Se você for um cliente novo, o Google Cloud provisionará automaticamente um recurso de organização para seu domínio nos seguintes cenários:
- Um usuário do seu domínio faz login pela primeira vez.
- Um usuário cria uma conta de faturamento que não tem um recurso de organização associado.
A configuração padrão desse recurso da organização, caracterizada por acesso irrestrito, pode tornar a infraestrutura suscetível a violações de segurança. Por exemplo, a criação de chaves de conta de serviço padrão é uma vulnerabilidade crítica que expõe sistemas a possíveis violações.
Com a aplicação de políticas da organização com segurança por padrão, as posturas inseguras são abordadas com um pacote de políticas da organização que são aplicadas no momento da criação de um recurso da organização. Exemplos dessas restrições incluem a desativação da criação e do upload de chaves da conta de serviço.
Quando um usuário cria uma organização, a postura de segurança do novo recurso pode ser diferente dos recursos da organização. As políticas da organização com segurança por padrão são aplicadas a todas as organizações criadas em 3 de maio de 2024 ou depois dessa data. Algumas organizações criadas entre fevereiro de 2024 e abril de 2024 também podem ter essas configurações de aplicação de políticas padrão. Para conferir as políticas aplicadas à sua organização, consulte Como visualizar as políticas da organização.
Como administrador, confira os cenários em que essas restrições de política da organização são aplicadas automaticamente:
- Conta do Google Workspace ou do Cloud Identity: quando você tem uma conta do Google Workspace ou do Cloud Identity, um recurso da organização é criado e associado ao seu domínio. As políticas de segurança por padrão da organização são aplicadas automaticamente no recurso da organização.
- Criação de conta de faturamento: se a conta de faturamento criada não estiver associada a um recurso de organização, um recurso de organização será criado automaticamente. As políticas de segurança padrão da organização são aplicadas no recurso da organização. Esse cenário funciona no console do Google Cloud e na CLI gcloud.
Permissões necessárias
O papel de gerenciamento de identidade e acesso
roles/orgpolicy.policyAdmin permite que um administrador gerencie políticas da organização. Você precisa ser um administrador de políticas da
organização para mudar ou substituir as políticas da organização.
Para conceder o papel, execute o seguinte comando:
gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE
Substitua:
ORGANIZATION: identificador exclusivo da sua organização.PRINCIPAL: o membro para quem a vinculação deve ser adicionada. Ele precisa estar no formatouser|group|serviceAccount:emailoudomain:domain. Por exemplo,user:222larabrown@gmail.com.ROLE: o papel a ser concedido ao principal. Use o caminho completo de uma função predefinida. Nesse caso, deve serroles/orgpolicy.policyAdmin.
Políticas da organização aplicadas aos recursos da organização
A tabela a seguir lista as restrições de política da organização que são aplicadas automaticamente quando você cria um recurso da organização.
| Nome da política da organização | Restrição da política da organização | Descrição | Impacto da aplicação |
|---|---|---|---|
| Desativar a criação de chaves de conta de serviço | constraints/iam.disableServiceAccountKeyCreation |
Impedir que os usuários criem chaves permanentes para contas de serviço. Para informações sobre como gerenciar chaves de conta de serviço, consulte Oferecer alternativas para criar chaves de conta de serviço. | Reduz o risco de credenciais de conta de serviço expostas. |
| Desativar o upload da chave da conta de serviço | constraints/iam.disableServiceAccountKeyUpload |
Impedir o upload de chaves públicas externas para contas de serviço. Para mais informações sobre como acessar recursos sem chaves de conta de serviço, consulte estas práticas recomendadas. | Reduz o risco de credenciais de conta de serviço expostas. |
| Desative as concessões automáticas de papel para contas de serviço padrão | constraints/iam.automaticIamGrantsForDefaultServiceAccounts |
Impede que as contas de serviço padrão recebam o papel do IAM Editor excessivamente permissivo na criação. |
O papel Editor permite que a conta de serviço crie e exclua recursos para a maioria dos serviços do Google Cloud, o que cria uma vulnerabilidade se a conta de serviço for comprometida. |
| Restringir identidades por domínio | constraints/iam.allowedPolicyMemberDomains |
Limite o compartilhamento de recursos a identidades que pertencem a um recurso específico da organização. | Deixar o recurso da organização aberto para acesso por atores com domínios diferentes do do cliente cria uma vulnerabilidade. |
| Restringir contatos por domínio | constraints/essentialcontacts.allowedContactDomains |
Limite os contatos essenciais para permitir que apenas identidades de usuário gerenciadas nos domínios selecionados recebam notificações da plataforma. | Um usuário malicioso com um domínio diferente pode ser adicionado como Contato Essencial, comprometendo a postura de segurança. |
| Acesso uniforme no nível do bucket | constraints/storage.uniformBucketLevelAccess |
Impeça que os buckets do Cloud Storage usem ACLs por objeto (um sistema separado das políticas do IAM) para fornecer acesso. | Aplica a consistência para o gerenciamento de acesso e a auditoria. |
| Usar DNS zonal por padrão | constraints/compute.setNewProjectDefaultToZonalDNSOnly |
Defina restrições em que os desenvolvedores de aplicativos não podem escolher as configurações de DNS globais para instâncias do Compute Engine. | As configurações de DNS global têm confiabilidade de serviço menor do que as configurações de DNS por zona. |
| Restringir encaminhamento de protocolo com base no tipo de endereço IP | constraints/compute.restrictProtocolForwardingCreationForTypes |
Restrinja a configuração do encaminhamento de protocolo apenas para endereços IP internos. | Protege as instâncias de destino da exposição ao tráfego externo. |
Gerenciar a aplicação de políticas da organização
É possível gerenciar a aplicação das políticas da organização das seguintes maneiras:
Listar políticas da organização
Para verificar se as políticas de segurança padrão estão sendo aplicadas à sua organização, use o seguinte comando:
gcloud resource-manager org-policies list --organization=ORGANIZATION_ID
Substitua ORGANIZATION_ID pelo identificador exclusivo da sua organização.
Desativar políticas da organização
Para desativar ou excluir uma política da organização, execute o seguinte comando:
gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID
Substitua:
CONSTRAINT_NAMEé o nome da restrição de política da organização que você quer excluir. Um exemplo éiam.allowedPolicyMemberDomains.ORGANIZATION_IDé o identificador exclusivo da sua organização.
Adicionar ou atualizar valores de uma política da organização
Para adicionar ou atualizar valores de uma política da organização, é necessário armazenar os valores em um arquivo YAML. Confira um exemplo do conteúdo desse arquivo:
{
"name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
"spec": {
"rules": [
{
"values": {
"allowedValues": ["VALUE_A"]
}
}
]
}
}
Para adicionar ou atualizar esses valores listados no arquivo YAML, execute o seguinte comando:
gcloud org-policies set-policy POLICY_FILE
Substitua POLICY_FILE pelo caminho para o arquivo YAML que contém os
valores da política da organização.