אדמינים יכולים להשתמש בהענקת הרשאות גישה ברמת הדומיין כדי לאפשר לאפליקציות פנימיות ולאפליקציות צד שלישי לגשת לנתוני Google Workspace של המשתמשים, בלי לבקש את הסכמת משתמשי הקצה. כדי לעשות את זה, צריך ליצור חשבון שירות במסוף Google Cloud ולהעניק לחשבון הרשאות גישה ברמת הדומיין במסוף Google Admin. אפשר גם להגדיר לחשבון השירות היקפי API מוגבלים במסוף Admin. מידע נוסף על הענקת הרשאות גישה ברמת הדומיין זמין במאמר בנושא שליטה בגישה ל-API באמצעות הענקת הרשאות גישה ברמת הדומיין.
ניהול ואבטחה של חשבונות שירות
במסגרת ניהול הזהויות והרשאות הגישה (IAM) מפורטות הנחיות לשימוש בחשבונות שירות כדי להגביל את הגישה ולהגן מפני הסלמת הרשאות ואיומים של כפירה בהתחייבות. הנחיות מפורטות מופיעות במאמר שיטות מומלצות לשימוש בחשבונות שירות.
כל ההמלצות במדריך רלוונטיות להגנה על חשבונות שירות שמשתמשים בהענקת גישה ברמת הדומיין, אבל הנה כמה מהשיטות המומלצות הבולטות:
 |
שימוש בגישה ישירה לחשבון שירות או בהסכמה ל-OAuth אם אתם יכולים לבצע את המשימה ישירות באמצעות חשבון שירות או באמצעות הסכמה ל-OAuth, רצוי להימנע משימוש בהענקת הרשאות גישה ברמת הדומיין. אם אתם לא יכולים להימנע משימוש בהענקת הרשאות גישה ברמת הדומיין, אפשר להגביל את קבוצת היקפי ההרשאות של OAuth שאפשר להשתמש בהם בחשבון השירות. היקפי ההרשאות של OAuth לא מגבילים את המשתמשים שחשבון השירות יכול להתחזות אליהם, אבל הם מגבילים את הסוגים של נתוני המשתמשים שלחשבון השירות יש גישה אליהם. |
|
הגבלת היצירה וההעלאה של מפתחות לחשבון שירות שימוש במדיניות הארגון כדי להגביל את יצירת המפתחות וההעלאה שלהם לחשבונות שירות עם הענקת גישה ברמת הדומיין. כך מגבילים את ההתחזות לחשבון שירות באמצעות מפתחות של חשבונות שירות. |
|
השבתה של הענקת תפקידים אוטומטית לחשבונות שירות שמוגדרים כברירת מחדל חשבונות שירות שנוצרים כברירת מחדל מקבלים את התפקיד 'עריכה', שמאפשר לחשבון לקרוא ולשנות את כל המשאבים בפרויקט ב-Google Cloud. כדי לוודא שחשבונות שירות שהוגדרו כברירת מחדל לא יקבלו באופן אוטומטי את התפקיד'עריכה' ומשתמש זדוני לא יוכל לנצל אותם בקלות, אפשר להשבית את מתן התפקידים האוטומטי לחשבונות האלה. לא משתמשים במתן תפקידים אוטומטי בחשבונות שירות שהוגדרו כברירת מחדל |
|
הגבלת תנועה רוחבית תנועה רוחבית קורית כשלחשבון שירות בפרויקט אחד יש הרשאה להתחזות לחשבון שירות בפרויקט אחר. זה עלול לגרום לגישה לא מכוונת למשאבים. השתמשו בתובנות לגבי תנועה רוחבית כדי לזהות ולהגביל תנועה רוחבית באמצעות התחזות. |
|
הגבלת הגישה לחשבונות שירות עם הקצאת הרשאות ברמת הדומיין אם לחשבון השירות יש יותר הרשאות מלמשתמש, אל תאפשרו לו לשנות את כללי מדיניות ההרשאות של חשבון השירות. משתמשים בתפקידי IAM כדי להגביל את הגישה לחשבונות שירות עם הרשאות להאצלת סמכויות ברמת הדומיין. אסור לאפשר למשתמשים לשנות את כללי מדיניות ההרשאות של חשבונות שירות שיש להם הרשאות גבוהות יותר |
הגנה על חשבונות שירות מפני סיכונים פנימיים
כדאי להשתמש בהענקת הרשאות ברמת הדומיין רק במקרים עסקיים קריטיים שבהם אפליקציה צריכה לעקוף את הסכמת המשתמש כדי לגשת לנתונים של Google Workspace. אפשר לנסות חלופות כמו OAuth עם הסכמת משתמש או להשתמש באפליקציות ב-Marketplace. למידע נוסף, אפשר לעבור אל Google Workspace Marketplace.
כדי להגן על חשבונות שירות עם הרשאות העברה ברמת הדומיין מפני סיכונים פנימיים, מומלץ לפעול לפי השיטות המומלצות הבאות:
|
הענקת גישה רק להרשאות חיוניות חשוב לוודא שלחשבונות שירות עם הענקת הרשאות ברמת הדומיין יש רק את ההרשאות החיוניות שנדרשות לביצוע הפונקציות שהם נועדו לבצע. אל תעניקו גישה להיקפי הרשאות לא חיוניים של OAuth. |
|
אירוח חשבונות שירות בפרויקטים ייעודיים ב-Google Cloud מוודאים שחשבונות שירות עם הרשאות גישה ברמת הדומיין מאוחסנים בפרויקטים ייעודיים ב-Google Cloud. אל תשתמשו בפרויקטים האלה לצרכים עסקיים אחרים. |
|
להימנע משימוש במפתחות של חשבונות שירות לא צריך להשתמש במפתחות של חשבונות שירות כדי להעניק גישה ברמת הדומיין. במקום זאת, אפשר להשתמש ב-signJwt API. להימנע משימוש במפתחות של חשבונות שירות להענקת גישה ברמת הדומיין |
|
הגבלת הגישה לפרויקטים שמוגדר בהם מתן הרשאות גישה ברמת הדומיין צריך לצמצם את מספר האנשים שיש להם גישת עריכה לפרויקטים ב-Google Cloud עם הגדרת הרשאת גישה ברמת הדומיין. אתם יכולים להשתמש ב-Cloud Asset Inventory API כדי להבין למי יש גישה לחשבונות שירות. לדוגמה, אפשר להשתמש ב-Cloud Shell כדי להריץ את הפקודה:
מחפשים הרשאות או תפקידים כמו |