Sie können Ihre Google Cloud-Organisationsressource sicher konfigurieren und verwalten, indem Sie empfohlene Best Practices auf Ihre Google Workspace- oder Cloud Identity-Super Admin-Konten anwenden. Wenn Sie diese Konten mit hohen Berechtigungen sichern, erzwingen Sie die Trennung von Berechtigungen und schützen Ihre Organisation vor unbefugtem Zugriff.
Kontotypen
Ein Super Admin-Konto für Google Workspace umfasst eine Reihe von Verwaltungsfunktionen, darunter Cloud Identity. Damit werden verschiedene Möglichkeiten zur Identitätsverwaltung geboten, die Sie in allen Google-Diensten, wie Google Docs, Google Sheets, Google Cloudusw., nutzen können.
Ein Cloud Identity-Konto bietet unabhängig von Google Workspace nur Funktionen zur Authentifizierung und Identitätsverwaltung.
Organization Administrators festlegen
Nachdem Sie eine neue Organisationsressource erworben haben, legen Sie einen oder mehrere Organization Administrators fest. Die mit dieser Rolle verbundenen Berechtigungen sind insgesamt weniger und auf die Verwaltung alltäglicher Organisationsvorgänge ausgelegt.
Sie sollten auch eine private Google Cloud Administratorgruppe in Ihrem Google Workspace- oder Cloud Identity-Super Admin-Konto erstellen. Fügen Sie dieser Gruppe Ihre Nutzer mit der Rolle Organisationsadministrator hinzu, aber nicht Ihren Super Admin. Weisen Sie dieser Gruppe die IAM-Rolle (Identity and Access Management) „Organization Administrator“ oder eine begrenzte Teilmenge der Berechtigungen der Rolle zu.
Wir empfehlen, Ihr Super Admin-Konto von der Gruppe der Organization Administrators zu trennen. Als Super Admin können Sie die Rolle „Organisationsadministrator“ dem Nutzer zuweisen, der am besten geeignet ist, die Organisationsressource und ihre Inhalte zu verwalten.
Informationen zum Verwalten der Zugriffssteuerung für Ihre Organisationsressource mithilfe von Zulassungsrichtlinien finden Sie unter Zugriffssteuerung für Organisationsressourcen mit IAM.
Geeignete Rollen festlegen
Google Workspace und Cloud Identity haben Administratorrollen, die nicht so weitreichend sind wie die Super Admin-Rolle. Es wird empfohlen, dem Prinzip der geringsten Berechtigung zu folgen. Erteilen Sie Nutzern nur so viele Berechtigungen, wie sie zum Verwalten von Nutzern und Gruppen tatsächlich benötigen.
Verwendung des Super Admin-Kontos vermeiden
Super Admin-Konten für Google Workspace und Cloud Identity sind mit umfangreichen Berechtigungen ausgestattet, die für alltägliche Verwaltungsaufgaben einer Organisation nicht erforderlich sind. Es wird empfohlen, Richtlinien zum Schutz von Super Admin-Konten einzurichten, um die Verwendung dieser Konten für Aufgaben des Tagesgeschäfts einzuschränken. Beispiele:
Erzwingen Sie Multi-Faktor-Authentifizierung für Super Admin-Konten und alle anderen Konten mit erhöhten Berechtigungen.
Verwenden Sie einen Sicherheitsschlüssel oder ein anderes physisches Authentifizierungsgerät, um die Bestätigung in zwei Schritten zu implementieren.
Bewahren Sie den Sicherheitsschlüssel für das primäre Super Admin-Konto an einem sicheren Ort auf, vorzugsweise an Ihrem physischen Standort.
Geben Sie Super Admins ein separates Konto, für das eine separate Anmeldung erforderlich ist. Zum Beispiel könnte die Nutzerin alice@example.com das Super Admin-Konto alice-admin@example.com haben.
- Wenn Sie eine Synchronisierung mit dem Identitätsprotokoll eines Drittanbieters durchführen, wenden Sie dieselbe Sperr-Richtlinie auf Cloud Identity und die entsprechende Drittanbieteridentität an.
Wenn Sie ein Google Workspace Enterprise- oder Business-Konto oder ein Cloud Identity Premium-Konto haben, können Sie für alle Super Admin-Konten eine kurze Anmeldezeit erzwingen.
Folgen Sie der Anleitung unter Best Practices für die Sicherheit von Administratorkonten.
Benachrichtigungen für API-Aufrufe
Verwenden Sie Google Cloud Observability, um Benachrichtigungen einzurichten, die Sie informieren, wenn ein SetIamPolicy()-API-Aufruf erfolgt. Dadurch wird eine Benachrichtigung gesendet, wenn jemand eine Zulassungsrichtlinie ändert.
Vorgang zur Kontowiederherstellung
Sorgen Sie dafür, dass die Administratoren der Organisation mit dem Verfahren zur Kontowiederherstellung für Super Admins vertraut sind. Über diesen können Sie das Konto wiederherstellen, wenn Super Admin-Anmeldedaten verloren gehen oder manipuliert werden.
Mehrere Organisationsressourcen
Wir empfehlen die Verwendung von Ordnern, um bestimmte Bereiche Ihrer Organisation separat zu verwalten. Wenn Sie stattdessen mehrere Organisationsressourcen verwenden möchten, benötigen Sie mehrere Google Workspace- oder Cloud Identity-Konten. Informationen zu den Auswirkungen der Verwendung mehrerer Google Workspace- und Cloud Identity-Konten finden Sie unter Mehrere Organisationsressourcen verwalten.