本頁說明如何在Google Cloud 控制台中使用身分與存取權相關安全性問題的發現項目 (身分與存取權發現項目)，以便調查及找出潛在的設定錯誤。
Security Command Center 會產生身分和存取權發現項目，並在 Security Command Center 風險總覽頁面中提供這些項目，這是 Enterprise 方案提供的 Cloud Infrastructure Entitlement Management (CIEM) 功能之一。這些發現項目會經過整理，並歸類到「身分與存取權發現項目」窗格。
事前準備
請務必先完成下列工作，再繼續操作：
在「發現項目」頁面中查看身分與存取權發現項目
Security Command Center「發現項目」頁面的「身分」檢視畫面會顯示雲端環境 (例如 Google Cloud 和 Amazon Web Services (AWS)) 的身分和存取權發現項目。
在 Google Cloud 控制台中，選取導覽列中的「發現項目」。
選取「身分」檢視畫面。
「身分識別」檢視畫面會新增篩選條件，只顯示 domains.category 欄位包含 IDENTITY_AND_ACCESS 值的調查結果。
如要只顯示特定雲端平台的結果，請使用「AWS」和「Google」按鈕。
使用「匯總」面板和「查詢編輯器」進一步篩選結果。如要只查看特定服務偵測到的調查結果，請在「匯總」面板中，選取「來源顯示名稱」類別下的該服務。舉例來說，如果您只想查看 CIEM 偵測服務偵測到的發現結果，請選取「CIEM」CIEM。其他範例包括：
- 類別：篩選器會查詢特定發現類別的結果，方便您進一步瞭解。
- 專案 ID：篩選查詢結果，找出與特定專案相關的發現。
- 資源類型：篩選與特定資源類型相關的調查結果。
- 嚴重程度：篩選特定嚴重程度的發現項目結果。
- 來源顯示名稱：篩選查詢結果，找出偵測到錯誤設定的特定服務所偵測到的發現項目。
「發現查詢結果」面板包含多個資料欄，提供發現項目的詳細資料。其中，下列資料欄與 CIEM 相關：
- 嚴重性：顯示特定發現項目的嚴重程度，協助您判斷補救措施的優先順序。
- 資源顯示名稱：顯示偵測到安全發現的資源。
- 來源顯示名稱：顯示偵測到發現項目的服務。 產生身分相關發現項目的來源包括 CIEM、IAM 建議、安全狀態分析和 Event Threat Detection。
- 雲端服務供應商：顯示偵測到發現項目的雲端環境，例如 Google Cloud、AWS 和 Microsoft Azure。
- 違規存取權授予：顯示連結，可供您查看可能獲得不當角色的主體。
- 案件 ID：顯示與調查結果相關的案件 ID 編號。
如要進一步瞭解如何使用發現項目，請參閱「查看及管理發現項目」。
調查不同雲端平台的「身分與存取權」發現項目
您可以在 Security Command Center 的「發現項目」頁面，調查 AWS、Microsoft Azure 和 Google Cloud 環境的身分與存取權設定錯誤發現項目。
許多不同的 Security Command Center 偵測服務 (例如 CIEM、IAM 建議、Security Health Analytics 和 Event Threat Detection) 會產生 CIEM 專屬的發現項目類別，偵測雲端平台潛在的身分和存取權安全性問題。
Security Command Center CIEM 偵測服務會為您的 AWS 和 Microsoft Azure 環境產生特定發現項目，而 IAM 建議、安全狀態分析和事件威脅偵測服務則會為您的 Google Cloud環境產生特定發現項目。
如要只查看特定服務偵測到的結果，請從「來源顯示名稱」快速篩選器類別中選取該服務。舉例來說，如要只查看 CIEM 偵測服務偵測到的發現結果，請選取「CIEM」CIEM。
下表說明所有屬於 Security Command Center CIEM 功能的發現項目。
| 雲端平台 | 發現項目類別 | 說明 | 來源 |
|---|---|---|---|
| AWS | Assumed identity has excessive permissions (ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS) | 在 AWS 環境中偵測到具有高度寬鬆政策的已代入 IAM 角色。詳情請參閱「CIEM 發現」。 | CIEM |
| AWS | Group has excessive permissions (GROUP_HAS_EXCESSIVE_PERMISSIONS) | 在 AWS 環境中偵測到具有高度寬鬆政策的 AWS IAM 或 AWS IAM Identity Center 群組。詳情請參閱「CIEM 發現項目」。 | CIEM |
| AWS | User has excessive permissions (USER_HAS_EXCESSIVE_PERMISSIONS) | 在 AWS 環境中偵測到 AWS IAM 或 AWS IAM Identity Center 使用者，且這些使用者具有高度寬鬆的政策。詳情請參閱「CIEM 發現項目」。 | CIEM |
| AWS | User is inactive (INACTIVE_USER) | 在 AWS 環境中偵測到非現用的 AWS IAM 或 AWS IAM Identity Center 使用者。詳情請參閱「CIEM 發現」。 | CIEM |
| AWS | Group is inactive (INACTIVE_GROUP) | 在 AWS 環境中偵測到的 AWS IAM 或 AWS IAM Identity Center 群組處於非啟用狀態。詳情請參閱「CIEM 發現」。 | CIEM |
| AWS | Assumed identity is inactive (INACTIVE_ASSUMED_IDENTITY) | 系統在 AWS 環境中偵測到已擔任的 IAM 角色處於非使用中狀態。詳情請參閱「CIEM 發現」。 | CIEM |
| AWS | Overly permissive trust policy enforced on assumed identity (OVERLY_PERMISSIVE_TRUST_POLICY_ENFORCED_ON_ASSUMED_IDENTITY) | 對假設的 IAM 角色強制執行的信任政策權限過高。詳情請參閱「CIEM 發現」。 | CIEM |
| AWS | Assumed identity has lateral movement risk (ASSUMED_IDENTITY_HAS_LATERAL_MOVEMENT_RISK) | 一或多個身分可透過角色模擬，在 AWS 環境中橫向移動。詳情請參閱「CIEM 發現」。 | CIEM |
| Microsoft Azure | Assumed identity has excessive permissions (ASSUMED_IDENTITY_HAS_EXCESSIVE_PERMISSIONS) |
在 Azure 環境中偵測到服務主體或受控識別，並指派了高度寬鬆的權限。詳情請參閱「CIEM 發現」。 | CIEM |
| Microsoft Azure | Group has excessive permissions (GROUP_HAS_EXCESSIVE_PERMISSIONS) |
在 Azure 環境中偵測到具有高權限角色指派作業的群組。 詳情請參閱「CIEM 發現項目」。 | CIEM |
| Microsoft Azure | User has excessive permissions (USER_HAS_EXCESSIVE_PERMISSIONS) |
Azure 環境中偵測到具備高權限角色指派的使用者。 詳情請參閱「CIEM 發現項目」。 | CIEM |
| Google Cloud | MFA not enforced (MFA_NOT_ENFORCED) | 部分使用者未啟用兩步驟驗證。詳情請參閱「多重驗證發現項目」。 | 安全性狀態分析 |
| Google Cloud | Custom role not monitored (CUSTOM_ROLE_NOT_MONITORED) | 記錄指標和快訊未設定為監控自訂角色變更。詳情請參閱「監控安全漏洞發現結果」。 | 安全性狀態分析 |
| Google Cloud | KMS role separation (KMS_ROLE_SEPARATION) | 未強制執行職責分離，且使用者同時具備下列任一 Cloud Key Management Service 角色：CryptoKey Encrypter/Decrypter、Encrypter 或 Decrypter。詳情請參閱「IAM 弱點發現項目」。 | 安全性狀態分析 |
| Google Cloud | Primitive roles used (PRIMITIVE_ROLES_USED) | 使用者具備下列其中一個基本角色：「擁有者」 (roles/owner)、「編輯者」 (roles/editor) 或「檢視者」 (roles/viewer)。詳情請參閱 IAM 安全性弱點發現項目。 | 安全性狀態分析 |
| Google Cloud | Redis role used on org (REDIS_ROLE_USED_ON_ORG) | Redis IAM 角色是在機構或資料夾層級指派。詳情請參閱「身分與存取權管理 (IAM) 安全性弱點發現結果」。 | 安全性狀態分析 |
| Google Cloud | Service account role separation (SERVICE_ACCOUNT_ROLE_SEPARATION) | 使用者已獲派「服務帳戶管理員」和「服務帳戶使用者」角色。這違反了「權責劃分」原則。詳情請參閱「身分與存取權管理 (IAM) 安全性弱點發現結果」。 | 安全性狀態分析 |
| Google Cloud | Non org IAM member (NON_ORG_IAM_MEMBER) | 使用者未採用機構憑證。根據 CIS Google Cloud Foundations 1.0，只有具有 @gmail.com 電子郵件地址的身分會觸發這個偵測工具。詳情請參閱「IAM 弱點發現結果」。 | 安全性狀態分析 |
| Google Cloud | Open group IAM member (OPEN_GROUP_IAM_MEMBER) | Google 群組帳戶可供加入，不必經過核准，因此做為 IAM 允許政策主體。詳情請參閱「身分與存取權管理 (IAM) 安全性弱點發現結果」。 | 安全性狀態分析 |
| Google Cloud | Unused IAM role (UNUSED_IAM_ROLE) | IAM 建議工具偵測到使用者帳戶有過去 90 天內未使用的 IAM 角色。詳情請參閱 IAM 建議工具的發現。 | IAM 推薦功能 |
| Google Cloud | IAM role has excessive permissions (IAM_ROLE_HAS_EXCESSIVE_PERMISSIONS) | IAM 建議工具偵測到服務帳戶有一或多個 IAM 角色，對使用者帳戶授予超額權限。詳情請參閱 IAM 建議工具的發現。 | IAM 推薦功能 |
| Google Cloud | Service agent role replaced with basic
role (SERVICE_AGENT_ROLE_REPLACED_WITH_BASIC_ROLE) |
身分與存取權管理建議工具偵測到，服務代理原始預設的 IAM 角色已替換為基本的 IAM 角色：擁有者、編輯者或檢視者。基本角色是權限過於寬鬆的舊版角色，不應授予服務代理。詳情請參閱 IAM 建議工具的發現。 | IAM 推薦功能 |
| Google Cloud | Service agent granted basic role (SERVICE_AGENT_GRANTED_BASIC_ROLE) | IAM 推薦功能偵測到服務代理獲派基本 IAM 角色：擁有者、編輯者或檢視者。基本角色是權限過於寬鬆的舊版角色，不應授予服務代理。詳情請參閱 IAM 建議工具的發現。 | IAM 推薦功能 |
| Google Cloud | Admin service account (ADMIN_SERVICE_ACCOUNT) | 服務帳戶具有管理員、擁有者或編輯者權限。請勿將這些角色指派給使用者建立的服務帳戶。詳情請參閱「身分與存取權管理 (IAM) 安全性弱點發現結果」。 | 安全性狀態分析 |
| Google Cloud | Default service account used (DEFAULT_SERVICE_ACCOUNT_USED) | 執行個體已設為使用預設服務帳戶。詳情請參閱「Compute 執行個體安全漏洞發現結果」。 | 安全性狀態分析 |
| Google Cloud | Over privileged account (OVER_PRIVILEGED_ACCOUNT) | 服務帳戶在叢集中的專案存取權過於廣泛。詳情請參閱「容器安全漏洞發現」。 | 安全性狀態分析 |
| Google Cloud | Over privileged service account
user (OVER_PRIVILEGED_SERVICE_ACCOUNT_USER) | 使用者在專案層級擁有「服務帳戶使用者」或「服務帳戶權杖建立者」角色，而非特定服務帳戶。詳情請參閱「身分與存取權管理 (IAM) 安全性弱點發現結果」。 | 安全性狀態分析 |
| Google Cloud | Service account key not rotated (SERVICE_ACCOUNT_KEY_NOT_ROTATED) | 服務帳戶金鑰已超過 90 天未輪替。詳情請參閱「身分與存取權管理 (IAM) 安全性弱點發現結果」。 | 安全性狀態分析 |
| Google Cloud | Over privileged scopes (OVER_PRIVILEGED_SCOPES) | 節點服務帳戶具有廣泛的存取權範圍。詳情請參閱「容器安全漏洞發現」。 | 安全性狀態分析 |
| Google Cloud | KMS public key (KMS_PUBLIC_KEY) | Cloud KMS 加密編譯金鑰可公開存取。詳情請參閱 KMS 安全漏洞發現結果。 | 安全性狀態分析 |
| Google Cloud | Public bucket ACL (PUBLIC_BUCKET_ACL) | Cloud Storage bucket 可公開存取。詳情請參閱「儲存空間安全漏洞發現結果」。 | 安全性狀態分析 |
| Google Cloud | Public log bucket (PUBLIC_LOG_BUCKET) | 做為記錄檔接收器的 Storage bucket 可公開存取。詳情請參閱「儲存空間安全漏洞發現結果」。 | 安全性狀態分析 |
| Google Cloud | User managed service account key (USER_MANAGED_SERVICE_ACCOUNT_KEY) | 使用者管理服務帳戶金鑰。詳情請參閱「身分與存取權管理 (IAM) 安全性弱點發現結果」。 | 安全性狀態分析 |
| Google Cloud | Too many KMS users (TOO_MANY_KMS_USERS) | 加密編譯金鑰使用者人數超過三位。詳情請參閱 KMS 安全漏洞發現項目。 | 安全性狀態分析 |
| Google Cloud | KMS project has owner (KMS_PROJECT_HAS_OWNER) | 使用者對含有加密編譯金鑰的專案具有擁有者權限。詳情請參閱 KMS 安全漏洞發現項目。 | 安全性狀態分析 |
| Google Cloud | Owner not monitored (OWNER_NOT_MONITORED) | 記錄指標和快訊未設定為監控專案擁有權指派或變更。詳情請參閱「監控安全漏洞發現結果」。 | 安全性狀態分析 |
依雲端平台篩選身分與存取權發現項目
在「發現項目查詢結果」窗格中，檢查「雲端服務供應商」、「資源顯示名稱」或「資源類型」欄的內容，即可判斷發現項目與哪個雲端平台相關。
「尋找查詢結果」預設會顯示 Google Cloud、AWS 和 Microsoft Azure 環境的身分與存取權調查結果。Google Cloud如要編輯預設的發現項目查詢結果，只顯示特定雲端平台的發現項目，請從「雲端供應商」快速篩選器類別中，選取「Amazon Web Services」或「Google Cloud Platform」。
詳細檢查身分與存取權發現項目
如要進一步瞭解身分和存取權發現項目，請在「發現項目」面板中，按一下「類別」欄中的發現項目名稱，開啟發現項目的詳細資料檢視畫面。如要進一步瞭解發現項目詳細資料檢視畫面，請參閱「查看發現項目的詳細資料」。
詳細資料檢視畫面「摘要」分頁中的下列部分，有助於調查身分和存取權發現項目。
違規授予存取權
在調查結果詳細資料窗格的「摘要」分頁中，「違規存取權授予」列可讓您快速檢查主體 (包括同盟身分) 及其資源存取權。只有在 IAM 建議工具偵測到 Google Cloud 資源上的主體具有高權限、基本和未使用的角色時，這項資訊才會顯示在調查結果中。
按一下「查看違規授予存取權」，開啟「查看違規授予存取權」窗格，其中包含下列資訊：
- 校長姓名。這個資料欄中顯示的主體可以是使用者帳戶、群組、聯盟身分和服務帳戶的組合。 Google Cloud
- 授予主體的角色名稱。
- 建議您採取哪些行動，修正違規存取權。
案件資訊
如果發現項目有對應的案件或單號，詳細資料頁面的「摘要」分頁就會顯示「案件資訊」部分。
「案件資訊」部分可追蹤特定發現項目的補救措施。其中提供對應案件的詳細資料，例如任何對應案件和票證系統 (Jira 或 ServiceNow) 票證的連結、指派對象、案件狀態和案件優先順序。
如要存取與調查結果相應的案件，請按一下「案件 ID」列中的案件 ID 編號。
如要存取與發現項目相應的 Jira 或 ServiceNow 支援單，請點選「支援單 ID」列中的支援單 ID 編號。
如要將支援單處理系統與 Security Command Center Enterprise 連結，請參閱「整合 Security Command Center Enterprise 與支援單處理系統」。
如要進一步瞭解如何查看對應案件，請參閱「查看身分與存取權發現結果案件」。
後續步驟
在調查結果詳細資料頁面的「摘要」分頁中，「後續步驟」部分會提供逐步指引，說明如何立即修正偵測到的問題。這些建議是根據您查看的特定發現項目量身打造。
後續步驟
- 瞭解如何查看及管理調查結果。
- 瞭解如何查看身分和存取權發現項目案例。
- 瞭解產生 AWS 和 Microsoft Azure 發現項目的 CIEM 偵測器。