Présentation de Policy Intelligence

Les grandes entreprises disposent souvent d'un ensemble étendu de règles Google Cloud pour contrôler les ressources et gérer l'accès. Les outils Policy Intelligence vous aident à comprendre et à gérer vos stratégies pour améliorer votre configuration de sécurité de manière proactive.

Les sections suivantes expliquent ce que vous pouvez faire avec les outils Policy Intelligence.

Comprendre les règles et l'utilisation

Plusieurs outils Policy Intelligence vous aident à comprendre les accès autorisés par vos stratégies et la façon dont elles sont utilisées.

Analyser les accès

Inventaire des éléments cloud fournit Policy Analyzer pour les stratégies d'autorisation IAM, qui vous permet de savoir quels comptes principaux ont accès à quelles ressources Google Cloud en fonction de vos stratégies d'autorisation IAM.

Policy Analyzer vous aide à répondre aux questions suivantes:

  • "Qui a accès à ce compte de service IAM ?"
  • "Quels rôles et autorisations sont attribués à cet utilisateur sur cet ensemble de données BigQuery ?"
  • "Quels ensembles de données BigQuery cet utilisateur a-t-il l'autorisation de lire ?"

En vous aidant à répondre à ces questions, Policy Analyzer vous permet d'administrer efficacement les accès. Vous pouvez également utiliser Policy Analyzer pour les tâches liées à l'audit et à la conformité.

Pour en savoir plus sur Policy Analyzer pour les stratégies d'autorisation, consultez la présentation de Policy Analyzer.

Pour apprendre à utiliser Policy Analyzer pour les stratégies d'autorisation, consultez la page Analyser des stratégies IAM.

Analyser les règles d'administration

Policy Intelligence fournit Policy Analyzer pour les règles d'administration, que vous pouvez utiliser pour créer une requête d'analyse afin d'obtenir des informations sur les règles d'administration personnalisées et prédéfinies.

Vous pouvez utiliser l'outil d'analyse de stratégies pour afficher la liste des règles d'administration auxquelles une contrainte particulière est appliquée, ainsi que les ressources auxquelles ces règles sont associées.

Pour savoir comment utiliser Policy Analyzer pour les règles d'administration, consultez la page Analyser les règles d'administration existantes.

Résoudre les problèmes d'accès

Pour vous aider à comprendre et à résoudre les problèmes d'accès, Policy Intelligence propose les outils de dépannage suivants:

  • Outil de dépannage des stratégies pour Identity and Access Management
  • Outil de dépannage de VPC Service Controls
  • Policy Troubleshooter pour Chrome Enterprise Premium

Les outils de dépannage d'accès vous aident à répondre aux questions de type "pourquoi", par exemple:

  • "Pourquoi cet utilisateur dispose-t-il de l'autorisation bigquery.datasets.create sur cet ensemble de données BigQuery ?"
  • "Pourquoi cet utilisateur ne peut-il pas afficher la stratégie d'autorisation de ce bucket Cloud Storage ?"

Pour en savoir plus sur ces outils de dépannage, consultez la section Outils de dépannage liés à l'accès.

Comprendre l'utilisation et les autorisations des comptes de service

Les comptes de service sont un type particulier d'entité principale que vous pouvez utiliser pour authentifier des applications dans Google Cloud.

Pour vous aider à comprendre l'utilisation des comptes de service, Policy Intelligence propose les fonctionnalités suivantes:

  • Activity Analyzer: cet outil vous permet de savoir quand vos comptes de service et clés de compte de service ont été utilisés pour la dernière fois pour appeler une API Google. Pour savoir comment utiliser Activity Analyzer, consultez Afficher l'utilisation récente des comptes de service et des clés.

  • Insights sur les comptes de service: les insights sur les comptes de service sont un type d'insight qui identifient les comptes de service de votre projet qui n'ont pas été utilisés au cours des 90 derniers jours. Pour savoir comment gérer les insights sur les comptes de service, consultez Trouver des comptes de service inutilisés.

Pour vous aider à comprendre les autorisations des comptes de service, Policy Intelligence propose des insights sur les mouvements latéraux. Les insights sur les mouvements latéraux sont un type d'insight qui identifient les rôles permettant à un compte de service d'un projet d'usurper l'identité d'un compte de service d'un autre projet. Pour en savoir plus sur les insights sur les mouvements latéraux, consultez la section Comment les insights sur les mouvements latéraux sont générés ?. Pour savoir comment gérer les insights sur les mouvements latéraux, consultez la section Identifier les comptes de service disposant d'autorisations de mouvement latéral.

Les insights sur les mouvements latéraux sont parfois associés à des recommandations de rôles. Les recommandations de rôles suggèrent des actions que vous pouvez entreprendre pour résoudre les problèmes identifiés par les insights sur les mouvements latéraux.

Améliorer vos stratégies

Vous pouvez améliorer vos stratégies d'autorisation IAM en utilisant les recommandations de rôles. Les recommandations de rôle vous aident à appliquer le principe du moindre privilège en vous assurant que les comptes principaux disposent uniquement des autorisations dont ils ont réellement besoin. Chaque recommandation de rôle vous suggère de supprimer ou de remplacer un rôle IAM accordant des autorisations en excès à vos comptes principaux.

Pour en savoir plus sur les recommandations de rôle, y compris sur la façon dont elles sont générées, consultez la section Appliquer le principe du moindre privilège avec les recommandations de rôle.

Pour savoir comment gérer les recommandations de rôle, consultez l'un des guides suivants:

Éviter les erreurs de configuration des règles

Plusieurs outils Policy Intelligence vous permettent de voir comment les modifications apportées aux règles affecteront votre organisation. Une fois que vous avez vu l'impact des modifications, vous pouvez décider de les appliquer ou non.

Tester les modifications apportées aux stratégies d'autorisation IAM

Policy Simulator pour les stratégies d'autorisation IAM vous permet de voir comment une modification d'une stratégie d'autorisation IAM peut affecter l'accès d'un compte principal avant de procéder à la modification. Vous pouvez utiliser Policy Simulator pour vous assurer que les modifications que vous apportez n'empêchent pas un compte principal d'accéder aux ressources dont il a besoin.

Pour savoir comment une modification d'une stratégie d'autorisation IAM peut affecter l'accès d'un compte principal, Policy Simulator détermine quelles tentatives d'accès des 90 derniers jours produisent des résultats différents dans la stratégie d'autorisation proposée et la stratégie d'autorisation actuelle. Il renvoie ensuite ces résultats sous la forme d'une liste de modifications d'accès.

Pour en savoir plus sur Policy Simulator, consultez la page Présentation de Policy Simulator pour IAM.

Pour savoir comment utiliser Policy Simulator pour tester les modifications de rôle, consultez Tester les modifications de rôle avec Policy Simulator IAM.

Tester les modifications apportées aux règles d'administration

Policy Simulator pour les règles d'administration vous permet de prévisualiser l'impact d'une nouvelle contrainte personnalisée ou d'une règle d'administration qui applique une contrainte personnalisée avant qu'elle ne soit appliquée dans votre environnement de production.

Policy Simulator fournit une liste des ressources qui enfreignent la règle proposée avant qu'elle ne soit appliquée. Vous pouvez ainsi les reconfigurer, demander des exceptions ou modifier le champ d'application de votre règle d'administration, le tout sans perturber vos développeurs ni interrompre votre environnement.

Pour savoir comment utiliser Policy Simulator pour tester les modifications apportées aux règles d'administration d'administration, consultez la section Tester les modifications apportées aux règles d'administration à l'aide de Policy Simulator.