Le grandi organizzazioni spesso dispongono di un ampio insieme di criteri Google Cloud per controllare le risorse e gestire l'accesso. Gli strumenti di Policy Intelligence ti aiutano a comprendere e gestire i tuoi criteri per migliorare in modo proattivo la configurazione della sicurezza.
Le sezioni seguenti spiegano cosa puoi fare con gli strumenti di Policy Intelligence.
Informazioni sulle norme e sull'utilizzo
Esistono diversi strumenti di Policy Intelligence che ti aiutano a comprendere l'accesso consentito dai tuoi criteri e come vengono utilizzati.
Analizza accesso
Cloud Asset Inventory fornisce Policy Analyzer per i criteri di autorizzazione IAM, che ti consente di scoprire quali entità hanno accesso a quali risorse Google Cloud in base ai criteri di autorizzazione IAM.
Policy Analyzer ti aiuta a rispondere a domande come:
- "Chi ha accesso a questo account di servizio IAM?"
- "Quali ruoli e autorizzazioni ha questo utente su questo set di dati BigQuery?"
- "Per quali set di dati BigQuery questo utente ha l'autorizzazione a leggere?"
Aiutandoti a rispondere a queste domande, l'Analizzatore criteri ti consente per amministrare in modo efficace l'accesso. Puoi usare Policy Analyzer anche per le attività correlate ai controlli e alla conformità.
Per scoprire di più su Policy Analyzer per i criteri di autorizzazione, consulta la panoramica di Policy Analyzer.
Per scoprire come utilizzare Analizzatore criteri per i criteri di autorizzazione, consulta Analisi dei criteri IAM.
Analizza i criteri dell'organizzazione
Policy Intelligence fornisce Policy Analyzer per criterio dell'organizzazione, che puoi usare per creare una query di analisi informazioni sui criteri dell'organizzazione personalizzati e predefiniti.
Puoi usare Policy Analyzer per restituire un elenco dei criteri dell'organizzazione con un determinato vincolo e le risorse a cui questi criteri in allegato.
Per scoprire come utilizzare l'Analizzatore criteri per i criteri dell'organizzazione, consulta Analizzare i criteri dell'organizzazione esistenti.
Risolvere i problemi di accesso
Per aiutarti a comprendere e risolvere i problemi di accesso, Policy Intelligence offre i seguenti strumenti per la risoluzione dei problemi:
- Strumento per la risoluzione dei problemi relativi ai criteri per Identity and Access Management
- Strumento per la risoluzione dei problemi dei Controlli di servizio VPC
- Policy Troubleshooter per Chrome Enterprise Premium
I risolutori dei problemi di accesso aiutano a rispondere a domande del tipo "Perché", ad esempio:
- "Perché l'utente ha l'autorizzazione
bigquery.datasets.createper questo BigQuery?" - "Perché questo utente non è in grado di visualizzare il criterio di autorizzazione di questo bucket Cloud Storage?"
Per ulteriori informazioni su questi strumenti per la risoluzione dei problemi, consulta la sezione Informazioni sugli accessi strumenti per la risoluzione dei problemi.
Informazioni sull'utilizzo e sulle autorizzazioni degli account di servizio
Gli account di servizio sono un tipo speciale di entità che puoi utilizzare per autenticare le applicazioni in Google Cloud.
Per aiutarti a comprendere l'utilizzo degli account di servizio, Policy Intelligence offre le seguenti funzionalità:
Analizzatore attività: questo strumento ti consente di vedere quando il tuo servizio account e chiavi sono stati utilizzati l'ultima volta per chiamare un'API di Google. Per scoprire come utilizzare Activity Analyzer, consulta Visualizzare l'utilizzo recente di chiavi e account di servizio.
Approfondimenti sugli account di servizio: gli approfondimenti sugli account di servizio sono un tipo di approfondimento che consente di identificare gli account di servizio nel progetto che non sono stati utilizzati negli ultimi 90 giorni. Per scoprire come gestire gli approfondimenti sugli account di servizio, vedi Trovare account di servizio inutilizzati.
Per aiutarti a comprendere le autorizzazioni degli account di servizio, Policy Intelligence offre informazioni sui movimenti laterali. Gli insight sul movimento laterale sono un tipo di insight che identificano i ruoli che consentono a un account di servizio in un progetto di simulare l'identità di un account di servizio in un altro progetto. Per ulteriori informazioni sugli approfondimenti sul movimento laterale, consulta Come vengono generati gli approfondimenti sul movimento laterale. Per apprendere su come gestire gli insight sugli spostamenti laterali, consulta Identificare gli account di servizio con permessi di movimento laterale.
Gli approfondimenti sui movimenti laterali sono a volte collegati ai consigli per i ruoli. I suggerimenti sui ruoli suggeriscono azioni che puoi da adottare per risolvere i problemi identificati dalle informazioni sui movimenti laterali.
Migliorare le norme
Puoi migliorare i criteri di autorizzazione IAM utilizzando i consigli sui ruoli. I suggerimenti sui ruoli ti aiutano ad applicare il principio del privilegio minimo assicurando che le entità dispongano solo delle autorizzazioni di cui hanno effettivamente bisogno. Ogni suggerimento per il ruolo ti consiglia di rimuovere o sostituire un ruolo IAM che concede autorizzazioni in eccesso alle entità.
Per saperne di più sui suggerimenti sui ruoli, incluso il modo in cui vengono generati, consulta Applicare il principio del privilegio minimo ai suggerimenti sui ruoli.
Per scoprire come gestire i suggerimenti sui ruoli, consulta una delle seguenti guide:
- Esaminare e applicare i consigli sui ruoli per progetti, cartelle e organizzazioni
- Esamina e applica i suggerimenti sui ruoli per Cloud Storage del bucket
- Esaminare e applicare i consigli sui ruoli per i set di dati BigQuery
Evitare configurazioni errate dei criteri
Esistono diversi strumenti di Policy Intelligence che puoi utilizzare per vedere l'impatto delle modifiche ai criteri sulla tua organizzazione. Dopo aver visualizzato l'effetto delle modifiche, puoi decidere se apportarle o meno.
Testa le modifiche ai criteri di autorizzazione IAM
Policy Simulator per i criteri di autorizzazione IAM consente di vedere come un a un criterio di autorizzazione IAM potrebbe influire su l'accesso dell'entità prima di impegnarti ad apportare la modifica. Puoi utilizzare Simulatore di criteri per assicurarti che le modifiche apportate non causino la perdita di accesso da parte di un principale.
Per scoprire in che modo una modifica a un criterio di autorizzazione IAM potrebbe influire su un accesso dell'entità, Policy Simulator determina i tentativi di accesso degli ultimi 90 giorni abbiano risultati diversi in base alla di autorizzazione e il criterio di autorizzazione attuale. Poi, segnala questi risultati come delle modifiche all'accesso.
Per scoprire di più su Policy Simulator, consulta la panoramica di Policy Simulator IAM.
Per scoprire come utilizzare Policy Simulator per testare le modifiche dei ruoli, vedi Testare il ruolo modifiche con il simulatore dei criteri IAM.
Testare le modifiche ai criteri dell'organizzazione
Policy Simulator per i criteri dell'organizzazione ti consente di visualizzare in anteprima l'impatto di un nuovo vincolo personalizzato o criterio dell'organizzazione che applica un vincolo personalizzato prima dell'applicazione nell'ambiente di produzione.
Policy Simulator fornisce un elenco di risorse che violano il criterio proposto prima dell'applicazione, consentendoti di riconfigurarle, richiedere eccezioni o modificare l'ambito del criterio dell'organizzazione, il tutto senza interrompere gli sviluppatori o arrestare l'ambiente.
Per scoprire come utilizzare Policy Simulator per testare le modifiche ai criteri dell'organizzazione, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.