Questa pagina mostra come gestire le informazioni sui movimenti laterali, che identificano ruoli che consentono a un account di servizio in un progetto di impersonare un account di servizio in un altro progetto. Per ulteriori informazioni sui dati sul movimento laterale, vedi Come vengono generate le informazioni sui movimenti laterali.
Le informazioni sul movimento laterale a volte sono collegate a dei ruoli. I suggerimenti sui ruoli suggeriscono azioni che per risolvere i problemi identificati dagli approfondimenti sui movimenti laterali.
Prima di iniziare
-
Attiva Recommender API.
- Acquisire familiarità con i suggerimenti sui ruoli IAM.
- Assicurati di avere attivazione a livello di organizzazione del livello premium di Security Command Center. Per ulteriori informazioni, vedi Domande sulla fatturazione.
- (Facoltativo) Leggi gli approfondimenti del motore per suggerimenti.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per gestire gli insight sui movimenti laterali, chiedi all'amministratore di concederti i seguenti ruoli IAM progetto, cartella, o l'organizzazione a cui vuoi gestire approfondimenti per:
-
Per visualizzare informazioni sui movimenti laterali:
Visualizzatore motore per suggerimenti IAM (
roles/recommender.iamViewer
) -
Per modificare le informazioni sul movimento laterale:
Amministratore motore per suggerimenti IAM (
roles/recommender.iamAdmin
)
Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.
Questi ruoli predefiniti le autorizzazioni necessarie per gestire gli insight sul movimento laterale. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:
Autorizzazioni obbligatorie
Per gestire gli insight sui movimenti laterali sono necessarie le seguenti autorizzazioni:
-
Per visualizzare informazioni sui movimenti laterali:
-
recommender.iamPolicyLateralMovementInsights.get
-
recommender.iamPolicyLateralMovementInsights.list
-
-
Per modificare le informazioni sul movimento laterale:
recommender.iamPolicyLateralMovementInsights.update
Potresti anche riuscire a ottenere queste autorizzazioni con ruoli personalizzati e altri ruoli predefiniti.
Elenca informazioni sul movimento laterale
Per elencare tutte le informazioni sul movimento laterale per il tuo progetto, cartella, o organizzazione, utilizza uno dei seguenti metodi:Console
-
Nella console Google Cloud, vai alla pagina IAM.
- Seleziona un progetto, una cartella o un'organizzazione.
La colonna Approfondimenti sulla sicurezza mostra tutti gli approfondimenti relativi alla sicurezza per il tuo
progetto, inclusi insight sul movimento laterale. Le informazioni sul movimento laterale hanno la forma
N service account impersonations
, dove
N
è il numero di account di servizio in cui l'account di servizio
l'associazione dei ruoli può rappresentare.
gcloud
Utilizza il comando gcloud recommender
insights list
per visualizzare tutte le informazioni sul movimento laterale per il tuo
progetto,
cartella,
o organizzazione.
Prima di eseguire il comando, sostituisci i seguenti valori:
-
RESOURCE_TYPE
: il tipo di risorsa per cui vuoi elencare gli insight . Utilizza il valoreproject
,folder
, oorganization
. -
RESOURCE_ID
: l'ID del progetto, cartella, o all'organizzazione per cui vuoi elencare gli insight.
gcloud recommender insights list --insight-type=google.iam.policy.LateralMovementInsight \ --RESOURCE_TYPE=RESOURCE_ID \ --location=global
L'output elenca tutte le informazioni sul movimento laterale per il progetto, cartella, o organizzazione. Ad esempio:
INSIGHT_ID CATEGORY INSIGHT_STATE LAST_REFRESH_TIME SEVERITY INSIGHT_SUBTYPE DESCRIPTION 046f8b89-bcee-46cd-9ac4-06818ed5273a SECURITY ACTIVE 2022-05-24T07:00:00Z LOW CROSS_PROJECT_IMPERSONATION Service account sa-1@another-project.iam.gserviceaccount.com from another project can impersonate 2 service account(s) under this project. 1328df82-5af2-4493-9850-d8ede4e72b27 SECURITY ACTIVE 2022-05-24T07:00:00Z LOW CROSS_PROJECT_IMPERSONATION Service account sa-2@another-project.iam.gserviceaccount.com from another project can impersonate 1 service account(s) under this project. 17f50957-333c-4f21-86c1-6a62216b309e SECURITY ACTIVE 2022-05-24T07:00:00Z LOW CROSS_PROJECT_IMPERSONATION Service account sa-3@another-project.iam.gserviceaccount.com from another project can impersonate 1 service account(s) under this project. 187200d2-b42c-48fb-86d7-c2746a87fed2 SECURITY ACTIVE 2022-05-24T07:00:00Z LOW CROSS_PROJECT_IMPERSONATION Service account sa-4@another-project.iam.gserviceaccount.com from another project can impersonate 32 service account(s) under this project. 1f1740a4-ff98-4f64-99a4-5ef5df5a2097 SECURITY ACTIVE 2022-05-24T07:00:00Z LOW CROSS_PROJECT_IMPERSONATION Service account sa-5@another-project.iam.gserviceaccount.com from another project can impersonate 1 service account(s) under this project.
REST
L'API Recommender
insights.list
che elenca tutte le informazioni sul movimento laterale per il tuo
progetto,
cartella,
o organizzazione.
Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
-
RESOURCE_TYPE
: il tipo di risorsa per cui vuoi elencare gli insight. Utilizza il valoreprojects
,folders
, oorganizations
. -
RESOURCE_ID
: l'ID del progetto, cartella, o all'organizzazione per cui vuoi elencare gli insight. PROJECT_ID
: il tuo progetto Google Cloud ID. Gli ID progetto sono stringhe alfanumeriche, ad esempiomy-project
.
Metodo HTTP e URL:
GET https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights
Per inviare la richiesta, espandi una delle seguenti opzioni:
La risposta elenca tutte le informazioni sul movimento laterale per il tuo progetto, cartella, o organizzazione. Ad esempio:
{ "insights": [ { "name": "projects/123456789012/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/13088eec-9573-415f-81a7-46e1a260e860", "description": "Service account sa-1@another-project.iam.gserviceaccount.com from another project can impersonate 2 service account(s) under this project.", "content": { "impersonator": { "serviceAccount": "sa-1@another-project.iam.gserviceaccount.com", "serviceAccountOwner": "//cloudresourcemanager.googleapis.com/projects/987654321098", "isGoogleManaged": false }, "targetServiceAccounts": [ "target-service-account-1@this-project.iam.gserviceaccount.com", "target-service-account-2@this-project.iam.gserviceaccount.com" ], "impersonationPolicy": { "resource": "//cloudresourcemanager.googleapis.com/projects/123456789012", "role": "roles/editor", "member": "serviceAccount:sa-1@another-project.iam.gserviceaccount.com", "condition": { "expression": "", "title": "", "description": "", "location": "" } }, "impersonationPermissionUsage": [ { "permission": "iam.serviceAccounts.actAs" "used": false } ], "hasPermissionUsageData": true }, "lastRefreshTime": "2022-05-24T07:00:00Z", "observationPeriod": "7776000s", "stateInfo": { "state": "ACTIVE" }, "category": "SECURITY", "associatedRecommendations": [ { "recommendation": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/03f3dc20-f9e7-4502-95ab-bf7d3164846f" } ], "targetResources": [ "//cloudresourcemanager.googleapis.com/projects/123456789012" ], "insightSubtype": "CROSS_PROJECT_IMPERSONATION", "etag": "\"f48fa6a1b15c7741\"", "severity": "LOW" } ] }
Per scoprire di più sui componenti di un approfondimento, consulta Esaminare informazioni sul movimento laterale in questa pagina.
Ottieni informazioni sui singoli movimenti laterali
Per ottenere maggiori informazioni su un singolo approfondimento, tra cui la descrizione, lo stato e gli eventuali consigli associati, utilizza i seguenti metodi:
Console
-
Nella console Google Cloud, vai alla pagina IAM.
- Seleziona un progetto, una cartella o un'organizzazione.
-
Nella colonna Approfondimenti sulla sicurezza, fai clic su un insight sul movimento laterale. Le informazioni sul movimento laterale hanno la forma
N service account impersonations
, doveN
è il numero di account di servizio in cui l'account di servizio l'associazione dei ruoli può rappresentare.
La console Google Cloud apre un riquadro che mostra i dettagli dell'insight.
gcloud
Utilizza il comando gcloud recommender
insights describe
con il tuo ID insight per visualizzare le informazioni su un singolo
o approfondimento.
-
INSIGHT_ID
: l'ID dell'insight che vuoi vista. Per trovare l'ID, elenca gli approfondimenti relativi alla tua progetto, cartella, o organizzazione. -
RESOURCE_TYPE
: il tipo di risorsa per cui vuoi gestire gli insight . Utilizza il valoreproject
,folder
, oorganization
. -
RESOURCE_ID
: l'ID del progetto, cartella, o all'organizzazione per cui vuoi gestire gli insight.
gcloud recommender insights describe INSIGHT_ID \ --insight-type=google.iam.policy.LateralMovementInsight \ --RESOURCE_TYPE=RESOURCE_ID \ --location=global
L'output mostra l'insight in dettaglio. Ad esempio, i seguenti insight indicano che il criterio IAM sul progetto
123456789012
consente sa-1@another-project.iam.gserviceaccount.com
per impersonare target-service-account-1@this-project.iam.gserviceaccount.com
e
target-service-account-2@this-project.iam.gserviceaccount.com
.
associatedRecommendations: - recommendation: projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/03f3dc20-f9e7-4502-95ab-bf7d3164846f category: SECURITY content: hasPermissionUsageData: true impersonationPermissionUsage: - permission: iam.serviceAccounts.actAs used: false impersonationPolicy: condition: description: '' expression: '' location: '' title: '' member: serviceAccount:sa-1@another-project.iam.gserviceaccount.com resource: //cloudresourcemanager.googleapis.com/projects/123456789012 role: roles/editor impersonator: isGoogleManaged: false serviceAccount: sa-1@another-project.iam.gserviceaccount.com serviceAccountOwner: //cloudresourcemanager.googleapis.com/projects/987654321098 targetServiceAccounts: - target-service-account-1@this-project.iam.gserviceaccount.com - target-service-account-2@this-project.iam.gserviceaccount.com description: Service account sa-1@another-project.iam.gserviceaccount.com from another project can impersonate 2 service account(s) under this project. etag: '"f48fa6a1b15c7741"' insightSubtype: CROSS_PROJECT_IMPERSONATION lastRefreshTime: '2022-05-24T07:00:00Z' name: projects/123456789012/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/13088eec-9573-415f-81a7-46e1a260e860 observationPeriod: 7776000s severity: LOW stateInfo: state: ACTIVE targetResources: - //cloudresourcemanager.googleapis.com/projects/123456789012
Per scoprire di più sui componenti di un approfondimento, consulta Esaminare informazioni sul movimento laterale in questa pagina.
REST
L'API Recommender
insights.get
ottiene un singolo insight.
Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
-
RESOURCE_TYPE
: il tipo di risorsa che vuoi gestire insight per i nostri clienti. Utilizza il valoreprojects
,folders
, oorganizations
. -
RESOURCE_ID
: l'ID del progetto, cartella, o l'organizzazione che vuoi che gestisca gli insight . -
INSIGHT_ID
: l'ID dell'insight che vuoi visualizzare. Se non conosci l'ID insight, puoi trovarlo elenca gli approfondimenti nel tuo progetto, cartella, o organizzazione. L'ID di un approfondimento è tutto dopoinsights/
nel camponame
per l'approfondimento. PROJECT_ID
: il tuo progetto Google Cloud ID. Gli ID progetto sono stringhe alfanumeriche, ad esempiomy-project
.
Metodo HTTP e URL:
GET https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/INSIGHT_ID
Per inviare la richiesta, espandi una delle seguenti opzioni:
La risposta contiene l'insight. Ad esempio, i seguenti insight indicano che il criterio IAM sul progetto
123456789012
consente sa-1@another-project.iam.gserviceaccount.com
per impersonare target-service-account-1@this-project.iam.gserviceaccount.com
e
target-service-account-2@this-project.iam.gserviceaccount.com
.
{ "name": "projects/123456789012/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/13088eec-9573-415f-81a7-46e1a260e860", "description": "Service account sa-1@another-project.iam.gserviceaccount.com from another project can impersonate 2 service account(s) under this project.", "content": { "impersonator": { "serviceAccount": "sa-1@another-project.iam.gserviceaccount.com", "serviceAccountOwner": "//cloudresourcemanager.googleapis.com/projects/987654321098", "isGoogleManaged": false }, "targetServiceAccounts": [ "target-service-account-1@this-project.iam.gserviceaccount.com", "target-service-account-2@this-project.iam.gserviceaccount.com" ], "impersonationPolicy": { "resource": "//cloudresourcemanager.googleapis.com/projects/123456789012", "role": "roles/editor", "member": "serviceAccount:sa-1@another-project.iam.gserviceaccount.com", "condition": { "expression": "", "title": "", "description": "", "location": "" } }, "impersonationPermissionUsage": [ { "permission": "iam.serviceAccounts.actAs" "used": false } ], "hasPermissionUsageData": true }, "lastRefreshTime": "2022-05-24T07:00:00Z", "observationPeriod": "7776000s", "stateInfo": { "state": "ACTIVE" }, "category": "SECURITY", "associatedRecommendations": [ { "recommendation": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/03f3dc20-f9e7-4502-95ab-bf7d3164846f" } ], "targetResources": [ "//cloudresourcemanager.googleapis.com/projects/123456789012" ], "insightSubtype": "CROSS_PROJECT_IMPERSONATION", "etag": "\"f48fa6a1b15c7741\"", "severity": "LOW" }
Per scoprire di più sui componenti di un approfondimento, consulta Esaminare informazioni sul movimento laterale in questa pagina.
Rivedi informazioni sul movimento laterale
Dopo aver ottenuto un singolo insight, puoi esaminarne i contenuti per comprendere il pattern della risorsa l'utilizzo che mette in evidenza.
Console
Quando fai clic su un insight sul movimento laterale nella console Google Cloud, La console Google Cloud apre un riquadro che mostra i dettagli dell'insight. L'aspetto di questi a seconda che l'insight sia associato a un suggerimento.
Se l'insight è associato a un suggerimento, il riquadro mostra dettagli del suggerimento.
Se l'insight non è associato a un suggerimento, il riquadro mostra quanto segue:
-
Progetto di origine dell'account di servizio: il progetto con cui il servizio con autorizzazioni di rappresentazione.
-
Account di servizio che possono essere rappresentati in questo progetto. Un elenco di tutti gli account di servizio nel progetto corrente a cui l'account di servizio con autorizzazioni di rappresentazione.
-
Autorizzazioni che consentono la rappresentazione nel progetto: un elenco delle le autorizzazioni di rappresentazione dell'account di servizio.
-
Autorizzazioni attuali: un elenco di tutte le autorizzazioni dell'account di servizio.
gcloud
I contenuti di un approfondimento sono determinati dai suoi sottotipi.
Insight sui movimenti laterali (google.iam.policy.LateralMovementInsight
)
hanno il sottotipo CROSS_PROJECT_IMPERSONATION
.
CROSS_PROJECT_IMPERSONATION
insight includono i seguenti componenti, non necessariamente
in questo ordine:
-
associatedRecommendations
: gli identificatori di eventuali consigli associati con l'insight. Se non ci sono suggerimenti associati all'insight, questo campo è vuoto. -
category
: la categoria per gli insight IAM è sempreSECURITY
. -
content
: segnala i dettagli relativi alle capacità dell'account di servizio per impersonare account di servizio in altri progetti. Questo campo contiene il parametro i seguenti componenti:hasPermissionUsageData
: un valore booleano che indica se è possibile utilizzare le autorizzazioni per questa associazione di ruolo. I dati sull'utilizzo delle autorizzazioni indicano se le autorizzazioni nel ruolo dell'associazione. Questi dati non sono disponibili per le associazioni condizionali di ruoli.impersonationPermissionUsage
: un elenco di autorizzazioni di rappresentazione e il relativo utilizzo informazioni. Se un'autorizzazione è stata utilizzata negli ultimi 90 giorni, considerata utilizzata. In caso contrario, viene considerata inutilizzata.Se
hasPermissionUsageData
è falso, il valore diimpersonationPermissionUsage
è vuoto.impersonationPolicy
: informazioni sull'associazione dei ruoli che fornisce le autorizzazioni di rappresentazione dell'account di servizio.impersonator
: dettagli sull'account di servizio autorizzato a impersonare il servizio di fatturazione nel tuo progetto, tra cui:isGoogleManaged
: indica se l'account di servizio è di proprietà e gestito da Google.serviceAccount
: l'indirizzo email dell'account di servizio.serviceAccountOwner
: il progetto proprietario dell'account di servizio. Se Google possiede l'account di servizio, il valore di questo campo èGoogle managed
. Se un progetto esterno all'organizzazione è proprietario dell'account di servizio, il valore di questo campo èUnknown to your org
.
targetServiceAccounts
: un elenco degli account di servizio in cui l'account di servizio Il campoimpersonator
è autorizzato a utilizzare l'identità. Se il malintenzionato può rubare l'identità più di 1500 account di servizio, l'elenco è vuoto. Per sapere quanti account di servizio può impersonare un utente, consulta il campodescription
.
-
description
: un riepilogo leggibile dell'approfondimento. -
etag
: un identificatore univoco per lo stato attuale di un approfondimento. Ogni volta che l'insight cambia, viene assegnato un nuovo valoreetag
.Per modificare lo stato di un approfondimento, devi fornire il
etag
del insight esistente. L'utilizzo dell'etag
contribuisce a garantire che tutte le operazioni vengano solo se l'insight non è cambiato dall'ultima volta che l'hai recuperato. -
insightSubtype
: il sottotipo di approfondimento. -
lastRefreshTime
: la data dell'ultimo aggiornamento dell'insight. Indica l'aggiornamento dei dati utilizzati per generare l'insight. -
name
: il nome dell'approfondimento, nel seguente formato:RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/INSIGHT_ID
I segnaposto hanno i seguenti valori:
-
RESOURCE_TYPE
: il tipo di risorsa per cui è stato generato l'insight . -
RESOURCE_ID
: l'ID del progetto, cartella, o all'organizzazione in cui è stato generato l'insight. INSIGHT_ID
: un ID univoco per l'insight.
-
-
observationPeriod
: il periodo di tempo che ha portato all'approfondimento. La i dati di origine utilizzati per generare l'insight terminano alle orelastRefreshTime
e inizia alle orelastRefreshTime
menoobservationPeriod
. -
severity
: la gravità dell'insight. Tutte le informazioni sul movimento laterale hanno con gravitàLOW
. -
stateInfo
: gli insight vengono sottoposti a più transizioni di stato dopo viene proposto:-
ACTIVE
: l'insight è stato generato, ma non è stata eseguita alcuna azione. o è stata eseguita un'azione senza aggiornare lo stato dell'insight. Attivo gli insight vengono aggiornati quando i dati sottostanti cambiano. -
ACCEPTED
: sono state intraprese azioni in base alle informazioni. Insight vengono accettati quando un consiglio associato è stato contrassegnato comeCLAIMED
SUCCEEDED
, oFAILED
, oppure l'insight è stato accettato direttamente. Quando un approfondimento è nello statoACCEPTED
, i contenuti dell'insight non possono modifica. Gli insight accettati vengono conservati per 90 giorni dopo vengono accettati.
-
-
targetResources
: il nome completo della risorsa dell'organizzazione, della cartella, del progetto o dell'account di servizio a cui è destinato l'insight. Ad esempio://cloudresourcemanager.googleapis.com/projects/123456789012
.
REST
I contenuti di un approfondimento sono determinati dai suoi sottotipi.
Insight sui movimenti laterali (google.iam.policy.LateralMovementInsight
)
hanno il sottotipo CROSS_PROJECT_IMPERSONATION
.
CROSS_PROJECT_IMPERSONATION
insight includono i seguenti componenti, non necessariamente
in questo ordine:
-
associatedRecommendations
: gli identificatori di eventuali consigli associati con l'insight. Se non ci sono suggerimenti associati all'insight, questo campo è vuoto. -
category
: la categoria per gli insight IAM è sempreSECURITY
. -
content
: segnala i dettagli relativi alle capacità dell'account di servizio per impersonare account di servizio in altri progetti. Questo campo contiene il parametro i seguenti componenti:hasPermissionUsageData
: un valore booleano che indica se è possibile utilizzare le autorizzazioni per questa associazione di ruolo. I dati sull'utilizzo delle autorizzazioni indicano se le autorizzazioni nel ruolo dell'associazione. Questi dati non sono disponibili per le associazioni condizionali di ruoli.impersonationPermissionUsage
: un elenco di autorizzazioni di rappresentazione e il relativo utilizzo informazioni. Se un'autorizzazione è stata utilizzata negli ultimi 90 giorni, considerata utilizzata. In caso contrario, viene considerata inutilizzata.Se
hasPermissionUsageData
è falso, il valore diimpersonationPermissionUsage
è vuoto.impersonationPolicy
: informazioni sull'associazione dei ruoli che fornisce le autorizzazioni di rappresentazione dell'account di servizio.impersonator
: dettagli sull'account di servizio autorizzato a impersonare il servizio di fatturazione nel tuo progetto, tra cui:isGoogleManaged
: indica se l'account di servizio è di proprietà e gestito da Google.serviceAccount
: l'indirizzo email dell'account di servizio.serviceAccountOwner
: il progetto proprietario dell'account di servizio. Se Google possiede l'account di servizio, il valore di questo campo èGoogle managed
. Se un progetto esterno all'organizzazione è proprietario dell'account di servizio, il valore di questo campo èUnknown to your org
.
targetServiceAccounts
: un elenco degli account di servizio in cui l'account di servizio Il campoimpersonator
è autorizzato a utilizzare l'identità. Se il malintenzionato può rubare l'identità più di 1500 account di servizio, l'elenco è vuoto. Per sapere quanti account di servizio può impersonare un utente, consulta il campodescription
.
-
description
: un riepilogo leggibile dell'approfondimento. -
etag
: un identificatore univoco per lo stato attuale di un approfondimento. Ogni volta che l'insight cambia, viene assegnato un nuovo valoreetag
.Per modificare lo stato di un approfondimento, devi fornire il
etag
del insight esistente. L'utilizzo dell'etag
contribuisce a garantire che tutte le operazioni vengano solo se l'insight non è cambiato dall'ultima volta che l'hai recuperato. -
insightSubtype
: il sottotipo di approfondimento. -
lastRefreshTime
: la data dell'ultimo aggiornamento dell'insight. Indica l'aggiornamento dei dati utilizzati per generare l'insight. -
name
: il nome dell'approfondimento, nel seguente formato:RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/INSIGHT_ID
I segnaposto hanno i seguenti valori:
-
RESOURCE_TYPE
: il tipo di risorsa per cui è stato generato l'insight . -
RESOURCE_ID
: l'ID del progetto, cartella, o all'organizzazione in cui è stato generato l'insight. INSIGHT_ID
: un ID univoco per l'insight.
-
-
observationPeriod
: il periodo di tempo che ha portato all'approfondimento. La i dati di origine utilizzati per generare l'insight terminano alle orelastRefreshTime
e inizia alle orelastRefreshTime
menoobservationPeriod
. -
severity
: la gravità dell'insight. Tutte le informazioni sul movimento laterale hanno con gravitàLOW
. -
stateInfo
: gli insight vengono sottoposti a più transizioni di stato dopo viene proposto:-
ACTIVE
: l'insight è stato generato, ma non è stata eseguita alcuna azione. o è stata eseguita un'azione senza aggiornare lo stato dell'insight. Attivo gli insight vengono aggiornati quando i dati sottostanti cambiano. -
ACCEPTED
: sono state intraprese azioni in base alle informazioni. Insight vengono accettati quando un consiglio associato è stato contrassegnato comeCLAIMED
SUCCEEDED
, oFAILED
, oppure l'insight è stato accettato direttamente. Quando un approfondimento è nello statoACCEPTED
, i contenuti dell'insight non possono modifica. Gli insight accettati vengono conservati per 90 giorni dopo vengono accettati.
-
-
targetResources
: il nome completo della risorsa dell'organizzazione, della cartella, del progetto o dell'account di servizio a cui è destinato l'insight. Ad esempio://cloudresourcemanager.googleapis.com/projects/123456789012
.
Contrassegna un insight sul movimento laterale come ACCEPTED
Se intervieni sulla base di un approfondimento attivo, puoi contrassegnarlo come
ACCEPTED
. Lo stato ACCEPTED
indica
L'API Recommender al quale hai eseguito azioni in base a questo
informazioni, che aiutano a perfezionare i consigli.
Gli insight accettati vengono conservati per 90 giorni dopo
sono contrassegnati come ACCEPTED
.
Console
Se un insight è associato a un suggerimento,
applicazione del consiglio
modifica lo stato dell'insight in ACCEPTED
.
Per contrassegnare un approfondimento come ACCEPTED
senza applicare un consiglio, utilizza la
con gcloud CLI o l'API REST.
gcloud
Utilizza la
Comando gcloud recommender insights mark-accepted
con il tuo ID insight da contrassegnare
un approfondimento come ACCEPTED
.
-
INSIGHT_ID
: l'ID dell'insight che vuoi vista. Per trovare l'ID, elenca gli approfondimenti relativi alla tua progetto, cartella, o organizzazione. -
RESOURCE_TYPE
: il tipo di risorsa per cui vuoi gestire gli insight . Utilizza il valoreproject
,folder
, oorganization
. -
RESOURCE_ID
: l'ID del progetto, cartella, o all'organizzazione per cui vuoi gestire gli insight. -
ETAG
: un identificatore di una versione dell'insight. A scaricaetag
, procedi nel seguente modo:-
Ottieni l'insight usando il comando
gcloud recommender insights describe
. -
Trova e copia il valore
etag
dall'output, incluso il relativo citazioni. Ad esempio,"d3cdec23cc712bd0"
.
-
Ottieni l'insight usando il comando
gcloud recommender insights mark-accepted INSIGHT_ID \ --insight-type=google.iam.policy.LateralMovementInsight \ --RESOURCE_TYPE=RESOURCE_ID \ --location=global \ --etag=ETAG
L'output mostra l'insight, ora con lo stato ACCEPTED
:
associatedRecommendations: - recommendation: projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/03f3dc20-f9e7-4502-95ab-bf7d3164846f category: SECURITY content: hasPermissionUsageData: true impersonationPermissionUsage: - permission: iam.serviceAccounts.actAs used: false impersonationPolicy: condition: description: '' expression: '' location: '' title: '' member: serviceAccount:sa-1@another-project.iam.gserviceaccount.com resource: //cloudresourcemanager.googleapis.com/projects/123456789012 role: roles/editor impersonator: isGoogleManaged: false serviceAccount: sa-1@another-project.iam.gserviceaccount.com serviceAccountOwner: //cloudresourcemanager.googleapis.com/projects/987654321098 targetServiceAccounts: - target-service-account-1@this-project.iam.gserviceaccount.com - target-service-account-2@this-project.iam.gserviceaccount.com description: Service account sa-1@another-project.iam.gserviceaccount.com from another project can impersonate 2 service account(s) under this project. etag: '"f48fa6a1b15c7741"' insightSubtype: CROSS_PROJECT_IMPERSONATION lastRefreshTime: '2022-05-24T07:00:00Z' name: projects/123456789012/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/13088eec-9573-415f-81a7-46e1a260e860 observationPeriod: 7776000s severity: LOW stateInfo: state: ACCEPTED targetResources: - //cloudresourcemanager.googleapis.com/projects/123456789012
Per scoprire di più sulle informazioni sullo stato di un approfondimento, consulta la sezione Esaminare informazioni sul movimento laterale in questa pagina.
REST
L'API Recommender
insights.markAccepted
contrassegna un insight come ACCEPTED
.
Prima di utilizzare i dati della richiesta, effettua le seguenti sostituzioni:
-
RESOURCE_TYPE
: il tipo di risorsa che vuoi gestire insight per i nostri clienti. Utilizza il valoreprojects
,folders
, oorganizations
. -
RESOURCE_ID
: l'ID del progetto, cartella, o l'organizzazione che vuoi che gestisca gli insight . -
INSIGHT_ID
: l'ID dell'insight che vuoi visualizzare. Se non conosci l'ID insight, puoi trovarlo elenca gli approfondimenti nel tuo progetto, cartella, o organizzazione. L'ID di un approfondimento è tutto dopoinsights/
nel camponame
per l'approfondimento. -
ETAG
: un identificatore di una versione dell'insight. A scaricaetag
, procedi nel seguente modo:- Ottieni informazioni utilizzando
insights.get
. - Trova e copia il valore
etag
dalla risposta.
- Ottieni informazioni utilizzando
PROJECT_ID
: il tuo progetto Google Cloud ID. Gli ID progetto sono stringhe alfanumeriche, ad esempiomy-project
.
Metodo HTTP e URL:
POST https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/INSIGHT_ID:markAccepted
Corpo JSON della richiesta:
{ "etag": "ETAG" }
Per inviare la richiesta, espandi una delle seguenti opzioni:
La risposta contiene l'insight, ora con lo stato ACCEPTED
:
{ "name": "projects/123456789012/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/13088eec-9573-415f-81a7-46e1a260e860", "description": "Service account sa-1@another-project.iam.gserviceaccount.com from another project can impersonate 2 service account(s) under this project.", "content": { "impersonator": { "serviceAccount": "sa-1@another-project.iam.gserviceaccount.com", "serviceAccountOwner": "//cloudresourcemanager.googleapis.com/projects/987654321098", "isGoogleManaged": false }, "targetServiceAccounts": [ "target-service-account-1@this-project.iam.gserviceaccount.com", "target-service-account-2@this-project.iam.gserviceaccount.com" ], "impersonationPolicy": { "resource": "//cloudresourcemanager.googleapis.com/projects/123456789012", "role": "roles/editor", "member": "serviceAccount:sa-1@another-project.iam.gserviceaccount.com", "condition": { "expression": "", "title": "", "description": "", "location": "" } }, "impersonationPermissionUsage": [ { "permission": "iam.serviceAccounts.actAs" "used": false } ], "hasPermissionUsageData": true }, "lastRefreshTime": "2022-05-24T07:00:00Z", "observationPeriod": "7776000s", "stateInfo": { "state": "ACCEPTED" }, "category": "SECURITY", "associatedRecommendations": [ { "recommendation": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/03f3dc20-f9e7-4502-95ab-bf7d3164846f" } ], "targetResources": [ "//cloudresourcemanager.googleapis.com/projects/123456789012" ], "insightSubtype": "CROSS_PROJECT_IMPERSONATION", "etag": "\"f48fa6a1b15c7741\"", "severity": "LOW" }
Per scoprire di più sulle informazioni sullo stato di un approfondimento, consulta la sezione Esaminare informazioni sul movimento laterale in questa pagina.
Passaggi successivi
- Scopri come esaminare e richiedere la certificazione consigli sulle norme.
- Utilizza la Hub dei suggerimenti per visualizzare e gestire tutti i suggerimenti per il progetto, inclusi IAM personalizzati.