Il existe plusieurs outils différents que vous pouvez utiliser pour comprendre les activités d'authentification des comptes de service et des clés. Cette page décrit les outils disponibles et leurs utilisations prévues.
Si vous souhaitez savoir comment les comptes de service utilisent leurs autorisations et identifier les comptes de service disposant de trop d'autorisations, utilisez les recommandations de rôles. Pour en savoir plus, consultez Présentation des recommandations de rôles.
Activités d'authentification
Chaque fois qu'un compte de service ou une clé est utilisé pour appeler une API Google, y compris une API qui ne fait pas partie de Google Cloud, une activité d'authentification est générée. Pour comprendre l'utilisation des comptes de service, vous pouvez suivre ces activités d'authentification à l'aide des outils décrits sur cette page.
Les activités d'authentification incluent les appels d'API ayant réussi et ceux ayant échoué. Par exemple, si un appel d'API échoue parce que l'appelant n'est pas autorisé à appeler cette API, ou si la requête fait référence à une ressource qui n'existe pas, l'action est toujours comptabilisée comme une activité d'authentification pour le compte de service ou la clé de compte de service utilisé pour cet appel d'API.
Les activités d'authentification avec une API Google en dehors de Google Cloud, telles que la délégation au niveau du domaine de l'autorité aux API Google Workspace, ne sont pas suivies par l'Analyseur d'activité ni par les insights sur les comptes de service. Pour suivre ces activités d'authentification, utilisez les métriques d'utilisation des comptes de service de Cloud Monitoring.
Les clés d'authentification HMAC (Hash-based Message Authentication Code) Cloud Storage ne génèrent pas d'activités d'authentification pour les comptes de service ni pour les clés de compte de service. Pour en savoir plus, consultez Clés HMAC.
Analyseur d'activité
L'outil Activity Analyzer de Policy Intelligence vous permet d'afficher les activités d'authentification les plus récentes pour vos comptes de service et vos clés de compte de service. La date de la dernière activité d'authentification est déterminée en fonction de l'heure normale du Pacifique des États-Unis et du Canada (UTC-8), même lorsque l'heure d'été du Pacifique est en vigueur.
Utilisez Activity Analyzer pour identifier les comptes de service et les clés inutilisés. Avec Activity Analyzer, vous pouvez définir vous-même ce qu'est un compte de service ou une clé "inutilisés". Par exemple, certaines organisations peuvent définir "non utilisé" comme 90 jours d'inactivité, tandis que d'autres peuvent définir "non utilisé" comme 30 jours d'inactivité.
Nous vous recommandons de désactiver ou de supprimer ces comptes et clés de service inutilisés, car ils créent un risque de sécurité inutile. Avant de désactiver ou de supprimer un compte de service, comparez les résultats de l'analyseur d'activité avec les métriques d'utilisation du compte de service Cloud Monitoring. Vous éviterez ainsi de supprimer des comptes de service utilisés avec les Google APIs en dehors de Google Cloud.
Pour savoir comment afficher les activités d'authentification des comptes de service, consultez Afficher l'utilisation récente des comptes de service et des clés.
Insights sur les comptes de service
Recommender fournit des insights sur les comptes de service, qui identifient les comptes de service de votre projet qui ne se sont pas authentifiés au cours des 90 derniers jours. Utilisez les insights sur les comptes de service pour identifier rapidement les comptes de service inutilisés.
Nous vous recommandons de désactiver ou de supprimer ces comptes de service inutilisés, car ils créent un risque de sécurité inutile. Avant de désactiver ou de supprimer un compte de service, comparez les insights du compte de service avec les métriques d'utilisation du compte de service Cloud Monitoring. Cette approche vous empêche de supprimer des comptes de service utilisés avec les API Google en dehors deGoogle Cloud.
Pour savoir comment utiliser les insights sur les comptes de service, consultez Identifier les comptes de service inutilisés.
Métriques d'utilisation des comptes de service
Cloud Monitoring fournit des métriques d'utilisation pour vos comptes de service et vos clés de compte de service. Les métriques d'utilisation indiquent chaque activité d'authentification pour vos comptes de service et vos clés de compte de service.
Les activités d'authentification pour les clés de compte de service incluent chaque fois qu'un système liste les clés lorsqu'il tente d'authentifier une requête, même s'il n'utilise pas la clé pour authentifier la requête. Ce comportement est le plus courant lorsque vous utilisez des URL signées pour Cloud Storage ou lorsque vous vous authentifiez auprès d'applications tierces.
Utilisez les métriques d'utilisation des comptes de service pour suivre les tendances d'utilisation des comptes de service au fil du temps. Ces modèles peuvent vous aider à identifier les anomalies, automatiquement ou manuellement.
Pour savoir comment afficher les métriques d'utilisation des comptes de service, consultez Surveiller les modèles d'utilisation des comptes de service et des clés dans la documentation IAM.
Détection des comptes de service inactifs
Event Threat Detection détecte et signale lorsqu'un compte de service dormant déclenche une action. Les comptes de service dits "dormants" sont des comptes de service inactifs depuis plus de 180 jours.
Cette fonctionnalité n'est disponible que pour les clients qui ont activé le niveau Premium ou Enterprise de Security Command Center au niveau de l'organisation.
Pour savoir comment afficher et corriger les résultats d'actions de comptes de service inactifs, consultez Examiner les menaces et y répondre.