Control de acceso con la IAM

Descripción general

Cyber Insurance Hub utiliza la administración de identidades y accesos (IAM) para administrar el acceso a los recursos del modelo. Para otorgar acceso a un recurso de un modelo, asigna una o más funciones de IAM a un usuario, un grupo o una cuenta de servicio. Los permisos de Cyber Insurance Hub se incorporan a las funciones de IAM.

Para obtener más información sobre las funciones de IAM, consulta el Índice de roles y permisos de IAM.

Funciones de Cyber Insurance Hub

Cyber Insurance Hub proporciona funciones predefinidas que otorgan varios permisos a recursos específicos de Cyber Insurance Hub.

En la siguiente tabla, se enumeran las funciones predefinidas de Cyber Insurance Hub, su descripción y los permisos que incluyen. Otorga estas funciones a nivel de la organización.

Rol Título Descripción Permisos
riskmanager.admin Administrador del administrador de riesgos Todos los permisos de Cyber Insurance Hub riskmanager.serviceaccount.create
riskmanager.reports.get
riskmanager.reports.list
riskmanager.reports.create
riskmanager.reports.delete
riskmanager.reports.review
riskmanager.reports.share
riskmanager.operations.get
riskmanager.operations.list
riskmanager.operations.delete
riskmanager.policies.get
riskmanager.policies.list
riskmanager.settings.get
riskmanager.settings.update
riskmanager.controlScoreBreakdowns.get
riskmanager.controlScoreBreakdowns.list
riskmanager.editor Editor del administrador de riesgos Acceso para editar recursos de Cyber Insurance Hub (incluye todos los permisos, excepto la capacidad de compartir o revisar un informe) riskmanager.serviceaccount.create
riskmanager.reports.get
riskmanager.reports.list
riskmanager.reports.create
riskmanager.reports.delete
riskmanager.operations.get
riskmanager.operations.list
riskmanager.operations.delete
riskmanager.policies.get
riskmanager.policies.list
riskmanager.settings.get
riskmanager.settings.update
riskmanager.controlScoreBreakdowns.get
riskmanager.controlScoreBreakdowns.list
riskmanager.viewer Visualizador del administrador de riesgos Acceso para ver los recursos de Cyber Insurance Hub riskmanager.reports.get
riskmanager.reports.list
riskmanager.operations.get
riskmanager.operations.list
riskmanager.policies.get
riskmanager.policies.list
riskmanager.settings.get
riskmanager.controlScoreBreakdowns.get
riskmanager.controlScoreBreakdowns.list
riskmanager.reviewer Revisor de informes del administrador de riesgos Acceso para revisar o aprobar informes de Cyber Insurance Hub riskmanager.reports.get
riskmanager.reports.list
riskmanager.reports.review
riskmanager.operations.get
riskmanager.operations.list

Función de agente de servicio del administrador de riesgos

Cuando te inscribes en Cyber Insurance Hub, se crea un agente de servicio para ti con el formato de organizations-ORGANIZATION_ID@gcp-sa-riskmanager.iam.gserviceaccount.com. Este agente de servicio requiere la función riskmanager.serviceAgent a nivel de la organización. Esta función permite que el agente de servicio de Cyber Insurance Hub recupere los datos necesarios de otros Google Cloud servicios para generar informes de Cyber Insurance Hub.

La función de agente de servicio del administrador de riesgos (roles/riskmanager.serviceAgent) es una función que incluye los siguientes permisos:

Rol Título Descripción Permisos
roles/riskmanager.serviceAgent Agente del servicio del administrador de riesgos Acceso para recuperar datos de otros Google Cloud servicios necesarios para generar informes de Cyber Insurance Hub
  • resourcemanager.organizations.get

Además, se incluyen todos los permisos de las siguientes funciones:

  • cloudasset.viewer
  • securitycenter.assetsViewer
  • securitycenter.findingsViewer
  • securitycenter.settingsViewer

Para obtener los permisos que necesitas para otorgar la función de agente de servicio del administrador de riesgos, pídele a tu administrador que te otorgue el rol de IAM de administrador de la organización (roles/resourcemanager.organizationAdmin) en tu organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Este rol predefinido contiene los permisos necesarios para otorgar la función de agente de servicio del administrador de riesgos. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

Permisos necesarios

Se requieren los siguientes permisos para otorgar la función de agente de servicio del administrador de riesgos:

  • resourcemanager.organizations.getIamPolicy
  • resourcemanager.organizations.setIamPolicy

También puedes obtener estos permisos con roles personalizados o otros roles predefinidos.

Puedes otorgar la función de agente de servicio del administrador de riesgos al agente de servicio cuando configuras Cyber Insurance Hub por primera vez. También puedes otorgar la función de agente de servicio del administrador de riesgos a un agente de servicio ejecutando el siguiente comando de CLI:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="serviceAccount:organizations-ORGANIZATION_ID@gcp-sa-riskmanager.iam.gserviceaccount.com" \
  --role="roles/riskmanager.serviceAgent"

Reemplaza ORGANIZATION_ID por el ID numérico de tu organización.

Roles personalizados de Cyber Insurance Hub

Además de las funciones predefinidas, Cyber Insurance Hub admite la capacidad de crear roles personalizados de IAM. Puedes crear un rol de IAM personalizado y asignarle uno o más permisos. Luego, puedes otorgar la nueva función a tus colaboradores. Usa funciones personalizadas para crear un modelo de control de acceso que se asigne directamente a tus necesidades, junto con las funciones predefinidas disponibles que ofrece Google.

En este documento, no se describe cómo crear una función personalizada. Para obtener información detallada sobre las funciones personalizadas y las instrucciones paso a paso para crear una función personalizada, consulta Crea y administra funciones personalizadas en la documentación de IAM.