使用playbook自动执行 IAM 建议

本文档介绍了如何在 Security Command Center 企业方案中启用 IAM Recommender 响应 playbook，以识别过度授权的身份，并自动安全地移除多余的权限。

概览

IAM Recommender 会提供安全性数据分析，以评估您的主账号如何使用资源，并建议您针对发现的数据分析采取行动。例如，如果某项权限在过去 90 天内未使用过，IAM Recommender 会将其突出显示为多余的权限，并建议您安全地移除该权限。

IAM Recommender 响应 playbook 使用 IAM Recommender 扫描您的环境，以查找具有多余权限或服务账号模拟的工作负载身份。您无需在 Identity and Access Management 中手动查看和应用建议，只需在 Security Command Center 中启用 playbook，即可让系统自动执行此操作。

前提条件

在激活 IAM Recommender 响应 playbook 之前，请完成以下必备步骤：

创建自定义 IAM 角色并为其配置特定权限。
定义 Workload Identity 邮箱值。
向现有主账号授予您创建的自定义角色。

创建自定义 IAM 角色

在 Google Cloud 控制台中，前往 IAM 角色页面。

前往“IAM 角色”
点击创建角色，以创建具有集成所需权限的自定义角色。
对于新的自定义角色，请提供标题、说明和唯一的 ID。
将角色发布阶段设置为正式版。

向创建的角色添加以下权限：

resourcemanager.organizations.setIamPolicy

点击创建。

定义 Workload Identity 邮箱值

如需定义要向哪个身份授予自定义角色，请完成以下步骤：

在 Google Cloud 控制台中，前往响应 > Playbook，打开 Security Operations 控制台导航。
在 Security Operations 控制台导航中，前往响应 > 集成设置。
在集成搜索字段中，输入 Google Cloud Recommender。
点击 配置实例。系统会打开对话框窗口。
将 Workload Identity 邮箱参数的值复制到剪贴板。该值必须采用以下格式：username@example.com

向现有主账号授予自定义角色

向所选主账号授予新的自定义角色后，该主账号便可以更改组织中任何用户的权限。

在 Google Cloud 控制台中，前往 IAM 页面。

转到 IAM
在过滤条件字段中，粘贴 Workload Identity 邮箱值，然后搜索现有主账号。
点击 修改主账号。系统会打开对话框窗口。
在修改权限窗格中的分配角色下，点击　　添加其他角色。
选择您创建的自定义角色，然后点击保存。

启用 playbook

默认情况下，IAM Recommender 响应 playbook 处于停用状态。如需使用 playbook，请手动启用它：

在 Security Operations 控制台中，前往响应 > Playbook。
在 playbook 搜索字段中，输入 IAM Recommender。
在搜索结果中，选择 IAM Recommender 响应 playbook。
在 playbook 标题中，切换开关以启用 playbook。
在 playbook 标题中，点击保存。

配置自动审批流程

更改 playbook 设置是一项高级可选配置。

默认情况下，每次 playbook 识别出未使用的权限时，都会等待您批准或拒绝修复，然后再完成运行。

如需将 playbook 流程配置为在每次发现未使用的权限时自动移除这些权限，而无需征得您的批准，请完成以下步骤：

在 Google Cloud 控制台中，前往响应 > Playbook。
选择 IAM Recommender 响应 playbook。
在 playbook 组成块中，选择 IAM Setup Block_1。系统会打开块配置窗口。默认情况下，remediation_mode 参数设置为 Manual。
在 remediation_mode 参数字段中，输入 Automatic。
点击保存以确认新的修复模式设置。
在 playbook 标题中，点击保存。

后续步骤

请参阅 Google SecOps 文档，详细了解 playbook。