云基础架构授权管理概览

借助 Security Command Center 的 Cloud Infrastructure Entitlement Management (CIEM) 功能，您可以管理哪些身份有权访问您在多个云平台上部署的哪些资源，并缓解因配置错误而导致的潜在漏洞。

Security Command Center 的 CIEM 功能可让您全面了解身份和访问权限配置的安全性。具体而言，以下 CIEM 功能可帮助您识别错误配置并强制执行最小权限原则：

  • 检测您在多个云平台（包括 Google Cloud和 Amazon Web Services [AWS]）上部署的应用中的潜在身份和访问权限配置错误。
  • 识别漏洞发现，深入了解在 Google Cloud 和 AWS 环境中向主账号授予的角色。这包括其他身份提供方（例如 Entra ID [Azure AD]、Okta 和本地 Active Directory）为 Google Cloud 和 AWS IAM Identity Center 提供的联合身份。
  • 有关如何修复错误配置（例如从拥有过多权限的主账号中移除权限）的指南。
  • 支持请求管理，可通过安全运营控制台和其他工单管理系统高效跟踪错误配置修复工作。

使用 CIEM 管理身份和访问权限安全问题

以下部分介绍了可帮助您管理身份和访问权限错误配置的 CIEM 功能。

快速访问身份和访问权限发现结果

安全问题通常是由于未检测到的身份和访问权限配置错误（例如特权级别较高的正文、休眠状态的身份、未轮替的服务账号密钥以及缺少多重身份验证）而导致的。CIEM 会生成发现结果，以便提醒您注意云环境中可能存在的身份和访问安全问题。许多不同的 Security Command Center 检测服务（例如 IAM 建议程序、Security Health Analytics 和 CIEM）都会生成身份和访问权限发现结果，这些结果被视为 Security Command Center 的 CIEM 功能的一部分。例如，CIEM 检测服务本身会生成一部分 AWS 身份和访问问题，以提醒您高度特权的 AWS IAM 或 AWS IAM Identity Center 角色、组和用户。

借助 CIEM，Security Command Center 会在 Risk Overview（风险概览）页面的 Identity and access findings（身份和访问权限发现结果）卡片中按类别显示 Google Cloud 和 AWS 身份和访问权限发现结果。通过此卡片，您可以快速在 Security Command Center 的发现页面上查看过滤后的身份和访问权限配置错误发现结果。详细查看每个发现时，您可以全面了解检测到的内容，以及如何解决错误配置以避免潜在的攻击途径。

如需了解如何调查身份和访问权限发现结果以了解您的身份和访问权限安全性，请参阅调查身份和访问权限发现结果。

身份和访问权限发现结果的修复指南和跟踪

负责多云基础架构的安全团队通常很难大规模解决身份和访问权限配置错误问题。Security Command Center 可为您提供补救指南，以及安全运维功能，例如案例管理和响应手册。

如需详细了解如何审核发现问题支持请求，请参阅审核身份和访问权限问题支持请求。

发现联合身份的权限

CIEM 有助于更精细地了解身份和访问权限配置的安全性，因为它可以深入了解来自其他身份提供商（例如 Entra ID [Azure AD]、Okta 和本地 Active Directory）的联合身份的 Google Cloud 和 AWS 权限。CIEM 与 IAM Recommender 集成，以显示对您的Google Cloud 资源具有过多权限的角色所对应的联合身份。Cloud Infrastructure Entitlement Management 还可与 AWS IAM Identity Center 搭配使用，以揭示 AWS 资源中联合身份中的漏洞。您可以直接在 Security Command Center 的发现结果页面中查看违规的访问权限授予情况和建议的补救措施。如需详细了解违规的访问权限授予情况，请参阅违规的访问权限授予情况。

此外， Google Cloud 借助 IAM，您可以在 Google Cloud 控制台中的 IAM 页面上进一步了解其他身份提供程序的主账号的权限。

后续步骤