Gérer les ressources d'organisation sécurisées par défaut

Si vous êtes nouveau client, Google Cloud provisionne automatiquement une ressource d'organisation pour votre domaine dans les scénarios suivants:

  • Un utilisateur de votre domaine se connecte pour la première fois.
  • Un utilisateur crée un compte de facturation sans ressource d'organisation associée.

La configuration par défaut de cette ressource d'organisation, caractérisée par un accès illimité, peut rendre l'infrastructure vulnérable aux violations de sécurité. Par exemple, la création de clés de compte de service par défaut est une faille critique qui expose les systèmes à des violations potentielles.

Avec l'application des règles d'administration sécurisées par défaut, les postures non sécurisées sont traitées à l'aide d'un ensemble de règles d'administration d'administration appliquées au moment de la création d'une ressource d'organisation. Par exemple, vous pouvez désactiver la création de clés de compte de service et l'importation de clés de compte de service.

Lorsqu'un utilisateur existant crée une organisation, la posture de sécurité de la nouvelle ressource d'organisation peut être différente de celle des ressources d'organisation existantes. Règles d'administration sécurisées par défaut sont appliquées à toutes les organisations créées le 3 mai 2024 ou après. Il est également possible que ces mesures d'application des règles par défaut soient définies pour certaines organisations créées entre février 2024 et avril 2024. Pour afficher les règles d'administration appliquées à votre organisation, consultez la section Afficher les règles d'administration.

En tant qu'administrateur, voici les scénarios dans lesquels ces mesures d'application des règles d'administration sont appliquées automatiquement:

  • Compte Google Workspace ou Cloud Identity: lorsque vous disposez d'un compte Google Workspace ou Cloud Identity, une ressource Organisation est créée et associée à votre domaine. Les règles d'administration sécurisée par défaut sont appliquées automatiquement à la ressource de l'organisation.
  • Création d'un compte de facturation: si le compte de facturation que vous créez n'est pas associé à une ressource d'organisation, une ressource d'organisation est automatiquement créée. Les règles d'administration sécurisées par défaut sont appliquées à la ressource d'organisation. Ce scénario fonctionne à la fois dans la console Google Cloud et la gcloud CLI.

Autorisations requises

Le rôle Identity and Access Management roles/orgpolicy.policyAdmin permet à un administrateur de gérer les règles d'administration. Vous devez être un administrateur de règle d'administration pour modifier ou ignorer règles d'administration. Pour accorder le rôle, exécutez la commande suivante:

gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE

Remplacez les éléments suivants :

  • ORGANIZATION: identifiant unique de votre organisation.
  • PRINCIPAL: compte principal pour lequel vous souhaitez ajouter la liaison. Il doit être au format user|group|serviceAccount:email ou domain:domain. Par exemple, user:222larabrown@gmail.com.
  • ROLE: rôle à accorder au compte principal. Utilisez le chemin d'accès complet d'un rôle prédéfini. Dans ce cas, la valeur doit être roles/orgpolicy.policyAdmin.

Règles d'administration appliquées aux ressources de l'organisation

Le tableau suivant répertorie les contraintes de règles d'administration qui sont automatiquement appliquées lorsque vous créez une ressource d'organisation.

Nom de la règle d'administration Contrainte liée aux règles d'administration Description Impact de l'application forcée
Désactiver la création de clés de compte de service constraints/iam.disableServiceAccountKeyCreation Empêchez les utilisateurs de créer des clés persistantes pour les comptes de service. Pour en savoir plus sur la gestion des clés de compte de service, consultez Fournissez des alternatives à la création de clés de compte de service. Réduit le risque d'exposition des identifiants du compte de service.
Désactiver l'importation de clés de compte de service constraints/iam.disableServiceAccountKeyUpload Empêchez l'importation de clés publiques externes dans des comptes de service. Pour savoir comment accéder aux ressources sans clés de compte de service, consultez ces bonnes pratiques. Réduit le risque d'exposition des identifiants du compte de service.
Désactiver les attributions automatiques de rôles pour les comptes de service par défaut constraints/iam.automaticIamGrantsForDefaultServiceAccounts Empêche les comptes de service par défaut de recevoir le rôle IAM Editor trop permissif à la création. Le rôle Editor permet au compte de service de créer et de supprimer des ressources pour la plupart des services Google Cloud, ce qui crée une faille si le compte de service est compromis.
Restreindre les identités par domaine constraints/iam.allowedPolicyMemberDomains Limitez le partage de ressources aux identités appartenant à une ressource d'organisation spécifique. Laisser la ressource de l'organisation accessible à des acteurs dont les domaines sont différents de ceux du client crée une faille de sécurité.
Limiter les contacts par domaine constraints/essentialcontacts.allowedContactDomains Limitez les contacts essentiels de manière à n'autoriser que les identités utilisateur gérées dans les domaines sélectionnés à recevoir des notifications de la plate-forme. Un acteur malveillant disposant d'un domaine différent peut être ajouté en tant que contact essentiel, ce qui peut compromettre la sécurité.
Accès uniforme au niveau du bucket constraints/storage.uniformBucketLevelAccess Empêche les buckets Cloud Storage d'utiliser des LCA par objet (un système distinct des stratégies IAM) pour accorder l'accès. Applique la cohérence pour la gestion et l'audit des accès.
Utiliser un DNS zonal par défaut constraints/compute.setNewProjectDefaultToZonalDNSOnly Définissez des restrictions empêchant les développeurs d'applications de choisir des paramètres DNS globaux pour les instances Compute Engine. Les paramètres DNS globaux présentent une fiabilité de service inférieure à celle des paramètres DNS zonaux.
Restreindre le transfert de protocole en fonction du type d'adresse IP constraints/compute.restrictProtocolForwardingCreationForTypes Limitez la configuration du transfert de protocole aux adresses IP internes uniquement. Protège les instances cibles contre l'exposition au trafic externe.

Gérer l'application des règles d'administration

Vous pouvez gérer l'application des règles d'administration de différentes manières:

Répertorier les règles d'administration

Pour vérifier si les règles d'administration par défaut sont appliquées à votre organisation, utilisez la commande suivante:

gcloud resource-manager org-policies list --organization=ORGANIZATION_ID

Remplacez ORGANIZATION_ID par l'identifiant unique de votre organisation.

Désactiver les règles d'administration

Pour désactiver ou supprimer une règle d'administration, exécutez la commande suivante:

gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID

Remplacez les éléments suivants :

  • CONSTRAINT_NAME correspond au nom de la contrainte de stratégie de l'organisation que vous souhaitez supprimer. Exemple : iam.allowedPolicyMemberDomains.
  • ORGANIZATION_ID est l'identifiant unique de votre organisation.

Ajouter ou modifier des valeurs pour une règle d'administration

Pour ajouter ou mettre à jour des valeurs pour une règle d'administration, vous devez les stocker dans un fichier YAML. Voici un exemple de contenu de ce fichier:

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "values": {
            "allowedValues": ["VALUE_A"]
        }
      }
    ]
  }
}

Pour ajouter ou mettre à jour ces valeurs listées dans le fichier YAML, exécutez la commande suivante:

gcloud org-policies set-policy POLICY_FILE

Remplacez POLICY_FILE par le chemin d'accès au fichier YAML contenant les valeurs de la règle d'administration.