הגדרת RBAC מדור קודם

נתמך ב:

בקרת גישה מבוססת-תפקידים (RBAC) מאפשרת לאדמין להתאים את הגישה לתכונות של Google Security Operations על סמך התפקיד של העובד בארגון.

לפני שמתחילים

מערכת RBAC קוראת את פרטי הקבוצה מתגובת SAML משמות המאפיינים הבאים שמוגדרים כברירת מחדל, בלי הבחנה בין אותיות רישיות לאותיות קטנות:

  • group
  • idpgroup group
  • memberof

אם אתם משתמשים בשם מאפיין בהתאמה אישית, אתם צריכים לספק אותו קודם ל-Google Security Operations כדי שתוכלו לשנות את הגדרות ה-RBAC.

שינוי הגדרות RBAC

כדי לעבור לדפי הפרופיל וההגדרות של RBAC, לוחצים על הגדרות בסרגל הניווט.

פרופיל

בדף פרופיל מוצג המידע מהפרופיל של המשתמש (מזהה משתמש, מזהה קבוצה, תפקידים שהוקצו) ומידע נוסף על הארגון שלו (מספר לקוח, Google Cloud מספר פרויקט, Google Cloud מזהה פרויקט).

מספר לקוח

מספר הלקוח מופיע בקטע פרטי הארגון בדף פרופיל.

עדכון אזור הזמן

כך מעדכנים את אזור הזמן:

  1. מאתרים את הקטע הגדרות זמן בפרופיל ולוחצים על עריכה.

  2. בוחרים את אזור הזמן שמתאים למיקום שלכם.

משתמשים וקבוצות

בדף משתמשים וקבוצות, אדמינים יכולים להגדיר RBAC.

  1. לוחצים על הקישור Users & Groups (משתמשים וקבוצות) בחלונית הניווט שמימין. ברשימת המשתמשים והקבוצות בדף משתמשים וקבוצות מוצגות העמודות הבאות: משתמש/קבוצה, סוג ותפקיד שהוקצה.

  2. לוחצים על הקצאת תפקיד חדש כדי לפתוח את תיבת הדו-שיח הקצאת תפקיד. בתיבת הדו-שיח הזו אפשר לבצע את המשימות הבאות:

    • מקצים תפקיד למשתמש חדש או למשתמשים חדשים.
    • מקצים קבוצה חדשה או קבוצות חדשות לתפקיד.

    התפקידים הזמינים הם:

    • ברירת מחדל
    • ViewerWithNoDetectAccess
    • צפייה
    • עריכה
    • מנהל מערכת

    אחרי שמוסיפים את מזהי המשתמשים או הקבוצות ובוחרים את התפקיד המתאים מהתפריט הנפתח הקצאת תפקיד, לוחצים על הקצאה.

    כשמקצים תפקידים, חשוב לשים לב לנקודות הבאות:

    • כשמוסיפים משתמשים או קבוצות, צריך לוודא שהם קיימים בספק הזהויות (IdP). כשמוחקים משתמשים או קבוצות, חשוב לוודא שמשאירים לפחות משתמש או קבוצה עם תפקיד אדמין שנמצאים ב-IdP. אחרת, תאבדו את גישת האדמין.
    • מזהי IdP של משתמשים וקבוצות הם תלויי-רישיות.
    • אי אפשר לשנות את התפקיד שהוקצה למשתמש או לקבוצה קיימים באמצעות תיבת הדו-שיח הזו. בהמשך מפורטים השלבים לשינוי תפקידים ולמחיקה של משתמשים וקבוצות.
    • ‫Google Security Operations מנהל את המיפוי בין משתמשים, קבוצות ותפקידים.
    • צריך להיזהר אם מזהה המשתמש או הקבוצה מכיל תווים מיוחדים, שבהתאם למקור הטקסט, יכול להיות שנעשה בהם שימוש בקידוד UTF-8. אחרי שלוחצים על הקצאה, מומלץ לוודא שההקצאה החדשה נשמרה בצורה תקינה.

  3. כדי לשנות את התפקיד של משתמש או קבוצה קיימים, בוחרים תפקיד חדש מהתפריט הנפתח שמתאים למשתמש או לקבוצה בעמודה תפקיד שהוקצה.

  4. אפשר לשנות את תפקיד ברירת המחדל שמוקצה למשתמשים ולקבוצות חדשים באמצעות התפריט הנפתח של התפקידים שבפינה השמאלית העליונה.

  5. כדי למחוק משתמש או קבוצה, לוחצים על סמל פח האשפה שמופיע בצד שמאל של השורה של המשתמש או הקבוצה כשמעבירים מעליה את מצביע העכבר.

    אם תמחקו משתמשים וקבוצות שהם אדמינים, והאדמינים היחידים שיישארו לא נמצאים ב-IDP שלכם, תאבדו את גישת האדמין.

    תפקידים

תפקידים משויכים לקבוצה של הרשאות למוצרים. הקצאת תפקיד למשתמש מעניקה לו את ההרשאות שמשויכות לתפקיד הזה.

‫Google Security Operations כולל את התפקידים המוגדרים מראש הבאים:

  • אדמין – מנהל את מדיניות בקרת הגישה המבוססת על תפקידים (RBAC) בארגון. אפשר גם לערוך או להציג כל דף ב-Google Security Operations.
  • עורך – יכול לערוך דפים ב-Google Security Operations, כולל האפשרות ליצור ולערוך כללים במנוע הזיהוי.
  • צפייה – אפשר לצפות בכל דף ב-Google Security Operations, אבל אי אפשר לבצע שינויים.
  • ViewerWithNoDetectAccess – יכול לצפות בכל הדפים של Google Security Operations שלא כוללים זיהויים (בעיקר הדפים Rules ו-Reference Lists).

אפליקציות RBAC כוללות את האפליקציות הבאות:

  • ליצור ולהקצות תפקידים על סמך תחומי האחריות בעבודה.
  • ליצור ולהקצות תפקידים על סמך דיירים או ארגונים.
  • הקצאת תפקידים זמניים לאנליסטים כדי לחקור בעיה.

הרשאות

הרשאות מספקות את ההרשאה שנדרשת לביצוע פעולה מבוקרת אחת ב-Google Security Operations, כולל (רשימת ההרשאות המלאה זמינה בממשק המשתמש):

  • צפייה בפרטי הכלל
  • שינוי הכלל
  • עריכת המשוב
  • עריכת רשימת המקורות
  • הצגת הרשאות RBAC

אם למשתמש אין הרשאות לפעולה מסוימת, התכונה שמשויכת אליה מושבתת. לדוגמה, אם למשתמש יש תפקיד צפייה, הוא לא יכול ליצור כלל חדש (הלחצן חדש מושבת בכלי לעריכת כללים), לשכפל כלל (האפשרות שכפול מושבתת) או לשנות כלל קיים.

כדי לראות את התפקידים וההרשאות שזמינים למשתמשים ולקבוצות, מבצעים את הפעולות הבאות:

  1. בחלונית הניווט שמימין, לוחצים על הקישור תפקידים.

  2. בוחרים תפקיד מהעמודה Roles (תפקידים) כדי לראות את ההרשאות שניתנו לתפקיד הזה. אי אפשר לשנות את ההרשאות שמשויכות לכל תפקיד.

תפקיד ברירת המחדל למשתמשים ולקבוצות שנוספו לאחרונה הוא 'צפייה'. אם בוחרים באחד מהתפקידים האחרים (לדוגמה, עריכה), האפשרות הגדרה כברירת מחדל הופכת לזמינה. כך תוכלו להגדיר את התפקיד הזה כברירת מחדל.

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.