Neste documento, explicamos como ativar o playbook Resposta do IAM Recommender no Security Command Center Enterprise para identificar as identidades com permissão em excesso e remover essas permissões de forma automática e segura.
A funcionalidade do playbook Resposta do recomendador do IAM é desenvolvida pelas Operações de segurança do Google.
Visão geral
O recomendador do IAM fornece insights de segurança que avaliam como os principais usam os recursos e recomenda que você tome uma medida com base no insight encontrado. Por exemplo, quando uma permissão não foi usada nos últimos 90 dias, o recomendador do IAM a destaca como uma permissão excessiva e recomenda que você a remova com segurança.
O manual Resposta do recomendador do IAM usa o recomendador do IAM para verificar, no seu ambiente, as identidades da carga de trabalho que têm permissões em excesso ou representações de conta de serviço. Em vez de analisar e aplicar recomendações manualmente no Identity and Access Management, ative o playbook para fazer isso automaticamente no console de operações de segurança.
Pré-requisitos
Antes de ativar o manual Resposta do recomendador do IAM, conclua as etapas de pré-requisito a seguir:
- Crie um papel personalizado do IAM e configure uma permissão específica para ele.
- Defina o valor do E-mail de Identidade da carga de trabalho.
- Conceda o papel personalizado que você criou a um principal atual.
Criar um papel personalizado do IAM
No console do Google Cloud, acesse a página Papéis do IAM.
Clique em Criar papel para criar um papel personalizado com as permissões necessárias para a integração.
Para um novo papel personalizado, forneça o Título, a Descrição e um ID exclusivo.
Defina o Estágio da inicialização do papel como Disponibilidade geral.
Adicione a seguinte permissão ao papel criado:
resourcemanager.organizations.setIamPolicy
Clique em Criar.
Definir o valor do e-mail de Identidade da carga de trabalho
Para definir a que identidade conceder o papel personalizado, conclua as etapas a seguir:
- No console de Operações de segurança, acesse Resposta > Configuração de integrações.
- No campo Pesquisar da integração, digite
Google Cloud Recommender
. - Clique em Configurar instância. A janela de diálogo é aberta.
- Copie o valor do parâmetro E-mail de identidade da carga de trabalho para a área de transferência. O valor precisa estar no seguinte formato:
username@example.com
Conceder um papel personalizado a um principal existente
Depois de conceder o novo papel personalizado a um principal selecionado, ele poderá alterar as permissões de qualquer usuário na sua organização.
No console do Google Cloud, abra a página IAM.
No campo Filtro, cole o valor do E-mail de identidade da carga de trabalho e pesquise o principal atual.
Clique em
Editar principal. A janela da caixa de diálogo é aberta.No painel Acesso para editar, em Atribuir papéis, clique em
Adicionar outro papel.Selecione o papel personalizado que você criou e clique em Salvar.
Ativar playbook
Por padrão, o playbook Resposta do recomendador do IAM está desativado. Para usar o playbook, ative-o manualmente:
- No console de Operações de Segurança, acesse Resposta > Playbooks.
- No campo Pesquisa do playbook, digite
IAM Recommender
. - No resultado da pesquisa, selecione o playbook Resposta do IAM Recommender.
- No cabeçalho do playbook, mude a chave para ativar o playbook.
- No cabeçalho do playbook, clique em Salvar.
Configurar o fluxo de aprovação automática
Mudar as configurações do playbook é uma configuração avançada e opcional.
Por padrão, sempre que o playbook identifica permissões não utilizadas, ele aguarda que você aprove ou recuse a correção antes de concluir a execução.
Para configurar o fluxo do playbook para remover automaticamente as permissões não utilizadas sempre que forem encontradas sem solicitar sua aprovação, conclua as etapas a seguir:
- No console de Operações de Segurança, acesse Resposta > Playbooks.
- Selecione o playbook IAM Recommender Response (Resposta do recomendador do IAM).
- Nos elementos básicos do manual, selecione Bloco de configuração do IAM_1. A janela
de configuração de blocos será aberta. Por padrão, o parâmetro remediation_mode é definido como
Manual
. - No campo de parâmetro remediation_mode, insira
Automatic
. - Clique em Salvar para confirmar as novas configurações do modo de correção.
- No cabeçalho do playbook, clique em Salvar.
A seguir
- Saiba mais sobre playbooks na documentação do Google SecOps.