Pattern e pratiche per la governance di identità e accessi su Google Cloud

Last reviewed 2024-07-11 UTC

Esistono diversi prodotti e servizi Google Cloud che puoi utilizzare per aiutare la tua organizzazione a sviluppare un approccio per la governance e l'accesso delle identità per applicazioni e carichi di lavoro in esecuzione su Google Cloud. Questo documento è rivolto ad amministratori della sicurezza, gestori delle operazioni e architetti aziendali che lavorano nei team dei clienti e che vogliono conoscere questi strumenti e controlli e come utilizzarli.

Questo documento presuppone che tu disponga di quanto segue:

  • Un progetto Google Cloud.
  • Un account utente con accesso amministrativo per gestire gli utenti e i gruppi Cloud Identity. Per eseguire le procedure di esempio riportate in questo documento, devi disporre di questo accesso.

  • Un account utente senza accesso amministrativo da gestire gruppi e utenti di Cloud Identity. Questo account ti serve per testare dei controlli impostati nelle procedure di esempio del presente documento.

    Se non disponi già dell'accesso a un progetto Google Cloud e dell'accesso amministrativo a Cloud Identity, consulta Creare un progetto Google Cloud e Configurare Cloud Identity.

Individuare account e autorizzazioni inutilizzati

È buona prassi rimuovere gli account utente quando non sono più necessari perché gli account utente e di servizio inutilizzati (orfani) possono rappresentare un rischio per la sicurezza. Puoi utilizzare Policy Intelligence di Google Cloud nei seguenti modi per aiutare la tua azienda a comprendere e ridurre i rischi:

  • Aiutare gli amministratori della tua azienda a rilevare account e autorizzazioni che non vengono più utilizzate, per motivi come la ha lasciato l'azienda o ha cambiato ruolo.
  • Aiutare a identificare gli account di servizio che sono stati abbandonati al termine delle attività.

Visualizzare e applicare i suggerimenti IAM

Il motore per suggerimenti IAM (Identity and Access Management) è parte della suite di strumenti e servizi Policy Intelligence. Utilizza il machine learning (ML) per fornire suggerimenti intelligenti per il controllo degli accessi che ti aiutano a identificare gli account che non hanno più bisogno di accedere alle risorse Google Cloud. Puoi quindi esaminare i consigli e decidere se applicarli. IAM il motore per suggerimenti ti aiuta anche a mantenere il principio del privilegio minimo per tutti i membri dell'organizzazione. Oltre a fornire consigli, il servizio Recommender utilizza il machine learning per fornire approfondimenti dettagliati. Gli insight sono risultati che evidenziano pattern importanti nell'utilizzo delle risorse. Per Ad esempio, puoi raccogliere ulteriori informazioni sull'utilizzo delle autorizzazioni nel tuo identificare le autorizzazioni che non vengono utilizzate e che non sono più necessarie, e identificare gli account di servizio inutilizzati.

È possibile visualizzare e applicare i suggerimenti IAM nella console Google Cloud all'indirizzo di livello enterprise. Nell'esempio di procedura seguente, utilizzi BigQuery per esaminare e ottimizzare le autorizzazioni di accesso nella tua organizzazione. Per configurare l'integrazione di BigQuery, devi configurare esportazione dei suggerimenti creati dal motore per suggerimenti IAM in un del set di dati. È possibile eseguire query su questi dati ed esaminarli utilizzando gli strumenti di visualizzazione ad esempio Looker Studio e Looker.

Implementazione

  1. Nella console Google Cloud, nella pagina di selezione del progetto, seleziona o crea un progetto Google Cloud.

  2. BigQuery viene attivato automaticamente nei nuovi progetti. Per attivare BigQuery in un progetto esistente, abilita l'API BigQuery.

    Abilita l'API

  3. Configura BigQuery Data Transfer Service in modo da estrarre i dati dal Recommender IAM. Per scoprire di più, consulta Esportare i suggerimenti in BigQuery.

  4. Vai alla pagina BigQuery.

    Vai a BigQuery

  5. Copia e incolla questa query nel campo Editor:

    SELECT
   recommendation_details
FROM PROJECT_ID.DATASET.TABLE_NAME
WHERE recommender = "google.iam.policy.Recommender"
AND recommender_subtype = "REMOVE_ROLE"

    Sostituisci quanto segue:

    • PROJECT_ID: l'ID progetto Google Cloud che utilizzi per eseguire questo esempio
    • DATASET: il nome del set di dati selezionato durante la configurazione del job BigQuery Data Transfer Service.
    • TABLE_NAME: il nome della tabella creata dal job BigQuery Data Transfer Service.

    Esegui questa query per identificare il recommender_subtypesottotipo di suggerimenti del motore per suggerimenti IAMREMOVE_ROLE.

  6. Fai clic su Esegui. Utilizzerai il risultato della query per identificare i ruoli inutilizzati associazioni di ruoli IAM adeguata.

    Puoi salvare i risultati della query in Fogli. Per saperne di più, consulta Salvare i risultati delle query in Fogli.

Offri agli utenti la possibilità di richiedere l'accesso alle risorse

Gli amministratori aziendali devono poter consentire agli utenti di richiedere l'accesso a Google Cloud. In genere, queste richieste vengono sottoposte a un processo di approvazione in cui l'approvatore designato o un gruppo di approvatori deve approvare la richiesta prima viene concesso l'accesso. Google Gruppi consente di applicare un criterio di accesso a un insieme di utenti, in modo da poter seguire la best practice di gestione dei criteri per concedere l'accesso alle risorse in base appartenenza al gruppo. Questo approccio garantisce la pertinenza dei criteri come unione, trasferimento e abbandono avvengono tramite modifiche all'appartenenza al gruppo.

Puoi concedere e modificare i controlli di accesso per un intero gruppo con Google Gruppi, anziché modificare o concedere i controlli dell'accesso uno alla volta per i singoli utenti. o account di servizio. Puoi anche aggiungere e rimuovere membri in tutta semplicità da un gruppo Google, invece di aggiornare un criterio IAM per aggiungere o rimuovere utenti.

Configurare l'accesso alle risorse utilizzando Google Gruppi

Puoi creare e gestire un gruppo Google utilizzando Cloud Identity. Cloud Identity è una soluzione Identity as a Service (IDaaS) che gestisce gli utenti e i gruppi. Puoi anche configurare Cloud Identity per federare le identità tra Google e altri provider di identità, come Active Directory e Azure Active Directory. Google Gruppi consente inoltre a un utente di richiedere l'iscrizione a un gruppo. Questa richiesta è instradata al gruppo amministratori che potranno approvare o rifiutare la richiesta. Per saperne di più, vedi Crea un gruppo e seleziona le relative impostazioni.

Quando crei e gestisci un gruppo Google per concedere l'accesso alle risorse di Google Cloud, assicurati di considerare le implicazioni delle impostazioni selezionate. Anche se consigliamo di ridurre al minimo il numero di utenti che possono gestire gruppo, ti consigliamo di configurare più di un amministratore per avere sempre l'accesso al gruppo. Ti consigliamo inoltre di limitare l'appartenenza ai gruppi agli utenti della tua organizzazione.

Implementazione

In questa procedura di esempio, crei un gruppo Google e concedi al gruppo visualizzatore l'accesso a un progetto Google Cloud di esempio. I membri che aggiungi a questo gruppo (o a cui concedi l'accesso su richiesta) possono visualizzare il progetto Google Cloud di esempio.

Crea un gruppo Google di esempio

I passaggi seguenti presuppongono che tu abbia Cloud Identity configurato. Per scoprire di più, consulta Configurare Cloud Identity. Assicurati di disporre delle autorizzazioni necessarie per gestire i gruppi.

  1. Nella console Google Cloud, vai alla pagina Gruppi.

    Vai a Gruppi

  2. Fai clic su Crea.

  3. Inserisci i dettagli del gruppo.

    Per aggiungere membri al gruppo, fai clic su Aggiungi membro, poi inserisci l'indirizzo email per il membro e scegli il ruolo Google Gruppi.

    Al termine, fai clic su Invia per creare il gruppo.

    Le impostazioni del gruppo possono essere gestite solo in Google Gruppi. Per configurare le impostazioni del gruppo, fai clic su Gestisci questo gruppo in Google Gruppi. Per selezionare chi può partecipare al gruppo, nel menu Chi può partecipare al gruppo, selezionare Solo utenti dell'organizzazione.

  4. Fai clic su Crea gruppo.

Concedi al gruppo l'accesso a un progetto Google Cloud

  1. Nella console Google Cloud, nella pagina di selezione del progetto, seleziona o crea un progetto Google Cloud.

  2. Apri Cloud Shell:

    Vai a Cloud Shell

  3. Esegui il comando seguente per concedere al visualizzatore di gruppo l'accesso al progetto:

    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=group:GROUP_EMAIL --role=roles/viewer

    Sostituisci quanto segue:

    • GROUP_EMAIL: l'indirizzo email del gruppo che hai creato
    • PROJECT_ID: l'ID del tuo progetto Google Cloud

Testare la procedura di richiesta di accesso utente per gli utenti della tua organizzazione

Nella procedura seguente, utilizzerai un account utente di prova per dimostrare il passaggi utilizzati dagli utenti della tua organizzazione per richiedere l'accesso a un gruppo Google.

  1. Accedi a Google Gruppi in qualità di utente non amministrativo. Il gruppo che hai creato in Creare un gruppo Google di esempio viene visualizzato in Tutti i gruppi. Se il gruppo non viene visualizzato, utilizza la ricerca per trovarlo.

  2. Per richiedere l'accesso al gruppo, fai clic su Chiedi di partecipare al gruppo.

    Una volta concesso l'accesso, l'account utente non amministrativo a cui utilizzati per effettuare la richiesta devono essere in grado di visualizzare Google Cloud PROJECT_ID progetto a cui il gruppo ha accesso come Visualizzatore a.

Concedi l'accesso vincolato al tempo alle risorse Google Cloud

Potrebbero verificarsi delle situazioni in cui gli utenti della tua azienda hanno bisogno di informazioni l'accesso a breve termine alle risorse Google Cloud. L'accesso a breve termine è utile quando gli sviluppatori hanno bisogno di accedere temporaneamente alle risorse Google Cloud per eseguire determinate attività. L'accesso a breve termine offre inoltre i seguenti vantaggi:

  • Ridurre i costi amministrativi.
  • Assicurarsi che il principio del privilegio minimo e dell'accesso tempestivo venga seguito.

La possibilità di concedere questo tipo di accesso è utile per gli amministratori quando gli utenti devono accedere alle risorse in situazioni di emergenza che richiedono un intervento rapido e diretto. Tuttavia, può essere difficile monitorare manualmente autorizzazioni di accesso a breve termine e assicurarsi che vengano rimosse tempestivamente in modo adeguato. I criteri di accesso condizionale IAM ti consentono di impostare l'accesso temporaneo (in scadenza) alle risorse Google Cloud utilizzando le associazioni di ruoli condizionali, contribuendo a ridurre questo overhead per gli amministratori.

Utilizzare le associazioni di ruoli condizionali e la scadenza dell'appartenenza al gruppo

Puoi aggiungere associazioni di ruoli condizionali a criteri IAM nuovi o esistenti per controllare ulteriormente l'accesso alle risorse Google Cloud. Alcuni esempi di casi potresti utilizzare associazioni di ruoli condizionali per concedere l'accesso temporaneo a un utente o a un gruppo sono i seguenti:

  • Accesso a un progetto che scade dopo un periodo di tempo specificato.
  • Accesso a un progetto con cadenza mensile o trimestrale.
  • Accesso alle istanze di Compute Engine per amministrare attività come l'arresto delle istanze.

Quando utilizzi Google Gruppi per consentire agli utenti di accedere alle risorse Google Cloud, puoi utilizzare la funzionalità di scadenza dell'iscrizione al gruppo per impostare le scadenze per l'iscrizione al gruppo utilizzando l'API Cloud Identity Groups. Una volta trascorso il tempo specificato, gli utenti vengono rimossi automaticamente dal gruppo.

Implementazione

Puoi utilizzare un'associazione condizionale dei ruoli per concedere agli sviluppatori l'accesso temporaneo per amministrare una specifica istanza Compute Engine. In questo esempio, L'associazione dei ruoli scadrà il 31 dicembre 2021.

  1. In Cloud Shell, imposta le seguenti variabili:

    export INSTANCE=create example-instance-1
export ZONE=us-west1-b
export USER=USER_ID_TO_GIVE_TEMPORARY_ACCESS_TO

    Sostituisci USER_ID_TO_GIVE_TEMPORARY_ACCESS_TO con Il nome utente dell'utente della tua organizzazione a cui vuoi assegnare temporaneamente a cui accedono.

  2. Crea un'istanza Compute Engine di esempio:

    gcloud compute instances create $INSTANCE \
    --zone $ZONE \
    --machine-type g1-small

    Nei passaggi che seguono, concedi l'accesso temporaneo a questa istanza a un utente della tua organizzazione.

  3. Fornisci temporaneamente all'utente che hai selezionato accesso:

    gcloud compute instances add-iam-policy-binding $INSTANCE \
    --zone=$ZONE \
    --member="user:$USER" \
    --role='roles/compute.instanceAdmin.v1' \
    --condition='expression=request.time < timestamp("2022-01-01T00:00:00Z"),title=expires_end_of_2021,description=Expires at midnight on 2021-12-31'

  4. Mantieni l'istanza Compute Engine creata. Utilizzerai questa istanza più avanti in questo documento nella sezione Gestire l'accesso privilegiato.

    In alternativa, puoi eliminare l'istanza example-instance-1 eseguendo il comando seguente comando:

    gcloud compute instances delete $INSTANCE

Se devi esaminare gli eventi del ciclo di vita IAM, come modifiche ai criteri, creazione di account di servizio e assegnazioni di account di servizio per i controlli, Cloud Audit Logs può aiutarti. Gli amministratori possono utilizzare gli audit log di Cloud per esaminare i dati storici per scopi forensi e di analisi. L'analisi degli audit log può aiutarti a comprendere pattern di accesso e anomalie di accesso. L'analisi dei log di controllo può essere importante anche per i seguenti scenari:

  • Analisi delle autorizzazioni e dell'accesso alle risorse durante una violazione dei dati.
  • Analisi dei problemi di produzione causati da una modifica al criterio IAM, in particolare per verificare quale utente o quale processo ha apportato la modifica.

Cloud Audit Logs memorizza informazioni sulle azioni intraprese dagli utenti, dove si è verificata l'attività e quando. I log di controllo sono classificati come segue:

Ti consigliamo di utilizzare i seguenti log di controllo per la registrazione amministrativa relativa a identità e accesso:

  • Audit log delle attività di amministrazione
  • Audit log con criteri negati

Gli audit log delle attività di amministrazione memorizzano le modifiche apportate alle risorse Google Cloud, come progetti, istanze Compute Engine e account di servizio. La Ecco alcuni esempi di eventi archiviati dagli audit log dell'attività di amministrazione:

  • La creazione di un account di servizio.
  • Modifica in un criterio IAM.
  • Il download di una chiave dell'account di servizio.

Gli audit log di criteri negati registrano quando un account utente o un account di servizio accesso negato a un servizio Google Cloud a causa di un criterio di sicurezza violazione delle norme.

configura Cloud Audit Logs per gli eventi del ciclo di vita delle identità

Puoi visualizzare gli audit log nella console Google Cloud o eseguire query sui log utilizzando l'API Cloud Logging o l'interfaccia a riga di comando.

Tutti gli audit log hanno un periodo di conservazione. Se la tua azienda deve archiviare gli audit log per un periodo più lungo del periodo di conservazione predefinito, devi esportarli in BigQuery o in altre destinazioni di destinazione creando un destinatario log. L'esportazione dei log in BigQuery ti consente di visualizzare un sottoinsieme di colonne di dati e dati selezionati (nel tempo o in altre dimensioni) ed eseguire analisi aggregate.

Implementazione

La procedura di esempio seguente mostra come eseguire una query sul progetto Google Cloud per controllare se si è verificato uno dei seguenti eventi:

  • Sono state apportate modifiche ai criteri IAM.
  • Sono stati creati nuovi account di servizio.
  • Sono state generate nuove chiavi dell'account di servizio.

Visualizzare le modifiche ai criteri IAM

  1. Nella console Google Cloud, vai alla pagina Logging &gt; Esplora log.
  2. Nella pagina Esplora log, seleziona un progetto Google Cloud esistente.

  3. Incolla questa query in Query Builder:

    logName="projects/<PROJECT>/logs/cloudaudit.googleapis.com%2Factivity" AND
(resource.type="project" OR resource.type="service_account") AND
resource.labels.project_id="<PROJECT>" AND
(protoPayload.methodName="SetIamPolicy" OR
protoPayload.methodName="google.iam.admin.v1.CreateServiceAccount"
OR
protoPayload.methodName="google.iam.admin.v1.CreateServiceAccountKey")

    Sostituisci PROJECT con l'ID del tuo progetto Google Cloud.

  4. Fai clic su Esegui query.

Visualizzare le modifiche all'appartenenza ai gruppi

Le modifiche all'appartenenza ai gruppi Google vengono monitorate nei log delle attività. Per scoprire come accedere a questi log, consulta Visualizzare i log delle modifiche alle iscrizioni ai gruppi.

Certificazione di accesso

Policy Analyzer può essere utilizzato per aiutare la tua azienda a verificare che gli utenti dispongano dei diritti di accesso appropriati alle risorse Google Cloud in modo fisso o periodico. Questo la verifica è importante ai fini della conformità e dei controlli. È utile anche il personale addetto alla sicurezza e i revisori possono esaminare quali utenti hanno accesso a quali risorsa e in quale capacità. Policy Analyzer ti aiuta a identificare quali identità o entità (utenti, account di servizio, gruppi e domini) hanno accesso a quali risorse Google Cloud nella gerarchia delle risorse della tua organizzazione. Inoltre, aiuta a identificare il tipo di accesso. Ecco alcune domande di esempio a cui Policy Analyzer può aiutarti a rispondere:

  • Quali utenti possono accedere a un account di servizio.
  • Quali utenti possono leggere i dati in un set di dati BigQuery che contiene informazioni che consentono l'identificazione personale (PII).

Policy Analyzer può essere utilizzato con i seguenti metodi:

Utilizzare Policy Analyzer per controllare l'accesso degli utenti

Le query di esempio che seguono mostrano gli insight sui tipi che puoi ottenere l'accesso degli utenti con Policy Analyzer:

  • I ruoli o le autorizzazioni di un'entità (utente, account di servizio, e dominio) ha: Ad esempio, per controllare quali accessi ha al tuo progetto di produzione.
  • le risorse a cui ha accesso un utente; ad esempio l'accesso a un ex del dipendente alle risorse del tuo progetto di produzione.
  • Quali entità hanno un determinato livello di accesso a una risorsa? della un esempio dei bucket che un utente specifico può eliminare in un progetto.

Implementazione

Nella procedura di esempio seguente utilizzerai Policy Analyzer per verificare autorizzazioni di cui dispone l'utente.

  1. In Cloud Shell, abilita l'API Cloud Asset per il progetto:

    Abilitare l'API

  2. Inserisci il comando seguente per scoprire a quali risorse può accedere un utente:

    gcloud asset analyze-iam-policy --organization="YOUR_ORG_ID" \
    --identity="user:USERNAME_TO_CERTIFY"

    Effettua le seguenti sostituzioni:

    • YOUR_ORG_ID: l'ID della tua organizzazione Google Cloud
    • USERNAME_TO_CERTIFY: il nome utente dell'utente le cui autorizzazioni di accesso a Google Cloud vuoi verificare.

  3. Estrai i dati dei criteri IAM in BigQuery. Per scoprire di più, consulta Scrivere l'analisi dei criteri in BigQuery.

Gestire l'accesso privilegiato

Alcuni utenti della tua organizzazione potrebbero aver bisogno di un accesso privilegiato a determinate risorse Google Cloud per l'esecuzione di attività amministrative. Ad esempio: potrebbero dover gestire progetti Google Cloud specifici, configurare fatturazione e budget o amministrare le istanze di Compute Engine.

Invece di concedere in modo permanente agli utenti l'accesso privilegiato alle risorse, possono consentire agli utenti di richiedere l'accesso con privilegi just-in-time. L'utilizzo della gestione degli accessi con privilegi just-in-time può aiutarti a:

  • Riduci il rischio che qualcuno modifichi o elimini accidentalmente le risorse. Per Ad esempio, quando gli utenti hanno accesso privilegiato solo quando necessario, impedire loro di eseguire script che, involontariamente, influisce sulle risorse che non dovrebbero poter modificare.
  • Crea una traccia di controllo che indichi il motivo per cui i privilegi sono stati attivati.
  • Esegui controlli e revisioni per analizzare le attività passate.

In alternativa, puoi concedere l'accesso privilegiato a un account di servizio e consentire agli utenti di simulare l'identità dell'account di servizio.

Concedere l'accesso privilegiato agli utenti

In generale, la gestione dell'accesso privilegiato agli utenti aziendali in Google Cloud può essere riassunto come segue:

  • Possibilità per gli utenti dell'azienda di richiedere accesso privilegiato.
  • Revisione di Cloud Audit Logs per analizzare le richieste di accesso con privilegi e i pattern di accesso. Amministratori può rivedere i pattern di accesso privilegiato e rilevare eventuali anomalie utilizzando questi logaritmi. Consigliamo alle aziende di valutare la possibilità di esportare questi log in modo che rimangano invariati, se necessario e opportuno, a fini di controllo.
  • Assicurati che l'accesso privilegiato scada automaticamente o venga esaminato periodicamente.

Attivare la verifica in due passaggi (chiamata anche autenticazione a più fattori) per tutti gli utenti che hanno privilegi l'accesso alle risorse. Puoi anche creare un accesso granulare, basato sugli attributi il controllo tramite Gestore contesto accesso che applica un ulteriore livello di sicurezza quando si utilizza l'accesso privilegiato. Ad esempio, puoi avere un livello di accesso che specifica che gli utenti devono essere su alla rete aziendale quando si utilizza l'accesso privilegiato alle risorse.

Implementazione

In questa procedura di esempio, in qualità di amministratore crei un gruppo Google con accesso privilegiato alle istanze di Compute Engine. Crei un servizio account in Google Cloud a cui è concesso l'accesso per amministrare di Compute Engine. Associa il gruppo all'account di servizio in modo che i membri del gruppo possano simulare l'identità dell'account di servizio per il periodo in cui viene concessa loro l'appartenenza al gruppo privilegiato.

Creare un gruppo Google per l'accesso privilegiato

  1. In qualità di amministratore Google Cloud, seleziona o crea un progetto Google Cloud.

    Vai a Gestisci risorse

  2. Abilita la fatturazione per il tuo progetto. Abilitare la fatturazione

  3. Per creare un nuovo gruppo Google, segui i passaggi descritti in Consentire agli utenti di richiedere l'accesso alle risorse.

    Assegna al gruppo il seguente nome: elevated-compute-access

Creare un account di servizio Google Cloud

  1. In Cloud Shell, abilita l'API IAM Credenziali account di servizio per il progetto che hai creato in Creare un gruppo Google per l'accesso privilegiato.

    Abilita le API

  2. Imposta le seguenti variabili:

    export PROJECT_ID=$DEVSHELL_PROJECT_ID
export PRIV_SERVICE_ACCOUNT_NAME=elevated-compute-access
export DELEGATE_GROUP=GROUP_EMAIL_ADDRESS

    Sostituisci GROUP_EMAIL_ADDRESS con il nome completo del gruppo Google che è stato creato.

  3. Crea l'account di servizio:

    gcloud IAMservice-accounts create $PRIV_SERVICE_ACCOUNT_NAME \
    --description="Elevated compute access" \
    --display-name="Elevated compute access"

  4. Assegna all'account di servizio il ruolo di amministratore di computing:

    gcloud projects add-iam-policy-binding $PROJECT_ID \
    --member="serviceAccount:$PRIV_SERVICE_ACCOUNT_NAME@$PROJECT_ID.iam.gserviceaccount.com" \
    --role="roles/compute.admin"

  5. Concedi al gruppo Google per il quale hai creato l'accesso consumer di Service Usage il tuo progetto:

    gcloud projects add-iam-policy-binding $PROJECT_ID \
    --member="group:$DELEGATE_GROUP" \
    --role="roles/serviceusage.serviceUsageConsumer"

    Questa autorizzazione consente ai membri del gruppo Google di impersonare l'account di servizio che hai creato.

  6. Concedi al gruppo Google la possibilità di simulare l'identità dell'account di servizio che hai creato:

    gcloud IAMservice-accounts add-iam-policy-binding
$PRIV_SERVICE_ACCOUNT_NAME@$PROJECT_ID.iam.gserviceaccount.com --member="group
:$DELEGATE_GROUP" --role="roles/iam.serviceAccountTokenCreator"

  7. Salta questo passaggio se hai creato e mantenuto un'istanza Compute Engine di esempio per la procedura in Fornire accesso limitato nel tempo alle risorse Google Cloud. Puoi utilizzare l'istanza di esempio per eseguire i passaggi di questo esempio.

    In alternativa, utilizza il seguente comando per creare un'istanza Compute Engine di esempio:

    gcloud compute instances create example-instance-1 \
    --zone us-west1-b \
    --machine-type g1-small

    Utilizza le istanze in questo esempio per verificare che gli utenti a cui è stata assegnata l'appartenenza al gruppo privilegiato possano accedere all'istanza.

Abilita audit log

Gli amministratori della tua azienda possono attivare gli audit log di Cloud per assicurarsi che l'accesso privilegiato venga registrato e sia disponibile per la revisione e l'analisi. La procedura in questa sezione mostra come abilitare l'audit logging.

  1. Ottieni i criteri IAM attuali per il progetto:

    gcloud projects get-iam-policy $PROJECT_ID > /tmp/policy.yaml

  2. Modifica il file dei criteri per abilitare i log di accesso ai dati per l'API Compute Engine:

    cat <<EOF >> /tmp/policy.yaml
auditConfigs:
- auditLogConfigs:
 - logType: ADMIN_READ
 - logType: DATA_READ
 - logType: DATA_WRITE
 service: compute.googleapis.com
EOF

  3. Imposta la nuova norma:

    gcloud projects set-iam-policy $PROJECT_ID /tmp/policy.yaml

Testa l'impersonificazione con l'account utente non amministrativo

Puoi utilizzare l'account utente non amministrativo per testare la configurazione richiedendo l'appartenenza al gruppo e sostituendo l'account di servizio una volta concessa l'appartenenza.

La procedura descritta in questa sezione mostra come gli utenti aziendali possono richiedere accesso privilegiato alle risorse Google Cloud. In questa procedura di esempio, le risorse Google Cloud sono le istanze Compute Engine per un progetto Google Cloud. Per dimostrare in che modo gli utenti della tua organizzazione possono assumere l'identità di un account di servizio dopo aver ottenuto l'appartenenza al gruppo, richiedi l'appartenenza ai gruppi Google pertinenti.

  1. Accedi a Google Gruppi con l'account utente non amministrativo e richiedi l'appartenenza al gruppo elevated-compute-access.

  2. Utilizza lo stesso account per accedere a Google Cloud. Dovresti avere accesso al gruppo non appena un amministratore avrà approvato la richiesta. In questa procedura di esempio, si presume che la tua richiesta di appartenenza al gruppo sia stata approvata.

  3. In Cloud Shell, esegui questo comando per impostare il progetto predefinito:

    gcloud config set project PROJECT_ID

    Sostituisci PROJECT_ID con l'ID progetto che hai creato in precedenza nella sezione Creare un gruppo Google per l'accesso privilegiato.

  4. Prova a elencare i pod di Compute Engine di Compute Engine in questo progetto:

    gcloud compute instances list

    Viene visualizzato un messaggio di errore che ti informa che il tuo utente Google Cloud non dispone dell'autorizzazione per accedere alle risorse Compute Engine.

  5. Esegui questo comando:

    gcloud compute instances list
--impersonate-service-account=elevated-compute-access@$PROJECT_ID.iam.gserviceaccount.com

    Questo comando elenca le istanze di Compute Engine nel progetto per rubare l'identità dell'account di servizio a cui avevi accesso quando stavi ha assegnato l'appartenenza al gruppo Google elevated-compute-access.

    Vedrai l'istanza Compute Engine example-instance-1 che hai creato con il tuo account amministratore.

Esaminare i log di controllo

In qualità di amministratore di Google Cloud, puoi accedere ai log di controllo generati ed esaminarli.

  1. Accedi alla console Google Cloud con un account utente di privilegi amministrativi per accedere agli audit log.

  2. In Cloud Logging, inserisci la query seguente per esaminare i log di accesso ai dati:

    logName="projects/<PROJECT_ID>/logs/cloudaudit.googleapis.com%2Fdata_access"
AND
protoPayload.authenticationInfo.principalEmail="elevated-compute-access@PROJECT_ID.iam.gserviceaccount.com"

    Sostituisci PROJECT_ID con l'ID del tuo progetto ed esegui la query.

    Questa query mostra quale utente del gruppo Google ha impersonato il service account per accedere all'istanza Compute Engine. Vengono mostrati anche altri dettagli pertinenti, ad esempio quando è stata effettuata la sostituzione dell'account di servizio e i dettagli delle intestazioni della richiesta.

  3. Esamina il payload del log di controllo, in particolare l'oggetto protoPayload.authenticationInfo nel payload. Il nome utente dell'utente che ha rappresentato il servizio l'account viene registrato come valore della chiave principalEmail di firstPartyPrincipal .

  4. In qualità di amministratore, puoi anche esaminare i risultati relativi alle minacce correlate agli eventi nella dashboard di Security Command Center. Per scoprire di più su Security Command Center, consulta Utilizzare Event Threat Detection.

Passaggi successivi