Gestione delle risorse dell'organizzazione sicure per impostazione predefinita

Se sei un nuovo cliente, Google Cloud viene eseguito il provisioning automatico di una risorsa organizzazione per il tuo dominio nei seguenti scenari:

• Un utente del tuo dominio esegue l'accesso per la prima volta.
• Un utente crea un account di fatturazione che non ha una risorsa organizzazione associata.

La configurazione predefinita di questa risorsa dell'organizzazione, caratterizzata da un accesso illimitato, può rendere l'infrastruttura vulnerabile alle violazioni della sicurezza. Ad esempio, la creazione di chiavi del account di servizio predefinite è una vulnerabilità critica che espone i sistemi a potenziali violazioni.

Con l'applicazione delle policy dell'organizzazione sicure per impostazione predefinita, le posture non sicure vengono gestite con un bundle di policy dell'organizzazione applicate al momento della creazione di una risorsa dell'organizzazione. Esempi di queste applicazioni includono la disattivazione della creazione di chiavi del account di servizio e la disattivazione del caricamento delle chiavi del account di servizio.

Quando un utente esistente crea un'organizzazione, il livello di sicurezza per la nuova risorsa dell'organizzazione potrebbe essere diverso da quello delle risorse dell'organizzazione esistente. I criteri dell'organizzazione sicuri per impostazione predefinita vengono applicati a tutte le organizzazioni create a partire dal 3 maggio 2024. Anche alcune organizzazioni create tra febbraio 2024 e aprile 2024 potrebbero avere impostate queste applicazioni delle norme predefinite. Per visualizzare le policy dell'organizzazione applicate alla tua organizzazione, consulta Visualizzare le policy dell'organizzazione.

In qualità di amministratore, di seguito sono riportati gli scenari in cui queste applicazioni delle policy dell'organizzazione vengono applicate automaticamente:

• Account Google Workspace o Cloud Identity: quando hai un account Google Workspace o Cloud Identity, viene creata una risorsa organizzazione associata al tuo dominio. Le policy dell'organizzazione sicure per impostazione predefinita vengono applicate automaticamente alla risorsa organizzazione.
• Creazione dell'account di fatturazione: se l'account di fatturazione che crei non è associato a una risorsa dell'organizzazione, viene creata automaticamente una risorsa dell'organizzazione. I criteri dell'organizzazione sicuri per impostazione predefinita vengono applicati alla risorsa organizzazione. Questo scenario funziona sia nella console Google Cloud che in gcloud CLI.

Autorizzazioni obbligatorie

Il ruolo Identity and Access Management roles/orgpolicy.policyAdmin consente a un amministratore di gestire i criteri dell'organizzazione. Devi essere un amministratore dei criteri dell'organizzazione per modificare o ignorare i criteri dell'organizzazione. Per concedere il ruolo, esegui questo comando:

gcloud organizations add-iam-policy-binding ORGANIZATION --member=PRINCIPAL --role=ROLE

Sostituisci quanto segue:

• ORGANIZATION: identificatore univoco della tua organizzazione.
• PRINCIPAL: L'entità per cui aggiungere l'associazione. Deve essere nel formato user|group|serviceAccount:email o domain:domain. Ad esempio: user:222larabrown@gmail.com.
• ROLE: ruolo da concedere all'entità. Utilizza il percorso completo di un ruolo predefinito. In questo caso, dovrebbe essere roles/orgpolicy.policyAdmin.

Policy dell'organizzazione applicate alle risorse dell'organizzazione

La tabella seguente elenca i vincoli dei criteri dell'organizzazione che vengono applicati automaticamente quando crei una risorsa organizzazione.

Gestire l'applicazione dei criteri dell'organizzazione

Puoi gestire l'applicazione dei criteri dell'organizzazione nei seguenti modi:

Elenca le policy dell'organizzazione

Per verificare se le norme dell'organizzazione sicure per impostazione predefinita vengono applicate alla tua organizzazione, utilizza questo comando:

gcloud resource-manager org-policies list --organization=ORGANIZATION_ID

Sostituisci ORGANIZATION_ID con l'identificatore univoco della tua organizzazione.

Disattivare i criteri dell'organizzazione

Per disattivare o eliminare una policy dell'organizzazione, esegui questo comando:

gcloud org-policies delete CONSTRAINT_NAME --organization=ORGANIZATION_ID

Sostituisci quanto segue:

• CONSTRAINT_NAME è il nome del vincolo di policy dell'organizzazione che vuoi eliminare. Un esempio è iam.allowedPolicyMemberDomains.
• ORGANIZATION_ID è l'identificatore univoco della tua organizzazione.

Aggiungere o aggiornare i valori di un criterio dell'organizzazione

Per aggiungere o aggiornare i valori di una policy dell'organizzazione, devi memorizzarli in un file YAML. Un esempio di come possono apparire i contenuti di questo file:

{
  "name": "organizations/ORG_ID/policies/CONSTRAINT_NAME",
  "spec": {
    "rules": [
      {
        "values": {
            "allowedValues": ["VALUE_A"]
        }
      }
    ]
  }
}

Per aggiungere o aggiornare questi valori elencati nel file YAML, esegui questo comando:

gcloud org-policies set-policy POLICY_FILE

Sostituisci POLICY_FILE con il percorso del file YAML che contiene i valori del criterio dell'organizzazione.