Rollenempfehlungen für Projekte, Ordner und Organisationen prüfen und anwenden

Auf dieser Seite wird beschrieben, wie Sie Rollenempfehlungen für Projekte, Ordner und Organisationen aufrufen, nachvollziehen und anwenden. Rollenempfehlungen helfen Ihnen dabei, das Prinzip der geringsten Berechtigung durchzusetzen, indem sie dafür sorgen, dass Hauptkonten nur die Berechtigungen haben, die sie tatsächlich benötigen.

Hinweis

  • Aktivieren Sie die IAM API und die Recommender API, falls sie noch nicht aktiviert sind.

    Rollen, die zum Aktivieren von APIs erforderlich sind

    Zum Aktivieren von APIs benötigen Sie die Berechtigung serviceusage.services.enable. Wenn Sie das Projekt erstellt haben, haben Sie diese Berechtigung wahrscheinlich bereits über die Rolle „Inhaber“ (roles/owner). Andernfalls können Sie diese Berechtigung über die Rolle „Service Usage-Administrator“ (roles/serviceusage.serviceUsageAdmin) erhalten. Informationen zum Zuweisen von Rollen

    APIs aktivieren

  • Informieren Sie sich über Rollenempfehlungen.

  • Sehen Sie sich die Best Practices für Rollenempfehlungen an.

  • Optional: Wenn Sie Rollenempfehlungen für nicht einfache und benutzerdefinierte Rollen ansehen und verwalten möchten, müssen Sie die Premium- oder Enterprise-Stufe von Security Command Center auf Organisations- oder Projektebene aktivieren. Weitere Informationen finden Sie unter Fragen zur Abrechnung.

  • Richten Sie die Authentifizierung ein.

    Wählen Sie den Tab für die geplante Verwendung der Beispiele auf dieser Seite aus:

    gcloud

    Aktivieren Sie Cloud Shell in der Google Cloud Console.

    Cloud Shell aktivieren

    Unten in der Google Cloud Console wird eine Cloud Shell-Sitzung gestartet und eine Eingabeaufforderung angezeigt. Cloud Shell ist eine Shell-Umgebung, in der das Google Cloud CLI bereits installiert ist und Werte für Ihr aktuelles Projekt bereits festgelegt sind. Das Initialisieren der Sitzung kann einige Sekunden dauern.

    REST

    Wenn Sie die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung verwenden möchten, verwenden Sie die Anmeldedaten, die Sie der gcloud CLI bereitstellen.

      Installieren Sie die Google Cloud CLI.

      Wenn Sie einen externen Identitätsanbieter (IdP) verwenden, müssen Sie sich zuerst mit Ihrer föderierten Identität in der gcloud CLI anmelden.

    Weitere Informationen finden Sie in der Dokumentation zur Google Cloud -Authentifizierung unter Für die Verwendung von REST authentifizieren.

Erforderliche IAM-Rollen

In diesem Abschnitt werden die IAM-Rollen und -Berechtigungen beschrieben, die Sie benötigen, um mit Rollenempfehlungen zu arbeiten.

Empfehlungen ansehen

Um die Berechtigungen zu erhalten, die Sie zum Aufrufen von Rollenempfehlungen benötigen, bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die Ressource zuzuweisen, für die Sie Empfehlungen aufrufen möchten (Projekt, Ordner oder Organisation):

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Aufrufen von Rollenempfehlungen erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um Rollenempfehlungen aufzurufen:

  • iam.roles.get
  • iam.roles.list
  • recommender.iamPolicyRecommendations.get
  • recommender.iamPolicyRecommendations.list
  • recommender.iamPolicyInsights.get
  • recommender.iamPolicyInsights.list
  • recommender.iamPolicyLateralMovementInsights.get
  • recommender.iamPolicyLateralMovementInsights.list
  • So rufen Sie Empfehlungen in der Google Cloud Konsole auf: resourcemanager.RESOURCE.getIamPolicy, wobei RESOURCE der Ressourcentyp ist, für den Sie Empfehlungen aufrufen möchten (projects, folders oder organizations).

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Empfehlungen anwenden und ablehnen

Um die Berechtigungen zu erhalten, die Sie zum Aufrufen, Anwenden und Ablehnen von Rollenempfehlungen benötigen, bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die Ressource zuzuweisen, für die Sie Empfehlungen verwalten möchten (Projekt, Ordner oder Organisation):

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Aufrufen, Anwenden und Ablehnen von Rollenempfehlungen erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um Rollenempfehlungen aufzurufen, anzuwenden und abzulehnen:

  • iam.roles.get
  • iam.roles.list
  • recommender.iamPolicyRecommendations.get
  • recommender.iamPolicyRecommendations.list
  • recommender.iamPolicyInsights.get
  • recommender.iamPolicyInsights.list
  • recommender.iamPolicyLateralMovementInsights.get
  • recommender.iamPolicyLateralMovementInsights.list
  • recommender.iamPolicyRecommendations.update
  • resourcemanager.RESOURCE.getIamPolicy, wobei RESOURCE der Ressourcentyp ist, für den Sie Empfehlungen verwalten möchten (projects, folders oder organizations).
  • resourcemanager.RESOURCE.setIamPolicy, wobei RESOURCE der Ressourcentyp ist, für den Sie Empfehlungen verwalten möchten (projects, folders oder organizations).

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Empfehlungen prüfen und anwenden

Am einfachsten lassen sich Empfehlungen über dieGoogle Cloud Console prüfen und anwenden. Wenn Sie beim Anwenden einer Empfehlung automatisch eine benutzerdefinierte Rolle erstellen möchten, müssen Sie die Google Cloud Console verwenden.

Sie können Empfehlungen auch mit der Google Cloud CLI und der Recommender API überprüfen und anwenden.

Console

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie ein Projekt, einen Ordner oder eine Organisation aus.

  3. Suchen Sie in der Liste der Hauptkonten, die Zugriff auf Ihr Projekt haben, nach der Spalte Sicherheitsstatistiken.

    Für jede Rolle, die einem Hauptkonto zugewiesen wurde, enthält diese Spalte die sicherheitsbezogenen Statistiken. Diese Statistiken zeigen, nach welchem Muster Ihre Hauptkonten auf Ressourcen zugreifen. Beispiel: Einige Statistiken zeigen übermäßige Berechtigungen oder Berechtigungen, die ein Hauptkonto nicht benötigt: Andere Statistiken zeigen Dienstkonten mit "Lateral Movement"-Funktionen:

    Wenn eine Empfehlung zur Behebung einer Statistik verfügbar ist, wird in derGoogle Cloud Console das Symbol Empfehlung verfügbar angezeigt.

  4. Falls Empfehlungen zum Prüfen vorhanden sind, klicken Sie auf ein Empfehlung verfügbar-Symbol , um sich Details zur Empfehlung anzusehen.

    Wenn die Empfehlung darin besteht, die Rolle zu ersetzen, schlägt der Rollen-Recommender immer eine Reihe von vordefinierten Rollen vor, die Sie anwenden können.

    In einigen Fällen schlägt die Rollenempfehlung auch vor, eine neue benutzerdefinierte Rolle auf Projektebene zu erstellen. Wenn eine Empfehlung für eine benutzerdefinierte Rolle verfügbar ist, wird sie in der Google Cloud Console standardmäßig angezeigt. Wenn Sie zur Empfehlung für die vordefinierte Rolle wechseln möchten, klicken Sie auf Empfohlene vordefinierte Rolle ansehen.

    Nur für Gruppenidentitäten mit nicht erforderlichen Berechtigungen haben Sie die Möglichkeit, den dauerhaften Zugriff mit Privileged Access Manager durch temporären On-Demand-Zugriff zu ersetzen (Vorabversion). Wenn Mitglieder einer Gruppe nicht dauerhaft Zugriff auf die Berechtigungen einer Rolle benötigen, aber möglicherweise in Zukunft aus unvorhergesehenen Gründen darauf zugreifen müssen, können Sie ihren dauerhaften Zugriff entfernen und Privileged Access Manager verwenden, damit sie bei Bedarf vorübergehenden Zugriff anfordern können. Informationen zum Beheben von nicht erforderlichen Berechtigungen mit Privileged Access Manager finden Sie unter Nicht erforderliche Berechtigungen mit Privileged Access Manager beheben.

  5. Prüfen Sie die Empfehlung sorgfältig und achten Sie darauf, dass Sie verstehen, wann sie zuletzt aktualisiert wurde und wie sich dadurch der Zugriff des Hauptkontos aufGoogle Cloud -Ressourcen ändert. Mit Ausnahme von Empfehlungen für Dienst-Agents wird durch eine Empfehlung der Zugriff eines Hauptkontos niemals erhöht. Weitere Informationen finden Sie unter So werden Rollenempfehlungen generiert.

    Informationen zum Abrufen von Empfehlungen in der Konsole finden Sie auf dieser Seite unter Empfehlungen prüfen.

  6. Optional: Wenn die Empfehlung lautet, eine benutzerdefinierte Rolle zu erstellen, aktualisieren Sie, falls nötig, den Titel, die Beschreibung, die ID und die Phase der Rollenerstellung.

    Wenn Sie der benutzerdefinierten Rolle Berechtigungen hinzufügen möchten, klicken Sie auf Berechtigungen hinzufügen.

    Wenn Sie aus der benutzerdefinierten Rolle Berechtigungen entfernen möchten, entfernen Sie für jede Berechtigung, die Sie entfernen möchten, das Häkchen aus dem entsprechenden Kästchen.

  7. Setzen Sie die Empfehlung um.

    Um die Empfehlung anzuwenden, klicken Sie auf Anwenden oder Erstellen und anwenden. Wenn Sie Ihre Meinung innerhalb der nächsten 90 Tage ändern, verwenden Sie den Empfehlungsverlauf, um Ihre Entscheidung rückgängig zu machen.

    Wenn Sie die Empfehlung verwerfen möchten, klicken Sie auf Verwerfen und bestätigen dann Ihre Auswahl. Sie können eine verworfene Empfehlung wiederherstellen, solange die Empfehlung noch gültig ist.

  8. Wiederholen Sie die vorherigen Schritte, bis Sie alle Empfehlungen geprüft haben.

gcloud

Empfehlungen prüfen

Führen Sie den gcloud recommender recommendations list-Befehl aus, um Ihre Empfehlungen aufzulisten:

gcloud recommender recommendations list \
    --location=global \
    --recommender=google.iam.policy.Recommender \
    --RESOURCE_TYPE=RESOURCE_ID \
    --format=json

Ersetzen Sie die folgenden Werte:

  • RESOURCE_TYPE: Der Ressourcentyp, für den Sie Empfehlungen auflisten möchten. Verwenden Sie den Wert project, folder oder organization.
  • RESOURCE_ID: Die ID des Google Cloud Projekts, -Ordners oder der -Organisation, für die Sie Empfehlungen auflisten möchten. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.

Die Antwort ähnelt dem folgenden Beispiel. In diesem Beispiel hat ein Dienstkonto in den letzten 90 Tagen keine Berechtigungen der Rolle "Compute-Administrator" (roles/compute.admin) verwendet. Daher schlägt die Rollenempfehlung vor, dass Sie die Rolle widerrufen:

[
  {
    "associatedInsights": [
      {
        "insight": "projects/123456789012/locations/global/insightTypes/google.iam.policy.Insight/insights/279ef748-408f-44db-9a4a-1ff8865b9839"
      }
    ],
    "content": {
      "operationGroups": [
        {
          "operations": [
            {
              "action": "remove",
              "path": "/iamPolicy/bindings/*/members/*",
              "pathFilter": {
                "/iamPolicy/bindings/*/condition/expression": "",
                "/iamPolicy/bindings/*/members/*": "serviceAccount:id-1234567890@example-project.iam.gserviceaccount.com",
                "/iamPolicy/bindings/*/role": "roles/compute.admin"
              },
              "resource": "//cloudresourcemanager.googleapis.com/projects/example-project",
              "resourceType": "cloudresourcemanager.googleapis.com/Project"
            }
          ]
        }
      ]
    },
    "description": "This role has not been used during the observation window.",
    "recommenderSubtype": "REMOVE_ROLE",
    "etag": "\"770237e2c0decf40\"",
    "lastRefreshTime": "2020-01-09T06:06:17Z",
    "name": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f",
    "primaryImpact": {
      "category": "SECURITY",
      "securityProjection": {
        "details": {
          "revokedIamPermissionsCount": 708
        }
      }
    },
    "priority": "P4",
    "stateInfo": {
      "state": "ACTIVE"
    }
  }
]

Prüfen Sie jede Empfehlung sorgfältig und überlegen Sie, wann sie zuletzt aktualisiert wurde und wie sich dadurch der Zugriff des Hauptkontos auf Google Cloud -Ressourcen ändert. Informationen zum Prüfen von Empfehlungen mit der gcloud CLI finden Sie auf dieser Seite unter Empfehlungen prüfen.

So wenden Sie eine Empfehlung an:

  1. Verwenden Sie den Befehl gcloud recommender recommendations mark-claimed, um den Status der Empfehlung in CLAIMED, zu ändern. Dadurch wird verhindert, dass sich die Empfehlung ändert, während Sie sie anwenden:

    gcloud recommender recommendations mark-claimed \
    RECOMMENDATION_ID \
    --location=global \
    --recommender=google.iam.policy.Recommender \
    --RESOURCE_TYPE=RESOURCE_ID \
    --format=FORMAT \
    --etag=ETAG \
    --state-metadata=STATE_METADATA

    Ersetzen Sie die folgenden Werte:

    • RECOMMENDATION_ID: die eindeutige ID für die Empfehlung. Dieser Wert wird am Ende des Feldes name in der Empfehlung angezeigt. Im oben gezeigten Beispiel lautet die ID fb927dc1-9695-4436-0000-f0f285007c0f.
    • RESOURCE_TYPE: Der Ressourcentyp, für den Sie Empfehlungen verwalten möchten. Verwenden Sie den Wert project, folder oder organization.
    • RESOURCE_ID: Die ID des Google Cloud-Projekts, -Ordners oder der -Organisation, für die Sie Empfehlungen verwalten möchten. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.
    • FORMAT: das Format der Antwort. Verwenden Sie json oder yaml.
    • ETAG: der Wert des Feldes etag in der Empfehlung, z. B. "dd0686e7136a4cbb". Beachten Sie, dass dieser Wert auch Anführungszeichen enthalten kann.
    • STATE_METADATA: Optional. Kommagetrennte Schlüssel/Wert-Paare, die die von Ihnen ausgewählten Metadaten zur Empfehlung enthalten. Beispiel: --state-metadata=reviewedBy=alice,priority=high. Die Metadaten ersetzen in der Empfehlung das Feld stateInfo.stateMetadata.

    Wenn der Befehl erfolgreich ausgeführt wurde, wird die Empfehlung in der Antwort im CLAIMED-Status aufgeführt, wie im folgenden Beispiel gezeigt. Zur Verdeutlichung wurden im Beispiel die meisten Felder weggelassen:

    [
  {
    "description": "This role has not been used during the observation window.",
    "recommenderSubtype": "REMOVE_ROLE",
    "etag": "\"df7308cca9719dcc\"",
    "name": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f",
    "stateInfo": {
      "state": "CLAIMED",
      "stateMetadata": {
        "reviewedBy": "alice",
        "priority": "high"
      }
    }
  }
]

  2. Rufen Sie die Zulassungsrichtlinie für das Projekt ab und ändern und legen Sie sie dann fest, damit sie der Empfehlung entspricht.

  3. Aktualisieren Sie den Empfehlungsstatus auf SUCCEEDED, falls Sie die Empfehlung anwenden konnten, oder auf FAILED, falls Sie die Empfehlung nicht anwenden konnten:

    gcloud recommender recommendations COMMAND \
    RECOMMENDATION_ID \
    --location=global \
    --recommender=google.iam.policy.Recommender \
    --RESOURCE_TYPE=RESOURCE_ID \
    --format=FORMAT \
    --etag=ETAG \
    --state-metadata=STATE_METADATA

    Ersetzen Sie die folgenden Werte:

    • COMMAND: Verwenden Sie mark-succeeded, wenn Sie die Empfehlung anwenden konnten, oder mark-failed, wenn Sie die Empfehlung nicht anwenden konnten.

    • RECOMMENDATION_ID: die eindeutige ID für die Empfehlung. Dieser Wert wird am Ende des Feldes name in der Empfehlung angezeigt. Im oben gezeigten Beispiel lautet die ID fb927dc1-9695-4436-0000-f0f285007c0f.
    • RESOURCE_TYPE: Der Ressourcentyp, für den Sie Empfehlungen verwalten möchten. Verwenden Sie den Wert project, folder oder organization.
    • RESOURCE_ID: Die ID des Google Cloud-Projekts, -Ordners oder der -Organisation, für die Sie Empfehlungen verwalten möchten. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.
    • FORMAT: das Format der Antwort. Verwenden Sie json oder yaml.
    • ETAG: der Wert des Feldes etag in der Empfehlung, z. B. "dd0686e7136a4cbb". Beachten Sie, dass dieser Wert auch Anführungszeichen enthalten kann.
    • STATE_METADATA: Optional. Kommagetrennte Schlüssel/Wert-Paare, die die von Ihnen ausgewählten Metadaten zur Empfehlung enthalten. Beispiel: --state-metadata=reviewedBy=alice,priority=high. Die Metadaten ersetzen in der Empfehlung das Feld stateInfo.stateMetadata.

    Wenn Sie beispielsweise die Empfehlung als erfolgreich angewendet markiert haben, wird die Empfehlung in der Antwort im SUCCEEDED-Status angezeigt. Zur Verdeutlichung wurden in diesem Beispiel die meisten Felder weggelassen:

    [
  {
    "description": "This role has not been used during the observation window.",
    "recommenderSubtype": "REMOVE_ROLE",
    "etag": "\"dd0686e7136a4cbb\"",
    "name": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f",
    "stateInfo": {
      "state": "SUCCEEDED",
      "stateMetadata": {
        "reviewedBy": "alice",
        "priority": "high"
      }
    }
  }
]

REST

Empfehlungen prüfen

Wenn Sie alle verfügbaren Empfehlungen für Ihr Projekt, Ihren Ordner oder Ihre Organisation auflisten möchten, verwenden Sie die Methode recommendations.list der Recommender API.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

  • RESOURCE_TYPE: Der Typ der Ressource, für die Sie Empfehlungen verwalten möchten. Verwenden Sie den Wert projects, folders oder organizations.
  • RESOURCE_ID: Die ID desGoogle Cloud Projekts, Ordners oder der Organisation, für die Sie Empfehlungen verwalten möchten. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.
  • PAGE_SIZE: Optional. Die maximale Anzahl von Ergebnissen, die von dieser Anfrage zurückgegeben werden sollen. Wenn nicht angegeben, bestimmt der Server die Anzahl der zurückzugebenden Ergebnisse. Wenn die Anzahl der Empfehlungen die Seitengröße überschreitet, enthält die Antwort ein Seitenumbruchtoken, mit dem Sie die nächste Ergebnisseite abrufen können.
  • PAGE_TOKEN: Optional. Das Seitenumbruchtoken, das in einer früheren Antwort von dieser Methode zurückgegeben wurde. Wenn dieser Wert angegeben wird, beginnt die Liste der Empfehlungen dort, wo die vorherige Anfrage endet.
  • FILTER: Optional. Ein Filterausdruck, mit dem sich die zurückgegebenen Empfehlungen einschränken lassen. Sie können Empfehlungen anhand des Feldes stateInfo.state filtern. Beispiel: stateInfo.state:"DISMISSED" oder stateInfo.state:"FAILED".
  • PROJECT_ID: Ihre Google Cloud Projekt-ID. Projekt-IDs sind alphanumerische Strings, wie my-project.

HTTP-Methode und URL:

GET https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/recommenders/google.iam.policy.Recommender/recommendations?pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN&filter=FILTER

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

Die Antwort ähnelt dem folgenden Beispiel. In diesem Beispiel hat ein Dienstkonto im Projekt example-project in den letzten 90 Tagen keine Berechtigungen der Compute-Admin-Rolle (roles/compute.admin) verwendet. Daher schlägt Recommender vor, dass Sie die Rolle widerrufen: 

{
  "recommendations": [
    "name": "projects/123456789012/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f",
    "description": "This role has not been used during the observation window.",
    "lastRefreshTime": "2020-01-09T06:06:17Z",
    "primaryImpact": {
      "category": "SECURITY",
      "securityProjection": {
        "details": {
          "revokedIamPermissionsCount": 708
        }
      }
    },
    "priority": "P4",
    "content": {
      "operationGroups": [
        {
          "operations": [
            {
              "action": "remove",
              "path": "/iamPolicy/bindings/*/members/*",
              "pathFilter": {
                "/iamPolicy/bindings/*/condition/expression": "",
                "/iamPolicy/bindings/*/members/*": "serviceAccount:id-1234567890@example-project.iam.gserviceaccount.com",
                "/iamPolicy/bindings/*/role": "roles/compute.admin"
              },
              "resource": "//cloudresourcemanager.googleapis.com/projects/example-project",
              "resourceType": "cloudresourcemanager.googleapis.com/Project"
            }
          ]
        }
      ]
    },
    "stateInfo": {
      "state": "ACTIVE"
    }
    "etag": "\"770237e2c0decf40\"",
    "recommenderSubtype": "REMOVE_ROLE",
    "associatedInsights": [
      {
        "insight": "projects/123456789012/locations/global/insightTypes/google.iam.policy.Insight/insights/279ef748-408f-44db-9a4a-1ff8865b9839"
      }
  ]
}

Prüfen Sie jede Empfehlung sorgfältig und überlegen Sie, wann sie zuletzt aktualisiert wurde und wie sich dadurch der Zugriff des Hauptkontos auf Google Cloud -Ressourcen ändert. Informationen zum Prüfen von Empfehlungen mit der REST API finden Sie auf dieser Seite unter Empfehlungen prüfen.

So wenden Sie eine Empfehlung an:

  1. Markieren Sie die Empfehlung als CLAIMED:

    Wenn Sie eine Empfehlung als CLAIMED markieren möchten, damit sie sich während der Anwendung nicht ändert, verwenden Sie die Methode recommendations.markClaimed der Recommender API.

    Ersetzen Sie diese Werte in den folgenden Anfragedaten:

    • RESOURCE_TYPE: Der Typ der Ressource, für die Sie Empfehlungen verwalten möchten. Verwenden Sie den Wert projects, folders oder organizations.
    • RESOURCE_ID: Die ID desGoogle Cloud Projekts, Ordners oder der Organisation, für die Sie Empfehlungen verwalten möchten. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.
    • RECOMMENDATION_ID: Die eindeutige Kennung für die Empfehlung. Dieser Wert wird am Ende des Feldes name in der Empfehlung angezeigt. Wenn das Feld name beispielsweise projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f lautet, dann ist die Empfehlungs-ID fb927dc1-9695-4436-0000-f0f285007c0f.
    • ETAG: Der Wert des Feldes etag in der Empfehlung, z. B. "dd0686e7136a4cbb". Mit umgekehrten Schrägstrichen können Sie Anführungszeichen maskieren, z. B. "\"df7308cca9719dcc\"".
    • STATE_METADATA: Optional. Ein Objekt, das Schlüssel/Wert-Paare mit den von Ihnen ausgewählten Metadaten zur Empfehlung enthält. Beispiel: {"reviewedBy": "alice", "priority": "high"}. Die Metadaten ersetzen in der Empfehlung das Feld stateInfo.stateMetadata.
    • PROJECT_ID: Ihre Google Cloud Projekt-ID. Projekt-IDs sind alphanumerische Strings, wie my-project.

    HTTP-Methode und URL:

    POST https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markClaimed

    JSON-Text anfordern:

    {
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}

    Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

    Die Antwort zeigt die Empfehlung im CLAIMED-Status, wie im folgenden Beispiel gezeigt. Zur Verdeutlichung wurden in diesem Beispiel die meisten Felder weggelassen: 

    {
  "description": "This role has not been used during the observation window.",
  "stateInfo": {
    "state": "CLAIMED",
    "stateMetadata": {
      "reviewedBy": "alice",
      "priority": "high"
    }
  },
  "etag": "\"dd0686e7136a4cbb\"",
  "recommenderSubtype": "REMOVE_ROLE"
}

  2. Rufen Sie die Zulassungsrichtlinie für das Projekt ab und ändern Sie sie dann entsprechend der Empfehlung.

  3. Aktualisieren Sie den Empfehlungsstatus auf SUCCEEDED, falls Sie die Empfehlung anwenden konnten, oder auf FAILED, falls Sie die Empfehlung nicht anwenden konnten:

    SUCCEEDED

    Wenn Sie eine Empfehlung als SUCCEEDED markieren möchten, um anzugeben, dass Sie sie anwenden konnten, verwenden Sie die Methode recommendations.markSucceeded der Recommender API.

    Ersetzen Sie diese Werte in den folgenden Anfragedaten:

    • RESOURCE_TYPE: Der Typ der Ressource, für die Sie Empfehlungen verwalten möchten. Verwenden Sie den Wert projects, folders oder organizations.
    • RESOURCE_ID: Die ID desGoogle Cloud Projekts, Ordners oder der Organisation, für die Sie Empfehlungen verwalten möchten. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.
    • RECOMMENDATION_ID: Die eindeutige Kennung für die Empfehlung. Dieser Wert wird am Ende des Feldes name in der Empfehlung angezeigt. Wenn das Feld name beispielsweise projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f lautet, dann ist die Empfehlungs-ID fb927dc1-9695-4436-0000-f0f285007c0f.
    • ETAG: Der Wert des Feldes etag in der Empfehlung, z. B. "dd0686e7136a4cbb". Mit umgekehrten Schrägstrichen können Sie Anführungszeichen maskieren, z. B. "\"df7308cca9719dcc\"".
    • STATE_METADATA: Optional. Ein Objekt, das Schlüssel/Wert-Paare mit den von Ihnen ausgewählten Metadaten zur Empfehlung enthält. Beispiel: {"reviewedBy": "alice", "priority": "high"}. Die Metadaten ersetzen in der Empfehlung das Feld stateInfo.stateMetadata.
    • PROJECT_ID: Ihre Google Cloud Projekt-ID. Projekt-IDs sind alphanumerische Strings, wie my-project.

    HTTP-Methode und URL:

    POST https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markSucceeded

    JSON-Text anfordern:

    {
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}

    Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

    Die Antwort zeigt die Empfehlung im SUCCEEDED-Status, wie im folgenden Beispiel gezeigt. Zur Verdeutlichung wurden in diesem Beispiel die meisten Felder weggelassen: 

    {
  "description": "This role has not been used during the observation window.",
  "stateInfo": {
    "state": "SUCCEEDED",
    "stateMetadata": {
      "reviewedBy": "alice",
      "priority": "high"
    }
  },
  "etag": "\"dd0686e7136a4cbb\"",
  "recommenderSubtype": "REMOVE_ROLE"
}

    FAILED

    Wenn Sie eine Empfehlung als FAILED markieren möchten, um anzugeben, dass Sie sie nicht anwenden konnten, verwenden Sie die Methode recommendations.markFailed der Recommender API.

    Ersetzen Sie diese Werte in den folgenden Anfragedaten:

    • RESOURCE_TYPE: Der Typ der Ressource, für die Sie Empfehlungen verwalten möchten. Verwenden Sie den Wert projects, folders oder organizations.
    • RESOURCE_ID: Die ID desGoogle Cloud Projekts, Ordners oder der Organisation, für die Sie Empfehlungen verwalten möchten. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.
    • RECOMMENDATION_ID: Die eindeutige Kennung für die Empfehlung. Dieser Wert wird am Ende des Feldes name in der Empfehlung angezeigt. Wenn das Feld name beispielsweise projects/example-project/locations/global/recommenders/google.iam.policy.Recommender/recommendations/fb927dc1-9695-4436-0000-f0f285007c0f lautet, dann ist die Empfehlungs-ID fb927dc1-9695-4436-0000-f0f285007c0f.
    • ETAG: Der Wert des Feldes etag in der Empfehlung, z. B. "dd0686e7136a4cbb". Mit umgekehrten Schrägstrichen können Sie Anführungszeichen maskieren, z. B. "\"df7308cca9719dcc\"".
    • STATE_METADATA: Optional. Ein Objekt, das Schlüssel/Wert-Paare mit den von Ihnen ausgewählten Metadaten zur Empfehlung enthält. Beispiel: {"reviewedBy": "alice", "priority": "high"}. Die Metadaten ersetzen in der Empfehlung das Feld stateInfo.stateMetadata.
    • PROJECT_ID: Ihre Google Cloud Projekt-ID. Projekt-IDs sind alphanumerische Strings, wie my-project.

    HTTP-Methode und URL:

    POST https://recommender.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID/locations/global/recommenders/google.iam.policy.Recommender/recommendations/RECOMMENDATION_ID:markFailed

    JSON-Text anfordern:

    {
  "etag": "ETAG",
  "stateMetadata": {
    "STATE_METADATA"
  }
}

    Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

    Die Antwort zeigt die Empfehlung im FAILED-Status, wie im folgenden Beispiel gezeigt. Zur Verdeutlichung wurden in diesem Beispiel die meisten Felder weggelassen: 

    {
  "description": "This role has not been used during the observation window.",
  "stateInfo": {
    "state": "FAILED",
    "stateMetadata": {
      "reviewedBy": "alice",
      "priority": "high"
    }
  },
  "etag": "\"dd0686e7136a4cbb\"",
  "recommenderSubtype": "REMOVE_ROLE"
}

Empfehlungen verstehen

Jede Empfehlung enthält Informationen, anhand derer Sie nachvollziehen können, warum die Empfehlung abgegeben wurde.

Console

Damit Sie nachvollziehen können, warum die Empfehlung ausgesprochen wurde, wird in derGoogle Cloud Console die Berechtigungsnutzung des Hauptkontos angezeigt, wie sie vom Richtlinien-Insight gemeldet wird, der mit der Empfehlung verknüpft ist. Es kann beispielsweise eine Liste wie die folgende angezeigt werden:

Damit Sie die Auswirkungen der Umsetzung der Empfehlung besser nachvollziehen können, wird in derGoogle Cloud -Konsole auch eine farb- und symbolcodierte Liste der Berechtigungen angezeigt. Diese Liste gibt an, wie sich die Berechtigungen des Hauptkontos ändern, wenn Sie die Empfehlung übernehmen. Es kann beispielsweise eine Liste wie die folgende angezeigt werden:

Die einzelnen Farben und Symbole stehen für folgende Berechtigungen:

  • Grau ohne Symbol: Berechtigungen, die sowohl in der aktuellen Rolle des Hauptkontos als auch in den empfohlenen Rollen enthalten sind.

  • Rot mit Minuszeichen : Berechtigungen, die in der aktuellen Rolle des Hauptkontos, aber nicht in den empfohlenen Rollen enthalten sind, da das Hauptkonto sie in den letzten 90 Tagen nicht genutzt hat.

  • Grün mit einem Pluszeichen : Berechtigungen, die nicht in der aktuellen Rolle des Hauptkontos enthalten sind, sich aber in den empfohlenen Rollen befinden. Diese Art von Berechtigung wird nur in Empfehlungen für Kundenservicemitarbeiter angezeigt.

  • Blau mit Symbol für maschinelles Lernen : Berechtigungen, die sowohl in der aktuellen Rolle des Hauptkontos als auch in den empfohlenen Rollen enthalten sind, und zwar nicht, weil das Hauptkonto die Berechtigungen in den letzten 90 Tagen genutzt hat, sondern weil Recommender durch maschinelles Lernen festgestellt hat, dass es diese Berechtigungen in Zukunft vermutlich benötigt.

Einige Empfehlungen beziehen sich auch auf Statistiken zum "Lateral Movement". Statistiken zum "Lateral Movement" zeigen Rollen, mit denen ein Dienstkonto in einem Projekt die Identität eines Dienstkontos in einem anderen Projekt übernehmen kann. Wenn eine Empfehlung mit einer Statistik zu lateraler Bewegung verknüpft ist, wird in der Google Cloud Konsole auch Folgendes angezeigt:

  • Das Ursprungsprojekt des Dienstkontos: Das Projekt, in dem das Dienstkonto mit Berechtigungen zur Identitätsübertragung erstellt wurde.

  • Dienstkonten, deren Identität in diesem Projekt übernommen werden kann: Eine Liste aller Dienstkonten im aktuellen Projekt, deren Identität vom Dienstkonto mit Berechtigungen für den Identitätswechsel übernommen werden kann.

gcloud

Weitere Informationen zu den Feldern einer Empfehlung finden Sie in der Referenz zu Recommendation.

Sehen Sie sich die Richtlinienstatistiken für die Empfehlung an, um zu erfahren, auf welcher Berechtigungsnutzung diese Empfehlung basiert. Diese Nachrichten werden im Feld associatedInsights aufgelistet. So rufen Sie eine mit der Empfehlung verknüpfte Richtlinie auf:

  • Ermitteln Sie, welche Statistiken im Feld associatedInsights Richtlinienstatistiken sind. Richtlinienstatistiken haben den Statistiktyp google.iam.policy.insight. Dieser Typ wird nach insightTypes im Feld insight angezeigt.
  • Kopieren Sie die ID der Richtlinienstatistik. Die ID ist alles nach insights/ im Feld insight. Im vorherigen Beispiel lautet die Statistik-ID 279ef748-408f-44db-9a4a-1ff8865b9839.
  • Folgen Sie der Anleitung zum Abrufen einer Richtlinienstatistik mithilfe der kopierten Statistik-ID.

Einige Empfehlungen sind auch mit Statistiken zum „Lateral Movement“ verknüpft, in denen Rollen identifiziert werden, mit denen Dienstkonten in einem Projekt die Identität von Dienstkonten in einem anderen Projekt übernehmen können. Diese Statistiken werden im Feld associatedInsights aufgelistet. So rufen Sie eine Statistik zur lateralen Bewegung auf, die mit der Empfehlung verknüpft ist:

  • Ermitteln Sie, welche Statistiken im Feld associatedInsights Statistiken zum „Lateral Movement“ sind. Statistiken zum „Lateral Movement“ haben den Statistiktyp google.iam.policy.LateralMovementInsight. Dieser Typ wird nach insightTypes im Feld insight angezeigt.
  • Kopieren Sie die ID der Richtlinienstatistik. Die ID ist alles nach insights/ im Feld insight. Im vorherigen Beispiel lautet die Statistik-ID 279ef748-408f-44db-9a4a-1ff8865b9839.
  • Folgen Sie der Anleitung, um eine Statistik zum „Lateral Movement“ abzurufen. Verwenden Sie dazu die kopierte Statistik-ID.

REST

Weitere Informationen zu den Feldern einer Empfehlung finden Sie in der Referenz zu Recommendation.

Sehen Sie sich die Richtlinienstatistiken für die Empfehlung an, um zu erfahren, auf welcher Berechtigungsnutzung diese Empfehlung basiert. Diese Nachrichten werden im Feld associatedInsights aufgelistet. So rufen Sie eine mit der Empfehlung verknüpfte Richtlinie auf:

  1. Ermitteln Sie, welche Statistiken im Feld associatedInsights Richtlinienstatistiken sind. Richtlinienstatistiken haben den Statistiktyp google.iam.policy.insight. Dieser Typ wird nach insightTypes im Feld insight angezeigt.
  2. Kopieren Sie die ID der Richtlinienstatistik. Die ID ist alles nach insights/ im Feld insight. Wenn im Feld insight beispielsweise projects/123456789012/locations/global/insightTypes/google.iam.policy.Insight/insights/279ef748-408f-44db-9a4a-1ff8865b9839 steht, lautet die ID der Erkenntnis 279ef748-408f-44db-9a4a-1ff8865b9839.
  3. Folgen Sie der Anleitung zum Abrufen einer Richtlinienstatistik mithilfe der kopierten Statistik-ID.

Einige Empfehlungen sind auch mit Statistiken zum „Lateral Movement“ verknüpft, in denen Rollen identifiziert werden, mit denen Dienstkonten in einem Projekt die Identität von Dienstkonten in einem anderen Projekt übernehmen können. Diese Statistiken werden im Feld associatedInsights aufgelistet. So rufen Sie eine Statistik zur lateralen Bewegung auf, die mit der Empfehlung verknüpft ist:

  1. Ermitteln Sie, welche Statistiken im Feld associatedInsights Statistiken zum „Lateral Movement“ sind. Statistiken zum „Lateral Movement“ haben den Statistiktyp google.iam.policy.LateralMovementInsight. Dieser Typ wird nach insightTypes im Feld insight angezeigt.
  2. Kopieren Sie die ID der Richtlinienstatistik. Die ID ist alles nach insights/ im Feld insight. Wenn im Feld insight beispielsweise projects/123456789012/locations/global/insightTypes/google.iam.policy.LateralMovementInsight/insights/13088eec-9573-415f-81a7-46e1a260e860 steht, lautet die ID der Erkenntnis 13088eec-9573-415f-81a7-46e1a260e860.
  3. Folgen Sie der Anleitung, um eine Statistik zum „Lateral Movement“ abzurufen. Verwenden Sie dazu die kopierte Statistik-ID.

Änderungen ansehen, zurücksetzen und wiederherstellen

Nachdem Sie eine Empfehlung für eine Rollenbindung auf Projektebene angewendet oder abgelehnt haben, wird diese Aktion im Empfehlungsverlauf angezeigt.

So rufen Sie den Empfehlungsverlauf auf:

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie ein Projekt, einen Ordner oder eine Organisation aus.

  3. Klicken Sie oben auf dem Bildschirm auf Empfehlungsverlauf.

    In der Google Cloud -Konsole wird eine Liste der bisherigen Aktionen für Ihre Rollenempfehlungen angezeigt.

  4. Klicken Sie auf den Pfeil zum Maximieren , um Details zu einer Empfehlung aufzurufen.

    In der Google Cloud Konsole werden Details zur ergriffenen Maßnahme angezeigt, einschließlich des Prinzipal, der die Maßnahme ergriffen hat:

  5. Optional: Falls erforderlich, können Sie die Empfehlung zurücksetzen, wodurch die Änderungen durch die Empfehlung rückgängig gemacht werden, oder eine Empfehlung wiederherstellen, die Sie verworfen haben.

    Um eine zuvor für eine Empfehlung angewendete Änderung rückgängig zu machen, klicken Sie auf Wiederherstellen. In der Google Cloud -Console werden die Änderungen an den Rollen des Kontoinhabers rückgängig gemacht. Die Empfehlung wird nicht mehr in derGoogle Cloud Console angezeigt.

    Wenn Sie die Empfehlung, mit der der dauerhafte Zugriff durch temporären On-Demand-Zugriff ersetzt wurde, rückgängig machen, stellt das System die ursprüngliche IAM-Bindung wieder her und löscht die erstellte Privileged Access Manager-Berechtigung. Wenn der Vorgang zum Zurücksetzen fehlschlägt, löschen Sie die Berechtigung manuell.

    Klicken Sie zum Wiederherstellen einer verworfenen Empfehlung auf Wiederherstellen. Die Empfehlung wird dann in derGoogle Cloud -Console auf der Seite IAM angezeigt. Es wurden keine Rollen oder Berechtigungen geändert.

Nächste Schritte