Identitätsrisiken prüfen und verwalten

Vorschau – Policy Troubleshooter API mit VPC Service Controls schützen

Diese Funktion unterliegt den „Bedingungen für Pre-GA-Angebote“ im Abschnitt „Allgemeine Dienstbedingungen“ der dienstspezifischen Nutzungsbedingungen. Pre-GA‑Funktionen stehen in der vorliegenden Form zur Verfügung und bieten möglicherweise nur eingeschränkten Support. Weitere Informationen finden Sie unter den Beschreibungen der Startphase.

Als IAM-Administrator können Sie im Security Insights -Dashboard in derGoogle Cloud Console Identitätsrisiken in Ihrer Organisation, Ihrem Ordner oder Ihrem Projekt prüfen und verwalten.

Das Security Insights -Dashboard bietet folgende Möglichkeiten:

• Risiken im Zusammenhang mit anfälligen menschlichen, nicht menschlichen und Gruppenidentitäten prüfen.

• Art und Schweregrad von Identitätsrisiken im Zusammenhang mit einer Organisation, einem Ordner oder einem Projekt ansehen.

• Risiken mit umsetzbaren Statistiken für Google Cloud und andere Drittanbieter von Identitäten priorisieren und beheben.

Wichtig: Wenn Sie Statistiken und Empfehlungen für alle Rollen in Ihrer Ressource prüfen möchten, müssen Sie die Security Command Center Enterprise- oder Premium-Stufe für Ihre Ressource aktivieren. Andernfalls können Sie nur Statistiken und Empfehlungen für die Rollen Owner, Editor und Viewer prüfen. Weitere Informationen finden Sie unter Fragen zur Abrechnung.

Hinweis

Um die Berechtigungen zu erhalten, die Sie zum Prüfen und Verwalten von Identitätsrisiken benötigen, bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die Organisation, den Ordner oder das Projekt zuzuweisen, für die Sie Identitätsrisiken prüfen und verwalten möchten:

• Identitätsrisiken prüfen: IAM Recommender-Betrachter (roles/recommender.iamViewer)
• Empfehlungen anwenden oder verwerfen: IAM Recommender-Administrator (roles/recommender.iamAdmin)

Hinweis: Einfache IAM Rollen können auch Berechtigungen zum Prüfen und Verwalten von Identitätsrisiken enthalten. In einer Produktionsumgebung sollten Sie keine einfachen Rollen zuweisen, Sie können sie aber in einer Entwicklungs- oder Testumgebung gewähren.

Identitätsrisiken prüfen

1. Rufen Sie in der Google Cloud Console die Seite IAM & Verwaltung > Security Insights auf.

   Zu Security Insights

2. Wählen Sie die Organisation, den Ordner oder das Projekt aus, für das Sie die Identitätsrisiken prüfen möchten.

   Im Security Insights -Dashboard werden die folgenden Widgets für die ausgewählte Ressource angezeigt:

   • Übersicht über Identitätsrisiken: Zeigt die Gesamtzahl der Identitäten mit Rollen bindungen, die Gesamtzahl der riskanten menschlichen, nicht menschlichen und Gruppenidentitäten sowie deren Schweregrad an.

     Die Gesamtzahl der Identitäten ist die Summe der eindeutigen Identitäten in den Zulassungsrichtlinien, die an die ausgewählte Ressource angehängt sind. Diese Zahl umfasst nicht die Identitäten aus den Zulassungsrichtlinien, die an die untergeordneten Ressourcen der ausgewählten Ressource angehängt sind. Wenn die ausgewählte Ressource beispielsweise eine Organisation ist, sind die Identitäten aus den Zulassungsrichtlinien, die an die einzelnen Ordner oder Projekte angehängt sind, nicht enthalten.

     Hinweis: Wenn eine Identität sowohl eine Empfehlung mit hohem als auch mit niedrigem Risiko hat, wird sie als Identität mit hohem Risiko klassifiziert.

   • Risiken nach Ergebniskategorie: Listet riskante Identitäten nach Kategorie auf, z. B. Unused IAM role oder IAM role has excessive permissions.

     Die Gesamtzahl der Ergebnisse im Widget Risiken nach Ergebniskategorie kann von der Anzahl der Statistiken in anderen Widgets abweichen. Dieser Unterschied entsteht, weil mehrere Statistiken mit demselben Schweregrad für dieselbe Ressource in anderen Widgets zu einem einzigen Ergebnis zusammengefasst werden.

     Hinweis: Die Details der Ergebnisse werden im Security Command Center auf der Seite Ergebnisse angezeigt. Wenn Sie Ergebnisse für eine Kategorie prüfen möchten, klicken Sie in derselben Zeile auf die Anzahl der Ergebnisse. Wenn Sie alle Ergebnisse zu Identität und Zugriff prüfen möchten, klicken Sie auf Alle Ergebnisse ansehen.

   • Wichtigste riskante Gruppen: Zeigt Gruppen mit den meisten nicht erforderlichen Berechtigungen.

   • Wichtigste riskante menschliche Identitäten: Zeigt menschliche Identitäten mit den meisten nicht erforderlichen Berechtigungen.

   • Wichtigste riskante nicht menschliche Identitäten: Zeigt nicht menschliche Identitäten mit den meisten nicht erforderlichen Berechtigungen.

   • Trend aktiver IAM-Empfehlungen: Zeigt aktive Rollen empfehlungen für einen bestimmten Zeitraum.

Identitätsrisiken verwalten

Sie können Statistiken und Empfehlungen ansehen, um die Risiken zu verwalten, die mit einer Identität verbunden sind.

So verwalten Sie Identitätsrisiken über ein beliebiges Widget im Dashboard:

1. Klicken Sie für eine riskante Identität in der Spalte Statistiken auf die Anzahl der Statistiken.

2. Wählen Sie im Bereich Statistiken den gewünschten Typ aus der Liste aus, um Statistiken nach Typ zu filtern.

3. Je nachdem, ob für eine Statistik eine Empfehlung verfügbar ist, können Sie entweder die Details oder die Empfehlung ansehen.

   • Klicken Sie für eine Statistik ohne Empfehlung auf Details ansehen.

     Im Bereich Berechtigungen finden Sie Details zur Statistik.

   • Klicken Sie für eine Statistik mit einer Empfehlung auf Empfehlung ansehen.

     Im Bereich Empfehlung finden Sie Details zum vorgeschlagenen Entfernen oder Ersetzen der Rolle.

     Nur für Gruppenprinzipale mit nicht erforderlichen Berechtigungen haben Sie die Möglichkeit, den dauerhaften Zugriff mit Privileged Access Manager durch temporären On-Demand-Zugriff (Vorschau) zu ersetzen. Wenn Mitglieder einer Gruppe keinen dauerhaften Zugriff auf die Berechtigungen einer Rolle benötigen, sie aber in Zukunft aus unvorhergesehenen Gründen benötigen könnten, können Sie ihren dauerhaften Zugriff entfernen und Privileged Access Manager verwenden, damit sie bei Bedarf temporären Zugriff anfordern können. Informationen zum Beheben nicht erforderlicher Berechtigungen mit Privileged Access Manager finden Sie unter Nicht erforderliche Berechtigungen mit Privileged Access Manager beheben.

4. Klicken Sie auf Anwenden oder Verwerfen, um die Empfehlung anzuwenden oder zu verwerfen.

   Es dauert einige Zeit, bis Zugriffsänderungen im System wirksam werden. Informationen darüber, wie lange es durchschnittlich dauert, bis Zugriffsänderungen weitergegeben werden, finden Sie unter Zugriffsänderungsverteilung.

   Hinweis: Es kann bis zu 24 Stunden dauern, bis die Änderungen im Security Command Center auf der Seite Ergebnisse angezeigt werden.

Nächste Schritte

• Informationen zum Untersuchen von Ergebnissen zu Identität und Zugriff
• Informationen zu Rollenempfehlungen.