Valutare gli account utente esistenti

Last reviewed 2024-07-11 UTC

Google supporta i seguenti tipi di account utente:

• Gli account utente gestiti sono sotto il pieno controllo di un amministratore di Cloud Identity o Google Workspace.
• Gli account consumer sono interamente di proprietà delle persone che li hanno creati e da cui vengono gestiti. Nel contesto di Google Workspace, sono chiamati account personali non gestiti.
• Gli account di lavoro non gestiti (team non gestiti) sono account aziendali self-service creati dai dipendenti che si registrano a servizi come Google Workspace Essentials o Google Cloud.

Un principio fondamentale della gestione delle identità è avere un unico posto per gestire le identità nell'organizzazione:

• Se utilizzi Google come provider di identità (IdP), Cloud Identity o Google Workspace deve essere l'unico luogo in cui gestire le identità. I dipendenti devono fare affidamento esclusivamente sugli account utente che gestisci in Cloud Identity o Google Workspace.

• Se utilizzi un IdP esterno, questo provider deve essere l'unico luogo in cui gestire le identità. L'IdP esterno deve eseguire il provisioning e gestire gli account utente in Cloud Identity o Google Workspace e i dipendenti devono fare affidamento esclusivamente su questi account utente gestiti quando utilizzano i servizi Google.

Se i dipendenti utilizzano account utente consumer, la premessa di avere un unico posto per gestire le identità viene compromessa: gli account consumer non sono gestiti da Cloud Identity, Google Workspace o dal tuo IdP esterno. Pertanto, devi identificare gli account utente consumer che vuoi convertire in account gestiti, come spiegato nella panoramica dell'autenticazione.

Per convertire gli account consumer in account gestiti utilizzando lo strumento di trasferimento, descritto più avanti in questo documento, devi disporre di un'identità Cloud Identity o Google Workspace con un ruolo di super amministratore.

Questo documento ti aiuta a comprendere e valutare quanto segue:

• Quali account utente esistenti potrebbero essere utilizzati dai dipendenti della tua organizzazione e come identificarli.
• Quali rischi potrebbero essere associati a questi account utente esistenti.

Scenario di esempio

Per illustrare i diversi insiemi di account utente che i dipendenti potrebbero utilizzare, questo documento utilizza uno scenario di esempio per un'azienda denominata Example Organization. L'organizzazione di esempio ha sei dipendenti ed ex dipendenti che utilizzano tutti i servizi Google, come Documenti Google e Google Ads. Example Organization ora intende consolidare la gestione delle identità e stabilire il proprio IdP esterno come unico luogo per la gestione delle identità. Ogni dipendente ha un'identità nell'IdP esterno che corrisponde al suo indirizzo email.

Esistono due account utente consumer, Carol e Chuck, che utilizzano un indirizzo email example.com:

• Carla ha creato un account consumer utilizzando il suo indirizzo email aziendale ([e-mail]).
• Carlo, un ex dipendente, ha creato un account consumer utilizzando il suo indirizzo email aziendale ([e-mail]).

Due dipendenti, Glen e Grace, hanno deciso di utilizzare gli account Gmail:

• Glen ha registrato un account Gmail ([e-mail])), che utilizza per accedere a documenti privati e aziendali e ad altri servizi Google.
• Anche Grace utilizza un account Gmail ([e-mail]), ma ha aggiunto il suo indirizzo email aziendale, [e-mail], come indirizzo email alternativo.

Infine, due dipendenti, Mary e Mike, utilizzano già Cloud Identity:

• Maria ha un account utente Cloud Identity ([e-mail]).
• Mike è l'amministratore dell'account Cloud Identity e ha creato un utente ([e-mail]) per sé.

Il seguente diagramma illustra i diversi insiemi di account utente:

Per stabilire l'IdP esterno come unico luogo per la gestione delle identità, devi collegare le identità degli account utente Google esistenti alle identità nell'IdP esterno. Il seguente diagramma aggiunge quindi un set di account che rappresenta le identità nell'IdP esterno.

Ricorda che se i dipendenti vogliono stabilire un IdP esterno come unico luogo per gestire le identità, devono fare affidamento esclusivamente sugli account utente gestiti e che l'IdP esterno deve controllare questi account utente.

In questo scenario, solo Maria soddisfa questi requisiti. Utilizza un utente Cloud Identity, ovvero un account utente gestito, e l'identità del suo account utente corrisponde alla sua identità nell'IdP esterno. Tutti gli altri dipendenti utilizzano account consumer o l'identità dei loro account non corrisponde alla loro identità nell'IdP esterno. I rischi e le implicazioni del mancato rispetto dei requisiti sono diversi per ciascuno di questi utenti. Ogni utente rappresenta un insieme diverso di account utente che potrebbe richiedere ulteriori indagini.

Insiemi di account utente da esaminare

Le sezioni seguenti esaminano gruppi di account utente potenzialmente problematici.

Account consumer

Questo insieme di account utente è costituito da account per i quali si verifica una delle seguenti condizioni:

• Sono stati creati dai dipendenti utilizzando la funzionalità di registrazione offerta da molti servizi Google.
• Utilizzano un indirizzo email aziendale come identità.

Nello scenario di esempio, questa descrizione si adatta a Carol e Chuck.

Un account consumer utilizzato per scopi aziendali e che utilizza un indirizzo email aziendale può comportare un rischio per la tua attività, ad esempio:

• Non puoi controllare il ciclo di vita dell'account consumer. Un dipendente che lascia l'azienda potrebbe continuare a utilizzare l'account utente per accedere alle risorse aziendali o per generare spese aziendali.

  Anche se revochi l'accesso a tutte le risorse, l'account potrebbe comunque rappresentare un rischio di ingegneria sociale. Poiché l'account utente utilizza un'identità apparentemente affidabile come [e-mail], l'ex dipendente potrebbe essere in grado di convincere i dipendenti o i partner commerciali attuali a concedere nuovamente l'accesso alle risorse.

  Allo stesso modo, un ex dipendente potrebbe utilizzare l'account utente per svolgere attività non in linea con le policy della tua organizzazione, il che potrebbe mettere a rischio la reputazione della tua azienda.

• Non puoi applicare policy di sicurezza, come la verifica MFA o regole di complessità della password, all'account.

• Non puoi applicare limitazioni relative alla posizione geografica in cui vengono archiviati i dati di Documenti Google e Google Drive, il che potrebbe costituire un rischio per la conformità.

• Non puoi limitare i servizi Google a cui è possibile accedere utilizzando questo account utente.

Se ExampleOrganization decide di utilizzare Google come IdP, il modo migliore per gestire gli account consumer è eseguirne la migrazione a Cloud Identity o Google Workspace o rimuoverli costringendo i proprietari a rinominare l'account utente.

Se ExampleOrganization decide di utilizzare un IdP esterno, deve distinguere ulteriormente tra quanto segue:

• Account consumer con un'identità corrispondente nell'IdP esterno.
• Account consumer che non hanno un'identità corrispondente nell'IdP esterno.

Le due sezioni seguenti esaminano in dettaglio queste due sottoclassi.

Account consumer con un'identità corrispondente nell'IdP esterno

Questo insieme di account utente è costituito da account che corrispondono a tutti i seguenti elementi:

• Sono stati creati dai dipendenti.
• Utilizzano un indirizzo email aziendale come indirizzo email principale.
• La loro identità corrisponde a un'identità nell'IdP esterno.

Nello scenario di esempio, questa descrizione si adatta a Carol.

Il fatto che questi account consumer abbiano un'identità corrispondente nel tuo IdP esterno suggerisce che questi account utente appartengono ai dipendenti attuali e devono essere conservati. Pertanto, dovresti prendere in considerazione la possibilità di eseguire la migrazione di questi account a Cloud Identity o Google Workspace.

Puoi identificare gli account consumer con un'identità corrispondente nell'IdP esterno come segue:

1. Aggiungi e verifica tutti i domini in Cloud Identity o Google Workspace che sospetti possano essere stati utilizzati per le registrazioni di account consumer. In particolare, l'elenco dei domini in Cloud Identity o Google Workspace deve includere tutti i domini supportati dal tuo sistema email.
2. Nella Console di amministrazione Google, vai a Directory > Utenti non gestiti:
   • Per identificare gli account consumer e scaricare un report CSV, seleziona Account personali. Per maggiori dettagli, vedi Trasferisci gli account personali non gestiti.
   • Per identificare gli account di lavoro e i team non gestiti, seleziona Account di lavoro. Per maggiori dettagli, vedi Trasferisci account di lavoro non gestiti.
3. Per trovare gli account consumer che hanno una controparte, confronta il report CSV con le identità nel tuo IdP esterno.

Account consumer senza un'identità corrispondente nell'IdP esterno

Questo insieme di account utente è costituito da account che corrispondono a tutti i seguenti elementi:

• Sono stati creati dai dipendenti.
• Utilizzano un indirizzo email aziendale come identità.
• La loro identità non corrisponde a nessuna identità nell'IdP esterno.

Nello scenario di esempio, questa descrizione si adatta a Carlo.

Esistono diverse cause per gli account consumer senza un'identità corrispondente nell'IdP esterno, tra cui:

• Il dipendente che ha creato l'account potrebbe aver lasciato l'azienda, quindi l'identità corrispondente non esiste più nell'IdP esterno.

• Potrebbe esserci una mancata corrispondenza tra l'indirizzo email utilizzato per la registrazione dell'account consumer e l'identità nota nell'IdP esterno. Mancate corrispondenze di questo tipo possono verificarsi se il tuo sistema email consente variazioni negli indirizzi email, ad esempio:

  • Utilizzo di domini alternativi. Ad esempio, [e-mail] e [e-mail] potrebbero essere alias della stessa casella di posta, ma l'utente potrebbe essere noto solo come [e-mail] nel tuo IdP.
  • Utilizzo di handle alternativi. Ad esempio, [e-mail] e [e-mail] potrebbero fare riferimento alla stessa casella di posta, ma l'IdP potrebbe riconoscere solo un'ortografia.
  • Utilizzo di una formattazione diversa. Ad esempio, le varianti [e-mail] e [e-mail] potrebbero non essere riconosciute come lo stesso utente.

Puoi gestire gli account consumer che non hanno un'identità corrispondente nell'IdP esterno nei seguenti modi:

• Puoi eseguire la migrazione dell'account consumer a Cloud Identity o Google Workspace e poi riconciliare eventuali mancate corrispondenze causate da domini alternativi, handle o maiuscole/minuscole.

• Se ritieni che l'account utente non sia legittimo o non debba più essere utilizzato, puoi rimuovere l'account consumer costringendo il proprietario a rinominarlo.

Puoi identificare gli account consumer senza un'identità corrispondente nell'IdP esterno come segue:

1. Aggiungi e verifica tutti i domini in Cloud Identity o Google Workspace che sospetti possano essere stati utilizzati per le registrazioni di account consumer. In particolare, l'elenco dei domini in Cloud Identity o Google Workspace deve includere tutti i domini supportati dal tuo sistema email come alias.
2. Nella Console di amministrazione Google, vai a Directory > Utenti non gestiti:
   • Per identificare gli account consumer e scaricare un report CSV, seleziona Account personali. Per maggiori dettagli, vedi Trasferisci gli account personali non gestiti.
   • Per identificare gli account di lavoro e i team non gestiti, seleziona Account di lavoro. Per i dettagli, vedi Trasferisci account di lavoro non gestiti.
3. Per trovare gli account consumer che non hanno una controparte, confronta il report CSV con le identità nel tuo IdP esterno.

Account gestiti senza un'identità corrispondente nell'IdP esterno

Questo insieme di account utente è costituito da account che corrispondono a tutti i seguenti elementi:

• Sono stati creati manualmente da un amministratore di Cloud Identity o Google Workspace.
• La loro identità non corrisponde a nessuna identità nell'IdP esterno.

Nello scenario di esempio, questa descrizione si adatta a Mike, che ha utilizzato l'identità [e-mail] per il suo account gestito.

Le potenziali cause della presenza di account gestiti senza un'identità corrispondente nell'IdP esterno sono simili a quelle della presenza di account consumer senza un'identità corrispondente nell'IdP esterno:

• Il dipendente per cui è stato creato l'account potrebbe aver lasciato l'azienda, quindi l'identità corrispondente non esiste più nell'IdP esterno.
• L'indirizzo email aziendale che corrisponde all'identità nell'IdP esterno potrebbe essere stato impostato come indirizzo email alternativo o alias anziché come indirizzo email principale.
• L'indirizzo email utilizzato per l'account utente in Cloud Identity o Google Workspace potrebbe non corrispondere all'identità nota nell'IdP esterno. Né Cloud Identity né Google Workspace verificano che l'indirizzo email utilizzato come identità esista. Una mancata corrispondenza può quindi verificarsi non solo a causa di domini alternativi, handle alternativi o differenze nell'uso di maiuscole e minuscole, ma anche a causa di un errore di battitura o di un altro errore umano.

Indipendentemente dalla causa, gli account gestiti senza un'identità corrispondente nell'IdP esterno rappresentano un rischio perché possono essere soggetti a riutilizzo involontario e name squatting. Ti consigliamo di riconciliare questi account.

Puoi identificare gli account consumer senza un'identità corrispondente nell'IdP esterno come segue:

1. Utilizzando la Console di amministrazione o l'API Directory, esporta l'elenco degli account utente in Cloud Identity o Google Workspace.
2. Confronta l'elenco degli account con le identità nell'IdP esterno e trova gli account che non hanno una controparte.

Account Gmail utilizzati per scopi aziendali

Questo insieme di account utente è costituito da account che corrispondono a quanto segue:

• Sono stati creati dai dipendenti.
• Utilizzano un indirizzo email gmail.com come identità.
• Le loro identità non corrispondono a nessuna identità nell'IdP esterno.

Nello scenario di esempio, questa descrizione si adatta a Grace e Glen.

Gli account Gmail utilizzati per scopi aziendali sono soggetti a rischi simili a quelli degli account consumer senza identità corrispondente nell'IdP esterno:

• Non puoi controllare il ciclo di vita dell'account consumer. Un dipendente che lascia l'azienda potrebbe continuare a utilizzare l'account utente per accedere alle risorse aziendali o per generare spese aziendali.
• Non puoi applicare policy di sicurezza, come la verifica MFA o regole di complessità della password, all'account.

Il modo migliore per gestire gli account Gmail è quindi revocare l'accesso di questi account utente a tutte le risorse aziendali e fornire ai dipendenti interessati nuovi account utente gestiti in sostituzione.

Poiché gli account Gmail utilizzano gmail.com come dominio, non esiste un'affiliazione chiara con la tua organizzazione. La mancanza di un'affiliazione chiara implica che non esiste un modo sistematico, se non quello di eliminare i criteri di controllo dell'accesso esistenti, per identificare gli account Gmail che sono stati utilizzati per scopi aziendali.

Account Gmail con un indirizzo email aziendale come indirizzo email alternativo

Questo insieme di account utente è costituito da account che corrispondono a tutti i seguenti elementi:

• Sono stati creati dai dipendenti.
• Utilizzano un indirizzo email gmail.com come identità.
• Utilizzano un indirizzo email aziendale come indirizzo email alternativo.
• Le loro identità non corrispondono a nessuna identità nell'IdP esterno.

Nello scenario di esempio, questa descrizione si adatta a Grace.

Dal punto di vista del rischio, gli account Gmail che utilizzano un indirizzo email aziendale come indirizzo email alternativo equivalgono ad account consumer senza un'identità corrispondente nell'IdP esterno. Poiché questi account utilizzano un indirizzo email aziendale apparentemente affidabile come seconda identità, sono soggetti al rischio di ingegneria sociale.

Se vuoi mantenere i diritti di accesso e alcuni dei dati associati all'account Gmail, puoi chiedere al proprietario di rimuovere Gmail dall'account utente in modo da poterli poi migrare a Cloud Identity o Google Workspace.

Il modo migliore per gestire gli account Gmail che utilizzano un indirizzo email aziendale come indirizzo email alternativo è eseguirne la sanitizzazione. Quando esegui la sanificazione di un account, costringi il proprietario a rinunciare all'indirizzo email aziendale creando un account utente gestito con lo stesso indirizzo email aziendale. Inoltre, ti consigliamo di revocare l'accesso a tutte le risorse aziendali e di fornire ai dipendenti interessati i nuovi account utente gestiti come sostituti.

Passaggi successivi

• Scopri di più sui diversi tipi di account utente su Google Cloud.
• Consulta le best practice per la federazione di Google Cloud con un provider di identità esterno.
• Per gli amministratori di Google Workspace e Cloud Identity:
  • Consulta l'articolo Risolvere gli errori relativi agli account duplicati.
  • Scopri come trasferire account personali non gestiti.
  • Scopri come trasferire account di lavoro non gestiti.