Puedes configurar y administrar de forma segura tu recurso de organización de Google Cloud aplicando las prácticas recomendadas a tus cuentas de administrador avanzado de Google Workspace o Cloud Identity. Cuando proteges estas cuentas con privilegios elevados, aplicas la separación de privilegios y proteges a tu organización contra el acceso no autorizado.
Tipos de cuentas
Una cuenta de administrador avanzado de Google Workspace tiene un conjunto de capacidades administrativas que incluyen Cloud Identity. Esto proporciona un único conjunto de controles de administración de identidades para usar en todos los servicios de Google, como documentos, hojas de cálculo, Google Cloud, etcétera.
Una cuenta de Cloud Identity solo proporciona funciones de administración de identidades y autenticación que son independientes de Google Workspace.
Designa administradores de la organización
Después de adquirir un recurso de organización nuevo, debes designar uno o más administradores de la organización. Esta función tiene un conjunto más pequeño de permisos que están diseñados para administrar las operaciones diarias de la organización.
También debes crear un grupo de administradores de Google Cloud privado en tu cuenta de administrador avanzado de Google Workspace o Cloud Identity. Agrega a los usuarios Administrador de la organización a este grupo, pero no al usuario administrador avanzado. Otorga a este grupo el rol de Identity and Access Management (IAM) de administrador de la organización o un subconjunto limitado de los permisos del rol.
Te recomendamos que mantengas tu cuenta de administrador avanzado separada del grupo de administradores de la organización. Como administrador avanzado, puedes otorgar el rol de administrador de la organización al usuario más adecuado para administrar el recurso de organización y su contenido.
Para obtener información sobre cómo administrar el control de acceso de tu recurso de organización con políticas de permisos, consulta Control de acceso para recursos de organización con IAM.
Establece funciones apropiadas
Google Workspace y Cloud Identity tienen roles administrativos que no son tan permisivos como el rol de administrador avanzado. Recomendamos seguir el principio de privilegio mínimo y otorgarles a los usuarios el conjunto mínimo de permisos que necesitan para administrar usuarios y grupos.
Desalienta el uso de la cuenta de administrador avanzado
La cuenta de administrador avanzado de Google Workspace y Cloud Identity tiene un poderoso conjunto de permisos que no son necesarios para su uso en la administración diaria de tu organización. Debes implementar políticas que aseguren tus cuentas de administrador avanzado y hagan que los usuarios tengan menos probabilidades de intentar usarlas para las operaciones diarias, por ejemplo:
Aplica la autenticación de varios factores en tus cuentas de administrador avanzado y en todas las cuentas que tengan privilegios elevados.
Usa una llave de seguridad o algún otro dispositivo físico de autenticación para aplicar la verificación en dos pasos.
Para la cuenta inicial de administrador avanzado, asegúrate de que la llave de seguridad se mantenga en un lugar seguro, preferiblemente en tu ubicación física.
Proporciona a los administradores avanzados una cuenta separada que requiera un acceso separado. Por ejemplo, el usuario alice@example.com podría tener la cuenta de administrador avanzado alice-admin@example.com.
- Si sincronizas con un protocolo de identidad de terceros, asegúrate de aplicar la misma política de suspensión a Cloud Identity y a la identidad de terceros correspondiente.
Si tienes una cuenta empresarial o comercial de Google Workspace o una cuenta premium de Cloud Identity, puedes aplicar un período de acceso corto para cualquier cuenta de administrador avanzado.
Sigue las instrucciones de los patrones de prácticas recomendadas de seguridad para las cuentas de administrador.
Alertas de llamada a la API
Usa Google Cloud Observability para
configurar alertas que te notifiquen
cuando se realice una llamada a la API de
SetIamPolicy(). Esto enviará una alerta cuando alguien modifique cualquier política de permisos.
Proceso de recuperación de la cuenta
Asegúrate de que los administradores de la organización conozcan el proceso de recuperación de la cuenta de administrador avanzado. Este proceso te ayudará a recuperar tu cuenta en caso de que las credenciales de administrador avanzado se pierdan o se vean comprometidas.
Varios recursos de organización
Recomendamos usar carpetas para administrar las partes de tu organización que deseas administrar por separado. Si, en cambio, deseas usar varios recursos de la organización, necesitarás varias cuentas de Google Workspace o Cloud Identity. Para obtener información sobre las implicaciones de usar varias cuentas de Google Workspace y Cloud Identity, consulta Administra varios recursos de organización.