Rekommenderade metoder för domänomfattande delegering

Som administratör kan du använda domänomfattande delegering för att ge interna appar och appar från tredje part åtkomst till användarnas Google Workspace-data utan att slutanvändarna behöver ge sitt samtycke. Det gör du genom att skapa ett tjänstkonto i Google Cloud Console och delegera domänomfattande behörighet till kontot i Googles administratörskonsol. Du kan även tillhandahålla begränsade API-omfattningar för tjänstkontot i administratörskonsolen. Mer information om domänomfattande delegering finns i Styra API-åtkomst med domänomfattande delegering.

Hantera och skydda tjänstkonton

Identitets- och åtkomsthantering (IAM) tillhandahåller riktlinjer för att använda tjänstkonton för att begränsa åtkomsten och skydda mot hot om behörighetseskalering och oavvislighet. Du hittar riktlinjerna i Rekommenderade metoder för att använda tjänstkonton.

Alla rekommendationer i guiden gäller för att skydda tjänstkonton som använder domänomfattande delegering, men här är några av de viktigaste metoderna:

Använd direktåtkomst till tjänstkontot eller OAuth-samtycke i stället

Undvik att använda domänomfattande delegering om du kan utföra uppgiften direkt med ett tjänstkonto eller genom att använda OAuth-samtycke.

Om du inte kan undvika att använda domänomfattande delegering begränsar du uppsättningen OAuth-omfattningar som tjänstkontot kan använda. OAuth-omfattningar begränsar inte vilka användare tjänstkontot kan personifiera, men de begränsar vilka typer av användardata som tjänstkontot kan få åtkomst till.

Undvik att använda domänomfattande delegering

Begränsa skapande och uppladdning av tjänstkontonycklar

Använd organisationspolicyer för att begränsa skapande och uppladdning av nycklar för tjänstkonton med domänomfattande delegering. Detta begränsar identitetsstöld av tjänstkonton via tjänstkontonycklar.

Tillåt inte att användare skapar eller laddar upp nycklar för tjänstkonton

Inaktivera automatiska rollbeviljanden för standardtjänstkonton

Tjänstkonton som skapas som standard tilldelas rollen Redigerare, vilket gör att kontot kan läsa och ändra alla resurser i Google Cloud-projektet. Du kan inaktivera automatiska rolltilldelningar för standardtjänstkonton för att säkerställa att de inte automatiskt får rollen Redigerare och inte enkelt kan utnyttjas av en skadlig användare.

Använd inte automatiska rollbeviljanden för standardtjänstkonton

Begränsa lateral rörelse

Lateral förflyttning är när ett tjänstkonto i ett projekt har behörighet att personifiera ett tjänstkonto i ett annat projekt. Detta kan leda till oavsiktlig åtkomst till resurser. Använd insikter om lateral rörelse för att identifiera och begränsa lateral rörelse genom identitetsstöld.

Använda insikter om lateral rörelse för att begränsa lateral rörelse

Begränsa åtkomsten till tjänstkonton med domänomfattande delegering

Tillåt inte att en användare ändrar tillåtelsepolicyn för ett tjänstkonto om tjänstkontot har fler behörigheter än användaren. Använd IAM-roller för att begränsa åtkomsten till tjänstkonton med domänomfattande delegering.

Undvik att låta användare ändra tillåtelsepolicyer för tjänstkonton med högre behörighet

Skydda tjänstkonton mot insiderrisker

Använd endast domänomfattande delegering när du har ett viktigt affärsfall som kräver att en app kringgår användarsamtycke för att få åtkomst till Google Workspace-data. Testa alternativ som OAuth med användarsamtycke eller använd Marketplace-appar. Mer information finns i Google Workspace Marketplace.

Följ de här rekommenderade metoderna för att skydda tjänstkonton med behörighet för domänomfattande delegering från insider-risker:

Bevilja endast åtkomst till nödvändiga behörigheter

Se till att tjänstkonton med domänomfattande delegering endast har de behörigheter som krävs för att utföra sina avsedda funktioner. Ge inte åtkomst till OAuth-omfattningar som inte är nödvändiga.

Värdtjänstkonton i dedikerade Google Cloud-projekt

Se till att tjänstkonton med domänomfattande delegering finns i dedikerade Google Cloud-projekt. Använd inte dessa projekt för andra affärsbehov.

Undvik att använda tjänstkontonycklar

Du behöver inte använda tjänstkontonycklar för att utföra domänomfattande delegering. Använd signJwt API i stället.

Undvik att använda tjänstkontonycklar för domänomfattande delegering

Begränsa åtkomsten till projekt som har domänomfattande delegering

Minimera antalet personer som har redigeringsåtkomst till Google Cloud-projekt med domänomfattande delegering. Du kan använda Cloud Asset Inventory API för att ta reda på vem som har åtkomst till tjänstkonton. Använd till exempel Cloud Shell för att köra:

gcloud asset get-effective-iam-policy
--scope=organizations/ORG_ID
--names=//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_ID
  • ORG_ID: Ditt organisations-id för Google Cloud. Läs mer
  • PROJECT_ID: Id för Google Cloud-projektet som tjänstkontot finns i. Läs mer
  • SERVICE_ACCOUNT_ID: Id för tjänstkontot. Id:t visas under Klient-id på sidan för domänomfattande delegering i administratörskonsolen eller i tjänstkontots e-postadress. Läs mer

Leta efter behörigheter eller roller som iam.serviceAccountTokenCreator eller iam.serviceAccountKeyAdmin ägare och redigerare för att se vem som har direkta eller ärvda behörigheter till tjänstkontot.

Ta reda på vem som har åtkomst till Google Cloud-tjänstkonton