Leitfaden zur rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC)

Unterstützt in:

Mit der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC) kann ein Administrator den Zugriff auf Google Security Operations-Funktionen basierend auf der Rolle eines Mitarbeiters in Ihrer Organisation anpassen.

Hinweise

RBAC liest die Gruppeninformationen aus der SAML-Antwort anhand der folgenden standardmäßigen Attributnamen, bei denen die Groß-/Kleinschreibung nicht beachtet wird:

  • group
  • idpgroup group
  • memberof

Wenn Sie einen benutzerdefinierten Attributnamen verwenden, muss dieser zuerst Google Security Operations zur Verfügung gestellt werden, damit Sie Ihre RBAC-Einstellungen ändern können.

RBAC-Einstellungen ändern

Klicken Sie in der Navigationsleiste auf Einstellungen, um die Seiten für RBAC-Profile und -Einstellungen aufzurufen.

Profil

Auf der Seite Profil werden die Informationen aus dem Profil des Nutzers (Nutzer-ID, Gruppen-ID, zugewiesene Rollen) und einige zusätzliche Informationen zu seiner Organisation (Kunden-ID, Google Cloud Projektnummer, Google Cloud Projekt-ID) angezeigt.

Kunden-ID

Ihre Kundennummer finden Sie auf der Seite Profil im Bereich Organisationsdetails.

Zeitzone

Sie können die mit Ihrem Profil verknüpfte Zeitzone ändern, indem Sie neben „Zeiteinstellungen“ auf Bearbeiten klicken. Wählen Sie die entsprechende Zeitzone aus und klicken Sie auf Speichern. Dadurch wird die in den meisten Bereichen der Benutzeroberfläche angezeigte Zeit an die ausgewählte Zeitzone angepasst. Während

Nutzer und Gruppen

Auf der Seite Nutzer und Gruppen kann ein Administrator RBAC konfigurieren.

  1. Klicken Sie im linken Navigationsbereich auf den Link Nutzer und Gruppen. Auf der Seite Nutzer und Gruppen wird eine Liste von Nutzern und Gruppen mit den Spalten Nutzer/Gruppe, Typ und Zugewiesene Rolle angezeigt.

  2. Klicken Sie auf Neu zuweisen, um das Dialogfeld Rolle zuweisen zu öffnen. In diesem Dialogfeld können Sie die folgenden Aufgaben ausführen:

    • Weisen Sie einem Nutzer oder mehreren Nutzern eine Rolle zu.
    • Weisen Sie einer Rolle eine neue Gruppe oder mehrere neue Gruppen zu.

    Folgende Rollen sind verfügbar:

    • Standard
    • ViewerWithNoDetectAccess
    • Betrachter
    • Editor
    • Administrator

    Nachdem Sie Ihre Nutzer- oder Gruppen-IDs hinzugefügt und die entsprechende Rolle im Drop-down-Menü ROLLE ZUWEISEN ausgewählt haben, klicken Sie auf ZUWEISEN.

    Beachten Sie beim Zuweisen von Rollen Folgendes:

    • Achten Sie beim Hinzufügen von Nutzern oder Gruppen darauf, dass sie in Ihrem Identitätsanbieter (IdP) vorhanden sind. Wenn Sie Nutzer oder Gruppen löschen, müssen Sie darauf achten, dass mindestens ein Nutzer oder eine Gruppe mit der Administratorrolle in Ihrem IdP verbleibt. Andernfalls verlieren Sie den Administratorzugriff.
    • Bei den IdP-IDs für Nutzer und Gruppen wird zwischen Groß- und Kleinschreibung unterschieden.
    • Sie können die zugewiesene Rolle eines vorhandenen Nutzers oder einer vorhandenen Gruppe nicht über dieses Dialogfeld ändern. Im Folgenden finden Sie eine Anleitung zum Ändern von Rollen sowie zum Löschen von Nutzern und Gruppen.
    • Google Security Operations verwaltet die Zuordnung zwischen Nutzern, Gruppen und Rollen.
    • Seien Sie vorsichtig, wenn die Nutzer- oder Gruppen-ID Sonderzeichen enthält, die je nach Textquelle möglicherweise die UTF-8-Codierung verwenden. Nachdem Sie auf Zuweisen geklickt haben, sollten Sie prüfen, ob die neue Zuweisung richtig gespeichert wurde.

  3. Sie können die Rolle eines vorhandenen Nutzers oder einer vorhandenen Gruppe ändern, indem Sie in der Spalte Zugewiesene Rolle im Drop-down-Menü die entsprechende neue Rolle auswählen.

  4. Sie können die Standardrolle, die neuen Nutzern und Gruppen zugewiesen wird, über das Drop-down-Menü für Rollen oben rechts ändern.

  5. Wenn Sie einen Nutzer oder eine Gruppe löschen möchten, klicken Sie auf das Papierkorbsymbol, das ganz rechts in der Nutzer- oder Gruppenzeile angezeigt wird, wenn Sie den Mauszeiger darauf bewegen.

    Wenn Sie Nutzer und Gruppen löschen, die Administratoren sind, und die einzigen verbleibenden Administratoren nicht in Ihrem IdP sind, verlieren Sie den Administratorzugriff.

    Rollen

Rollen sind mit einer Reihe von Produktberechtigungen verknüpft. Wenn Sie einem Nutzer eine Rolle zuweisen, erhält er die mit dieser Rolle verknüpften Berechtigungen.

Google Security Operations umfasst die folgenden vordefinierten Rollen:

  • Administrator: Verwaltet die rollenbasierten Zugriffssteuerungsrichtlinien für Ihr Unternehmen. Kann auch jede Google Security Operations-Seite bearbeiten oder aufrufen.
  • Editor: Kann Google Security Operations-Seiten bearbeiten, einschließlich der Möglichkeit, Regeln für die Detection Engine zu erstellen und zu bearbeiten.
  • Betrachter: Kann alle Google Security Operations-Seiten aufrufen, aber keine Änderungen vornehmen.
  • ViewerWithNoDetectAccess: Kann alle Google Security Operations-Seiten aufrufen, die keine Erkennungen enthalten (hauptsächlich die Seiten „Regeln“ und „Referenzlisten“).

RBAC-Anwendungen umfassen Folgendes:

  • Erstellen und weisen Sie Rollen basierend auf den Aufgaben zu.
  • Rollen basierend auf Mandanten oder Organisationen erstellen und zuweisen
  • Weisen Sie Analysten temporäre Rollen zu, damit sie ein Problem untersuchen können.

Berechtigungen

Berechtigungen bieten die Autorisierung, die zum Ausführen einer einzelnen kontrollierten Aktion in Google Security Operations erforderlich ist. Dazu gehören (die vollständige Liste der Berechtigungen finden Sie in der Benutzeroberfläche):

  • Regel anzeigen
  • Regel ändern
  • Feedback bearbeiten
  • Referenzliste bearbeiten
  • RBAC-Berechtigungen ansehen

Wenn ein Nutzer keine Berechtigungen für eine Aktion hat, wird die zugehörige Funktion deaktiviert. Wenn der Nutzer beispielsweise die Rolle „Betrachter“ hat, kann er keine neue Regel erstellen (die Schaltfläche Neu ist im Regeleditor deaktiviert), keine Regel duplizieren (die Option Duplizieren ist deaktiviert) und keine vorhandene Regel ändern.

So rufen Sie die für Nutzer und Gruppen verfügbaren Rollen und Berechtigungen auf:

  1. Klicken Sie im linken Navigationsbereich auf den Link Rollen.

  2. Wählen Sie in der Spalte „Rollen“ eine Rolle aus, um die für diese Rolle gewährten Berechtigungen aufzurufen. Die Berechtigungen, die mit den einzelnen Rollen verknüpft sind, können nicht geändert werden.

Die Standardrolle für neu hinzugefügte Nutzer und Gruppen ist „Viewer“. Wenn Sie eine der anderen Rollen auswählen (z. B. „Bearbeiter“), wird das Steuerelement Als Standard festlegen verfügbar. So können Sie diese Rolle stattdessen als Standard festlegen.

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten