Anda dapat mengonfigurasi dan mengelola resource organisasi Google Cloud dengan aman dengan menerapkan praktik yang direkomendasikan ke akun administrator super Google Workspace atau Cloud Identity Anda. Saat Anda mengamankan akun dengan hak istimewa tinggi ini, Anda menerapkan pemisahan hak istimewa dan melindungi organisasi Anda dari akses yang tidak sah.
Jenis akun
Akun admin super Google Workspace memiliki serangkaian kemampuan administratif yang mencakup Cloud Identity. Hal ini menyediakan satu set kontrol pengelolaan identitas untuk digunakan di semua layanan Google, seperti dokumen, sheet, Google Cloud, dan sebagainya.
Akun Cloud Identity hanya menyediakan fungsi pengelolaan identitas dan autentikasi, terlepas dari Google Workspace.
Menetapkan Administrator Organisasi
Setelah mendapatkan resource organisasi baru, Anda menetapkan satu atau beberapa Organization Administrator. Peran ini memiliki serangkaian izin yang lebih kecil yang dirancang untuk mengelola operasi organisasi sehari-hari.
Anda juga harus membuat grup administrator pribadi Google Cloud di akun admin super Google Workspace atau Cloud Identity Anda. Tambahkan pengguna Administrator Organisasi Anda ke grup ini, tetapi bukan pengguna admin super Anda. Beri grup ini peran Identity and Access Management (IAM) Organization Administrator atau subset terbatas dari izin peran tersebut.
Sebaiknya pisahkan akun admin super Anda dari grup Administrator Organisasi. Sebagai admin super, Anda dapat memberikan peran Organization Administrator kepada pengguna yang tepat dan paling cocok untuk mengelola resource organisasi beserta kontennya.
Untuk mengetahui informasi tentang cara mengelola kontrol akses untuk resource organisasi Anda menggunakan kebijakan izin, lihat Kontrol akses untuk resource organisasi dengan IAM.
Menetapkan peran yang sesuai
Google Workspace dan Cloud Identity memiliki peran administratif yang tidak sepermisif peran administrator super. Sebaiknya ikuti prinsip hak istimewa terendah dengan memberikan serangkaian izin minimum yang diperlukan pengguna untuk mengelola pengguna dan grup.
Mencegah penggunaan akun admin super
Akun admin super Google Workspace dan Cloud Identity memiliki serangkaian izin yang kuat yang tidak diperlukan untuk digunakan dalam administrasi harian organisasi Anda. Anda harus menerapkan kebijakan yang akan mengamankan akun admin super dan membuat pengguna cenderung tidak mencoba menggunakannya untuk operasi sehari-hari, seperti:
Terapkan autentikasi multi-faktor di akun admin super Anda serta semua akun yang memiliki hak istimewa yang ditingkatkan.
Gunakan kunci keamanan atau perangkat autentikasi fisik lainnya untuk menerapkan verifikasi dua langkah.
Untuk akun admin super awal, pastikan kunci keamanan disimpan di tempat yang aman, sebaiknya di lokasi fisik Anda.
Beri admin super akun terpisah yang memerlukan login terpisah. Misalnya, pengguna alice@example.com dapat memiliki akun admin super alice-admin@example.com.
- Jika Anda menyinkronkan dengan protokol identitas pihak ketiga, pastikan Anda menerapkan kebijakan penangguhan yang sama ke Cloud Identity dan identitas pihak ketiga yang sesuai.
Jika Anda memiliki akun bisnis atau perusahaan Google Workspace atau akun premium Cloud Identity, Anda dapat menerapkan periode login singkat untuk akun admin super apa pun.
Ikuti panduan dalam pola praktik terbaik keamanan untuk akun administrator.
Notifikasi panggilan API
Gunakan Google Cloud Observability untuk
menyiapkan pemberitahuan yang akan memberi tahu
Anda saat panggilan API SetIamPolicy()
dilakukan. Tindakan ini akan mengirimkan pemberitahuan saat ada orang yang mengubah kebijakan izin apa pun.
Proses pemulihan akun
Pastikan Administrator Organisasi memahami proses pemulihan akun admin super. Proses ini akan membantu Anda memulihkan akun jika kredensial admin super hilang atau disusupi.
Beberapa resource organisasi
Sebaiknya gunakan folder untuk mengelola bagian organisasi yang ingin Anda kelola secara terpisah. Jika ingin menggunakan beberapa resource organisasi, Anda memerlukan beberapa akun Google Workspace atau Cloud Identity. Untuk mengetahui informasi tentang implikasi penggunaan beberapa Google Workspace dan Cloud Identity, lihat Mengelola beberapa resource organisasi.