Como restringir o uso da conta de serviço

O Resource Manager fornece restrições que podem ser usadas nas políticas da organização para limitar o uso de contas de serviço do Cloud Identity and Access Management.

Quando você define essas restrições, elas se aplicam a futuras criações e modificações de contas de serviço. Essas restrições não são retroativas e afetam as contas de serviço criadas e configuradas anteriormente.

Antes de começar

Você precisa ter permissão para modificar políticas da organização e assim poder definir restrições. Por exemplo, o papel resourcemanager.organizationAdmin tem permissão para definir restrições da política da organização. Leia a página Como usar restrições para saber como gerenciar políticas no nível da organização.

Restrições booleanas

As restrições a seguir são tipos de restrições booleanas, definidas como verdadeiras ou falsas.

Desativar concessões automáticas de papel para contas de serviço padrão (Beta)

Alguns serviços do Google Cloud criam automaticamente contas de serviço padrão. Quando uma conta de serviço padrão é criada, ela recebe automaticamente o papel de Editor (roles/editor) no seu projeto.

Para melhorar a segurança, recomendamos que você desative a concessão automática de papéis. Use a restrição booleana iam.automaticIamGrantsForDefaultServiceAccounts para desativar a concessão automática de papéis.

Desativar criação de conta de serviço

Você pode usar a restrição booleana iam.disableServiceAccountCreation para desativar a criação de novas contas de serviço. Isso permite centralizar o gerenciamento de contas de serviço sem restringir as outras permissões dos desenvolvedores aos projetos.

Desativar criação de chave da conta de serviço

Você pode usar a restrição booleana iam.disableServiceAccountKeyCreation para desativar a criação de novas chaves de contas de serviço externo. Com isso, é possível controlar o uso de credenciais de longo prazo não gerenciadas para contas de serviço. Quando essa restrição é definida, as credenciais gerenciadas pelo usuário não podem ser criadas para contas de serviço em projetos afetados pela restrição.

Desativar a criação de cluster da identidade da carga de trabalho

Você pode usar a restrição booleana iam.disableWorkloadIdentityClusterCreation para exigir que qualquer novo cluster do Google Kubernetes Engine tenha o recurso Identidade da carga de trabalho desativado no momento da criação. Se quiser controlar rigidamente o acesso à conta de serviço na organização, desabilite a Identidade da carga de trabalho, além da criação da conta de serviço e da criação da chave da conta de serviço.

Os clusters GKE existentes com a Identidade da carga de trabalho ativada não serão afetados e continuarão funcionando normalmente.

Como definir uma política booleana

Console

Para definir uma política da organização que inclui uma restrição para o uso da conta de serviço:

  1. Acesse a página Políticas da organização no Console do Google Cloud.

    Acessar a página "Políticas da organização"

  2. Clique na lista suspensa Organização na parte superior da página e selecione a organização.
  3. Clique em uma das restrições booleanas de uso da conta de serviço listadas acima.
  4. Clique no botão Editar.
  5. Em É aplicável a, selecione Personalizar.
  6. Em Aplicação, selecione Ativada.
  7. Clique em Salvar. Será exibida uma notificação confirmando que a política foi atualizada.

gcloud

As políticas podem ser definidas usando a ferramenta de linha de comando gcloud.

Para restringir o uso da conta de serviço, execute o seguinte comando:

gcloud alpha resource-manager org-policies enable-enforce \
    --organization 'ORGANIZATION_ID' \
    BOOLEAN_CONSTRAINT

Em que BOOLEAN_CONSTRAINT é a restrição booleana que você quer aplicar.

Para desativar a política, emita o mesmo comando usando

disable-enforce
command.

Para saber mais sobre o uso de restrições nas políticas da organização, consulte Usando restrições.

Exemplo de política booleana

O snippet de código a seguir mostra uma política da organização que inclui a restrição booleana para desabilitar a criação da conta de serviço:

resource: "organizations/842463781240"
policy {
  constraint: "constraints/iam.disableServiceAccountCreation"
  etag: "\a\005L\252\122\321\946\334"
  boolean_policy {
  enforced: true
  }
}

Como recuperar autoridade de certificado de um certificado de chave pública

A autoridade de certificação de um certificado de chave pública pode ser obtida usando o seguinte comando:

openssl x509 -noout -in $PUBLIC_KEY_CERT_PATH -issuer -nameopt compat

Observe que esse comando só funciona para certificados de chave pública que estão no formato X509 PEM.

Mensagens de erro

Desativar criação de conta de serviço

Se o código iam.disableServiceAccountCreation for aplicado, a criação de uma conta de serviço falhará com o erro:

FAILED_PRECONDITION: Service account creation is not allowed on this project.

Desativar criação de chave da conta de serviço

Se o código iam.disableServiceAccountKeyCreation for aplicado, a criação de uma conta de serviço falhará com o erro:

FAILED_PRECONDITION: Key creation is not allowed on this service account.

Desativar a criação de cluster da identidade da carga de trabalho

Se iam.disableWorkloadIdentityClusterCreation for aplicado, a criação de um cluster do GKE com a Identidade da carga de trabalho ativada falhará com o erro:

FAILED_PRECONDITION: Workload Identity is disabled by the organization
policy constraints/iam.disableWorkloadIdentityClusterCreation. Contact your
administrator to enable this feature.

Como solucionar problemas conhecidos

Contas de serviço padrão

A aplicação da restrição iam.disableServiceAccountCreation impedirá a criação de contas de serviço nesse projeto. Essa limitação também afeta os serviços do Google Cloud que, quando ativados, criam automaticamente contas de serviço padrão no projeto, como:

  • Compute Engine
  • GKE
  • App Engine
  • Dataflow

Se a restrição iam.disableServiceAccountCreation for aplicada, a tentativa de ativar esses serviços falhará porque não será possível criar as contas de serviço padrão.

Para solucionar esse problema, faça o seguinte:

  1. Remova temporariamente a restrição iam.disableServiceAccountCreation.
  2. Ative os serviços desejados.
  3. Crie as contas de serviço necessárias.
  4. Por fim, reaplique a restrição.