Übermäßige Berechtigungen mit Privileged Access Manager beheben

Wenn der IAM-Recommender feststellt, dass ein Prinzipal übermäßige Berechtigungen hat, können Sie das Problem beheben, indem Sie die permanente Rollenbindung des Principals in eine temporäre On-Demand-Berechtigung in Privileged Access Manager (PAM) umwandeln.

So können Sie den Grundsatz der geringsten Berechtigung umsetzen, ohne das Risiko einzugehen, den Zugriff dauerhaft zu widerrufen, der für seltene, aber wichtige Aufgaben erforderlich sein könnte.

Hinweis

  1. Prüfen Sie, ob Privileged Access Manager für die Ressource (Projekt, Ordner oder Organisation), für die die Rolle gewährt wird, eingebunden und aktiviert ist.
  2. Prüfen Sie, ob Sie die Berechtigungen haben, die für diese Anleitung erforderlich sind.

Erforderliche Rollen und Berechtigungen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für Ihr Google Cloud Projekt zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Ausführen der Aufgaben in dieser Anleitung benötigen:

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Ausführen der Aufgaben in diesem Leitfaden erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind zum Ausführen der Aufgaben in dieser Anleitung erforderlich:

  • So rufen Sie Rollenempfehlungen auf:
    • recommender.iamPolicyInsights.list
    • recommender.iamPolicyRecommendations.list
    • resourcemanager.projects.get
  • So erstellen Sie PAM-Berechtigungen:
    • privilegedaccessmanager.entitlements.create
    • privilegedaccessmanager.entitlements.list
    • privilegedaccessmanager.locations.list
    • privilegedaccessmanager.locations.get
    • resourcemanager.projects.get
    • resourcemanager.projects.setIamPolicy

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Rolle in eine Privileged Access Manager-Berechtigung umwandeln

Wenn Sie eine Rolle in eine Privileged Access Manager-Berechtigung umwandeln, koordiniert IAM Recommender mit Privileged Access Manager, um eine Berechtigung zu erstellen und die ursprüngliche permanente Rollenbindung zu entfernen. Das ist entweder auf der Seite Security Insights oder auf der Seite IAM in der Google Cloud Console möglich.

Statistiken zur Datensicherheit

So migrieren Sie eine Rolle über die Seite Sicherheitsinformationen:

  1. Rufen Sie in der Google Cloud Console die Seite IAM & Verwaltung > Security Insights auf.

    Zu „Sicherheitsinformationen“

  2. Suchen Sie das Widget Wichtigste Gruppen mit nicht erforderlichen Berechtigungen.

  3. Klicken Sie für die Gruppe, für die Sie Berechtigungen korrigieren möchten, in der Spalte Statistiken auf den entsprechenden Link.

  4. Klicken Sie für den gewünschten Statistiktyp auf Empfehlung ansehen.

  5. Wählen Sie auf der Seite Übersicht die Option Rolle entfernen und On-Demand-Zugriff auf die Rolle gewähren aus.

  6. Wenn Sie einen Anspruch mit der erforderlichen Rolle erstellen möchten, geben Sie die erforderlichen Details ein und klicken Sie auf Übernehmen. Die Felder Rolle und Ressource im Formular werden basierend auf der Empfehlung vorab ausgefüllt. Die Dauer ist standardmäßig auf 8 Stunden festgelegt. Eine ausführliche Anleitung finden Sie unter Berechtigungen erstellen.

    Privileged Access Manager erstellt basierend auf Ihrer Konfiguration eine neue Berechtigung und entfernt die permanente Rollenbindung aus der Zulassungsrichtlinie der Ressource.

    Es dauert 1 bis 2 Minuten, bis Änderungen am Zugriff wirksam werden.

IAM

So migrieren Sie eine Rolle über die Seite IAM:

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Suchen Sie in der Liste der Identitäten die Gruppe, deren Berechtigungen Sie korrigieren möchten.

  3. Wenn Sie Empfehlungen für dieses Gruppenhauptkonto aufrufen möchten, klicken Sie in der Spalte Sicherheitsstatistiken auf die Statistik.

  4. Wählen Sie auf der Seite Übersicht die Option Rolle entfernen und On-Demand-Zugriff auf die Rolle gewähren aus.

  5. Wenn Sie einen Anspruch mit der erforderlichen Rolle erstellen möchten, geben Sie die erforderlichen Details ein und klicken Sie auf Übernehmen. Die Felder Rolle und Ressource im Formular werden basierend auf der Empfehlung vorab ausgefüllt. Die Dauer ist standardmäßig auf 8 Stunden festgelegt. Eine ausführliche Anleitung finden Sie unter Berechtigungen erstellen.

    Privileged Access Manager erstellt basierend auf Ihrer Konfiguration eine neue Berechtigung und entfernt die permanente Rollenbindung aus der Zulassungsrichtlinie der Ressource.

    Es dauert 1 bis 2 Minuten, bis Änderungen am Zugriff wirksam werden.

Empfehlung rückgängig machen

Informationen zum Rückgängigmachen von Empfehlungen finden Sie unter Empfehlungen rückgängig machen.

Nachdem Sie die Empfehlung rückgängig gemacht haben, stellt das System die ursprüngliche IAM-Bindung wieder her und löscht die erstellte Privileged Access Manager-Berechtigung.

Nächste Schritte