Correggere le autorizzazioni eccessive con Privileged Access Manager

Se il motore per suggerimenti IAM rileva che un'entità dispone di autorizzazioni eccessive, puoi correggere il risultato eseguendo la transizione dell'associazione del ruolo permanente dell'entità a un diritto temporaneo su richiesta in Privileged Access Manager (PAM).

Questo approccio ti consente di ottenere una postura con privilegi minimi senza il rischio di revocare definitivamente l'accesso che potrebbe essere necessario per attività poco frequenti ma critiche.

Prima di iniziare

  1. Assicurati che Privileged Access Manager sia onboarding e abilitato per la risorsa (progetto, cartella o organizzazione) a cui è concesso il ruolo.
  2. Verifica di disporre delle autorizzazioni necessarie per completare questa guida.

Ruoli e autorizzazioni richiesti

Per ottenere le autorizzazioni necessarie per completare le attività descritte in questa guida, chiedi all'amministratore di concederti i seguenti ruoli IAM nel tuo progetto Google Cloud :

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Questi ruoli predefiniti contengono le autorizzazioni necessarie per completare le attività descritte in questa guida. Per vedere quali sono esattamente le autorizzazioni richieste, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per completare le attività descritte in questa guida sono richieste le seguenti autorizzazioni:

  • Per visualizzare i suggerimenti sui ruoli:
    • recommender.iamPolicyInsights.list
    • recommender.iamPolicyRecommendations.list
    • resourcemanager.projects.get
  • Per creare diritti PAM:
    • privilegedaccessmanager.entitlements.create
    • privilegedaccessmanager.entitlements.list
    • privilegedaccessmanager.locations.list
    • privilegedaccessmanager.locations.get
    • resourcemanager.projects.get
    • resourcemanager.projects.setIamPolicy

Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.

Eseguire la transizione di un ruolo a un diritto Privileged Access Manager

Quando esegui la transizione di un ruolo a un diritto Privileged Access Manager, IAM recommender si coordina con Privileged Access Manager per creare un diritto e rimuovere l'associazione di ruolo permanente originale. Puoi farlo dalla pagina Approfondimenti sulla sicurezza o dalla pagina IAM nella console Google Cloud .

Insight sulla sicurezza

Per eseguire la transizione di un ruolo dalla pagina Approfondimenti sulla sicurezza:

  1. Nella console Google Cloud , vai alla pagina IAM e amministrazione > approfondimenti sulla sicurezza.

    Vai a Approfondimenti sulla sicurezza

  2. Individua il widget Principali gruppi con autorizzazioni in eccesso.

  3. Per il gruppo per cui vuoi correggere le autorizzazioni, fai clic sul link corrispondente nella colonna Approfondimenti.

  4. Per il tipo di insight che vuoi risolvere, fai clic su Visualizza consiglio.

  5. Nella pagina Panoramica, seleziona Rimuovi ruolo e concedi l'accesso on demand al ruolo.

  6. Per creare un diritto con il ruolo richiesto, inserisci i dettagli necessari e fai clic su Applica. I campi Ruolo e Risorsa nel modulo vengono precompilati in base al suggerimento. Il valore predefinito della Durata è 8 ore. Per istruzioni dettagliate, vedi Creare diritti.

    Privileged Access Manager crea un nuovo diritto in base alla tua configurazione e rimuove l'associazione di ruolo permanente dal criterio di autorizzazione della risorsa.

    L'applicazione delle modifiche all'accesso richiede 1-2 minuti.

IAM

Per eseguire la transizione di un ruolo dalla pagina IAM:

  1. Nella console Google Cloud vai alla pagina IAM.

    Vai a IAM

  2. Nell'elenco dei principal, individua il gruppo per cui vuoi correggere le autorizzazioni.

  3. Per visualizzare i suggerimenti per l'entità gruppo, fai clic sull'insight nella colonna Insight sulla sicurezza.

  4. Nella pagina Panoramica, seleziona Rimuovi ruolo e concedi l'accesso on demand al ruolo.

  5. Per creare un diritto con il ruolo richiesto, inserisci i dettagli necessari e fai clic su Applica. I campi Ruolo e Risorsa nel modulo vengono precompilati in base al suggerimento. Il valore predefinito della Durata è 8 ore. Per istruzioni dettagliate, vedi Creare diritti.

    Privileged Access Manager crea un nuovo diritto in base alla tua configurazione e rimuove l'associazione di ruolo permanente dal criterio di autorizzazione della risorsa.

    L'applicazione delle modifiche all'accesso richiede 1-2 minuti.

Ripristinare un consiglio

Per ripristinare un suggerimento, vedi Ripristinare i suggerimenti.

Dopo aver annullato il suggerimento, il sistema ripristina l'associazione IAM originale ed elimina il diritto Privileged Access Manager creato.

Passaggi successivi