Ringkasan Data RBAC
Data role-based access control (data RBAC) adalah model keamanan yang menggunakan peran pengguna individual untuk membatasi akses pengguna ke data dalam organisasi. Dengan data RBAC, administrator dapat menentukan cakupan dan menetapkannya kepada pengguna untuk membantu memastikan bahwa pengguna hanya dapat mengakses data yang diperlukan untuk fungsi tugas mereka.
Halaman ini menyediakan ringkasan tentang RBAC data, dan membantu Anda memahami cara label dan cakupan bekerja sama untuk menentukan izin akses data.
Perbedaan antara RBAC data dan RBAC fitur
RBAC data dan RBAC fitur adalah metode untuk mengontrol akses dalam sistem, tetapi keduanya berfokus pada aspek yang berbeda.
RBAC fitur mengontrol akses ke fitur atau fungsi tertentu dalam sistem. Atribut ini menentukan fitur mana yang dapat diakses oleh pengguna berdasarkan peran mereka. Misalnya, seorang analis junior mungkin memiliki akses hanya untuk melihat dasbor, tetapi tidak untuk membuat atau mengubah aturan deteksi, sedangkan analis senior mungkin memiliki izin untuk membuat dan mengelola aturan deteksi. Untuk mengetahui informasi selengkapnya tentang fitur RBAC, lihat Mengonfigurasi kontrol akses fitur menggunakan IAM.
Data RBAC mengontrol akses ke data atau informasi tertentu dalam suatu sistem. Mode ini mengontrol apakah pengguna dapat melihat, mengedit, atau menghapus data berdasarkan peran mereka. Misalnya, dalam sistem pengelolaan hubungan pelanggan (CRM), Sales Rep mungkin memiliki akses ke data kontak pelanggan, tetapi tidak memiliki akses ke data keuangan, sedangkan manajer keuangan mungkin memiliki akses ke data keuangan, tetapi tidak memiliki akses ke data kontak pelanggan.
RBAC data dan fitur RBAC sering digunakan bersama untuk menyediakan sistem kontrol akses yang komprehensif. Misalnya, pengguna mungkin diizinkan untuk mengakses fitur tertentu (fitur RBAC), lalu, dalam fitur tersebut, akses mereka ke data tertentu mungkin dibatasi berdasarkan perannya (data RBAC).
Rencanakan penerapan Anda
Untuk merencanakan implementasi Anda, tinjau daftar peran dan izin Google SecOps Google yang telah ditetapkan berdasarkan persyaratan organisasi Anda. Buat strategi untuk menentukan ruang lingkup yang diperlukan organisasi Anda dan memberi label pada data yang masuk. Identifikasi anggota organisasi Anda yang harus memiliki akses ke data yang terkait dengan cakupan tersebut. Jika organisasi Anda memerlukan kebijakan IAM yang berbeda dengan peran bawaan Google SecOps, buat peran khusus untuk mendukung persyaratan ini.
Peran pengguna
Pengguna dapat memiliki akses data terbatas (pengguna cakupan) atau akses data global (pengguna global).
Pengguna cakupan memiliki akses terbatas ke data berdasarkan cakupan yang ditetapkan. Cakupan ini membatasi visibilitas dan tindakan mereka ke data tertentu. Izin khusus yang terkait dengan akses terbatas dijelaskan dalam tabel berikut.
Pengguna global tidak memiliki cakupan yang ditetapkan dan memiliki akses tidak terbatas ke semua data dalam Google SecOps. Izin khusus yang terkait dengan akses global dijelaskan dalam tabel berikut.
Administrator RBAC data dapat membuat cakupan dan menetapkannya kepada pengguna untuk mengontrol
akses data mereka dalam Google SecOps. Untuk membatasi pengguna ke cakupan
tertentu, Anda harus menetapkan peran Akses Data Terbatas Chronicle API
(roles/chronicle.restrictedDataAccess) bersama dengan
peran yang telah ditetapkan atau peran kustom. Peran Akses Data Terbatas Chronicle API
mengidentifikasi pengguna sebagai pengguna cakupan. Anda tidak perlu menetapkan peran
Akses Data Terbatas Chronicle kepada pengguna yang memerlukan akses data global.
Peran berikut dapat ditetapkan kepada pengguna:
| Jenis akses | Peran | Izin |
|---|---|---|
| Akses global standar | Pengguna global dapat diberi peran IAM standar apa pun. | |
| Akses hanya baca cakupan yang ditentukan sebelumnya | Akses Data Terbatas Chronicle API (roles/chronicle.restrictedDataAccess) dan Viewer Akses Data Terbatas Chronicle API (roles/chronicle.restrictedDataAccessViewer)
|
Viewer Akses Data Terbatas Chronicle API |
| Akses cakupan kustom | Akses Data Terbatas Chronicle API (roles/chronicle.restrictedDataAccess) dan peran khusus
|
Izin khusus dalam fitur |
| Akses global khusus | Izin chronicle.globalDataAccessScopes.permit dan peran khusus
|
Izin global dalam fitur |
Berikut adalah deskripsi setiap jenis akses yang ditampilkan dalam tabel:
Akses global standar: akses ini biasanya diperlukan untuk pengguna yang membutuhkan akses ke semua data. Anda dapat menetapkan satu atau beberapa peran kepada pengguna berdasarkan izin yang diperlukan.
Akses hanya baca cakupan standar: akses ini ditujukan untuk pengguna yang membutuhkan akses hanya baca. Peran Akses Data Terbatas Chronicle API mengidentifikasi pengguna sebagai pengguna cakupan. Peran Chronicle API Restricted Data Access Viewer memberikan akses lihat kepada pengguna dalam fitur mereka.
Akses dengan cakupan kustom: peran Akses Data Terbatas Chronicle API mengidentifikasi pengguna sebagai pengguna cakupan. Peran khusus menentukan fitur yang dapat diakses pengguna. Cakupan yang ditambahkan ke peran Akses Data Terbatas Chronicle API menentukan data yang dapat diakses pengguna di fitur.
Akses global kustom: akses ini ditujukan untuk pengguna yang memerlukan izin tidak terbatas dalam fitur yang ditetapkan. Untuk memberikan akses global kustom kepada pengguna, Anda harus menentukan izin chronicle.globalDataAccessScopes.permit selain peran khusus yang ditetapkan kepada pengguna.
Kontrol akses dengan cakupan dan label
Google SecOps memungkinkan Anda mengontrol akses data ke pengguna menggunakan cakupan. Cakupan ditentukan dengan bantuan label yang menentukan data yang dapat diakses oleh pengguna dalam cakupan. Selama penyerapan, metadata ditetapkan ke data dalam bentuk label seperti namespace (opsional), metadata penyerapan (opsional), dan jenis log (wajib). Ini adalah label default yang diterapkan pada data selama penyerapan. Selain itu, Anda dapat membuat label khusus. Anda dapat menggunakan label default dan kustom untuk menentukan cakupan dan tingkat akses data yang akan ditentukan oleh cakupan.
Visibilitas data dengan label izinkan dan tolak
Setiap cakupan berisi satu atau beberapa label izinkan akses dan secara opsional, label tolak akses. Izinkan label akses memberi pengguna akses ke data yang terkait dengan label. Label tolak akses menolak akses pengguna ke data yang dikaitkan dengan label. Label tolak akses akan mengganti label izinkan akses dalam membatasi akses pengguna.
Dalam definisi cakupan, label akses dari jenis yang sama (misalnya, jenis log) digabungkan menggunakan operator OR, sedangkan label dari jenis yang berbeda (misalnya, jenis log dan label kustom) digabungkan menggunakan operator AND. Label penolakan akses digabungkan menggunakan operator OR. Jika beberapa label akses tolak diterapkan dalam cakupan, akses akan ditolak jika cocok dengan salah satu label tersebut.
Misalnya, pertimbangkan sistem Cloud Logging yang mengategorikan log menggunakan jenis label berikut:
Jenis log: Akses, Sistem, Firewall
Namespace: App1, App2, Database
Keparahan: Kritis, Peringatan
Pertimbangkan cakupan yang disebut Log terbatas yang memiliki akses berikut:
| Jenis label | Nilai yang diizinkan | Nilai yang ditolak |
|---|---|---|
| Jenis log | Akses, Firewall | Image |
| Namespace | App1 | Aplikasi2, Database |
| Tingkat keparahan | Peringatan | Penting |
Definisi cakupannya terlihat seperti ini:
Izinkan: (Log type: "Access" OR "Firewall") AND (Namespace: "App1") AND (Severity: "Warning")
Tolak: Log type: "System" OR Namespace: App2 OR Namespace: Database OR Severity: "Critical"
Contoh log yang cocok dengan cakupan:
- Log akses dari App1 dengan Tingkat Keparahan: Peringatan
- Log firewall dari App1 dengan Tingkat Keparahan: Peringatan
Contoh log yang tidak cocok dengan cakupan:
- Log sistem dari App1 dengan Tingkat Keparahan: Peringatan
- Log akses dari Database dengan Tingkat Keparahan: Peringatan
- Log firewall dari App2 dengan Tingkat Keparahan: Kritis
Visibilitas data dalam peristiwa yang diperkaya
Peristiwa yang diperkaya adalah peristiwa keamanan yang telah ditingkatkan dengan konteks dan informasi tambahan selain yang dimuat dalam data log mentah. Peristiwa yang diperkaya hanya dapat diakses dalam cakupan jika peristiwa dasarnya dapat diakses dalam cakupan dan label yang diperkaya tidak menyertakan label tolak cakupan.
Misalnya, pertimbangkan log mentah yang menunjukkan upaya login yang gagal dari alamat IP dan memiliki label yang diperkaya user_risk: high (menunjukkan pengguna berisiko tinggi).
Pengguna dengan cakupan yang memiliki label tolak user_risk: high tidak dapat melihat upaya login yang gagal oleh pengguna berisiko tinggi.
Dampak data RBAC terhadap fitur Google Security Operations
Setelah data RBAC dikonfigurasi, pengguna akan mulai melihat data yang difilter di fitur Google Security Operations. Dampaknya bergantung pada cara fitur terintegrasi dengan data pokok. Untuk memahami pengaruh RBAC data terhadap setiap fitur, lihat Dampak data fitur RBAC Google Security Operations.