מעקב אחרי האישורים

מרכז הבקרה של Certificate Manager (דור שני) עוזר לשמור על סביבת אישורים מאובטחת ותקינה. אתם יכולים להשתמש במרכז הבקרה כדי לזהות אישורים שתוקפם עומד לפוג, לבדוק את מצב האבטחה ולעקוב אחרי מגמות ההנפקה.

לוח הבקרה של הסקירה הכללית כולל את תרשימי המעקב הבאים:

  • מספר האישורים שהונפקו ב-7 הימים האחרונים: מעקב אחרי המספר הכולל של האישורים שהונפקו ב-7 הימים האחרונים.
  • אישורים שהונפקו לפי סוג הרשות: מקבץ אישורים לפי סוג הרשות (ציבורית, פרטית או לא ידועה).
  • אישורים שהונפקו לפי מיקום: מיון האישורים לפי מיקום הפריסה.
  • אישורים שתוקפם עומד לפוג: מציג אישורים שתוקפם עומד לפוג תוך 7 ימים ו-30 ימים.

לפני שמתחילים

  1. נכנסים לחשבון Google Cloud . אנחנו ממליצים למשתמשים חדשים ב- Google Cloud ליצור חשבון כדי שיוכלו להעריך את הביצועים של המוצרים שלנו בתרחישים מהעולם האמיתי. לקוחות חדשים מקבלים בחינם גם קרדיט בשווי 300$ להרצה, לבדיקה ולפריסה של עומסי העבודה.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. Verify that billing is enabled for your Google Cloud project.

  4. Enable the Certificate Authority Service, Certificate Manager APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  5. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  6. Verify that billing is enabled for your Google Cloud project.

  7. Enable the Certificate Authority Service, Certificate Manager APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

    8.

התפקידים הנדרשים

כדי לקבל את ההרשאות שדרושות למעקב אחרי אישורים, בקשו מהאדמין לתת לכם את התפקידים הבאים ב-IAM ברמת הפרויקט:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

גישה ללוח הבקרה של הסקירה הכללית

כדי לגשת למרכז הבקרה ולראות את מדדי האישורים:

  1. נכנסים לדף Certificate Manager במסוף Google Cloud .

    כניסה למרכז הבקרה של Certificate Manager

  2. אופציונלי: כדי לשנות את טווח הזמן, משתמשים בבורר הזמן שבפינה השמאלית העליונה של לוח הבקרה. כברירת מחדל, במרכז הבקרה מוצגים מדדים מ-7 הימים האחרונים.

הנתונים במרכז הבקרה מתעדכנים כל 24 שעות.

מעקב אחרי התקינות והתפוגה של האישורים

בלוח הבקרה מוצגים מדדים שמתמקדים ספציפית באישורים לטווח ארוך, שהם אישורים עם משך חיים של יותר מ-72 שעות.

ב-Certificate Manager (דור שני) לא נכללים אישורים לטווח קצר (עם משך חיים של פחות מ-72 שעות), כי הם עוברים רוטציה אוטומטית תכופה ולא דורשים את אותו מעקב ידני כמו אישורים לטווח ארוך.

כדי לעקוב אחרי אישורים שתוקפם עומד לפוג ודורשים התערבות ידנית, פועלים לפי השלבים הבאים:

  1. מאתרים את התרשים אישורים שתוקפם עומד לפוג במרכז הבקרה.
  2. בודקים את האזהרות לגבי אישורים שתוקפם עומד לפוג.
  3. אם קיבלתם אזהרה על תפוגה, חפשו במלאי שלכם באמצעות זהות האישור כדי לבדוק אם כבר יש אישור חלופי. למידע נוסף, קראו את המאמר סינון מלאי האישורים.

בדיקת מלאי האישורים

בקטע Inventory metrics במרכז הבקרה אפשר לבדוק את האישורים הפעילים בסביבה שלכם במהלך פרק הזמן שבחרתם.

כדי לבדוק את המלאי, בודקים את האישורים שמסווגים לפי הקריטריונים הבאים:

  • הצגת אישורים פעילים לפי משאב: מעקב אחרי נפח האישורים לפי המשאב שהנפיק אותם ( Google Cloud ). ב-Certificate Manager (דור שני) מזוהים אישורים שהונפקו על ידי Workload Identity מנוהל או על ידי איזון עומסים. אישורים אחרים שהונפקו באמצעות Certificate Authority Service מסווגים כלא צוינו. מידע נוסף זמין במאמר שירותים נתמכים.
  • הצגת אישורים פעילים לפי אלגוריתם מפתח: אפשר לבדוק את התקנים הקריפטוגרפיים על ידי קיבוץ אישורים לפי אלגוריתם מפתח העלה שלהם (לדוגמה, RSA או ECDSA). כך אפשר להבטיח עמידה בסעיפי מדיניות האבטחה של הארגון.
  • הצגת אישורים פעילים לפי פרופיל השימוש במפתח: קיבוץ אישורים לפי השימוש המיועד שלהם. Certificate Manager מתייג את האישורים לפי הפרופיל הכי קרוב. אם אי אפשר לקבוע את הפרופיל, הוא מסומן בתווית אחר.

כדי לראות את האישורים הספציפיים בכל אחת מהקטגוריות האלה, לוחצים על הצגת האישורים כדי לפתוח את דף המלאי.

מעקב אחרי מגמות בהנפקת אישורים

בתרשים Issuance metrics אפשר לעקוב אחרי השירותים שהגדרתם להנפקת אישורים לאורך זמן. הגישה הזו עוזרת לעקוב אחרי הצמיחה ולזהות חריגות פוטנציאליות בהנפקה.

כדי לעקוב אחרי מגמות בהנפקת כרטיסים, כדאי לבדוק את המדדים הבאים:

  1. אישורים שהונפקו לפי מיקום: מספר האישורים שהונפקו בכל מיקום, כדי לראות את ההתפלגות הגיאוגרפית של נפח האישורים.
  2. אישורים שהונפקו לפי סוג רשות: מספר האישורים שהונפקו על ידי רשויות אישורים ציבוריות (כמו Public Certificate Authority) לעומת רשויות אישורים פרטיות (כמו CA Service).
  3. סה"כ אישורים שהונפקו: מעקב אחרי הנפח הכולל של האישורים שהונפקו בטווח הזמן שנבחר, כדי להבין את היקף הסביבה.

המאמרים הבאים