Cloud Workstations API mit Chrome Enterprise Premium schützen

Übersicht

Chrome Enterprise Premium ist die Zero-Trust-Lösung vonGoogle Cloud, mit der Mitarbeiter von Organisationen ohne VPN von jedem Ort aus sicher auf Webanwendungen zugreifen können. Außerdem hilft sie, Malware- und Phishing-Angriffe sowie Datenverluste zu verhindern.

Mit der Leistungsfähigkeit von Google Chrome ermöglicht Chrome Enterprise Premium Nutzern den Zugriff auf Anwendungen von jedem Gerät aus. Chrome Enterprise Premium wird um Funktionen erweitert, die einige wichtige Sicherheitsherausforderungen in der Entwicklungsumgebung angehen. Mit der kontextsensitiven Zugriffssteuerung für die Google Cloud Console und APIs bietet Chrome Enterprise Premium zusätzliche Sicherheit für die Cloud Workstations API.

In der folgenden Tabelle ist aufgeführt, ob Chrome Enterprise Premium die kontextsensitive Zugriffssteuerung für die angegebene Cloud Workstations-Zugriffsmethode unterstützt.

  • Das Häkchen gibt an, dass Chrome Enterprise Premium diese Zugriffsmethode für Cloud Workstations einschränkt.
  • Das Symbol für „Nicht unterstützt“ gibt an, dass Chrome Enterprise Premium diese Zugriffsmethode für Cloud Workstations nicht einschränkt.

Ziele

In diesem Dokument werden die Schritte beschrieben, die ein Administrator ausführen muss, um die Chrome Enterprise Premium-Zugriffssteuerung für die Cloud Workstations API einzurichten und zusätzliche Mechanismen bereitzustellen, die die Exfiltration von Quellcode aus browserbasierten Cloud Workstations-IDEs verhindern.

Kosten

Im Rahmen dieser Anleitung müssen Sie möglicherweise andere Teams (für die Abrechnung oder IAM) einbeziehen und die Zugriffssteuerung testen, um zu zeigen, dass die Chrome Enterprise Premium-Schutzmaßnahmen vorhanden sind.

In diesem Dokument verwenden Sie die folgenden kostenpflichtigen Komponenten von Google Cloud:

Mit dem Preisrechner können Sie eine Kostenschätzung für Ihre voraussichtliche Nutzung vornehmen.

Neuen Nutzern von Google Cloud steht möglicherweise eine kostenlose Testversion zur Verfügung.

Nach Abschluss der in diesem Dokument beschriebenen Aufgaben können Sie weitere Kosten vermeiden, indem Sie die erstellten Ressourcen löschen. Weitere Informationen finden Sie unter Bereinigen.

Hinweis

  1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  2. Verify that billing is enabled for your Google Cloud project.

  3. Enable the Workstations API, if it is not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the API

  4. Make sure that you have the following role or roles on the project: Cloud Workstations > Cloud Workstations Admin.

    Check for the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.

    3. In the Principal column, find all rows that identify you or a group that you're included in. To learn which groups you're included in, contact your administrator.

    4. For all rows that specify or include you, check the Role column to see whether the list of roles includes the required roles.

    Grant the roles

    1. In the Google Cloud console, go to the IAM page.

      Go to IAM
    2. Select the project.
    3. Click Grant access.

    4. In the New principals field, enter your user identifier. This is typically the identifier for a user in a workforce identity pool. For details, see Represent workforce pool users in IAM policies, or contact your administrator.

    5. Click Select a role, then search for the role.
    6. To grant additional roles, click Add another role and add each additional role.
    7. Click Save.

  5. Achten Sie darauf, dass Sie jedem Nutzer eine Chrome Enterprise Premium Standard-Lizenz zugewiesen haben. Zugriffssteuerungen werden nur für Nutzer mit einer Lizenz erzwungen. Weitere Informationen finden Sie unter Lizenzen zuweisen, entfernen und neu zuweisen.

Teil 1: Chrome Enterprise Premium für Cloud Workstations einrichten

In diesem Abschnitt werden die Schritte beschrieben, mit denen Sie den kontextsensitiven Zugriff auf die Cloud Workstations API sichern können:

  1. Cloud Workstations einrichten
  2. Erstellen Sie einen Demofunktionsnutzer und eine Demofunktionsgruppe.
  3. Zugriffsebene in Access Context Manager erstellen
  4. Chrome Enterprise Premium-CAA aktivieren
  5. Fügen Sie die erforderlichen Google-Gruppen mit Zugriffsebenen hinzu.
  6. Entwicklerzugriff auf Cloud Workstations testen

Cloud Workstations einrichten

Für die Einbindung in Chrome Enterprise Premium muss Ihr Cloud Workstations-Cluster Identity-Aware Proxy (IAP) verwenden. Überspringen Sie diesen Abschnitt, wenn Sie diese Ressourcen bereits konfiguriert haben.

So richten Sie Cloud Workstations ein:

  1. Workstation-Cluster mit einer benutzerdefinierten Domain erstellen
  2. IAP aktivieren
  3. Erstellen Sie eine Workstation-Konfiguration im Cluster.

Wenn Sie mit Cloud Workstations noch nicht vertraut sind, lesen Sie die Übersicht und die Informationen zur Architektur.

Demonutzer und Demogruppe erstellen

Erstellen Sie in der Google Workspace-Admin-Konsole einen Demofunktionsnutzer und eine neue Nutzergruppe. Wenn der kontextsensitive Zugriff (Context-Aware Access, CAA) für dieGoogle Cloud Console aktiviert ist, gilt er für alle Nutzer und Google-Gruppen, da es sich um eine globale Einstellung handelt.

  1. Melden Sie sich mit Ihrem Administratorkonto in der Google Workspace-Admin-Konsole an: Menü > Verzeichnis > Nutzer > Neuen Nutzer hinzufügen.

  2. Erstellen Sie einen Demofunktionsnutzer: demo-user@<domain>.

  3. Melden Sie sich in der Google Cloud Console an und rufen Sie Menü > IAM und Verwaltung > Gruppen auf.

  4. Erstellen Sie eine IAM-Gruppe für den Zugriff auf Cloud Workstations, nennen Sie sie Cloud Workstations Users und weisen Sie ihr den zuvor erstellten Demofunktionsnutzer demo-user@<domain> zu.

  5. Klicken Sie auf Speichern.

  6. Erstellen Sie außerdem eine IAM-Administratorgruppe und nennen Sie sie Cloud Admin Users. Weisen Sie dieser Gruppe Ihre Projekt- und Organisationsadministratoren zu.

  7. Fügen Sie den Demofunktionsnutzer demo-user@<domain> der von Ihnen erstellten Cloud Workstations-Nutzergruppe hinzu:

    1. Rufen Sie in der Google Cloud Console die Seite Cloud Workstations > Workstations auf.
    2. Wählen Sie die Workstation aus und klicken Sie dann auf more_vertMehr > Nutzer hinzufügen.
    3. Wählen Sie den Demofunktionsnutzer demo-user@<domain> und Cloud Workstations User als Rolle aus.
    4. Wenn Sie dem Demofunktionsnutzer Zugriff auf die Workstation gewähren möchten, wählen Sie demo-user@<domain> aus, wählen Sie Cloud Workstations Users als Rolle aus und klicken Sie auf Speichern.

Zugriffsebene erstellen

Kehren Sie zur Google Cloud Console zurück, um eine Zugriffsebene in Access Context Manager zu erstellen.

So testen Sie den Zugriff:

  1. Rufen Sie in der Google Cloud Console Sicherheit > Access Context Manager auf, um eine Geräterichtlinie für vom Unternehmen verwaltete Geräte zu konfigurieren.

  2. Klicken Sie auf Zugriffsebene erstellen und füllen Sie die folgenden Felder aus:

    1. Geben Sie in das Feld Titel der Zugriffsebene corpManagedDevice ein.
    2. Wählen Sie den Standard modus aus.
    3. Wählen Sie unter Bedingungen die Option Wahr aus, um die Bedingung zu aktivieren.
    4. Klicken Sie auf + Geräterichtlinie, um die Optionen zu maximieren, und setzen Sie ein Häkchen bei Unternehmenseigenes Gerät erforderlich.
    5. Klicken Sie auf Speichern, um die Zugriffsrichtlinie zu speichern.

Chrome Enterprise Premium-CAA für die Google Cloud Console aktivieren

Wenn Sie Workstations kontextsensitive Zugriffssteuerungen zuweisen möchten, aktivieren Sie zuerst den kontextsensitiven Zugriff für die Google Cloud Console:

  1. Rufen Sie in der Google Cloud -Console Sicherheit > BeyondCorp Enterprise auf.

  2. Klicken Sie auf Zugriff auf die Google Cloud Console und API verwalten. Dadurch gelangen Sie zur Seite Organisationsebene von Chrome Enterprise Premium.

  3. Klicken Sie im Abschnitt Google Cloud Console und APIs sichern auf Aktivieren.

Erforderliche Google-Gruppen mit Zugriffsebenen hinzufügen

Fügen Sie die erforderlichen Administratorgruppen mit den relevanten Mitgliedern und der richtigen Zugriffsrichtlinie hinzu.

Console

  1. Erstellen Sie eine Administratorzugriffsrichtlinie mit dem Namen CloudAdminAccess und legen Sie als Standort die Regionen fest, in denen Ihre Administratoren arbeiten. So wird sichergestellt, dass Administratoren auch dann auf Ressourcen zugreifen können, wenn sie durch eine andere Richtlinie blockiert werden.

  2. Erstellen Sie unter IAM und Verwaltung > Gruppen eine IAM-Gruppe mit Administratorzugriff.

    1. Wählen Sie die Organisation aus.
    2. Erstellen Sie eine Gruppe und nennen Sie sie Cloud Admin Users.
    3. Weisen Sie sich selbst und allen anderen Administratoren diese Gruppe zu.
    4. Klicken Sie auf Speichern.

  3. Gehen Sie zu Sicherheit > Chrome Enterprise Premium. Klicken Sie auf Zugriff verwalten und sehen Sie sich die Liste der Gruppen und Zugriffsebenen an, die angezeigt wird.

  4. Klicken Sie auf Hauptkonten zur Console und zu APIs von Google Cloud hinzufügen.

    1. Wählen Sie unter Google Groups die Option Cloud Admin Users aus. Dies ist die Google-Gruppe, die Sie im vorherigen Schritt ausgewählt haben.
    2. Wählen Sie CloudAdminAccess aus, die Zugriffsebene, die Sie für den Administratorzugriff erstellt haben.
    3. Klicken Sie auf Speichern.

gcloud und API

Folgen Sie der Anleitung zum Probelauf für Chrome Enterprise Premium, um den Probelauf zu aktivieren.

Zugriffsebene der Nutzergruppe für Cloud Workstations zuweisen

So weisen Sie der Nutzergruppe „Cloud Workstations“ die Zugriffsebene zu:

  1. Gehen Sie zu Sicherheit > Chrome Enterprise Premium und klicken Sie auf Zugriff verwalten.

  2. Sehen Sie sich die Liste der Gruppen und Zugriffsebenen an, die angezeigt wird.

  3. Klicken Sie auf Hauptkonten zur Console und zu APIs von Google Cloud hinzufügen.

    1. Wählen Sie für Google Groups die Option Cloud Workstations-Nutzer aus. Dies ist die Google-Gruppe, die Sie im vorherigen Schritt ausgewählt haben.
    2. Wählen Sie die zuvor erstellte Zugriffsebene corpManagedDevice aus.
    3. Klicken Sie auf Speichern.

Entwicklerzugriff auf Cloud Workstations testen

Entwicklerzugriff auf die Cloud Workstations API von mehreren Einstiegspunkten aus testen. Achten Sie bei einem unternehmenseigenen Gerät darauf, dass Entwickler auf die Workstation API zugreifen können.

  • Testen Sie, ob der Zugriff auf die Workstations API von einem nicht verwalteten Gerät aus blockiert wird:

    Chrome Enterprise Premium blockiert Nutzer, die versuchen, auf die Cloud Workstations API zuzugreifen. Wenn Nutzer versuchen, sich anzumelden, wird eine Fehlermeldung angezeigt, die sie darüber informiert, dass sie keinen Zugriff haben oder dass sie die Netzwerkverbindung und die Browsereinstellungen prüfen sollten.

  • Testen Sie, ob der Zugriff auf die Workstation API von einem unternehmenseigenen Gerät aus aktiviert ist:

    Entwickler mit Zugriff auf Chrome Enterprise Premium und Cloud Workstations sollten in der Lage sein, ihre Workstation zu erstellen und dann ihre Workstation zu starten.

Teil 2: DLP-Funktionen von Chrome Enterprise Premium einrichten

In diesem Abschnitt finden Sie Schritte, mit denen Sie die Funktionen zum Schutz vor Datenverlust (Data Loss Prevention, DLP) von BeyondCorp Threat and Data Protection nutzen können. So wird verhindert, dass Quellcode aus dem Chrome-basierten Cloud Workstations-Basiseditor (Code OSS für Cloud Workstations) exfiltriert wird.

So richten Sie die DLP-Funktionen von Chrome Enterprise Premium ein, um das Herunterladen von Quellcode zu verhindern:

  1. Datenschutz und Schutz vor Bedrohungen aktivieren
  2. Erstellen Sie eine BeyondCorp-DLP-Regel.
  3. Einstellungen prüfen und Regel erstellen
  4. Testen Sie die DLP-Regel.

Datenschutz und Schutz vor Bedrohungen aktivieren

So aktivieren Sie den Schutz vor Bedrohungen und den Datenschutz in der Google Workspace-Admin-Konsole:

  1. Gehen Sie zu Geräte > Chrome > Einstellungen > Nutzer und Browser.

  2. Nachdem Sie die Kennung der Organisationseinheit (OE-ID) ausgewählt haben, klicken Sie unter Nutzer- und Browsereinstellungen auf Suchen oder Filter hinzufügen und wählen Sie den Untertyp Kategorie aus.

  3. Suchen Sie im Untertyp Kategorie nach Chrome Enterprise Connector.

  4. Wählen Sie unter Inhaltsanalyse für Downloads die Option Google BeyondCorp Enterprise aus.

  5. Maximieren Sie Zusätzliche Einstellungen.

    1. Wählen Sie Dateizugriff verzögern, bis die Analyse abgeschlossen ist aus.
    2. Wählen Sie unter Nach sensiblen Daten suchen > Modus die Option Standardmäßig aktiviert, mit Ausnahme der folgenden URL-Muster aus.

  6. Klicken Sie auf Speichern, um die Konfiguration zu speichern.

DLP-Regel für Chrome Enterprise Premium erstellen

So erstellen Sie eine DLP-Regel:

  1. Öffnen Sie die Google Workspace-Admin-Konsole und wählen Sie Sicherheit > Zugriffs- und Datenkontrolle > Datenschutz > Regeln verwalten aus.

  2. Wenn Sie eine neue Regel erstellen möchten, klicken Sie auf Regel hinzufügen und dann auf Neue Regel. Dadurch wird die Seite Name und Bereich geöffnet.

  3. Geben Sie im Abschnitt Name einen Namen und eine Beschreibung ein. Geben Sie beispielsweise im Feld Name den Wert CloudWorkstations-DLP-Rule1 und im Feld Beschreibung den Wert Cloud Workstations Data Loss Prevention Rule 1 ein.

  4. Konfigurieren Sie im Abschnitt Bereich Folgendes:

    1. Wählen Sie Organisationseinheiten und/oder Gruppen aus.
    2. Klicken Sie auf Organisationseinheiten einschließen und wählen Sie Ihre Organisation aus.
    3. Klicken Sie auf Weiter.

  5. Konfigurieren Sie im Abschnitt Apps Folgendes:

    1. Wählen Sie in den Chrome-Optionen Datei hochgeladen und Datei heruntergeladen aus.
    2. Klicken Sie auf Weiter.

  6. Konfigurieren Sie auf der Seite Bedingungen Folgendes:

    1. Klicken Sie auf Bedingung hinzufügen, um eine neue Bedingung zu erstellen.
    2. Wählen Sie Alle Inhalte aus.
    3. Wählen Sie Stimmt mit vordefiniertem Datentyp überein (empfohlen) aus.
    4. Wählen Sie unter Datentyp auswählen die Option Dokumente – Quellcodedatei aus.
    5. Wählen Sie im Feld Schwellenwert für die Wahrscheinlichkeit die Option Hoch aus.
    6. Geben Sie im Feld Mindestanzahl eindeutiger Übereinstimmungen den Wert 1 ein.
    7. Geben Sie im Feld Mindestanzahl der Übereinstimmungen den Wert 1 ein.
    8. Klicken Sie auf Weiter.

  7. Konfigurieren Sie auf der Seite Aktionen Folgendes:

    1. Wählen Sie unter Aktionen die Option Chrome > Inhalte blockieren aus.
    2. Konfigurieren Sie in den Benachrichtigungsoptionen Folgendes:
      • Wählen Sie für den Schweregrad Mittel aus.
      • Wählen Sie An die Benachrichtigungszentrale gesendet aus.
    3. Klicken Sie auf Weiter.

Einstellungen prüfen und Regel erstellen

Überprüfen Sie auf der Seite Prüfen die Einstellungen, die Sie auf den vorherigen Seiten konfiguriert haben:

  1. Prüfen Sie, ob die Einstellungen korrekt sind.
  2. Klicken Sie auf Erstellen, um fortzufahren.
  3. Achten Sie darauf, dass auf der nächsten Seite Aktiv ausgewählt ist.
  4. Klicken Sie auf Fertig, um die Erstellung der Regel abzuschließen.

DLP-Regel testen

Nachdem die DLP-Regel hinzugefügt wurde, können Sie sie über Cloud Workstations in Chrome testen:

  1. Geben Sie in einem neuen Chrome-Tab chrome://policy ein und klicken Sie auf Richtlinien neu laden, um sicherzustellen, dass die Chrome-Richtlinie aktualisiert wurde.

  2. Scrollen Sie nach unten, um eine Liste der Richtlinien aufzurufen. Wenn Sie diese sehen, wurden die Richtlinien erfolgreich heruntergeladen. Suchen Sie in diesem Fall nach der Richtlinie OnFileDownloadEnterpriseConnector.

  3. Rufen Sie die Google Cloud Console auf und erstellen Sie eine Cloud Workstations-Konfiguration.

    Wählen Sie beim Erstellen Ihrer Workstation-Konfiguration Code-Editoren auf Basis-Images und dann das vorkonfigurierte Basis-Image Basis-Editor (Code OSS für Cloud Workstations) aus.

  4. Workstation erstellen

  5. Workstation starten

  6. Rufen Sie die URL für Code OSS for Cloud Workstations auf, die nach dem Starten Ihrer Workstation angezeigt wird, und stellen Sie eine Verbindung zu Port 80 her.

  7. Klonen Sie ein Repository mit der Option Git-Repository klonen in der IDE. Nachdem das Repository geklont wurde, versuchen Sie, eine Datei mit Quellcode herunterzuladen.

    Verwenden Sie eine der folgenden Methoden, um Dateien in der Code OSS for Cloud Workstations-Explorer-Ansicht herunterzuladen:

    • Ziehen Sie Dateien aus der Explorer-Ansicht.

    • Rufen Sie die Dateien und Verzeichnisse auf, die Sie verwenden möchten, klicken Sie mit der rechten Maustaste darauf und wählen Sie dann Herunterladen aus.

  8. Beim Herunterladen tritt die DLP-Richtlinie in Kraft. Sie erhalten eine Benachrichtigung, dass ein Download blockiert wurde, weil die Richtlinien Ihrer Organisation nicht erfüllt werden:

Glückwunsch! Sie haben erfolgreich verhindert, dass Quellcodedateien heruntergeladen werden.

Bereinigen

Damit Ihrem Google Cloud -Konto die in dieser Anleitung verwendeten Ressourcen nicht in Rechnung gestellt werden, können Sie entweder das Projekt löschen, das die Ressourcen enthält, oder das Projekt beibehalten und die einzelnen Ressourcen löschen. Weitere Informationen finden Sie unter Ressourcen löschen.

Nächste Schritte