IBM Support

QRadar: Google G Suiteログ・ソースが「Access denied. You are not authorized to read activity records」というメッセージで保存に失敗する

Troubleshooting


Problem

Google G Suiteログ・ソースを保存すると、次のメッセージが表示される場合があります。「Access denied. You are not authorized to read activity records」

Symptom

Google G Suiteログ・ソースを保存すると、「qradar.log」ファイル内で以下のメッセージが表示されます。
  
Attempting to access the login application.
Error: An I/O operation failed or was interrupted. Typically occurs due to connection issues. For more information see the "Raw Error Message".
Error: Parameters : Service Account Credentials
Error: 401 Unauthorized
Error: {
Error: "code" : 401,
Error: "errors" : [ {
Error: "domain" : "global",
Error: "location" : "Authorization",
Error: "locationType" : "header",
Error: "message" : "Access denied. You are not authorized to read activity records.",
Error: "reason" : "authError"
Error: } ],
Error: "message" : "Access denied. You are not authorized to read activity records."
Error: }
「qradar.log」ファイルには以下の情報も表示されます。
May 2 18:29:29 ::ffff:127.0.0.1 [ecs-ec-ingress.ecs-ec-ingress] [Google G Suite Activity Reports Rest API Protocol Provider Thread: class com.q1labs.semsources.sources.googlegsuiteactivityreportsrestapi.GoogleGSuiteActivityReportsRESTAPIProviderxxx] com.q1labs.semsources.sources.googlegsuiteactivityreportsrestapi.GoogleGSuiteActivityReportsRESTAPIProvider: [ERROR] [NOT:0000003000][xx.xx.xxx.xx/- -] [-/- -]An error occured during execution of provider class com.q1labs.semsources.sources.googlegsuiteactivityreportsrestapi.GoogleGSuiteActivityReportsRESTAPIProviderXXX
May 2 18:29:29 ::ffff:127.0.0.1 [ecs-ec-ingress.ecs-ec-ingress] [Google G Suite Activity Reports Rest API Protocol Provider Thread: class com.q1labs.semsources.sources.googlegsuiteactivityreportsrestapi.GoogleGSuiteActivityReportsRESTAPIProviderXXX] com.google.api.client.googleapis.json.GoogleJsonResponseException: 401 Unauthorized

Resolving The Problem

この問題を解決するには、以下の手順を実施してください。
  1. QRadarコンソール上で、現在インストールされているGoogle G Suiteプロトコルのバージョンを確認します。 
    rpm -qa | grep -i googlegsuite
    出力は以下のようになります。 
    PROTOCOL-GoogleGSuiteActivityReportsRESTAPI-7.5-xxxxxxxxxxxxxx.noarch
DSM-GoogleGSuiteActivityReports-7.5-xxxxxxxxxxxxxx.noarch
  2. Google G Suiteプロトコルをダウンロードします。
    1. インターネット・ブラウザを開き、「IBM FixCentral」ページに移動します。
      IBM Support: Fix Central.
    2. 製品セレクターの検索バーに「SIEM」と入力し、製品「IBM Security QRadar SIEM」を選択します。
    3. 「インストール済みバージョン」を選択し、「7.5.0」をクリックします。
    4. 「プラットフォーム」で「Linux」を選択します。
    5. 「次へ進む」をクリックします。
    6. 「フィックスの参照」が選択された状態で、「次へ進む」をクリックします。
    7. 「PROTOCOL」をクリックします。
    8. 「フィックスの詳細のフィルタリング:」の検索バーに「google」と入力します。
    9. ダウンロードしたいプロトコルをクリックすると、ダウンロード・リンクが表示されます。
    10. ダウンロード・リンクを右クリックし、「Copy link」オプションを選択します。
    11. QRadarコンソールに接続し、wgetコマンドを使用してrpmファイルをダウンロードします。
      例:
      wget <コピーしたリンク> 
      wget https://ak-delivery04-mul.dhe.ibm.com/sar/CMA/OSA/0bbdx/0/PROTOCOL-GoogleGSuiteActivityReportsRESTAPI-7.5-xxxxxxxxxxxxxx.noarch.rpm
  3. Google G Suiteプロトコルをダウンロードしたら、以下のコマンドを実行してプロトコルを再インストールします。 
    yum reinstall -y PROTOCOL-GoogleGSuiteActivityReportsRESTAPI-7.5-xxxxxxxxxxxxxx.noarch.rpm
  4. Google G Suiteプロトコルがインストールされると、以下のメッセージが表示されます。 
    Installed:
  PROTOCOL-GoogleGSuiteActivityReportsRESTAPI.noarch 0:7.5-xxxxxxxxxxxxxx
結果: Google G Suiteログソースを構成して正常に保存できます。

Document Location

Worldwide

[{"Type":"MASTER","Line of Business":{"code":"LOB24","label":"Security Software"},"Business Unit":{"code":"BU048","label":"IBM Software"},"Product":{"code":"SSBQAC","label":"IBM Security QRadar SIEM"},"ARM Category":[{"code":"a8m0z000000cwsyAAA","label":"Admin Tasks"}],"ARM Case Number":"","Platform":[{"code":"PF016","label":"Linux"}],"Version":"All Versions"}]

Document Information

Modified date:
27 August 2024

UID

ibm17166019

Page Feedback