云基础架构授权管理概览

借助 Security Command Center 的 Cloud Infrastructure Entitlement Management (CIEM) 功能，您可以管理哪些身份有权访问您在多个云平台上部署的哪些资源，并缓解因配置错误而导致的潜在漏洞。

Security Command Center 的 CIEM 功能可让您全面了解身份和访问权限配置的安全性。具体而言，以下 CIEM 功能可帮助您识别错误配置并强制执行最小权限原则：

  • 检测您在多个云平台（包括 Google Cloud 和 Amazon Web Services [AWS]）上部署的资源中可能存在的身份和访问权限配置错误。
  • IAM 建议工具：针对身份的具体发现，可深入了解授予正文的 Google Cloud Identity and Access Management (IAM) 角色，包括来自其他身份提供程序（例如 Entra ID [Azure AD] 和 Okta）的联合身份。
  • 有关如何修复错误配置（例如从拥有过多权限的主账号中移除权限）的指南。
  • 支持请求管理，可通过安全运营控制台和其他工单管理系统高效跟踪错误配置修复工作。

使用 CIEM 管理身份和访问权限安全问题

以下部分介绍了可帮助您管理身份和访问权限错误配置的 CIEM 功能。

快速访问身份和访问权限发现结果

安全问题通常是由于未检测到的身份和访问权限配置错误（例如高特权正文、休眠身份、未轮替的服务账号密钥以及缺少多重身份验证）而导致的。CIEM 会生成发现结果，以便提醒您注意云环境中可能存在的身份和访问安全问题。许多不同的 Security Command Center 检测服务（例如 IAM 建议程序、Security Health Analytics 和 CIEM）都会生成身份和访问权限发现结果，这些结果被视为 Security Command Center 的 CIEM 功能的一部分。例如，CIEM 检测服务本身会生成 AWS 身份和访问问题的一部分发现结果，以提醒您注意具有高特权的 AWS IAM 角色、组和用户。

借助 CIEM，Security Command Center 会在 Risk Overview（风险概览）页面的 Identity and access findings（身份和访问权限发现结果）卡片中按类别显示 Google Cloud 和 AWS 身份和访问权限发现结果。通过此卡片，您可以快速在 Security Command Center 的发现页面上查看过滤后的身份和访问权限配置错误发现结果。详细查看每个发现时，您可以全面了解检测到的内容，以及如何解决错误配置以避免潜在的攻击途径。

如需了解如何调查身份和访问权限发现结果以了解您的身份和访问权限安全性，请参阅调查身份和访问权限发现结果。

身份和访问权限发现结果的修复指南和跟踪

负责多云基础架构的安全团队通常很难大规模解决身份和访问权限配置错误问题。Security Command Center 可为您提供补救指南，以及安全运维功能，例如案例管理和响应手册。默认情况下，对于 Critical 和 High 严重级别的配置错误，Security Command Center 还会自动在 Security Operations 控制台中创建支持请求，并在 Jira 或 ServiceNow 中创建工单。

如需详细了解如何审核发现问题支持请求，请参阅审核身份和访问权限问题支持请求。

在 Google Cloud 上发现联合身份的权限

CIEM 有助于深入了解来自其他身份提供程序（例如 Entra ID [Azure AD] 和 Okta）的联合身份的 Google Cloud 权限，从而更精细地了解身份和访问权限配置的安全性。CIEM 与 IAM Recommender 集成，可显示具有对 Google Cloud 资源的过多权限的角色的联合身份。您可以直接在 Security Command Center 的发现结果页面中查看违规的访问权限授予情况和建议的补救措施。如需详细了解违规的访问权限授予情况，请参阅违规的访问权限授予情况。

此外，借助 Google Cloud IAM，您可以在 Google Cloud 控制台中的 IAM 页面上进一步了解其他身份提供程序的主账号的权限。

后续步骤