Panoramica di Policy Intelligence

Le grandi organizzazioni spesso dispongono di un ampio insieme di Google Cloud criteri per controllare le risorse e gestire l'accesso. Gli strumenti di Policy Intelligence ti aiutano a comprendere e gestire i tuoi criteri per migliorare in modo proattivo la configurazione della sicurezza.

Le sezioni seguenti spiegano cosa puoi fare con gli strumenti di Policy Intelligence.

Informazioni su criteri e utilizzo

Esistono diversi strumenti di Policy Intelligence che ti aiutano a comprendere l'accesso consentito dai tuoi criteri e come vengono utilizzati.

Analizza l'accesso

Cloud Asset Inventory fornisce Policy Analyzer per i criteri di autorizzazione IAM, che ti consente di scoprire quali entità hanno accesso a quali risorseGoogle Cloud in base ai tuoi criteri di autorizzazione IAM.

Policy Analyzer ti aiuta a rispondere a domande come:

  • "Chi ha accesso a questo account di servizio IAM?"
  • "Quali ruoli e autorizzazioni ha questo utente su questo set di dati BigQuery?"
  • "Per quali set di dati BigQuery questo utente ha l'autorizzazione a leggere?"

Aiutandoti a rispondere a queste domande, Policy Analyzer ti consente di gestire efficacemente l'accesso. Puoi utilizzare Policy Analyzer anche per attività relative a audit e conformità.

Per scoprire di più su Policy Analyzer per i criteri di autorizzazione, consulta la panoramica di Policy Analyzer.

Per scoprire come utilizzare Analizzatore criteri per i criteri di autorizzazione, consulta Analisi dei criteri IAM.

Analizza le policy dell'organizzazione

Policy Intelligence fornisce lo strumento di analisi dei criteri per i criteri dell'organizzazione, che puoi utilizzare per creare una query di analisi al fine di ottenere informazioni sui criteri dell'organizzazione personalizzati e predefiniti.

Puoi utilizzare l'Analizzatore policy per restituire un elenco di criteri dell'organizzazione con un determinato vincolo e le risorse a cui sono associati.

Per scoprire come utilizzare l'Analizzatore policy per le policy dell'organizzazione, consulta Analizzare le policy dell'organizzazione esistenti.

Risolvere i problemi di accesso

Per aiutarti a comprendere e risolvere i problemi di accesso, Policy Intelligence offre i seguenti strumenti per la risoluzione dei problemi:

  • Strumento per la risoluzione dei problemi relativi ai criteri per Identity and Access Management
  • Strumento per la risoluzione dei problemi di Controlli di servizio VPC
  • Policy Troubleshooter per Chrome Enterprise Premium

I risolutori dei problemi di accesso aiutano a rispondere a domande del tipo "Perché", ad esempio:

  • "Perché questo utente dispone dell'autorizzazione bigquery.datasets.create su questo set di dati BigQuery?"
  • "Perché questo utente non è in grado di visualizzare il criterio di autorizzazione di questo bucket Cloud Storage?"

Per scoprire di più su questi strumenti per la risoluzione dei problemi, consulta Strumenti per la risoluzione dei problemi correlati all'accesso.

Informazioni sull'utilizzo e sulle autorizzazioni degli account di servizio

Gli account di servizio sono un tipo speciale di entità che puoi utilizzare per autenticare le applicazioni in Google Cloud.

Per aiutarti a comprendere l'utilizzo degli account di servizio, Policy Intelligence offre le seguenti funzionalità:

  • Activity Analyzer: ti consente di vedere quando le chiavi e i service account sono stati utilizzati l'ultima volta per chiamare un'API Google. Per scoprire come utilizzare Activity Analyzer, consulta Visualizzare l'utilizzo recente di chiavi e account di servizio.

  • Approfondimenti sugli account di servizio: gli approfondimenti sugli account di servizio sono un tipo di approfondimento che consente di identificare gli account di servizio nel progetto che non sono stati utilizzati negli ultimi 90 giorni. Per scoprire come gestire gli approfondimenti sugli account di servizio, vedi Trovare account di servizio inutilizzati.

Per aiutarti a comprendere le autorizzazioni degli account di servizio, Policy Intelligence offre informazioni sui movimenti laterali. Gli insight sul movimento laterale sono un tipo di insight che identificano i ruoli che consentono a un account di servizio in un progetto di simulare l'identità di un account di servizio in un altro progetto. Per ulteriori informazioni sugli approfondimenti sul lateral movement, consulta In che modo vengono generati gli approfondimenti sul lateral movement. Per scoprire come gestire gli insight sul lateral movement, consulta Identificare gli account di servizio con autorizzazioni di lateral movement.

Gli approfondimenti sui movimenti laterali sono a volte collegati ai consigli per i ruoli. I consigli sui ruoli suggeriscono le azioni che puoi intraprendere per risolvere i problemi identificati dagli approfondimenti sul lateral movement.

Migliorare le norme

Puoi migliorare i criteri di autorizzazione IAM utilizzando i consigli sui ruoli. I suggerimenti sui ruoli ti aiutano ad applicare il principio del privilegio minimo assicurando che le entità dispongano solo delle autorizzazioni di cui hanno effettivamente bisogno. Ogni suggerimento per il ruolo ti consiglia di rimuovere o sostituire un ruolo IAM che concede autorizzazioni in eccesso alle entità.

Per saperne di più sui suggerimenti sui ruoli, incluso il modo in cui vengono generati, consulta Applicare il principio del privilegio minimo ai suggerimenti sui ruoli.

Per scoprire come gestire i consigli sui ruoli, consulta una delle seguenti guide:

Evitare configurazioni errate dei criteri

Esistono diversi strumenti di Policy Intelligence che puoi utilizzare per vedere l'impatto delle modifiche ai criteri sulla tua organizzazione. Dopo aver visto l'effetto delle modifiche, puoi decidere se apportarle o meno.

Testare le modifiche ai criteri relativi all'accesso

Per farti capire in che modo una modifica a un criterio relativo all'accesso potrebbe influire sull'accesso delle tue entità, Policy Intelligence fornisce i seguenti simulatori di criteri:

Ognuno di questi simulatori ti consente di vedere in che modo una modifica a un criterio di questo tipo inciderebbe sull'accesso per le tue entità prima di procedere con la modifica. Ogni simulatore valuta un solo tipo di criteri e non tiene conto se altri tipi di criteri consentirebbero o bloccherebbero l'accesso.

Testare le modifiche ai criteri dell'organizzazione

Policy Simulator per i criteri dell'organizzazione ti consente di visualizzare l'impatto di un nuovo vincolo personalizzato o di un criterio dell'organizzazione che applica un vincolo personalizzato prima che venga applicato nell'ambiente di produzione.

Policy Simulator fornisce un elenco di risorse che violano il criterio proposto prima dell'applicazione, consentendoti di riconfigurarle, richiedere eccezioni o modificare l'ambito del criterio dell'organizzazione, il tutto senza interrompere i tuoi sviluppatori o arrestare il tuo ambiente.

Per scoprire come utilizzare Policy Simulator per testare le modifiche ai criteri dell'organizzazione, consulta Testare le modifiche ai criteri dell'organizzazione con Policy Simulator.