Cette page a été traduite par l'API Cloud Translation.

Gérer les ressources d'organisation sécurisées par défaut

Si vous êtes un nouveau client, Google Cloud provisionne automatiquement une ressource d'organisation pour votre domaine dans les cas suivants:

Un utilisateur de votre domaine se connecte pour la première fois.
Un utilisateur crée un compte de facturation qui n'est associé à aucune ressource d'organisation.

La configuration par défaut de cette ressource Organisation, caractérisée par un accès illimité, peut rendre l'infrastructure vulnérable aux brèches de sécurité. Par exemple, la création de clés de compte de service par défaut est une faille critique qui expose les systèmes à des violations potentielles.

Avec l'application des règles d'administration sécurisées par défaut, les stratégies non sécurisées sont traitées par un ensemble de règles d'administration d'administration appliquées au moment de la création d'une ressource d'organisation. Ces mesures incluent, par exemple, la désactivation de la création de clés de compte de service et de l'importation de clés de compte de service.

Lorsqu'un utilisateur existant crée une organisation, la stratégie de sécurité associée à la nouvelle ressource Organisation peut être différente de celle des ressources existantes. Règles d'administration sécurisées par défaut sont appliquées à toutes les organisations créées à partir du 3 mai 2024. Ces mesures d'application des règles par défaut peuvent également être définies pour certaines organisations créées entre février 2024 et avril 2024. Pour afficher les règles d'administration appliquées à votre organisation, consultez la page Afficher les règles d'administration.

En tant qu'administrateur, voici les scénarios dans lesquels ces règles d'administration sont appliquées automatiquement:

Compte Google Workspace ou Cloud Identity: lorsque vous possédez un compte Google Workspace ou Cloud Identity, une ressource Organisation associée à votre domaine est créée. Les règles d'administration sécurisées par défaut sont appliquées automatiquement à la ressource d'organisation.
Création du compte de facturation: si le compte de facturation que vous créez n'est pas associé à une ressource d'organisation, une ressource d'organisation est automatiquement créée. Les règles d'administration sécurisées par défaut sont appliquées à la ressource d'organisation. Ce scénario fonctionne à la fois sur la console Google Cloud et sur gcloud CLI.

Autorisations requises

Le rôle Identity and Access Management roles/orgpolicy.policyAdmin permet à un administrateur de gérer les règles d'administration. Vous devez être administrateur des règles d'administration pour modifier ou ignorer les règles d'administration d'administration. Pour accorder le rôle, exécutez la commande suivante:

gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE

Remplacez les éléments suivants :

ORGANIZATION: identifiant unique de votre organisation
PRINCIPAL: compte principal pour lequel ajouter la liaison. Il doit se présenter sous la forme user|group|serviceAccount:email ou domain:domain. Exemple :user:222larabrown@gmail.com
ROLE: rôle à attribuer au compte principal Utilisez le chemin d'accès complet d'un rôle prédéfini. Dans ce cas, il doit s'agir de roles/orgpolicy.policyAdmin.

Règles d'administration appliquées aux ressources de l'organisation

Le tableau suivant répertorie les contraintes de règle d'administration qui sont automatiquement appliquées lorsque vous créez une ressource d'organisation.

Nom de la règle d'administration	Contrainte liée aux règles d'administration	Description	Impact des mesures d'application
Désactiver la création de clés de compte de service	`iam.disableServiceAccountKeyCreation`	Empêchez les utilisateurs de créer des clés persistantes pour les comptes de service. Pour en savoir plus sur la gestion des clés de compte de service, consultez la section Proposer des alternatives à la création de clés de compte de service.	Réduit le risque d'exposition des identifiants du compte de service.
Désactiver l'importation de clés de compte de service	`iam.disableServiceAccountKeyUpload`	Empêchez l'importation de clés publiques externes vers des comptes de service. Pour en savoir plus sur l'accès aux ressources sans clé de compte de service, consultez ces bonnes pratiques.	Réduit le risque d'exposition des identifiants du compte de service.
Désactiver l'attribution automatique de rôles aux comptes de service par défaut	`iam.automaticIamGrantsForDefaultServiceAccounts`	Empêchez les comptes de service par défaut de recevoir le rôle IAM trop permissif `Editor` lors de la création.	Le rôle `Editor` permet au compte de service de créer et de supprimer des ressources pour la plupart des services Google Cloud, ce qui crée une faille si le compte de service est piraté.
Restreindre les identités par domaine	`iam.allowedPolicyMemberDomains`	Limitez le partage de ressources aux identités qui appartiennent à une ressource d'organisation spécifique.	Laisser la ressource Organisation ouverte à des acteurs disposant de domaines autres que celui du client crée une faille.
Restreindre les contacts par domaine	`essentialcontacts.allowedContactDomains`	Limitez les contacts essentiels de manière à n'autoriser que les identités utilisateur gérées des domaines sélectionnés à recevoir des notifications de la plate-forme.	Un acteur malveillant associé à un domaine différent peut être ajouté en tant que contacts essentiels, ce qui compromettre la sécurité.
Accès uniforme au niveau du bucket	`storage.uniformBucketLevelAccess`	Empêchez les buckets Cloud Storage d'utiliser une LCA par objet (un système distinct des stratégies IAM) pour accorder l'accès.	Garantit la cohérence de la gestion des accès et de l'audit.
Utiliser un DNS zonal par défaut	`compute.setNewProjectDefaultToZonalDNSOnly`	Définissez des restrictions pour les développeurs d'applications qui ne peuvent pas choisir de paramètres DNS globaux pour les instances Compute Engine.	Les paramètres DNS globaux présentent une fiabilité de service inférieure à celle des paramètres DNS zonaux.

Gérer l'application des règles d'administration

Vous pouvez gérer l'application des règles d'administration d'administration de différentes manières:

Répertorier les règles d'administration

Pour vérifier si les règles d'administration sécurisées par défaut sont appliquées à votre organisation, utilisez la commande suivante:

gcloud resource-manager org-policies list --organization=ORGANIZATION_ID

Remplacez ORGANIZATION_ID par l'identifiant unique de votre organisation.

Désactiver les règles d'administration

Pour désactiver ou supprimer une règle d'administration, exécutez la commande suivante:

gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID

Remplacez les éléments suivants :

CONSTRAINT_NAME est le nom de la contrainte de règle d'administration que vous souhaitez supprimer. Voici un exemple : iam.allowedPolicyMemberDomains.
ORGANIZATION_ID est l'identifiant unique de votre organisation.

Ajouter ou mettre à jour les valeurs d'une règle d'administration

Pour ajouter ou mettre à jour les valeurs d'une règle d'administration, vous devez stocker les valeurs dans un fichier YAML. Exemple de contenu de ce fichier:

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "values": {
            "allowedValues": ["VALUE_A"]
        }
      }
    ]
  }
}

Pour ajouter ou mettre à jour les valeurs répertoriées dans le fichier YAML, exécutez la commande suivante:

gcloud org-policies set-policy POLICY_FILE

Remplacez POLICY_FILE par le chemin d'accès au fichier YAML contenant les valeurs de la règle d'administration.