Bagian ini memperkenalkan cara menggunakan Cloud Identity untuk mengelola identitas yang digunakan karyawan Anda untuk mengakses layanan Google Cloud.
Penyedia identitas eksternal sebagai sumber kebenaran
Sebaiknya lakukan penggabungan akun Cloud Identity dengan penyedia identitas yang sudah ada. Federation membantu Anda memastikan bahwa proses pengelolaan akun yang ada berlaku untuk Google Cloud dan layanan Google lainnya.
Jika belum memiliki penyedia identitas, Anda dapat membuat akun pengguna langsung di Cloud Identity.
Diagram berikut menunjukkan tampilan tingkat tinggi dari identity federation dan single sign-on (SSO). Layanan ini menggunakan Microsoft Active Directory, yang terletak di lingkungan lokal, sebagai contoh penyedia identitas.
Diagram ini menjelaskan praktik terbaik berikut:
- Identitas pengguna dikelola di domain Active Directory yang berada di lingkungan lokal dan digabungkan ke Cloud Identity. Active Directory menggunakan Google Cloud Directory Sync untuk menyediakan identitas ke Cloud Identity.
- Pengguna yang mencoba login ke layanan Google akan dialihkan ke penyedia identitas eksternal untuk single sign-on dengan SAML, menggunakan kredensial yang sudah ada untuk melakukan autentikasi. Tidak ada sandi yang disinkronkan dengan Cloud Identity.
Tabel berikut memberikan link ke panduan penyiapan untuk penyedia identitas.
| Penyedia identitas | Panduan |
|---|---|
| Active Directory | |
| Microsoft Entra ID (sebelumnya Azure AD) | |
| Penyedia identitas eksternal lainnya (misalnya, Ping atau Okta) |
Sebaiknya Anda menerapkan autentikasi multi-faktor di penyedia identitas Anda dengan mekanisme yang tahan terhadap phishing, seperti Kunci Keamanan Titan.
Setelan yang direkomendasikan untuk Cloud Identity tidak diotomatiskan melalui kode Terraform dalam blueprint ini. Lihat kontrol administratif untuk Cloud Identity guna mengetahui setelan keamanan yang direkomendasikan yang harus Anda konfigurasi selain men-deploy kode Terraform.
Grup untuk kontrol akses
Akun utama adalah identitas yang dapat diberi akses ke resource. Akun utama meliputi Akun Google untuk pengguna, grup Google, akun Google Workspace, domain Cloud Identity, dan akun layanan. Beberapa layanan juga memungkinkan Anda memberikan akses kepada semua pengguna yang melakukan autentikasi dengan Akun Google, atau kepada semua pengguna di internet. Agar akun utama dapat berinteraksi dengan layanan Google Cloud, Anda harus memberikan peran kepada akun utama tersebut di Identity and Access Management (IAM).
Untuk mengelola peran IAM dalam skala besar, sebaiknya Anda menetapkan pengguna ke grup berdasarkan fungsi tugas dan persyaratan akses mereka, lalu berikan peran IAM ke grup tersebut. Anda harus menambahkan pengguna ke grup menggunakan proses dalam penyedia identitas yang ada untuk pembuatan dan keanggotaan grup.
Sebaiknya jangan berikan peran IAM kepada masing-masing pengguna karena penetapan satu per satu dapat meningkatkan kompleksitas pengelolaan dan audit peran.
Blueprint mengonfigurasi grup dan peran untuk akses hanya lihat ke resource landasan. Sebaiknya deploy semua resource dalam cetak biru melalui pipeline dasar, dan jangan memberikan peran kepada pengguna pada grup untuk mengubah resource fondasi di luar pipeline.
Tabel berikut menunjukkan grup yang dikonfigurasi oleh cetak biru untuk melihat resource dasar.
| Nama | Deskripsi | Peran | Cakupan |
|---|---|---|---|
grp-gcp-org-admin@example.com |
Administrator dengan hak istimewa tinggi yang dapat memberikan peran IAM di tingkat organisasi. Mereka dapat mengakses peran lainnya. Hak istimewa ini tidak direkomendasikan untuk penggunaan sehari-hari. | Organization Administrator | organisasi |
grp-gcp-billing-admin@example.com |
Administrator dengan hak istimewa tinggi yang dapat mengubah akun Penagihan Cloud. Hak istimewa ini tidak direkomendasikan untuk penggunaan sehari-hari. | Admin Akun Penagihan | organisasi |
grp-gcp-billing-viewer@example.com |
Tim yang bertanggung jawab untuk melihat dan menganalisis pengeluaran di semua proyek. | Viewer Akun Penagihan | organisasi |
| Pengguna BigQuery | project penagihan | ||
grp-gcp-audit-viewer@example.com |
Tim yang bertanggung jawab untuk mengaudit log terkait keamanan. | project logging | |
grp-gcp-monitoring-users@example.com |
Tim yang bertanggung jawab untuk memantau metrik performa aplikasi. | Viewer Monitoring | memantau project |
grp-gcp-security-reviewer@example.com |
Tim yang bertanggung jawab untuk meninjau keamanan cloud. | Security Reviewer | organisasi |
grp-gcp-network-viewer@example.com |
Tim yang bertanggung jawab untuk melihat dan memelihara konfigurasi jaringan. | Penampil Jaringan Compute | organisasi |
grp-gcp-scc-admin@example.com |
Tim yang bertanggung jawab untuk mengonfigurasi Security Command Center. | Security Center Admin Editor | organisasi |
grp-gcp-secrets-admin@example.com |
Tim yang bertanggung jawab untuk mengelola, menyimpan, dan mengaudit kredensial dan rahasia lain yang digunakan oleh aplikasi. | Secret Manager Admin | project secret |
grp-gcp-kms-admin@example.com |
Tim yang bertanggung jawab untuk menerapkan pengelolaan kunci enkripsi guna memenuhi persyaratan kepatuhan. | Viewer Cloud KMS | project kms |
Ketika mem-build workload sendiri di atas fondasi, Anda akan membuat grup tambahan dan memberikan peran IAM berdasarkan persyaratan akses untuk setiap workload.
Sebaiknya hindari peran dasar (seperti Pemilik, Editor, atau Viewer) dan gunakan peran standar. Peran dasar terlalu permisif dan berpotensi menimbulkan risiko keamanan. Peran Pemilik dan Editor dapat menyebabkan eskalasi akses dan pemindahan lateral, dan peran Pelihat mencakup akses untuk membaca semua data. Untuk praktik terbaik tentang peran IAM, lihat Menggunakan IAM dengan aman.
Akun admin super
Pengguna Cloud Identity dengan akun admin super akan mengabaikan setelan SSO organisasi dan melakukan autentikasi langsung ke Cloud Identity. Pengecualian ini memang sengaja dibuat agar admin super masih dapat mengakses konsol Cloud Identity jika terjadi kesalahan konfigurasi atau pemadaman SSO. Namun, hal ini berarti Anda harus mempertimbangkan perlindungan tambahan untuk akun admin super.
Untuk melindungi akun admin super Anda, sebaiknya selalu terapkan verifikasi 2 langkah dengan kunci keamanan di Cloud Identity. Untuk mengetahui informasi selengkapnya, lihat Praktik terbaik keamanan untuk akun administrator.
Masalah terkait akun pengguna konsumen
Jika Anda tidak pernah menggunakan Cloud Identity atau Google Workspace sebelum bergabung ke Google Cloud, karyawan organisasi Anda mungkin sudah menggunakan akun konsumen yang terkait dengan identitas email perusahaan mereka untuk mengakses layanan Google lainnya, seperti Google Marketing Platform atau YouTube. Akun konsumen adalah akun yang sepenuhnya dimiliki dan dikelola oleh individu yang membuatnya. Karena akun tersebut tidak berada di bawah kontrol organisasi Anda dan mungkin mencakup data pribadi dan perusahaan, Anda harus memutuskan cara menggabungkan akun ini dengan akun perusahaan lain.
Sebaiknya gabungkan akun pengguna konsumen yang sudah ada sebagai bagian dari proses aktivasi Google Cloud. Jika Anda belum menggunakan Google Workspace untuk semua akun pengguna, sebaiknya blokir pembuatan akun konsumen baru.
Kontrol administratif untuk Cloud Identity
Cloud Identity memiliki berbagai kontrol administratif yang tidak diotomatiskan oleh kode Terraform dalam blueprint. Sebaiknya Anda menerapkan setiap kontrol keamanan praktik terbaik ini di awal proses pembuatan fondasi Anda.
| Kontrol | Deskripsi |
|---|---|
| Men-deploy verifikasi 2 langkah | Akun pengguna mungkin telah disusupi melalui phishing, manipulasi sosial, penyemprotan sandi, atau berbagai ancaman lainnya. Verifikasi 2 langkah membantu mengurangi ancaman ini. Sebaiknya terapkan verifikasi 2 langkah untuk semua akun pengguna di organisasi Anda dengan mekanisme yang tahan terhadap phishing, seperti Kunci Keamanan Titan atau kunci lainnya yang didasarkan pada standar FIDO U2F (CTAP1) yang tahan terhadap phishing. |
| Menetapkan durasi sesi untuk layanan Google Cloud | Token OAuth persisten di workstation developer dapat menimbulkan risiko keamanan jika terekspos. Sebaiknya Anda menetapkan kebijakan autentikasi ulang untuk mewajibkan autentikasi setiap 16 jam menggunakan kunci keamanan. |
| Menetapkan durasi sesi untuk Layanan Google | (Khusus pelanggan Google Workspace)
Sesi web yang persisten di seluruh layanan Google lainnya dapat menimbulkan risiko keamanan jika terekspos. Sebaiknya terapkan durasi sesi web maksimum dan selaraskan dengan kontrol durasi sesi di penyedia SSO Anda. |
| Berbagi data dari Cloud Identity dengan layanan Google Cloud | Log audit Aktivitas Admin dari Google Workspace atau Cloud Identity biasanya dikelola dan dilihat di Konsol Admin, terpisah dari log Anda di lingkungan Google Cloud. Log ini berisi informasi yang relevan dengan lingkungan Google Cloud Anda, seperti peristiwa login pengguna. Sebaiknya bagikan log audit Cloud Identity ke lingkungan Google Cloud Anda untuk mengelola log secara terpusat dari semua sumber. |
| Menyiapkan verifikasi pasca SSO | Blueprint mengasumsikan bahwa Anda menyiapkan SSO dengan penyedia identitas eksternal. Sebaiknya aktifkan lapisan kontrol tambahan berdasarkan analisis risiko login Google. Setelah setelan ini diterapkan, pengguna mungkin melihat verifikasi login berbasis risiko tambahan saat login jika Google menganggap proses login pengguna mencurigakan. |
| Memperbaiki masalah pada akun pengguna konsumen | Pengguna dengan alamat email yang valid di domain Anda, tetapi tidak memiliki Akun Google yang dapat mendaftar ke akun konsumen yang tidak dikelola. Akun ini mungkin berisi data perusahaan, tetapi tidak dikontrol oleh proses pengelolaan siklus proses akun Anda. Sebaiknya ambil langkah untuk memastikan bahwa semua akun pengguna adalah akun terkelola. |
| Menonaktifkan pemulihan akun untuk akun admin super | Pemulihan mandiri akun admin super dinonaktifkan secara default untuk semua pelanggan baru (pelanggan lama mungkin mengaktifkan setelan ini). Menonaktifkan setelan ini membantu mengurangi risiko ponsel yang disusupi, email yang disusupi, atau serangan manipulasi psikologis dapat memungkinkan penyerang mendapatkan hak istimewa admin super atas lingkungan Anda. Rencanakan proses internal bagi admin super untuk menghubungi admin super lain di organisasi Anda jika kehilangan akses ke akunnya, dan pastikan semua admin super memahami proses pemulihan yang dibantu dukungan. |
| Menerapkan dan memantau persyaratan sandi untuk pengguna | Dalam sebagian besar kasus, sandi pengguna dikelola melalui penyedia identitas eksternal Anda, tetapi akun admin super mengabaikan SSO dan harus menggunakan sandi untuk login ke Cloud Identity. Menonaktifkan penggunaan ulang sandi dan memantau kekuatan sandi bagi pengguna yang menggunakan sandi untuk login ke Cloud Identity, terutama akun admin super. |
| Menetapkan kebijakan seluruh organisasi untuk menggunakan grup | Secara default, akun pengguna eksternal dapat ditambahkan ke grup di Cloud Identity. Sebaiknya konfigurasikan setelan berbagi sehingga pemilik grup tidak dapat menambahkan anggota eksternal. Perhatikan bahwa pembatasan ini tidak berlaku untuk akun admin super atau administrator delegasi lainnya yang memiliki izin admin Grup. Karena penggabungan dari penyedia identitas Anda berjalan dengan hak istimewa administrator, setelan berbagi grup tidak berlaku untuk sinkronisasi grup ini. Sebaiknya Anda meninjau kontrol di penyedia identitas dan mekanisme sinkronisasi untuk memastikan bahwa anggota non-domain tidak ditambahkan ke grup, atau Anda menerapkan pembatasan grup. |
Langkah selanjutnya
- Baca tentang struktur organisasi (dokumen berikutnya dalam rangkaian ini).