Bonnes pratiques concernant la délégation au niveau du domaine

Utiliser un accès direct au compte de service ou un consentement OAuth à la place

Évitez d'utiliser une délégation au niveau du domaine si vous pouvez accomplir votre tâche directement avec un compte de service ou en utilisant le consentement OAuth.

Si vous ne pouvez pas éviter la délégation au niveau du domaine, limitez l'ensemble des niveaux d'accès OAuth que le compte de service peut utiliser. Bien que les niveaux d'accès OAuth ne restreignent pas les utilisateurs que le compte de service peut emprunter, ils limitent les types de données utilisateur auxquels le compte de service peut accéder.

Éviter d'utiliser la délégation au niveau du domaine

Restreindre la création et l'importation de clés de compte de service

Utilisez des règles d'administration pour restreindre la création et l'importation de clés pour les comptes de service avec délégation au niveau du domaine. Cela limite l'usurpation d'identité du compte de service via les clés de compte de service.

Ne pas autoriser les utilisateurs à créer ou à importer des clés de compte de service.

Désactiver les attributions automatiques de rôles pour les comptes de service par défaut

Les comptes de service créés par défaut se voient attribuer le rôle d'éditeur, ce qui leur permet de lire et de modifier toutes les ressources du projet Google Cloud. Vous pouvez désactiver les attributions automatiques de rôles pour les comptes de service par défaut afin de vous assurer qu'ils n'obtiennent pas automatiquement le rôle d'éditeur et qu'ils ne peuvent pas être facilement exploités par un utilisateur malveillant.

Ne pas utiliser l'attribution automatique de rôles pour les comptes de service par défaut

Limiter les mouvements latéraux

Le mouvement latéral se produit lorsqu'un compte de service d'un projet est autorisé à usurper l'identité d'un compte de service d'un autre projet. Cela peut entraîner un accès non intentionnel aux ressources. Utilisez les "insights sur les mouvements latéraux" pour détecter et limiter les mouvements latéraux par usurpation d'identité.

Utiliser les insights sur les mouvements latéraux pour limiter les mouvements latéraux

Limiter l'accès aux comptes de service avec délégation au niveau du domaine

Ne laissez pas un utilisateur modifier la stratégie d'autorisation d'un compte de service si celui-ci dispose de plus de privilèges que l'utilisateur. Utilisez les rôles IAM pour limiter l'accès aux comptes de service avec des délégations au niveau du domaine.

Empêcher les utilisateurs de modifier les stratégies d'autorisation des comptes de service ayant plus de privilèges

N'accorder l'accès qu'aux privilèges essentiels

Assurez-vous que les comptes de service avec délégation au niveau du domaine ne disposent que des privilèges essentiels nécessaires à l'exécution des fonctions prévues. N'accordez pas l'accès à des niveaux d'accès OAuth non essentiels.

Héberger les comptes de service dans des projets Google Cloud dédiés

Assurez-vous que les comptes de service avec délégation au niveau du domaine sont hébergés dans des projets Google Cloud dédiés. N'utilisez pas ces projets pour d'autres besoins commerciaux.

Éviter d'utiliser des clés de compte de service

L'utilisation de clés de compte de service n'est pas nécessaire pour effectuer une délégation au niveau du domaine. Utilisez plutôt l'API signJwt.

Éviter d'utiliser des clés de compte de service pour la délégation au niveau du domaine

Restreindre l'accès aux projets qui disposent d'une délégation au niveau du domaine

Réduisez le nombre de personnes autorisées à modifier les projets Google Cloud pour lesquels la délégation au niveau du domaine est configurée. Vous pouvez utiliser l'API Cloud Asset Inventory pour savoir qui a accès aux comptes de service. Par exemple, utilisez Cloud Shell pour exécuter :

gcloud asset get-effective-iam-policy
--scope=organizations/ORG_ID
--names=//iam.googleapis.com/projects/PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_ID

• ORG_ID: ID de votre organisation Google Cloud. En savoir plus
• PROJECT_ID: ID du projet Google Cloud sous lequel réside le compte de service. En savoir plus
• SERVICE_ACCOUNT_ID: ID du compte de service. L'ID est indiqué sous "ID client" sur la page de délégation au niveau du domaine de la console d'administration ou dans l'adresse e-mail du compte de service. En savoir plus

Recherchez des autorisations ou des rôles tels que iam.serviceAccountTokenCreator ou iam.serviceAccountKeyAdmin propriétaire et éditeur pour savoir qui dispose d'autorisations directes ou héritées sur le compte de service.

Découvrez qui a accès aux comptes de service Google Cloud