Prácticas recomendadas para la delegación de todo el dominio

Usar el acceso directo a la cuenta de servicio o el consentimiento de OAuth

Evita el uso de la delegación de todo el dominio si puedes realizar tu tarea directamente con una cuenta de servicio o con el consentimiento de OAuth.

Si no puedes evitar el uso de la delegación de todo el dominio, restringe el conjunto de permisos de OAuth que puede utilizar la cuenta de servicio. Aunque los permisos de OAuth no restringen qué usuarios puede actuar como la cuenta de servicio, sí que restringen los tipos de datos de usuario a los que puede acceder la cuenta.

Evitar el uso de la delegación de todo el dominio

Restringir la creación y la subida de claves de cuentas de servicio

Utiliza políticas de organización para restringir la creación y la subida de claves de las cuentas de servicio con delegación de todo el dominio. De esta forma, se limita la suplantación de identidad de cuentas de servicio mediante claves de cuentas de servicio.

No permitir que los usuarios creen ni suban claves de cuentas de servicio

Inhabilitar concesiones automáticas de roles para las cuentas de servicio predeterminadas

Las cuentas de servicio que se crean de forma predeterminada tienen el rol Editor, que les permite leer y modificar todos los recursos del proyecto de Google Cloud. Puedes inhabilitar la concesión automática de roles en las cuentas de servicio predeterminadas para que no se les asigne el rol Editor automáticamente y que ningún usuario malicioso pueda aprovecharlas fácilmente. 

No utilizar concesiones automáticas de roles en las cuentas de servicio predeterminadas

Limitar el movimiento lateral

El movimiento lateral se produce cuando una cuenta de servicio de un proyecto tiene permiso para suplantar la identidad de una cuenta de servicio de otro proyecto. Esto puede provocar que se acceda de forma no deseada a los recursos. Utiliza las estadísticas de movimientos laterales para detectar y limitar el movimiento lateral mediante la suplantación de identidad. 

Usar los datos de movimiento lateral para limitarlo

Limitar el acceso a las cuentas de servicio con la delegación de todo el dominio

No permitir que un usuario cambie la política de autorización de una cuenta de servicio si esta tiene más privilegios que el usuario. Usa roles de gestión de identidades y accesos para limitar el acceso a las cuentas de servicio con concesiones de la delegación de todo el dominio. 

Evitar que los usuarios cambien las políticas de autorización de las cuentas de servicio con más privilegios

Dar acceso solo a privilegios esenciales

Asegúrate de que las cuentas de servicio con delegación de todo el dominio tengan solo los privilegios esenciales para llevar a cabo sus funciones. No concedas acceso a permisos de OAuth no esenciales.

Alojar cuentas de servicio en proyectos específicos de Google Cloud

Asegúrate de que las cuentas de servicio con delegación de todo el dominio estén alojadas en proyectos específicos de Google Cloud. No uses esos proyectos para otras necesidades empresariales.

Evitar usar claves de cuentas de servicio

No hace falta usar claves de cuenta de servicio para al delegación de todo el dominio. En su lugar, usa la API signJwt. 

Evitar el uso de claves de cuenta de servicio para la delegación de todo el dominio

Restringir el acceso a proyectos que tengan delegación de todo el dominio

Minimiza el número de personas que tienen permiso para editar en los proyectos de Google Cloud configurando la delegación de todo el dominio. La API de Inventario de Recursos de Cloud te permite saber quién tiene acceso a las cuentas de servicio. Por ejemplo, usa Cloud Shell para ejecutar lo siguiente:

gcloud asset get-effective-iam-policy
--scope=organizations/<ORG_ID>
--names=//iam.googleapis.com/projects/<PROJECT_ID>/serviceAccounts/
<SERVICE_ACCOUNT_ID>

• ORG_ID: el ID de tu organización de Google Cloud. Más información
• PROJECT_ID: ID del proyecto de Google Cloud en el que se encuentra la cuenta de servicio. Más información
• SERVICE_ACCOUNT_ID: ID de la cuenta de servicio. El ID se muestra en ID de cliente en la página de delegación de todo el dominio de la consola de administración o en la dirección de correo de la cuenta de servicio. Más información

Busca permisos o roles, como los de propietario y editor iam.serviceAccountTokenCreator o iam.serviceAccountKeyAdmin, para saber quién tiene permisos directos o heredados en la cuenta de servicio.

Descubre quién tiene acceso a las cuentas de servicio de Google Cloud