Présentation de Policy Intelligence

Les grandes entreprises disposent souvent d'un ensemble étendu de règles Google Cloud pour contrôler les ressources et gérer l'accès. Outils Policy Intelligence vous aident à comprendre et à gérer vos règles afin d'améliorer vos configuration de la sécurité.

Les sections suivantes expliquent ce que vous pouvez faire avec les outils Policy Intelligence.

Comprendre les règles et l'utilisation

Plusieurs outils Policy Intelligence permettent comprendre quel accès autorisent vos stratégies et comment elles sont utilisées.

Analyser les accès

L'inventaire des éléments cloud fournit Policy Analyzer pour IAM vous permettant de savoir à quels comptes principaux ont accès, à quels comptes aux ressources Google Cloud en fonction Stratégies d'autorisation IAM

Policy Analyzer vous aide à répondre aux questions suivantes:

  • "Qui a accès à ce compte de service IAM ?"
  • "Quels rôles et autorisations cet utilisateur dispose-t-il sur cet ensemble de données BigQuery ?"
  • "Quels ensembles de données BigQuery cet utilisateur a-t-il l'autorisation de lire ?"

En vous aidant à répondre à ces questions, Policy Analyzer vous permet à administrer efficacement l'accès. Vous pouvez aussi utiliser Policy Analyzer pour liées à l'audit et à la conformité.

Pour en savoir plus sur Policy Analyzer pour les stratégies d'autorisation, consultez la présentation de Policy Analyzer.

Pour savoir comment utiliser Policy Analyzer pour les règles d'autorisation, consultez Analyser les stratégies IAM

Analyser les règles d'administration

Policy Intelligence fournit Policy Analyzer pour une règle d'administration, que vous pouvez utiliser pour créer une requête d'analyse afin d'obtenir des informations sur les règles d'administration personnalisées et prédéfinies.

Vous pouvez utiliser l'outil d'analyse de stratégies pour afficher la liste des règles d'administration auxquelles une contrainte particulière est appliquée, ainsi que les ressources auxquelles ces règles sont associées.

Pour savoir comment utiliser Policy Analyzer pour les règles d'administration, consultez Analysez les règles d'administration existantes.

Résoudre les problèmes d'accès

Pour vous aider à comprendre et à résoudre les problèmes d'accès, Policy Intelligence propose les outils de dépannage suivants:

  • Policy Troubleshooter pour Identity and Access Management
  • Outil de dépannage de VPC Service Controls
  • Policy Troubleshooter pour Chrome Enterprise Premium

Accéder aux outils de dépannage pour savoir pourquoi des questions comme celles-ci:

  • "Pourquoi cet utilisateur dispose-t-il de l'autorisation bigquery.datasets.create sur cet ensemble de données BigQuery ?"
  • « Pourquoi cet utilisateur n'est-il pas en mesure de voir la politique d'autorisation de Bucket Cloud Storage ?"

Pour en savoir plus sur ces outils de dépannage, consultez la page Informations les outils de dépannage.

Comprendre l'utilisation et les autorisations des comptes de service

Les comptes de service sont un type particulier de compte principal pour authentifier les applications dans Google Cloud.

Pour vous aider à comprendre l'utilisation des comptes de service, Policy Intelligence propose les fonctionnalités suivantes :

  • Analyseur d'activité: l'analyseur d'activité vous permet de savoir à quel moment votre service les comptes et les clés ont été utilisés pour la dernière fois pour appeler une API Google. Pour savoir comment utiliser Activity Analyzer, consultez Afficher l'utilisation récente des comptes de service et des clés.

  • Insights sur les comptes de service: les insights sur les comptes de service sont un type des insights qui identifient les comptes de service de votre projet qui n'ont pas été utilisées au cours des 90 derniers jours. Pour savoir comment gérer les insights sur les comptes de service, consultez Trouver des comptes de service inutilisés.

Pour vous aider à comprendre les autorisations de compte de service, Policy Intelligence fournit des insights sur les mouvements latéraux. Latéral les informations relatives au mouvement sont un type d'informations qui identifient les rôles à un compte de service d'un projet d'emprunter l'identité d'un compte de service un autre projet. Pour en savoir plus sur les insights sur les mouvements latéraux, consultez la section Comment les insights sur les mouvements latéraux sont générés ?. Pour apprendre comment gérer les insights sur les mouvements latéraux, consultez l'article Identifier les comptes de service avec autorisations de mouvements latéraux.

Les insights sur les mouvements latéraux sont parfois associés à des recommandations de rôles. Les recommandations de rôles suggèrent des actions que vous pouvez entreprendre pour résoudre les problèmes identifiés par les insights sur les mouvements latéraux.

Améliorer vos règles

Vous pouvez améliorer vos stratégies d'autorisation IAM en procédant comme suit : à l'aide des recommandations de rôle. Les recommandations de rôle vous aident à appliquer ce principe en s'assurant que les comptes principaux disposent uniquement des autorisations dont ils ont réellement besoin. Chaque recommandation de rôle vous suggère de supprimer ou de remplacer un rôle IAM accordant des autorisations en excès à vos comptes principaux.

Pour en savoir plus sur les recommandations de rôles, y compris sur la façon dont elles sont générées, consultez Appliquez le principe du moindre privilège avec les recommandations de rôle.

Pour savoir comment gérer les recommandations de rôle, consultez l'un des guides suivants:

Évitez les erreurs de configuration des stratégies

Plusieurs outils Policy Intelligence vous permettent de voir comment les modifications apportées aux règles affecteront votre organisation. Une fois que vous avez vu l'impact des modifications, vous pouvez décider de les appliquer ou non.

Tester les modifications apportées aux stratégies d'autorisation IAM

Policy Simulator pour les stratégies d'autorisation IAM vous permet de voir comment une modification d'une stratégie d'autorisation IAM peut affecter l'accès d'un compte principal avant de procéder à la modification. Vous pouvez utiliser Policy Simulator pour vous assurer que les modifications que vous apportez n'empêchent pas un compte principal d'accéder aux ressources dont il a besoin.

Pour savoir comment une modification d'une stratégie d'autorisation IAM peut affecter l'accès d'un compte principal, Policy Simulator détermine quelles tentatives d'accès des 90 derniers jours produisent des résultats différents dans la stratégie d'autorisation proposée et la stratégie d'autorisation actuelle. Il renvoie ensuite ces résultats sous la forme d'une liste de modifications d'accès.

Pour en savoir plus sur Policy Simulator, consultez Présentation du simulateur de stratégie IAM

Pour savoir comment utiliser Policy Simulator pour tester les modifications de rôle, consultez Tester les modifications de rôle avec Policy Simulator IAM.

Tester les modifications apportées aux règles d'administration

Policy Simulator pour les règles d'administration vous permet de prévisualiser l'impact d'une nouvelle contrainte personnalisée ou d'une règle d'administration qui applique une contrainte personnalisée avant qu'elle ne soit appliquée dans votre environnement de production.

Policy Simulator fournit une liste de ressources qui ne respectent pas la règle proposée avant qu'elle ne soit appliquée, ce qui vous permet de reconfigurer ces ressources, de demander ou modifier le champ d'application de votre règle d'administration, le tout sans de perturber vos développeurs ou de faire fonctionner votre environnement.

Pour savoir comment utiliser Policy Simulator pour tester les modifications apportées aux règles d'administration, consultez la section Tester les modifications apportées aux règles d'administration à l'aide de Policy Simulator.