Identitätsrisiken prüfen und verwalten

Als IAM-Administrator können Sie Identitätsrisiken in Ihrer Organisation, Ihrem Ordner oder Ihrem Projekt über das Dashboard Security Insights in derGoogle Cloud Console prüfen und verwalten.

Im Dashboard Sicherheitsinformationen haben Sie folgende Möglichkeiten:

  • Risiken im Zusammenhang mit gefährdeten menschlichen, nicht menschlichen und Gruppenidentitäten prüfen

  • Sehen Sie sich den Typ und den Schweregrad der Identitätsrisiken an, die mit einer Organisation, einem Ordner oder einem Projekt verbunden sind.

  • Risiken mit umsetzbaren Informationen für Google Cloudund andere Drittanbieter von Identitäten priorisieren und beheben.

Hinweis

Um die Berechtigungen zu erhalten, die Sie zum Prüfen und Verwalten von Identitätsrisiken benötigen, bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die Organisation, den Ordner oder das Projekt zuzuweisen, für die Sie Identitätsrisiken prüfen und verwalten möchten:

Identitätsrisiken prüfen

  1. Rufen Sie in der Google Cloud Console die Seite IAM & Verwaltung > Security Insights auf.

    Zu „Sicherheitsinformationen“

  2. Wählen Sie die Organisation, den Ordner oder das Projekt aus, für die bzw. das Sie die Identitätsrisiken prüfen möchten.

    Das Dashboard Sicherheitsstatistiken enthält die folgenden Widgets für die ausgewählte Ressource:

    • Übersicht über Identitätsrisiken: Hier sehen Sie die Gesamtzahl der Identitäten mit Rollenbindungen, die Gesamtzahl der riskanten menschlichen, nicht menschlichen und Gruppenidentitäten sowie deren Schweregrade.

      Die Gesamtzahl der Identitäten ist die Summe der eindeutigen Identitäten in den Zulassungsrichtlinien, die an die ausgewählte Ressource angehängt sind. Diese Zahl enthält nicht die Identitäten aus den Zulassungsrichtlinien, die an die untergeordneten Ressourcen der ausgewählten Ressource angehängt sind. Wenn die ausgewählte Ressource beispielsweise eine Organisation ist, sind die Identitäten aus den Zulassungsrichtlinien, die an die einzelnen Ordner oder Projekte angehängt sind, nicht enthalten.

    • Risiken nach Ergebniskategorie: Hier werden riskante Identitäten nach Kategorie wie Unused IAM role oder IAM role has excessive permissions aufgeführt.

      Die Gesamtzahl der Ergebnisse im Widget Risiken nach Ergebniskategorie kann sich von der Anzahl der Statistiken in anderen Widgets unterscheiden. Dieser Unterschied entsteht, weil mehrere Statistiken mit demselben Schweregrad für dieselbe Ressource in anderen Widgets in einem einzigen Ergebnis zusammengefasst werden.

    • Risikoreichste Gruppen: Hier werden Gruppen mit den meisten nicht erforderlichen Berechtigungen angezeigt.

    • Risikoreichste menschliche Identitäten: Hier werden menschliche Identitäten mit den meisten nicht erforderlichen Berechtigungen angezeigt.

    • Risikoreichste nicht menschliche Identitäten: Hier werden nicht menschliche Identitäten mit den meisten nicht erforderlichen Berechtigungen angezeigt.

    • Trend aktiver IAM-Empfehlungen: Hier werden aktive Rollempfehlungen für einen bestimmten Zeitraum angezeigt.

Identitätsrisiken verwalten

Sie können Statistiken und Empfehlungen aufrufen, um die mit einer Identität verbundenen Risiken zu verwalten.

So verwalten Sie Identitätsrisiken über ein beliebiges Widget auf dem Dashboard:

  1. Klicken Sie für eine riskante Identität in der Spalte Statistiken auf die Anzahl der Statistiken.

  2. Wenn Sie die Statistiken im Bereich Statistiken nach Typ filtern möchten, wählen Sie den gewünschten Typ aus der Liste aus.

  3. Je nachdem, ob für eine Statistik eine Empfehlung verfügbar ist, können Sie entweder die Details oder die Empfehlung aufrufen.

    • Klicken Sie bei einer Statistik ohne Empfehlung auf Details ansehen.

      Im Bereich Berechtigungen finden Sie Details zum Insight.

    • Klicken Sie bei einer Statistik mit einer Empfehlung auf Empfehlung ansehen.

      Im Bereich Empfehlung finden Sie Details zum vorgeschlagenen Entfernen oder Ersetzen der Rolle.

      Nur für Gruppenhauptkonten mit nicht erforderlichen Berechtigungen haben Sie die Möglichkeit, den permanenten Zugriff mit Privileged Access Manager durch temporären On-Demand-Zugriff zu ersetzen (Vorabversion). Wenn Mitglieder einer Gruppe keinen permanenten Zugriff auf die Berechtigungen einer Rolle benötigen, aber möglicherweise in Zukunft aus unvorhergesehenen Gründen darauf zugreifen müssen, können Sie ihren permanenten Zugriff entfernen und Privileged Access Manager verwenden, damit sie bei Bedarf temporären Zugriff anfordern können. Weitere Informationen zum Beheben nicht erforderlicher Berechtigungen mit Privileged Access Manager finden Sie unter Nicht erforderliche Berechtigungen mit Privileged Access Manager beheben.

  4. Klicken Sie auf Anwenden oder Schließen, um die Empfehlung zu übernehmen oder zu verwerfen.

    Es dauert einige Zeit, bis Zugriffsänderungen im System wirksam werden. Informationen darüber, wie lange es durchschnittlich dauert, bis Zugriffsänderungen weitergegeben werden, finden Sie unter Zugriffsänderungsverteilung.

Nächste Schritte