= 2
                   continue
               raise
   
   def _write_page(obj: dict, now: float, page_index: int) -> str:
       ts = time.strftime("%Y/%m/%d/%H%M%S", time.gmtime(now))
       key = f"{PREFIX}/{ts}-page{page_index:05d}.json"
       s3.put_object(
           Bucket=BUCKET,
           Key=key,
           Body=json.dumps(obj, separators=(",", ":")).encode("utf-8"),
           ContentType="application/json",
       )
       return key
   
   def fetch_and_store():
       now_s = time.time()
       since_ms, page_token = _read_state()
       if since_ms is None:
           since_ms = int((now_s - START_MINUTES_BACK * 60) * 1000)
       until_ms = int(now_s * 1000)
   
       page_index = 0
       total = 0
   
       while True:
           body = {"startTime": since_ms, "endTime": until_ms}
           query = {"accountIdentifier": ACCOUNT_ID, "pageSize": PAGE_SIZE}
           if page_token:
               query["pageToken"] = page_token
           else:
               query["pageIndex"] = page_index
   
           data = _http_post("/audit/api/audits/listV2", body, query)
           _write_page(data, now_s, page_index)
   
           entries = []
           for key in ("data", "content", "response", "resource", "resources", "items"):
               if isinstance(data.get(key), list):
                   entries = data[key]
                   break
           total += len(entries) if isinstance(entries, list) else 0
   
           next_token = (
               data.get("pageToken")
               or (isinstance(data.get("meta"), dict) and data["meta"].get("pageToken"))
               or (isinstance(data.get("metadata"), dict) and data["metadata"].get("pageToken"))
           )
   
           if next_token:
               page_token = next_token
               page_index += 1
               continue
   
           if len(entries) < PAGE_SIZE:
               break
           page_index += 1
   
       _write_state(until_ms, None)
       return {"pages": page_index + 1, "objects_estimate": total}
   
   def lambda_handler(event=None, context=None):
       return fetch_and_store()
   
   if __name__ == "__main__":
       print(lambda_handler())
   
   

5. [構成> 環境変数 > 編集 > 新しい環境変数を追加] に移動します。

6. 次の環境変数を入力し、実際の値に置き換えます。

   キー	例
   S3_BUCKET	harness-io
   S3_PREFIX	harness/audit/
   STATE_KEY	harness/audit/state.json
   HARNESS_ACCOUNT_ID	123456789
   HARNESS_API_KEY	harness_xxx_token
   HARNESS_API_BASE	https://app.harness.io
   PAGE_SIZE	100
   START_MINUTES_BACK	60

7. 関数が作成されたら、そのページにとどまるか、[Lambda] > [関数] > [your‑function] を開きます。

8. [CONFIGURATION] タブを選択します。

9. [全般設定] パネルで、[編集] をクリックします。

10. [Timeout] を [5 minutes (300 seconds)] に変更し、[Save] をクリックします。

EventBridge スケジュールを作成する

1. Amazon EventBridge > Scheduler > スケジュールの作成に移動します。

2. 次の構成情報を提供してください。

   • 定期的なスケジュール: レート（1 hour）。
   • ターゲット: Lambda 関数。
   • 名前: harness-io-1h

3. [スケジュールを作成] をクリックします。

Google SecOps 用の読み取り専用の IAM ユーザーと鍵を作成する

1. AWS コンソールで、[IAM] > [Users] に移動し、[Add users] をクリックします。
2. 次の構成の詳細を入力します。
   • ユーザー: 一意の名前を入力します（例: secops-reader）。
   • アクセスタイプ: [Access key - Programmatic access] を選択します。
   • [ユーザーを作成] をクリックします。
3. 最小限の読み取りポリシー（カスタム）を適用する: [ユーザー] > secops-reader を選択 > [権限] > [権限を追加] > [ポリシーを直接適用] > [ポリシーを作成]

4. JSON エディタで次のポリシーを入力します。

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["s3:GetObject"],
         "Resource": "arn:aws:s3:::<your-bucket>/*"
       },
       {
         "Effect": "Allow",
         "Action": ["s3:ListBucket"],
         "Resource": "arn:aws:s3:::<your-bucket>"
       }
     ]
   }
   

5. 名前を secops-reader-policy に設定します。

6. [ポリシーの作成> 検索/選択> 次へ> 権限を追加] に移動します。

7. [セキュリティ認証情報] > [アクセスキー] > [アクセスキーを作成] に移動します。

8. CSV をダウンロードします（これらの値はフィードに入力されます）。

Harness IO のログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [Add New Feed] をクリックします。
3. [フィード名] フィールドに、フィードの名前を入力します（例: Harness IO）。
4. [ソースタイプ] として [Amazon S3 V2] を選択します。
5. [ログタイプ] として [Harness IO] を選択します。
6. [次へ] をクリックします。
7. 次の入力パラメータの値を指定します。
   • S3 URI: s3://harness-io/harness/audit/
   • Source deletion options: 必要に応じて削除オプションを選択します。
   • 最大ファイル経過時間: デフォルトは 180 日です。
   • アクセスキー ID: S3 バケットにアクセスできるユーザー アクセスキー。
   • シークレット アクセスキー: S3 バケットにアクセスできるユーザーのシークレット キー。
   • アセットの名前空間: アセットの名前空間。
   • Ingestion labels: このフィードのイベントに適用されるラベル。
8. [次へ] をクリックします。
9. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。