מעבדה מעשית — AGWA Google Cloud Associate Google Workspace Administrator

סקירה כללית

דרישות קדם

שלבים

1. 1.ספק, שירותי פרויקט, שמות

   הפעל את ממשקי ה-API של Cloud Identity, IAM ו-Cloud Logging.

   העתק

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-agwa"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "cloudidentity" {
     service            = "cloudidentity.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "logging" {
     service            = "logging.googleapis.com"
     disable_on_destroy = false
   }

2. 2.צור קבוצת Cloud Identity באמצעות ה-API של קבוצות Cloud Identity

   משאבים:

   • Cloud Identity

   קבוצות Cloud Identity הן המראה בצד GCP של קבוצות Google Workspace — הן נמצאות באותה ספריית זהויות וניתן לטפל בהן באותו פורמט group-email@your-domain.com. בחינת AGWA בודקת את מודל הזהות של ממשק ניהול אחיד: משתמש שסופק ב-Workspace הוא אותה זהות שמקבלת קישורי IAM ב-GCP.

   אנו יוצרים קבוצת אבטחה dev-readers@your-domain.com. החלף את your-org-id במזהה הלקוח של Cloud Identity שלך (מצא באמצעות gcloud organizations list ← השדה directoryCustomerId).

   משאב זה דורש בעלות על דומיין — הוא ייכשל אלא אם אתה שולט ב-your-domain.com ו-API של Cloud Identity מופעל בהיקף הארגון. עבור מעבדה מהירה ללא דומיין אמיתי, דלג על שלב זה והשתמש בזהות IAM קיימת בשלב 3.

   העתק

   resource "google_cloud_identity_group" "dev_readers" {
     display_name = "dev-readers"
     description  = "Lab Cloud Identity group for the AGWA walkthrough"
   
     parent = "customers/your-org-id" # REPLACE — find via `gcloud organizations list`
   
     group_key {
       id = "dev-readers@your-domain.com" # REPLACE with your Workspace domain
     }
   
     labels = {
       "cloudidentity.googleapis.com/groups.discussion_forum" = ""
     }
   
     initial_group_config = "WITH_INITIAL_OWNER"
   
     depends_on = [google_project_service.cloudidentity]
   }

3. 3.קשר את הקבוצה לתפקיד IAM בעל הרשאות מינימליות בהיקף הפרויקט

   משאבים:

   • IAM

   מנהלי Workspace מקצים באופן קבוע הרשאות GCP לקבוצות Workspace — התבנית המומלצת על ידי AGWA היא הענק תפקידים לקבוצות, נהל חברות ב-Workspace. אנו קושרים את קבוצת dev-readers משלב 2 לתפקיד roles/viewer בפרויקט הנוכחי. כל מי שמנהל ה-Workspace שלו מוסיף אותו ל-dev-readers@your-domain.com יורש באופן מיידי תפקיד Viewer בפרויקט GCP זה. כל מי שמוסר מאבד את ההרשאה.

   שים לב לקידומת group: בשדה member של IAM — זוהי התחביר הקנוני לקישור זהות קבוצה. קידומות נוספות שהבחינה של AGWA בודקת: user: (פרט), serviceAccount: (חשבון שירות), domain: (כל המשתמשים בדומיין).

   העתק

   data "google_project" "current" {}
   
   resource "google_project_iam_member" "dev_readers_viewer" {
     project = data.google_project.current.project_id
     role    = "roles/viewer"
     member  = "group:${google_cloud_identity_group.dev_readers.group_key[0].id}"
   }

4. 4.נתב יומני ביקורת של פרויקטים לדלי יומנים ייעודי

   משאבים:

   • Cloud Logging

   בחינת AGWA בודקת את היקף יומני ביקורת של Cloud: יומני פעילות מנהל מופעלים תמיד ובחינם; יומני גישה לנתונים מושבתים כברירת מחדל ומחויבים כרגיל; יומני אירועי מערכת מופעלים תמיד ובחינם; יומני מדיניות נדחתה (דחיות VPC-SC) מופעלים תמיד ובחינם.

   אנו יוצרים דלי יומנים ייעודי (נפרד מדלי _Required ו-_Default ברירת המחדל) בשם audit-events, ולאחר מכן שלב יומנים המנתב כל יומן ביקורת הקשור ל-IAM אליו. זה מספק לצוותי תאימות חלון שמירה נפרד מהיומנים התפעוליים ב-_Default — התבנית המומלצת על ידי AGWA עבור שמירת יומני ביקורת שתאריך ימים יותר מתגובה לאירועים.

   העתק

   resource "google_logging_project_bucket_config" "audit" {
     project        = data.google_project.current.project_id
     location       = "global"
     retention_days = 400 # 13 months — typical compliance ask
     bucket_id      = "audit-events"
   
     depends_on = [google_project_service.logging]
   }
   
   resource "google_logging_project_sink" "audit_sink" {
     name        = "certlabpro-agwa-audit-sink"
     destination = "logging.googleapis.com/${google_logging_project_bucket_config.audit.id}"
     filter      = "logName:\"cloudaudit.googleapis.com\" AND protoPayload.serviceName=\"iam.googleapis.com\""
   
     unique_writer_identity = true
   }

ניקוי משאבים