En este documento, se explica cómo habilitar la guía de respuesta del recomendador de IAM en Security Command Center Enterprise para identificar las identidades con permisos excesivos y quitar de forma automática y segura los permisos no utilizados.
Descripción general
El recomendador de IAM te proporciona estadísticas de seguridad que evalúa la forma en que las principales usan recursos y te recomiendan tomar medidas sobre la estadística encontrada. Por ejemplo, cuando no se usó un permiso durante los últimos 90 días, el recomendador de IAM lo destaca como un permiso excesivo y te recomienda quitarlo de forma segura.
La guía de respuesta del recomendador de IAM usa el recomendador de IAM para analizar tu entorno en busca de identidades de carga de trabajo que tengan permisos permisos o suplantaciones de cuentas de servicio. En lugar de revisar y aplicar recomendaciones manualmente en Identity and Access Management, habilita la guía de prácticas para que lo haga automáticamente en la consola de Security Operations.
Requisitos previos
Antes de activar la guía de IAM Recommender Response, completa los siguientes pasos previos:
- Crea un rol de IAM personalizado y configúrale un permiso específico.
- Define el valor de Correo electrónico de identidades para cargas de trabajo.
- Otorga el rol personalizado que creaste a una cuenta principal existente.
Crea un rol de IAM personalizado
En la consola de Google Cloud, ve a la página Roles de IAM.
Haz clic en Crear rol para crear un rol personalizado con los permisos necesarios para la integración.
Para un rol personalizado nuevo, proporciona el título, la descripción y una dirección ID.
Establece la etapa de lanzamiento del rol en Disponibilidad general.
Agrega el siguiente permiso a la función creada:
resourcemanager.organizations.setIamPolicy
Haz clic en Crear.
Define el valor de correo electrónico de Workload Identity
Para definir a qué identidad se le otorgará el rol personalizado, completa los siguientes pasos:
- En la consola de operaciones de seguridad, ve a Respuesta > Integraciones Configuración.
- En el campo Buscar de la integración, escribe
Google Cloud Recommender
. - Haz clic en Configurar instancia. Se abrirá la ventana de diálogo.
- Copia el valor del parámetro Workload Identity Email en la
portapapeles. El valor debe tener el siguiente formato:
username@example.com
Otorga un rol personalizado a una cuenta principal existente
Después de otorgar tu nuevo rol personalizado a una principal seleccionada, esta podrá cambiar permisos para cualquier usuario de tu organización.
En la consola de Google Cloud, ve a la página IAM.
En el campo Filtro, pega el valor Workload Identity Email y busca el principal existente.
Haz clic en
Editar principal. Se abrirá la ventana de diálogo.En el panel Editar acceso, en Asignar roles, haz clic en
Agregar otra función.Selecciona el rol personalizado que creaste y haz clic en Guardar.
Habilitar la guía
De forma predeterminada, la guía de respuesta del recomendador de IAM está inhabilitada. Para usar la guía, habilítala de forma manual:
- En la consola de operaciones de seguridad, ve a Respuesta > Guías.
- En el campo Buscar de la guía de secuencias de comandos, ingresa
IAM Recommender
. - En el resultado de la búsqueda, selecciona la guía Respuesta del recomendador de IAM.
- En el encabezado de la guía, activa el botón de activación para habilitar la guía.
- En el encabezado de la guía, haz clic en Guardar.
Configura el flujo de aprobación automática
Cambiar la configuración de la guía es una configuración avanzada y opcional.
De forma predeterminada, cada vez que la guía identifica permisos sin usar, espera que apruebes o rechaces la solución antes de completar la ejecución.
Para configurar el flujo de la guía de instrucciones para que quite automáticamente los permisos que no se usan cada vez que se encuentren sin solicitar tu aprobación, completa los siguientes pasos:
- En la consola de Security Operations, ve a Respuesta > Guías de respuesta.
- Selecciona la guía de respuesta del recomendador de IAM.
- En los bloques de construcción de la guía de referencia, selecciona IAM Setup Block_1. El bloque
de configuración de Terraform. De forma predeterminada, el parámetro remediation_mode
se configura en
Manual
. - En el campo del parámetro remediation_mode, ingresa
Automatic
. - Haz clic en Guardar para confirmar la nueva configuración del modo de solución.
- En el encabezado de la guía, haz clic en Guardar.
Próximos pasos
- Obtén más información sobre las guías en la documentación de SecOps de Google.