Best practices voor domeinbrede machtiging

Als beheerder kunt u domeinbrede machtigingen gebruiken om interne apps en apps van derden toegang te geven tot de Google Workspace-gegevens van uw gebruikers. Er is dan geen toestemming nodig van eindgebruikers. U doet dit door een serviceaccount te maken in de Google Cloud-console en domeinbrede autoriteit te delegeren naar het account in de Google Beheerdersconsole. U kunt ook beperkte API-bereiken geven aan het serviceaccount in de Beheerdersconsole. Ga naar API-toegang beheren met domeinbrede machtigingen voor meer informatie over domeinbrede machtigingen.

Serviceaccounts beheren en beveiligen

Identity and Access Management (IAM) biedt richtlijnen voor het gebruik van serviceaccounts om de toegang te beperken en te beschermen tegen toe-eigening van rechten en bedreigingen. Ga naar Best practices voor het gebruik van serviceaccounts voor de richtlijnen.

Alle aanbevelingen in de handleiding zijn van toepassing op de bescherming van serviceaccounts die domeinbrede machtiging gebruiken. Dit zijn enkele uitgelichte voorbeelden:

Gebruik directe toegang tot serviceaccounts of OAuth-toestemming

Gebruik geen domeinbrede machtiging als u de taak rechtstreeks kunt uitvoeren met een serviceaccount of met OAuth-toestemming.

Als u domeinbrede machtigingen moet gebruiken, beperkt u de set OAuth-bereiken die het serviceaccount kan gebruiken. OAuth-bereiken beperken niet welke gebruikers het serviceaccount kan nabootsen, maar wel de typen gebruikersgegevens waartoe het serviceaccount toegang heeft.

Gebruik geen domeinbrede machtiging

Beperk het maken en uploaden van serviceaccountsleutels

Gebruik organisatiebeleid om het maken en uploaden van sleutels te beperken voor serviceaccounts met domeinbrede machtigingen. Dit beperkt nabootsing van serviceaccounts via serviceaccountsleutels.

Sta gebruikers niet toe serviceaccountsleutels te maken of te uploaden

Zet automatische roltoewijzingen uit voor standaard serviceaccounts

Serviceaccounts die standaard worden gemaakt, krijgen de rol Bewerker. Hiermee kan het account alle resources in het Google Cloud-project lezen en wijzigen. U kunt automatische roltoewijzingen uitzetten voor standaard serviceaccounts om te zorgen dat ze niet automatisch de rol Bewerker krijgen en niet makkelijk kunnen worden misbruikt door kwaadwillenden.

Gebruik geen automatische roltoewijzingen voor standaard serviceaccounts

Beperk laterale beweging

Laterale beweging is wanneer een serviceaccount in het ene project rechten heeft om een serviceaccount in een ander project na te bootsen. Dit kan leiden tot onbedoelde toegang tot bronnen. Gebruik Inzichten in laterale bewegingen om laterale bewegingen te detecteren en te beperken door nabootsing van identiteit.

Gebruik Inzichten in laterale beweging om laterale beweging te beperken

Beperk toegang tot serviceaccounts met domeinbrede machtigingen

Sta niet toe dat een gebruiker het beleid voor toestaan van een serviceaccount wijzigt als het serviceaccount meer rechten heeft dan de gebruiker. Gebruik IAM-rollen om de toegang te beperken tot serviceaccounts met domeinbrede machtigingen.

Voorkom dat gebruikers het beleid voor toestaan van meer gemachtigde serviceaccounts wijzigen

Serviceaccounts beschermen tegen insiderrisico's

Gebruik alleen domeinbrede machtigingen als er een belangrijke businesscase is waarbij een app de gebruikerstoestemming moet overslaan voor toegang tot Google Workspace-gegevens. Probeer alternatieven zoals OAuth met gebruikerstoestemming of gebruik Marketplace-apps. Ga naar Google Workspace Marketplace voor meer informatie.

Volg deze best practices om serviceaccounts met domeinbrede machtigingsrechten te beschermen tegen risico's van binnenuit:

Verleen alleen toegang tot essentiële rechten

Zorg dat serviceaccounts met domeinbrede machtigingen alleen de essentiële rechten hebben die nodig zijn om de beoogde functies uit te voeren. Geef geen toegang tot niet-essentiële OAuth-bereiken.

Serviceaccounts hosten in speciale Google Cloud-projecten

Zorg dat serviceaccounts met domeinbrede machtigingen worden gehost in speciale Google Cloud-projecten. Gebruik deze projecten niet voor andere zakelijke behoeften.

Vermijd het gebruik van serviceaccountsleutels

Er hoeven geen serviceaccountsleutels worden gebruikt om domeinbrede machtigingen uit te voeren. Gebruik in plaats daarvan de signJwt API.

Gebruik geen serviceaccountsleutels voor domeinbrede machtigingen

Toegang beperken tot projecten met domeinbrede machtigingen

Beperk het aantal mensen met bewerkingsrechten voor Google Cloud-projecten waarvoor domeinbrede machtigingen zijn ingesteld. Je kunt de Cloud Asset Inventory API gebruiken om te achterhalen wie toegang heeft tot serviceaccounts. Gebruik bijvoorbeeld Cloud Shell om het volgende uit te voeren:

gcloud asset get-effective-iam-policy
--scope=organizations/ORG_ID
--names=//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_ID
  • ORG_ID: De ID van uw Google Cloud-organisatie. Meer informatie
  • PROJECT_ID: De ID van het Google Cloud-project waaronder het serviceaccount valt. Meer informatie
  • SERVICE_ACCOUNT_ID: ID van het serviceaccount. De ID staat onder Client-ID op de pagina Domeinbrede machtiging in de Beheerdersconsole of in het e-mailadres van het serviceaccount. Meer informatie

Zoek naar rechten of rollen zoals iam.serviceAccountTokenCreator of iam.serviceAccountKeyAdmin eigenaar en bewerker om te begrijpen wie rechtstreekse of overgenomen rechten heeft voor het serviceaccount.

Inzicht krijgen in wie toegang heeft tot Google Cloud-serviceaccounts