Vous pouvez configurer et gérer de manière sécurisée la ressource de votre organisation Google Clouden appliquant les pratiques recommandées à vos comptes d'administrateur Google Workspace ou Cloud Identity. Lorsque vous sécurisez ces comptes à privilèges élevés, vous appliquez la séparation des privilèges et protégez votre organisation contre les accès non autorisés.
Types de comptes
Le compte super-administrateur Google Workspace dispose d'un ensemble de fonctionnalités d'administration incluant Cloud Identity. Cela fournit un ensemble unique de commandes de gestion des identités à utiliser dans tous les services Google, tels que Documents, Sheets, Google Cloud, etc.
Un compte Cloud Identity fournit uniquement des fonctionnalités d'authentification et de gestion des identités, indépendamment de Google Workspace.
Désigner des administrateurs de l'organisation
Après avoir acquis une nouvelle ressource d'organisation, vous désignez un ou plusieurs administrateurs de l'organisation. Ce rôle dispose d'un ensemble d'autorisations réduit conçu pour gérer les opérations quotidiennes de votre organisation.
Vous devez également créer un groupe d'administrateurs Google Cloud privé dans votre compte super-administrateur Google Workspace ou Cloud Identity. Ajoutez vos utilisateurs Administrateur de l'organisation à ce groupe, mais pas votre super-administrateur. Attribuez à ce groupe le rôle IAM (Identity and Access Management) d'administrateur de l'organisation ou un sous-ensemble limité des autorisations du rôle.
Nous vous recommandons de séparer votre compte de super-administrateur de votre groupe d'administrateurs de l'organisation. En tant que super-administrateur, vous pouvez attribuer le rôle d'administrateur de l'organisation à l'utilisateur le mieux placé pour gérer la ressource d'organisation et son contenu.
Pour en savoir plus sur la gestion du contrôle des accès pour votre ressource d'organisation à l'aide de stratégies d'autorisation, consultez Contrôle des accès pour les ressources d'organisation avec IAM.
Définir les rôles appropriés
Google Workspace et Cloud Identity disposent de rôles d'administrateur qui ne sont pas aussi permissifs que le rôle de super-administrateur. Nous vous recommandons de respecter le principe du moindre privilège en accordant aux utilisateurs l'ensemble minimal d'autorisations dont ils ont besoin pour gérer les utilisateurs et les groupes.
Décourager l'utilisation du compte super-administrateur
Le compte de super-administrateur Google Workspace et Cloud Identity dispose d'un ensemble puissant d'autorisations qui ne sont pas nécessaires pour l'administration quotidienne de votre organisation. Vous devez mettre en œuvre des stratégies qui protégeront vos comptes super-administrateur et dissuaderont les utilisateurs d'y recourir pour des opérations quotidiennes. Voici quelques exemples de stratégies possibles :
Utilisez l'authentification multifacteur pour vos comptes super-administrateur, ainsi que tous les comptes dotés de privilèges élevés.
Utilisez une clé de sécurité ou un autre périphérique d'authentification physique pour appliquer la validation en deux étapes.
Pour le compte super-administrateur initial, assurez-vous que la clé de sécurité est conservée dans un endroit sûr, de préférence dans votre position géographique.
Donnez aux super-administrateurs un compte séparé qui nécessite une connexion distincte. Par exemple, l'utilisateur alice@exemple.com pourrait avoir un compte super-administrateur alice-admin@exemple.com.
- Si vous utilisez la synchronisation avec un protocole d'identité tiers, veillez à appliquer la même stratégie de suspension pour Cloud Identity et l'identité tierce correspondante.
Si vous disposez d'un compte professionnel, d'un compte Google Workspace Enterprise ou d'un compte Cloud Identity Premium, vous pouvez imposer une période de connexion courte pour tous les comptes super-administrateur.
Suivez les instructions des modèles de bonnes pratiques de sécurité pour les comptes administrateur.
Alertes d'appel d'API
Utilisez Google Cloud Observability pour configurer des alertes qui vous avertiront lorsqu'un appel d'API SetIamPolicy() est effectué. Une alerte sera envoyée lorsque quelqu'un modifiera une stratégie d'autorisation.
Processus de récupération de compte
Assurez-vous que les administrateurs de l'organisation connaissent la procédure de récupération de compte des super-administrateurs. Ce processus vous aidera à récupérer votre compte au cas où les identifiants de super-administrateur seraient perdus ou compromis.
Ressources d'organisation multiples
Nous vous recommandons d'utiliser des dossiers pour gérer les parties de votre organisation que vous souhaitez administrer séparément. Si vous souhaitez utiliser plusieurs ressources Organisation, vous aurez besoin de plusieurs comptes Google Workspace ou Cloud Identity. Pour en savoir plus sur les implications de l'utilisation de plusieurs comptes Google Workspace et Cloud Identity, consultez Gérer plusieurs ressources d'organisation.