Wenn Sie ein neuer Kunde sind, Cloud de Confiance wird in den folgenden Fällen automatisch eine Organisationsressource für Ihre Domain bereitgestellt:
- Ein Nutzer aus Ihrer Domain meldet sich zum ersten Mal an.
- Ein Nutzer erstellt ein Rechnungskonto, dem keine Organisationsressource zugeordnet ist.
Die Standardkonfiguration dieser Organisationsressource, die durch uneingeschränkten Zugriff gekennzeichnet ist, kann die Infrastruktur anfällig für Sicherheitsverletzungen machen. Beispielsweise ist die Standarderstellung von Dienstkontoschlüsseln eine kritische Sicherheitslücke, die Systeme potenziellen Sicherheitsverletzungen aussetzt.
Cloud de Confiance by S3NS Die Sicherheitsgrundlage behebt unsichere Sicherheitsstatus mit einem Paket von Organisationsrichtlinien, die erzwungen werden, wenn eine Organisationsressource erstellt wird. Weitere Informationen finden Sie unter Organisationsressource beziehen. Beispiele für diese Organisationsrichtlinien sind das Deaktivieren der Erstellung von Dienstkontoschlüsseln und das Deaktivieren des Hochladens von Dienstkontoschlüsseln.
Wenn ein vorhandener Nutzer eine Organisation erstellt, kann sich der Sicherheitsstatus für die neue Organisationsressource von dem der vorhandenen Organisation Ressourcen unterscheiden. Cloud de Confiance by S3NS Einschränkungen der Sicherheitsgrundlage werden für alle Organisationen erzwungen, die am oder nach dem 3. Mai 2024 erstellt wurden. Für einige Organisationen, die zwischen Februar 2024 und April 2024 erstellt wurden, sind diese Standardrichtlinien möglicherweise ebenfalls festgelegt. Informationen zum Aufrufen von Organisationsrichtlinien, die auf Ihre Organisation angewendet werden, finden Sie unter Organisationsrichtlinien aufrufen.
Hinweis
Erforderliche Rollen
Bitten Sie Ihren Administrator, Ihnen die
Organisationsrichtlinien-Administrator (roles/orgpolicy.policyAdmin) IAM-Rolle für die Organisation zu gewähren,
um die Berechtigungen zu erhalten, die
Sie zum Verwalten von Organisationsrichtlinien benötigen.
Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.
Diese vordefinierte Rolle enthält die Berechtigungen, die zum Verwalten von Organisationsrichtlinien erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:
Erforderliche Berechtigungen
Die folgenden Berechtigungen sind für die Verwaltung von Organisationsrichtlinien erforderlich:
-
orgpolicy.constraints.list -
orgpolicy.policies.create -
orgpolicy.policies.delete -
orgpolicy.policies.list -
orgpolicy.policies.update -
orgpolicy.policy.get -
orgpolicy.policy.set
Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.
Sie können die Verwaltung von Organisationsrichtlinien delegieren, indem Sie der Rollenbindung des Organisationsrichtlinien-Administrators IAM-Bedingungen hinzufügen. Wenn Sie steuern möchten, für welche Ressourcen ein Prinzipal Organisationsrichtlinien verwalten kann, können Sie die Rollenbindung von einem bestimmten Tagabhängig machen. Weitere Informationen finden Sie unter Organisationsrichtlinien erstellen.
Auf Organisationsressourcen erzwungene Organisationsrichtlinien
In der folgenden Tabelle sind die Einschränkungen der Organisationsrichtlinien aufgeführt, die automatisch erzwungen werden, wenn Sie eine Organisationsressource erstellen.
| Name der Organisationsrichtlinie | Einschränkung der Organisationsrichtlinie | Beschreibung | Auswirkungen der Durchsetzung |
|---|---|---|---|
| Erstellen von Dienstkontoschlüsseln deaktivieren | constraints/iam.managed.disableServiceAccountKeyCreation |
Verhindert, dass Nutzer dauerhafte Schlüssel für Dienstkonten erstellen. Informationen zum Verwalten von Dienstkontoschlüsseln finden Sie unter Alternativen zum Erstellen von Dienstkontoschlüsseln. | Reduziert das Risiko, dass Anmeldedaten von Dienstkonten offengelegt werden. |
| Hochladen von Dienstkontoschlüsseln deaktivieren | constraints/iam.managed.disableServiceAccountKeyUpload |
Verhindert das Hochladen externer öffentlicher Schlüssel in Dienstkonten. Informationen zum Zugriff auf Ressourcen ohne Dienstkontoschlüssel finden Sie in diesen Best Practices. | Reduziert das Risiko, dass Anmeldedaten von Dienstkonten offengelegt werden. |
| Verhindern, dass die Rolle „Bearbeiter“ Standarddienstkonten gewährt wird | constraints/iam.automaticIamGrantsForDefaultServiceAccounts |
Verhindert, dass Standarddienstkonten beim Erstellen die IAM-Rolle „Bearbeiter“ mit übermäßigen Berechtigungen erhalten. | Mit der Rolle „Editor“ kann das Dienstkonto Ressourcen für die meisten Cloud de Confiance Dienste erstellen und löschen. Dies stellt eine Sicherheitslücke dar, wenn das Dienstkonto kompromittiert wird. |
| Identitäten nach Domain einschränken | constraints/iam.allowedPolicyMemberDomains |
Beschränkt die Freigabe von Ressourcen auf Identitäten, die zu einer bestimmten Organisationsressource oder Google Workspace-Kunden-ID gehören. | Wenn die Organisationsressource für den Zugriff durch Akteure mit anderen Domains als der des Kunden offen gelassen wird, entsteht eine Sicherheitslücke. |
| Kontakte nach Domain einschränken | constraints/essentialcontacts.managed.allowedContactDomains |
Beschränkt „Wichtige Kontakte“ so, dass nur verwaltete Nutzeridentitäten in ausgewählten Domains Plattformbenachrichtigungen erhalten. | Ein böswilliger Akteur mit einer anderen Domain kann als wichtiger Kontakt hinzugefügt werden, was zu einem kompromittierten Sicherheitsstatus führt. |
| Protokollweiterleitung anhand des Typs von IP-Adresse einschränken | constraints/compute.managed.restrictProtocolForwardingCreationForTypes |
Beschränkt die Konfiguration der Protokollweiterleitung auf interne IP-Adressen. | Schützt Zielinstanzen vor externem Traffic. |
| Einheitlicher Zugriff auf Bucket-Ebene | constraints/storage.uniformBucketLevelAccess |
Verhindert, dass Cloud Storage-Buckets ACLs pro Objekt (ein separates System von Zulassungs- und Ablehnungsrichtlinien) für den Zugriff verwenden. | Erzwingt Konsistenz für die Zugriffsverwaltung und -prüfung. |
Durchsetzung von Organisationsrichtlinien verwalten
Sie können die Durchsetzung von Organisationsrichtlinien auf folgende Arten verwalten:
Organisationsrichtlinien auflisten
Mit dem folgenden Befehl können Sie prüfen, ob die Cloud de Confiance by S3NS Einschränkungen der Sicherheitsgrundlage für Ihre Organisation erzwungen werden:
gcloud resource-manager org-policies list --organization=ORGANIZATION_ID
Ersetzen Sie ORGANIZATION_ID durch die eindeutige Kennung Ihrer Organisation.
Organisationsrichtlinien deaktivieren
Führen Sie den folgenden Befehl aus, um eine Organisationsrichtlinie zu deaktivieren oder zu löschen:
gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID
Ersetzen Sie Folgendes:
CONSTRAINT_NAME: der Name der Einschränkung der Organisationsrichtlinie, die Sie löschen möchten, z. B.iam.allowedPolicyMemberDomainsORGANIZATION_ID: die eindeutige Kennung Ihrer Organisation
Nächste Schritte
Weitere Informationen zum Erstellen und Verwalten von Organisationsrichtlinien finden Sie unter Organisationsrichtlinien erstellen.