É possível configurar e gerenciar com segurança o recurso da organização do Google Cloud aplicando as práticas recomendadas às suas contas de superadministrador do Google Workspace ou do Cloud Identity. Ao proteger essas contas de alto privilégio, você aplica a separação de privilégios e protege sua organização contra acesso não autorizado.
Tipos de conta
A conta de superadministrador do Google Workspace tem um conjunto de recursos administrativos que inclui o Cloud Identity. Isso fornece um único conjunto de controles de gerenciamento de identidade para uso em todos os serviços do Google, como documentos, planilhas, Google Cloude assim por diante.
Uma conta do Cloud Identity fornece apenas funções de autenticação e gerenciamento de identidade, independentemente do Google Workspace.
Designar administradores da organização
Depois de adquirir um novo recurso da organização, designe um ou mais administradores da organização. Esse papel tem um conjunto menor de permissões projetado para gerenciar as operações diárias da organização.
Você também precisa criar um grupo de administradores Google Cloud particular na sua conta de superadmin do Google Workspace ou do Cloud Identity. Adicione os usuários Administrador da organização a esse grupo, mas não o usuário superadmin. Conceda a esse grupo o papel de Administrador da Organização do Identity and Access Management (IAM) ou um subconjunto limitado das permissões do papel.
Recomendamos manter sua conta de superadministrador separada do grupo de administradores da organização. Como superadministrador, você pode conceder o papel de Administrador da organização ao usuário mais adequado para gerenciar o recurso da organização e o conteúdo dele.
Para informações sobre como gerenciar o controle de acesso do recurso da organização usando políticas de permissão, consulte Controle de acesso a recursos da organização com o IAM.
Definir papéis apropriados
O Google Workspace e o Cloud Identity têm papéis administrativos que não são tão permissivos quanto o papel de superadministrador. Recomendamos seguir o princípio de privilégio mínimo, concedendo aos usuários o conjunto mínimo de permissões necessárias para gerenciar usuários e grupos.
Desestimular o uso da conta de superadministrador
A conta de superadministrador do Google Workspace e do Cloud Identity tem um conjunto poderoso de permissões que não são necessárias para gerenciar o dia a dia da organização. Você precisa implementar políticas que protejam as contas de superadministrador e tornem menos provável que os usuários tentem usá-las em operações do dia a dia, como estas:
Aplique a autenticação multifator nas contas de superadministrador, assim como em todas as contas que tenham muitos privilégios.
Use uma chave de segurança ou outro dispositivo físico de autenticação para impor duas etapas de verificação.
Para a primeira conta de superadministrador, verifique se a chave de segurança é mantida em um local seguro, de preferência no seu local físico.
Conceda aos superadministradores uma conta separada que precise de um login separado. Por exemplo, a usuária alice@example.com pode ter uma conta de superadministradora alice-admin@example.com.
- Se você estiver sincronizando com um protocolo de identidade terceirizado, aplique a mesma política de suspensão ao Cloud Identity e à identidade terceirizada correspondente.
Se você tiver uma conta empresarial ou enterprise do Google Workspace ou uma conta premium do Cloud Identity, poderá aplicar um período curto de login para qualquer conta de superadministrador.
Siga as orientações nos padrões de práticas recomendadas de segurança para contas de administrador.
Alertas de chamada de API
Use o Google Cloud Observability para
configurar alertas que vão notificar
você quando uma chamada de API
SetIamPolicy() for feita. Isso vai enviar um alerta quando alguém modificar qualquer política de permissão.
Processo de recuperação de conta
Verifique se os administradores da organização conhecem o processo de recuperação de conta de superadmin. Esse processo ajudará você a recuperar a conta caso as credenciais de superadministrador sejam perdidas ou comprometidas.
Vários recursos da organização
Recomendamos o uso de pastas para gerenciar partes da organização que você quer gerenciar separadamente. Se você quiser usar vários recursos da organização, precisará de várias contas do Google Workspace ou do Cloud Identity. Para informações sobre as implicações de usar vários Google Workspace e Cloud Identity, consulte Gerenciar vários recursos da organização.