Panoramica di Policy Intelligence

Le grandi organizzazioni spesso dispongono di un ampio insieme di Google Cloud norme per controllare le risorse e gestire l'accesso. Gli strumenti di Policy Intelligence ti aiutano a comprendere e gestire le tue policy per migliorare in modo proattivo la configurazione della sicurezza.

Le sezioni seguenti spiegano cosa puoi fare con gli strumenti di Policy Intelligence.

Comprendere le norme e l'utilizzo

Esistono diversi strumenti di Policy Intelligence che ti aiutano a capire a cosa consentono l'accesso le tue norme e come vengono utilizzate.

Analizzare l'accesso

Cloud Asset Inventory fornisce Policy Analyzer per le policy di autorizzazione IAM, che ti consente di scoprire quali entità hanno accesso a quali risorseGoogle Cloud in base alle tue policy di autorizzazione IAM.

Policy Analyzer ti aiuta a rispondere a domande come:

  • "Chi ha accesso a questo account di servizio IAM?"
  • "Quali ruoli e autorizzazioni ha questo utente in questo set di dati BigQuery?"
  • "Quali set di dati BigQuery ha l'autorizzazione a leggere questo utente?"

Aiutandoti a rispondere a queste domande, Policy Analyzer ti consente di gestire l'accesso in modo efficace. Puoi anche utilizzare Policy Analyzer per attività relative al controllo e alla conformità.

Per saperne di più sull'Analizzatore policy per le policy di autorizzazione, consulta la Panoramica dell'Analizzatore policy.

Per scoprire come utilizzare Policy Analyzer per le policy di autorizzazione, consulta Analizzare le policy IAM.

Analizza le policy dell'organizzazione

Policy Intelligence fornisce Policy Analyzer per le policy dell'organizzazione, che puoi utilizzare per creare una query di analisi per ottenere informazioni sulle policy dell'organizzazione personalizzate e predefinite.

Puoi utilizzare Policy Analyzer per restituire un elenco di policy dell'organizzazione con un determinato vincolo e le risorse a cui sono associate.

Per scoprire come utilizzare Policy Analyzer per le policy dell'organizzazione, consulta Analizzare le policy dell'organizzazione esistenti.

Risolvi i problemi di accesso

Per aiutarti a comprendere e risolvere i problemi di accesso, Policy Intelligence offre i seguenti strumenti per la risoluzione dei problemi:

  • Policy Troubleshooter per Identity and Access Management
  • Strumento per la risoluzione dei problemi di Controlli di servizio VPC
  • Policy Troubleshooter per Chrome Enterprise Premium

Gli strumenti per la risoluzione dei problemi di accesso aiutano a rispondere a domande sul "perché" come le seguenti:

  • "Perché questo utente dispone dell'autorizzazione bigquery.datasets.create su questo set di dati BigQuery?"
  • "Perché questo utente non riesce a visualizzare la policy di autorizzazione di questo bucket Cloud Storage?"

Per scoprire di più su questi strumenti per la risoluzione dei problemi, consulta Strumenti per la risoluzione dei problemi relativi all'accesso.

Comprendere l'utilizzo e le autorizzazioni dei account di servizio

I service account sono un tipo speciale di entità che puoi utilizzare per autenticare le applicazioni in Google Cloud.

Per aiutarti a comprendere l'utilizzo dei account di servizio, Policy Intelligence offre le seguenti funzionalità:

  • Analizzatore attività: l'analizzatore attività ti consente di vedere quando i tuoi service account e le tue chiavi sono stati utilizzati l'ultima volta per chiamare un'API di Google. Per scoprire come utilizzare l'analizzatore attività, consulta Visualizzare l'utilizzo recente per service account e chiavi.

  • Approfondimenti sui service account: gli approfondimenti sui service account sono un tipo di approfondimento che identifica i service account del tuo progetto che non sono stati utilizzati negli ultimi 90 giorni. Per scoprire come gestire gli approfondimenti suiaccount di serviziot, consulta Trovare service account inutilizzati.

Per aiutarti a comprendere le autorizzazioni del account di servizio, Policy Intelligence offre approfondimenti sul movimento laterale. Gli approfondimenti sul movimento laterale sono un tipo di approfondimento che identifica i ruoli che consentono a un account di servizio in un progetto di simulare l'identità di un account di servizio in un altro progetto. Per ulteriori informazioni sugli insight sul movimento laterale, consulta Come vengono generati gli insight sul movimento laterale. Per scoprire come gestire le informazioni sul movimento laterale, consulta Identificare i service account con autorizzazioni di movimento laterale.

A volte gli approfondimenti sul movimento laterale sono collegati ai consigli sui ruoli. I suggerimenti sui ruoli propongono azioni che puoi intraprendere per risolvere i problemi identificati dagli approfondimenti sul movimento laterale.

Migliorare le norme

Puoi migliorare i tuoi criteri di autorizzazione IAM utilizzando i suggerimenti per i ruoli. I suggerimenti per i ruoli ti aiutano ad applicare il principio del privilegio minimo assicurando che le entità dispongano solo delle autorizzazioni di cui hanno effettivamente bisogno. Ogni suggerimento per il ruolo ti consiglia di rimuovere o sostituire un ruolo IAM che concede autorizzazioni in eccesso alle entità.

Per saperne di più sui suggerimenti per i ruoli, incluso il modo in cui vengono generati, consulta Applica il privilegio minimo con i suggerimenti per i ruoli.

Per scoprire come gestire i suggerimenti per i ruoli, consulta una delle seguenti guide:

Prevenire configurazioni errate dei criteri

Esistono diversi strumenti di Policy Intelligence che puoi utilizzare per vedere l'impatto delle modifiche alle norme sulla tua organizzazione. Dopo aver visualizzato l'effetto delle modifiche, puoi decidere se apportarle o meno.

Testare le modifiche alle policy relative all'accesso

Per consentirti di vedere in che modo una modifica a una policy relativa all'accesso potrebbe influire sull'accesso delle tue entità, Policy Intelligence fornisce i seguenti simulatori di policy:

Ciascuno di questi simulatori ti consente di vedere in che modo una modifica a una policy di quel tipo influirebbe sull'accesso per le tue entità prima di impegnarti ad apportare la modifica. Ogni simulatore valuta un solo tipo di policy e non tiene conto se altri tipi di policy consentirebbero o bloccherebbero l'accesso.

Testa modifiche alle policy dell'organizzazione

Policy Simulator per le policy dell'organizzazione ti consente di visualizzare l'anteprima dell'impatto di un nuovo vincolo personalizzato o di una policy dell'organizzazione che applica un vincolo personalizzato prima che venga applicato al tuo ambiente di produzione.

Policy Simulator fornisce un elenco di risorse che violano il criterio proposto prima della sua applicazione, consentendoti di riconfigurare queste risorse, richiedere eccezioni o modificare l'ambito del criterio dell'organizzazione, il tutto senza interrompere il lavoro degli sviluppatori o disattivare l'ambiente.

Per scoprire come utilizzare Policy Simulator per testare le modifiche alle policy dell'organizzazione, consulta Testa le modifiche alla policy dell'organizzazione con Policy Simulator.