Standardmäßig sichere Organisationsressourcen verwalten

Wenn Sie ein neuer Kunde sind, Trusted Cloud wird in den folgenden Fällen automatisch eine Organisationsressource für Ihre Domain bereitgestellt:

• Ein Nutzer aus Ihrer Domain meldet sich zum ersten Mal an.
• Ein Nutzer erstellt ein Rechnungskonto, dem keine zugehörige Organisationsressource zugeordnet ist.

Die Standardkonfiguration dieser Organisationsressource, die durch uneingeschränkten Zugriff gekennzeichnet ist, kann die Infrastruktur anfällig für Sicherheitsverletzungen machen. So ist beispielsweise das Erstellen von Standardschlüsseln für Dienstkonten eine kritische Sicherheitslücke, die Systeme potenziellen Sicherheitsverletzungen aussetzt.

Mit den standardmäßig sicheren Organisationsrichtlinien werden unsichere Konfigurationen durch eine Reihe von Organisationsrichtlinien behoben, die beim Erstellen einer Organisationsressource erzwungen werden. Beispiele für diese Maßnahmen sind das Deaktivieren des Erstellens von Dienstkontoschlüsseln und das Deaktivieren des Hochladens von Dienstkontoschlüsseln.

Wenn ein vorhandener Nutzer eine Organisation erstellt, kann die Sicherheitslage für die neue Organisationsressource von der der vorhandenen Organisationsressourcen abweichen. Standardmäßig sichere Organisationsrichtlinien werden für alle Organisationen erzwungen, die am oder nach dem 3. Mai 2024 erstellt wurden. Bei einigen Organisationen, die zwischen Februar 2024 und April 2024 erstellt wurden, sind diese Standardrichtliniendurchsetzungen möglicherweise ebenfalls festgelegt. Informationen zum Aufrufen von Organisationsrichtlinien, die auf Ihre Organisation angewendet werden, finden Sie unter Organisationsrichtlinien aufrufen.

Als Administrator sind die folgenden Szenarien relevant, in denen diese Organisationsrichtlinien automatisch durchgesetzt werden:

• Google Workspace- oder Cloud Identity-Konto: Wenn Sie ein Google Workspace- oder Cloud Identity-Konto haben, wird eine Organisationsressource erstellt, die mit Ihrer Domain verknüpft ist. Die standardmäßig sicheren Unternehmensrichtlinien werden automatisch für die Organisationsressource erzwungen.
• Erstellung von Rechnungskonten: Wenn das von Ihnen erstellte Rechnungskonto nicht mit einer Organisationsressource verknüpft ist, wird automatisch eine Organisationsressource erstellt. Die standardmäßig sicheren Organisationsrichtlinien werden für die Organisationsressource erzwungen. Dieses Szenario funktioniert sowohl in der Trusted Cloud Console als auch in der gcloud CLI.

Erforderliche Berechtigungen

Die IAM-Rolle (Identity and Access Management) roles/orgpolicy.policyAdmin ermöglicht einem Administrator die Verwaltung von Organisationsrichtlinien. Sie müssen Administrator für Organisationsrichtlinien sein, um Organisationsrichtlinien ändern oder überschreiben zu können. Führen Sie zum Zuweisen der Rolle den folgenden Befehl aus:

gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE

Ersetzen Sie Folgendes:

• ORGANIZATION: Eindeutige Kennung Ihrer Organisation.
• PRINCIPAL: Das Mitglied, für das die Bindung eingefügt werden soll. Muss das Format user|group|serviceAccount:email oder domain:domain haben. Beispiel: user:222larabrown@gmail.com
• ROLE: Die Rolle, die dem Hauptkonto zugewiesen werden soll. Verwenden Sie den vollständigen Pfad einer vordefinierten Rolle. In diesem Fall sollte es roles/orgpolicy.policyAdmin sein.

Auf Organisationsressourcen erzwungene Organisationsrichtlinien

In der folgenden Tabelle sind die Einschränkungen für Organisationsrichtlinien aufgeführt, die automatisch erzwungen werden, wenn Sie eine Organisationsressource erstellen.

Durchsetzung von Organisationsrichtlinien verwalten

Sie können die Durchsetzung von Organisationsrichtlinien auf folgende Weise verwalten:

Organisationsrichtlinien auflisten

Mit dem folgenden Befehl können Sie prüfen, ob die standardmäßig sicheren Organisationsrichtlinien in Ihrer Organisation erzwungen werden:

gcloud resource-manager org-policies list --organization=ORGANIZATION_ID

Ersetzen Sie ORGANIZATION_ID durch die eindeutige Kennung Ihrer Organisation.

Organisationsrichtlinien deaktivieren

Führen Sie den folgenden Befehl aus, um eine Organisationsrichtlinie zu deaktivieren oder zu löschen:

gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID

Ersetzen Sie Folgendes:

• CONSTRAINT_NAME ist der Name der Einschränkung für Organisationsrichtlinien, die Sie löschen möchten. Ein Beispiel dafür ist iam.allowedPolicyMemberDomains.
• ORGANIZATION_ID ist die eindeutige Kennzeichnung Ihrer Organisation.

Werte für eine Organisationsrichtlinie hinzufügen oder aktualisieren

Wenn Sie Werte für eine Organisationsrichtlinie hinzufügen oder aktualisieren möchten, müssen Sie die Werte in einer YAML-Datei speichern. Beispiel für den Inhalt dieser Datei:

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "values": {
            "allowedValues": ["VALUE_A"]
        }
      }
    ]
  }
}

Führen Sie den folgenden Befehl aus, um die in der YAML-Datei aufgeführten Werte hinzuzufügen oder zu aktualisieren:

gcloud org-policies set-policy POLICY_FILE

Ersetzen Sie POLICY_FILE durch den Pfad zur YAML-Datei, die die Werte der Organisationsrichtlinie enthält.