Organizações grandes geralmente têm um conjunto extenso de políticas Google Cloud para controlar recursos e gerenciar o acesso. As ferramentas de inteligência de política ajudam você a entender e gerenciar suas políticas para melhorar proativamente sua configuração de segurança.
As seções a seguir explicam o que é possível fazer com as ferramentas de inteligência de política.
Entender as políticas e o uso
Há várias ferramentas de inteligência de política que ajudam a entender qual acesso as políticas permitem e como elas estão sendo usadas.
Analisar acesso
O Inventário de recursos do Cloud oferece o Analisador de políticas para políticas de permissão do IAM, que permite descobrir quais principais têm acesso a quais recursosGoogle Cloud com base nas suas políticas de permissão do IAM.
O Analisador de políticas ajuda a responder perguntas como estas:
- "Quem tem acesso a esta conta de serviço do IAM?"
- "Quais papéis e permissões esse usuário tem neste conjunto de dados do BigQuery?"
- "Quais conjuntos de dados do BigQuery esse usuário tem permissão para ler?"
Ao ajudar a responder a essas perguntas, o Policy Analyzer permite administrar o acesso de maneira eficaz. Também é possível usar a Análise de políticas para tarefas relacionadas à auditoria e compliance.
Para saber mais sobre o Policy Analyzer para políticas de permissão, consulte Visão geral do Policy Analyzer.
Para saber como usar o Policy Analyzer para políticas de permissão, consulte Como analisar políticas do IAM.
Analisar políticas da organização
A Análise de políticas fornece a Análise de políticas para políticas da organização, que pode ser usada para criar uma consulta de análise e receber informações sobre políticas da organização personalizadas e predefinidas.
É possível usar o Policy Analyzer para retornar uma lista de políticas da organização com uma restrição específica e os recursos a que essas políticas estão anexadas.
Para saber como usar a Análise de políticas para políticas da organização, consulte Analisar políticas da organização.
Resolver problemas de acesso
Para ajudar a entender e corrigir problemas de acesso, a Inteligência de políticas oferece os seguintes solucionadores de problemas:
- Solucionador de problemas de políticas para o Identity and Access Management
- Solucionador de problemas do VPC Service Controls
- Solucionador de problemas de políticas para Chrome Enterprise Premium
Os solucionadores de problemas de acesso ajudam a responder perguntas "por que", como estas:
- "Por que este usuário tem a permissão
bigquery.datasets.createneste conjunto de dados do BigQuery?" - "Por que este usuário não consegue visualizar a política de permissão deste bucket do Cloud Storage?"
Para saber mais sobre essas soluções, consulte Soluções de problemas relacionados ao acesso.
Entender o uso e as permissões da conta de serviço
Contas de serviço são um tipo especial de elemento principal que pode ser usado para autenticar aplicativos em Google Cloud.
Para ajudar você a entender o uso da conta de serviço, o Policy Intelligence oferece os seguintes recursos:
Activity Analyzer: permite saber quando suas chaves e contas de serviço foram usadas pela última vez para chamar uma API do Google. Para saber como usar o Activity Analyzer, consulte Conferir o uso recente de chaves e contas de serviço.
Insights de conta de serviço: são um tipo de insight que identifica quais contas de serviço no projeto não foram usadas nos últimos 90 dias. Para saber como gerenciar insights de conta de serviço, consulte Encontrar contas de serviço não utilizadas.
Para ajudar você a entender as permissões da conta de serviço, o Policy Intelligence oferece insights de movimento lateral. Os insights de movimento lateral são um tipo de insight que identificam papéis que permitem que uma conta de serviço em um projeto represente uma conta de serviço em outro. Para mais informações sobre os insights de movimento lateral, consulte Como os insights de movimento lateral são gerados. Para saber como gerenciar insights de movimento lateral, consulte Identificar contas de serviço com permissões de movimento lateral.
Às vezes, os insights de movimento lateral são vinculados a recomendações de função. As recomendações de função sugerem ações que você pode realizar para corrigir os problemas identificados pelos insights de movimento lateral.
Melhorar suas políticas
É possível melhorar suas políticas de permissão do IAM usando recomendações de função. As recomendações de papéis ajudam a aplicar o princípio do privilégio mínimo, garantindo que os participantes tenham apenas as permissões de que realmente precisam. Cada recomendação de papel sugere que você remova ou substitua uma função do IAM que concede permissões excessivas aos principais.
Para saber mais sobre as recomendações de papéis, incluindo como são geradas, consulte Aplicar privilégio mínimo com recomendações de papéis.
Para saber como gerenciar as recomendações de função, consulte um destes guias:
- Revisar e aplicar recomendações de papéis para projetos, pastas e organizações
- Analisar e aplicar recomendações de função para buckets do Cloud Storage
- Analisar e aplicar recomendações de função para conjuntos de dados do BigQuery
Evitar configurações incorretas da política
Há várias ferramentas de inteligência de política que podem ser usadas para ver como as mudanças nas políticas vão afetar sua organização. Depois de conferir o efeito das mudanças, você pode decidir se quer fazer ou não.
Testar mudanças nas políticas relacionadas ao acesso
Para que você saiba como uma mudança em uma política relacionada ao acesso pode afetar o acesso de participantes, o Policy Intelligence oferece os seguintes simuladores de política:
- Simulador de políticas para políticas de permissão
- Simulador de políticas para políticas de negação
- Simulador de políticas para políticas de limite de acesso de principal
Cada um desses simuladores permite que você veja como uma alteração em uma política desse tipo vai afetar o acesso dos participantes antes de confirmar a mudança. Cada simulador avalia apenas um tipo de política. Eles não consideram se outros tipos de políticas permitiriam ou bloqueariam o acesso.
Testar mudanças na política da organização
Simulador de política para políticas da organização permite visualizar o impacto de uma nova restrição personalizada ou política da organização que aplica uma restrição personalizada antes que ela seja aplicada no ambiente de produção.
Simulador de política fornece uma lista de recursos que violam a política proposta antes da aplicação dela, permitindo que você reconfigure esses recursos, solicite exceções ou mude o escopo da política da organização, tudo sem interromper os desenvolvedores ou derrubar o ambiente.
Para saber como usar o Simulador de política para testar mudanças nas políticas da organização, consulte Testar alterações na política da organização com o Simulador de política.