Cette page a été traduite par l'API Cloud Translation.

Gérer les ressources d'organisation sécurisées par défaut

Si vous êtes un nouveau client, Google Cloud provisionne automatiquement d'organisation de votre domaine dans les cas suivants:

Un utilisateur de votre domaine se connecte pour la première fois.
Un utilisateur crée un compte de facturation qui n'est associé à aucune organisation ressource.

Configuration par défaut de cette ressource d'organisation, caractérisée par un accès sans restriction peuvent rendre l'infrastructure vulnérable aux brèches de sécurité. Pour exemple : la création de clés de compte de service par défaut est une faille critique ce qui expose les systèmes à des violations potentielles.

Avec l'application des règles d'administration sécurisées par défaut, stratégies d'administration sont gérées à l'aide d'un ensemble de règles d'administration lors de la création d'une ressource Organisation. Exemples de ces mesures d'application incluent la désactivation de la création de clés de compte de service et la désactivation de l'importation de clés de compte de service.

Lorsqu'un utilisateur existant crée une organisation, la stratégie de sécurité nouvelle ressource Organisation peut être différente des ressources Organisation existantes. Les règles d'administration sécurisées par défaut sont appliquées à toutes les organisations créé à partir du 3 mai 2024. Certaines organisations créées entre février 2024 et avril 2024 peuvent également avoir ces mesures d'application par défaut. Afficher l'organisation appliquées à votre organisation, consultez Afficher les règles d'administration

En tant qu'administrateur, voici les scénarios dans lesquels ces règles d'administration sont automatiquement appliquées:

Compte Google Workspace ou Cloud Identity: si vous disposez d'un compte Google Workspace ou Cloud Identity, une ressource Organisation est créée associés à votre domaine. Les règles d'administration sécurisées par défaut automatiquement à la ressource Organisation.
Création du compte de facturation: si le compte de facturation que vous créez n'est pas associé avec une ressource Organisation, celle-ci est automatiquement créé. Les règles d'administration sécurisées par défaut sont appliquées ressource d'organisation. Ce scénario fonctionne à la fois dans la console Google Cloud et gcloud CLI.

Autorisations requises

Le rôle Identity and Access Management roles/orgpolicy.policyAdmin permet à un administrateur de gérer les règles d'administration. Vous devez être une organisation de modifier ou d'ignorer les règles d'administration. Pour accorder le rôle, exécutez la commande suivante:

gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE

Remplacez les éléments suivants :

ORGANIZATION: identifiant unique de votre organisation
PRINCIPAL: compte principal pour lequel ajouter la liaison. Il doit s'agir de au format user|group|serviceAccount:email ou domain:domain. Par exemple, user:222larabrown@gmail.com.
ROLE: rôle à attribuer au compte principal Utilisez le chemin d'accès complet un rôle prédéfini. Dans ce cas, il doit s'agir de roles/orgpolicy.policyAdmin.

Règles d'administration appliquées aux ressources de l'organisation

Le tableau suivant répertorie les contraintes liées aux règles d'administration automatiquement appliquée lorsque vous créez une ressource Organisation.

Nom de la règle d'administration	Contrainte liée aux règles d'administration	Description	Impact des mesures d'application
Désactiver la création de clés de compte de service	`iam.disableServiceAccountKeyCreation`	Empêchez les utilisateurs de créer des clés persistantes pour les comptes de service. Pour en savoir plus sur la gestion des clés de compte de service, consultez la section Proposer des alternatives à la création de clés de compte de service.	Réduit le risque d'exposition des identifiants du compte de service.
Désactiver l'importation de clés de compte de service	`iam.disableServiceAccountKeyUpload`	Empêchez l'importation de clés publiques externes vers des comptes de service. Pour en savoir plus sur l'accès aux ressources sans clé de compte de service, consultez ces bonnes pratiques.	Réduit le risque d'exposition des identifiants du compte de service.
Désactiver l'attribution automatique de rôles aux comptes de service par défaut	`iam.automaticIamGrantsForDefaultServiceAccounts`	Empêchez les comptes de service par défaut de recevoir le rôle IAM trop permissif `Editor` lors de la création.	Le rôle `Editor` permet au compte de service de créer et de supprimer des ressources pour la plupart des services Google Cloud, ce qui crée une faille si le compte de service est piraté.
Restreindre les identités par domaine	`iam.allowedPolicyMemberDomains`	Limitez le partage de ressources aux identités qui appartiennent à une ressource d'organisation spécifique.	Laisser la ressource Organisation ouverte aux acteurs possédant des domaines autres que ceux que celle du client crée une vulnérabilité.
Restreindre les contacts par domaine	`essentialcontacts.allowedContactDomains`	Limitez les contacts essentiels de manière à n'autoriser que les identités utilisateur gérées des domaines sélectionnés à recevoir des notifications de la plate-forme.	Un acteur malveillant associé à un domaine différent peut être ajouté en tant que contacts essentiels, ce qui compromettre la sécurité.
Accès uniforme au niveau du bucket	`storage.uniformBucketLevelAccess`	Empêchez les buckets Cloud Storage d'utiliser une LCA par objet (un système distinct des stratégies IAM) pour accorder l'accès.	Garantit la cohérence de la gestion des accès et de l'audit.
Utiliser un DNS zonal par défaut	`compute.setNewProjectDefaultToZonalDNSOnly`	Définissez des restrictions pour les développeurs d'applications qui ne peuvent pas choisir de paramètres DNS globaux pour les instances Compute Engine.	Les paramètres DNS globaux présentent une fiabilité de service inférieure à celle des paramètres DNS zonaux.

Gérer l'application des règles d'administration

Vous pouvez gérer l'application des règles d'administration de différentes manières:

Répertorier les règles d'administration

Pour vérifier si les règles d'administration sécurisées par défaut sont appliquées à votre organisation, exécutez la commande suivante:

gcloud resource-manager org-policies list --organization=ORGANIZATION_ID

Remplacez ORGANIZATION_ID par l'identifiant unique de votre organisation.

Désactiver les règles d'administration

Pour désactiver ou supprimer une règle d'administration, exécutez la commande suivante:

gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID

Remplacez les éléments suivants :

CONSTRAINT_NAME est le nom de la règle d'administration. que vous souhaitez supprimer. Voici un exemple : iam.allowedPolicyMemberDomains.
ORGANIZATION_ID est l'identifiant unique de votre organisation.

Ajouter ou mettre à jour les valeurs d'une règle d'administration

Pour ajouter ou mettre à jour les valeurs d'une règle d'administration, vous devez stocker les valeurs dans un fichier YAML. Exemple de contenu de ce fichier:

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "values": {
            "allowedValues": ["VALUE_A"]
        }
      }
    ]
  }
}

Pour ajouter ou mettre à jour les valeurs répertoriées dans le fichier YAML, exécutez la commande suivante:

gcloud org-policies set-policy POLICY_FILE

Remplacez POLICY_FILE par le chemin d'accès au fichier YAML contenant le de la règle d'administration.