Policy Intelligence – Übersicht

Große Organisationen haben oft eine umfangreiche Reihe von Google Cloud Richtlinien, um Ressourcen zu steuern und den Zugriff zu verwalten. Mit Policy Intelligence-Tools können Sie Ihre Richtlinien nachvollziehen und verwalten, um Ihre Sicherheitskonfiguration proaktiv zu verbessern.

In den folgenden Abschnitten wird erläutert, was Sie mit den Policy Intelligence-Tools tun können.

Richtlinien und Nutzung

Es gibt mehrere Policy Intelligence-Tools, die Ihnen helfen, zu verstehen, welchen Zugriff Ihre Richtlinien gewähren und wie die Richtlinien verwendet werden.

Zugriff analysieren

Cloud Asset Inventory bietet den Policy Analyzer für IAM-Zulassungsrichtlinien. Damit können Sie herausfinden, welche Hauptkonten auf welcheGoogle Cloud -Ressourcen zugreifen können, basierend auf Ihren IAM-Zulassungsrichtlinien.

Mit dem Policy Analyzer erhalten Sie Antworten auf Fragen wie die folgenden:

  • „Wer hat Zugriff auf dieses IAM-Dienstkonto?“
  • „Welche Rollen und Berechtigungen hat dieser Nutzer für dieses BigQuery-Dataset?“
  • „Welche BigQuery-Datasets darf dieser Nutzer lesen?“

Mit dem Policy Analyzer können Sie diese Fragen beantworten und den Zugriff effektiv verwalten. Sie können den Policy Analyzer auch für Audit- und Compliance-Aufgaben verwenden.

Weitere Informationen zu Policy Analyzer für „allow“-Richtlinien finden Sie unter Policy Analyzer – Übersicht.

Informationen zur Verwendung von Policy Analyzer für Zulassungsrichtlinien finden Sie unter IAM-Richtlinien analysieren.

Organisationsrichtlinien analysieren

Policy Intelligence bietet Policy Analyzer für Organisationsrichtlinien. Damit können Sie eine Analyseabfrage erstellen, um Informationen zu benutzerdefinierten und vordefinierten Organisationsrichtlinien zu erhalten.

Mit Policy Analyzer können Sie eine Liste von Organisationsrichtlinien mit einer bestimmten Einschränkung und die Ressourcen zurückgeben, an die diese Richtlinien angehängt sind.

Informationen zur Verwendung von Policy Analyzer für Organisationsrichtlinien finden Sie unter Vorhandene Organisationsrichtlinien analysieren.

Zugriffsprobleme beheben

Policy Intelligence bietet die folgenden Tools zur Fehlerbehebung, mit denen Sie Zugriffsprobleme nachvollziehen und beheben können:

  • Policy Troubleshooter für Identity and Access Management
  • VPC Service Controls-Fehlerbehebung
  • Policy Troubleshooter für Chrome Enterprise Premium

Mit den Fehlerbehebungen für den Zugriff können Sie Fragen wie die folgenden beantworten:

  • „Warum hat dieser Nutzer die Berechtigung bigquery.datasets.create für dieses BigQuery-Dataset?“
  • „Warum kann dieser Nutzer die Zulassungsrichtlinie dieses Cloud Storage-Bucket nicht aufrufen?“

Weitere Informationen zu diesen Tools zur Fehlerbehebung finden Sie unter Tools zur Fehlerbehebung im Zusammenhang mit dem Zugriff.

Informationen zur Verwendung und zu Berechtigungen von Dienstkonten

Dienstkonten sind eine spezielle Art von Prinzipal, mit der Sie Anwendungen in Google Cloudauthentifizieren können.

Policy Intelligence bietet die folgenden Funktionen, mit denen Sie die Nutzung von Dienstkonten besser nachvollziehen können:

  • Aktivitätsanalyse: Mit der Aktivitätsanalyse können Sie sehen, wann Ihre Dienstkonten und Schlüssel zuletzt zum Aufrufen einer Google API verwendet wurden. Informationen zur Verwendung der Aktivitätsanalyse finden Sie unter Aktuelle Nutzung von Dienstkonten und Schlüsseln ansehen.

  • Statistiken zu Dienstkonten: Statistiken zu Dienstkonten sind eine Art von Statistik, mit der ermittelt wird, welche Dienstkonten in Ihrem Projekt in den letzten 90 Tagen nicht verwendet wurden. Informationen zum Verwalten von Dienstkonto-Statistiken finden Sie unter Nicht verwendete Dienstkonten finden.

Policy Intelligence bietet Informationen zu Seitwärtsbewegungen, damit Sie die Berechtigungen von Dienstkonten besser nachvollziehen können. Statistiken zum „Lateral Movement“ sind eine Art von Statistik, die Rollen identifizieren, mit denen ein Dienstkonto in einem Projekt die Identität eines Dienstkontos in einem anderen Projekt übernehmen kann. Weitere Informationen zu Statistiken zum „Lateral Movement“ finden Sie unter So werden Statistiken zum „Lateral Movement“ generiert. Informationen zum Verwalten von Statistiken zum „Lateral Movement“ finden Sie unter Dienstkonten mit Berechtigungen für „Lateral Movement“ identifizieren.

Statistiken zum Lateral Movement sind manchmal mit Rollenempfehlungen verknüpft. Rollenempfehlungen enthalten Vorschläge für Maßnahmen, die Sie ergreifen können, um die durch Statistiken zum „Lateral Movement“ ermittelten Probleme zu beheben.

Richtlinien verbessern

Sie können Ihre IAM-Zulassungsrichtlinien mithilfe von Rollempfehlungen verbessern. Rollempfehlungen helfen Ihnen dabei, das Prinzip der geringsten Berechtigung durchzusetzen und Hauptkonten nur die Berechtigungen zu erteilen, die sie tatsächlich benötigen. Jede Rollenempfehlung schlägt vor, eine IAM-Rolle zu entfernen oder zu ersetzen, die Ihren Hauptkonten zu viele Berechtigungen gewährt.

Weitere Informationen zu Rollenempfehlungen, einschließlich ihrer Erstellung, finden Sie unter Geringste Berechtigung mit Rollenempfehlungen erzwingen.

Weitere Informationen zum Verwalten von Rollenempfehlungen finden Sie in einem der folgenden Leitfäden:

Fehlerhafte Richtlinienkonfigurationen verhindern

Es gibt mehrere Policy Intelligence-Tools, mit denen Sie sehen können, wie sich Änderungen an Richtlinien auf Ihre Organisation auswirken. Nachdem Sie die Auswirkungen der Änderungen gesehen haben, können Sie entscheiden, ob Sie sie vornehmen möchten.

Änderungen an zugriffsbezogenen Richtlinien testen

Damit Sie sehen können, wie sich eine Änderung an einer zugriffsbezogenen Richtlinie auf den Zugriff Ihrer Hauptkonten auswirken kann, bietet Policy Intelligence die folgenden Richtliniensimulatoren:

Mit jedem dieser Simulatoren können Sie sehen, wie sich eine Änderung an einer Richtlinie dieses Typs auf den Zugriff Ihrer Hauptkonten auswirken würde, bevor Sie die Änderung vornehmen. In jedem Simulator wird nur ein Richtlinientyp ausgewertet. Es wird nicht berücksichtigt, ob andere Richtlinientypen den Zugriff erlauben oder blockieren würden.

Änderungen an Organisationsrichtlinien testen

Mit dem Policy Simulator für Organisationsrichtlinien können Sie sich eine Vorschau der Auswirkungen einer neuen benutzerdefinierten Einschränkung oder einer Organisationsrichtlinie ansehen, die eine benutzerdefinierte Einschränkung erzwingt, bevor sie in Ihrer Produktionsumgebung erzwungen wird.

Der Policy Simulator bietet eine Liste der Ressourcen, die gegen die vorgeschlagene Richtlinie verstoßen, bevor sie erzwungen wird. So können Sie diese Ressourcen neu konfigurieren, Ausnahmen anfordern oder den Bereich Ihrer Organisationsrichtlinie ändern, ohne Ihre Entwickler zu beeinträchtigen oder Ihre Umgebung zu unterbrechen.

Informationen dazu, wie Sie mit dem Policy Simulator Änderungen an Organisationsrichtlinien testen, finden Sie unter Änderungen an Organisationsrichtlinien mit dem Policy Simulator testen.