Descripción general de Policy Intelligence

Las organizaciones grandes suelen tener un amplio conjunto de políticas de Google Cloud para controlar los recursos y administrar el acceso. Las herramientas de Policy Intelligence te ayudan a comprender y administrar las políticas para mejorar de forma proactiva la configuración de seguridad.

En las siguientes secciones, se explica lo que puedes hacer con las herramientas de Policy Intelligence.

Comprende las políticas y su uso

Existen varias herramientas de Policy Intelligence que te ayudan a comprender qué acceso permiten tus políticas y cómo se usan.

Analiza el acceso

Cloud Asset Inventory proporciona el Analizador de políticas para las políticas de permisos de IAM, que te permite descubrir qué principales tienen acceso a qué recursos de Google Cloud según tus políticas de permisos de IAM.

El Analizador de políticas te ayuda a responder preguntas como las siguientes:

• "¿Quién tiene acceso a esta cuenta de servicio de IAM?"
• “¿Qué funciones y permisos tiene este usuario en este conjunto de datos de BigQuery?”
• "¿En qué conjuntos de datos de BigQuery el usuario tiene permiso para leer?"

Si ayudas a responder estas preguntas, el Analizador de políticas te permite administrar el acceso de manera eficaz. Usa el Analizador de políticas para tareas de auditoría y cumplimiento.

Si deseas obtener más información sobre el Analizador de políticas para las políticas de permisos, consulta Descripción general del Analizador de políticas.

Si deseas obtener información sobre cómo usar el Analizador de políticas para las políticas de permisos, consulta Analiza las políticas de IAM.

Analiza las políticas de la organización

Vista previa

Este producto o función está sujeto a las "Condiciones de las Ofertas de Fase Previa a la DG" de la sección Condiciones Generales del Servicio de las Condiciones específicas del Servicio. Los productos y las funciones que se encuentran en la fase previa a la DG están disponibles “tal cual” y podrían tener asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Policy Intelligence proporciona el Analizador de políticas para políticas de la organización, que puedes usar a fin de crear una consulta de análisis para obtener información sobre las políticas de la organización, tanto personalizadas como predefinidas.

Puedes usar el Analizador de políticas para mostrar una lista de políticas de la organización con una restricción en particular y los recursos a los que están asociadas esas políticas.

Si deseas obtener información sobre cómo usar el Analizador de políticas para las políticas de la organización, consulta Analiza las políticas de la organización existentes.

Cómo solucionar problemas de acceso

Para ayudarte a comprender y solucionar los problemas de acceso, Policy Intelligence ofrece los siguientes solucionadores de problemas:

• Solucionador de problemas de políticas para Identity and Access Management
• Solucionador de problemas de los Controles del servicio de VPC
• Solucionador de problemas de políticas para Chrome Enterprise Premium

Los solucionadores de problemas de acceso ayudan a responder preguntas como las siguientes:

• ¿Por qué el usuario tiene el permiso bigquery.datasets.create en este conjunto de datos de BigQuery?
• "¿Por qué este usuario no puede ver la política de permisos de este bucket de Cloud Storage?"

Para obtener más información sobre estos solucionadores de problemas, consulta Solucionadores de problemas relacionados con el acceso.

Información sobre el uso y los permisos de las cuentas de servicio

Las cuentas de servicio son un tipo especial de principal que puedes usar para autenticar aplicaciones en Google Cloud.

Para ayudarte a comprender el uso de las cuentas de servicio, Policy Intelligence ofrece las siguientes características:

• Analizador de actividad: El Analizador de actividad te permite ver cuándo se usaron por última vez tus cuentas de servicio y claves para llamar a una API de Google. Para obtener información sobre cómo usar el Analizador de actividad, consulta Cómo ver el uso reciente de claves y cuentas de servicio.

• Estadísticas de cuenta de servicio: Las estadísticas de cuenta de servicio son un tipo de información que identifica qué cuentas de servicio del proyecto no se usaron en los últimos 90 días. Para obtener información sobre cómo administrar las estadísticas de la cuenta de servicio, consulta Busca cuentas de servicio sin usar.

Para ayudarte a comprender los permisos de la cuenta de servicio, Policy Intelligence ofrece Las estadísticas de desplazamiento lateral son un tipo de conclusión que identifica las funciones que permiten que una cuenta de servicio en un proyecto actúe en nombre de una cuenta de servicio en otro proyecto. Para obtener más información sobre las estadísticas de movimientos laterales, consulta Cómo se generan las estadísticas de movimientos laterales. Para obtener información sobre cómo administrar las estadísticas de movimiento lateral, consulta Identifica cuentas de servicio con permisos de movimiento lateral.

Las estadísticas de desplazamiento lateral a veces están vinculadas a recomendaciones de funciones. Las recomendaciones de roles sugieren acciones que puedes tomar para solucionar los problemas identificados por las estadísticas de desplazamiento lateral.

Mejora tus políticas

Puedes mejorar tus políticas de permisos de IAM con las recomendaciones de funciones. Las recomendaciones de roles te ayudan a aplicar el principio de privilegio mínimo, ya que garantizan que las principales solo tengan los permisos que realmente necesitan. Cada recomendación de rol sugiere que quites o reemplaces un rol de IAM que otorgue permisos excesivos a las principales.

Para obtener más información sobre las recomendaciones de funciones, incluida la forma en que se generan, consulta Aplica el privilegio mínimo con las recomendaciones de funciones.

Si quieres obtener información para administrar recomendaciones de roles, consulta una de las siguientes guías:

• Revisa y aplica recomendaciones de funciones para proyectos, carpetas y organizaciones
• Revisa y aplica las recomendaciones de roles para los buckets de Cloud Storage
• Revisa y aplica recomendaciones de roles para los conjuntos de datos de BigQuery

Evita los parámetros de configuración incorrectos de políticas

Existen varias herramientas de Policy Intelligence que puedes usar para ver cómo los cambios en las políticas afectarán a tu organización. Después de ver el efecto de los cambios, puedes decidir si quieres implementarlos o no.

Nota: Si deseas recibir advertencias cuando estés a punto de realizar un cambio que Google Cloud considera riesgoso, puedes habilitar las recomendaciones de cambio de riesgo. Las recomendaciones de riesgo de cambio generan advertencias cuando intentas realizar ciertos cambios de alto riesgo, como revocar una función a nivel de proyecto que Google Cloud identificó como importante.

Prueba los cambios en las políticas de permisos de IAM

Nota: Ahora puedes usar políticas de denegación para evitar que las principales utilicen ciertos permisos. Esta función no evalúa las políticas de denegación.

Policy Simulator para políticas de permisos de IAM te permite ver cómo un cambio en una política de permisos de IAM puede afectar el acceso de una principal antes de comprometerte a realizar el cambio. Puedes usarlo para asegurarte de que los cambios que realices no harán que una principal pierda el acceso que necesita.

Para descubrir cómo un cambio en una política de permisos de IAM puede afectar el acceso de una principal, Policy Simulator determina qué intentos de acceso de los últimos 90 días tienen resultados diferentes según la política de permiso propuesta y la política de permiso actual. Luego, informa estos resultados como una lista de cambios de acceso.

Para obtener más información sobre Policy Simulator, consulta la descripción general del Simulador de políticas de IAM.

Si quieres aprender a usar Policy Simulator para probar los cambios de rol, consulta Prueba los cambios de rol con el simulador de políticas de IAM.

Prueba los cambios en las políticas de la organización

Vista previa

Este producto o función está sujeto a las "Condiciones de las Ofertas de Fase Previa a la DG" de la sección Condiciones Generales del Servicio de las Condiciones específicas del Servicio. Los productos y las funciones que se encuentran en la fase previa a la DG están disponibles “tal cual” y podrían tener asistencia limitada. Para obtener más información, consulta las descripciones de la etapa de lanzamiento.

Policy Simulator para la política de la organización te permite obtener una vista previa del impacto de una restricción personalizada o una política de la organización nueva que aplique una restricción personalizada antes de que se aplique en tu entorno de producción.

Policy Simulator proporciona una lista de los recursos que infringen la política propuesta antes de que se aplique, lo que te permite reconfigurar esos recursos, solicitar excepciones o cambiar el alcance de la política de la organización, todo sin interrumpir a los desarrolladores ni afectar tu entorno.

Si quieres obtener información sobre cómo usar Policy Simulator para probar los cambios en las políticas de la organización, consulta Prueba los cambios en las políticas de la organización con el simulador de políticas.