Best Practices für domainweite Delegierung

Als Administrator können Sie die domainweite Delegierung nutzen, um internen und Drittanbieter-Apps Zugriff auf die Google Workspace-Daten Ihrer Nutzer zu gewähren, ohne die Einwilligung der Endnutzer zu benötigen. Dazu erstellen Sie in der Google Cloud Console ein Dienstkonto und delegieren die domainweite Befugnis an das Konto in der Admin-Konsole. Sie können auch eingeschränkte API-Bereiche für das Dienstkonto in der Admin-Konsole festlegen. Weitere Informationen zur domainweiten Delegierung finden Sie im Hilfeartikel Zugriff auf die API mit domainweiter Delegierung verwalten.

Dienstkonten verwalten und sichern

Die Identitäts- und Zugriffsverwaltung (Identity and Access Management, IAM) enthält Richtlinien für die Verwendung von Dienstkonten zur Beschränkung des Zugriffs und zum Schutz vor Bedrohungen durch Rechteausweitung und Nachweisbarkeit. Die Richtlinien finden Sie unter Best Practices für die Verwendung von Dienstkonten. 

Alle Empfehlungen in diesem Leitfaden gelten zum Schutz von Dienstkonten, für die die domainweite Delegierung aktiviert ist. Wir haben hier einige Best Practices für Sie zusammengestellt:

	Stattdessen direkten Dienstkontozugriff oder OAuth-Einwilligung verwenden Vermeiden Sie die domainweite Delegierung, wenn Sie Ihre Aufgabe direkt über ein Dienstkonto oder über die OAuth-Einwilligung ausführen können. Wenn Sie die domainweite Delegierung nicht vermeiden können, schränken Sie die Reihe der OAuth-Bereiche ein, die das Dienstkonto verwenden kann. OAuth-Bereiche beschränken zwar nicht, welche Nutzer die Identität des Dienstkontos übernehmen können, aber sie beschränken die Arten von Nutzerdaten, auf die das Dienstkonto zugreifen kann. Verwenden Sie nie die domainweite Delegierung
	Erstellen und Hochladen von Dienstkontoschlüsseln einschränken Mithilfe von Organisationsrichtlinien können Sie das Erstellen und Hochladen von Schlüsseln für Dienstkonten mit domainweiter Delegierung einschränken. Dadurch wird die Identitätsübernahme von Dienstkonten durch Dienstkontoschlüssel eingeschränkt. Erlauben Sie es Nutzern nie, Dienstkontoschlüssel zu erstellen oder hochzuladen
	Automatische Rollenzuweisungen für Standarddienstkonten deaktivieren Dienstkonten, die standardmäßig erstellt werden, erhalten die Rolle „Bearbeiter“, die es dem Nutzer des Kontos ermöglicht, alle Ressourcen im Google Cloud-Projekt zu lesen und zu ändern. Sie können die automatische Rollenzuweisung für Standarddienstkonten deaktivieren, damit sie nicht automatisch die Rolle „Bearbeiter“ erhalten und nicht leicht von böswilligen Nutzern ausgenutzt werden können.  Verwenden Sie nie automatische Rollenzuweisungen für Standarddienstkonten
	Lateral Movement begrenzen Ein "Lateral Movement" besteht, wenn ein Dienstkonto in einem Projekt die Berechtigung hat, die Identität eines Dienstkontos in einem anderen Projekt zu übernehmen. Dies kann zu unbeabsichtigtem Zugriff auf Ressourcen führen. Nutzen Sie die Erkenntnisse über Lateral Movement, um Lateral Movement durch Identitätsdiebstahl zu erkennen und einzuschränken.  Mit Erkenntnissen zum "Lateral Movement" das "Lateral Movement" begrenzen
	Zugriff auf Dienstkonten mit domainweiter Delegierung beschränken Nutzern sollten niemals die "allow"-Richtlinie eines Dienstkontos ändern dürfen, das mehr Berechtigungen als der Nutzer hat. Mit IAM-Rollen können Sie den Zugriff auf Dienstkonten mit domainweiten Delegierungsberechtigungen beschränken.  Nutzern nicht das Ändern der "allow"-Richtlinien von Dienstkonten erlauben, die mehr Berechtigungen als der Nutzer haben

Dienstkonten vor Insiderrisiken schützen

Verwenden Sie die domainweite Delegierung nur dann, wenn es einen kritischen Geschäftsgrund gibt, für den es erforderlich ist, dass eine App die Nutzereinwilligung für den Zugriff auf Google Workspace-Daten umgeht. Probieren Sie Alternativen wie OAuth mit Nutzereinwilligung aus oder verwenden Sie Marketplace-Apps. Weitere Informationen finden Sie im Google Workspace Marketplace. 

Mit den folgenden Best Practices können Sie Dienstkonten mit domainweiten Delegierungsberechtigungen vor Insiderrisiken schützen:

	Zugriff nur auf wichtige Berechtigungen gewähren Achten Sie darauf, dass Dienstkonten mit domainweiter Delegierung nur die wesentlichen Berechtigungen haben, die für die Ausführung der vorgesehenen Funktionen erforderlich sind. Gewähren Sie keinen Zugriff auf weniger wichtige OAuth-Bereiche.
	Dienstkonten in dedizierten Google Cloud-Projekten hosten Achten Sie darauf, dass Dienstkonten mit domainweiter Delegierung in dedizierten Google Cloud-Projekten gehostet werden. Verwenden Sie diese Projekte nicht für andere geschäftliche Zwecke.
	Verwendung von Dienstkontoschlüsseln vermeiden Die Verwendung von Dienstkontoschlüsseln ist für die domainweite Delegierung nicht erforderlich. Verwenden Sie stattdessen die signJwt API.  Keine Dienstkontoschlüssel für die domainweite Delegierung verwenden
	Zugriff auf Projekte mit domainweiter Delegierung beschränken Minimieren Sie die Anzahl der Personen, die Bearbeitungszugriff auf Google Cloud-Projekte mit eingerichteter domainweiter Delegierung haben. Mit der Cloud Asset Inventory API können Sie nachvollziehen, wer Zugriff auf Dienstkonten hat. Führen Sie beispielsweise mit Cloud Shell Folgendes aus: gcloud asset get-effective-iam-policy --scope=organizations/<ORG_ID> --names=//iam.googleapis.com/projects/<PROJECT_ID>/serviceAccounts/ <SERVICE_ACCOUNT_ID> ORG_ID: Ihre Google Cloud-Organisations-ID. Weitere Informationen PROJECT_ID: ID des Google Cloud-Projekts, in dem sich das Dienstkonto befindet. Weitere Informationen SERVICE_ACCOUNT_ID: ID des Dienstkontos. Die ID ist auf der domainweiten Delegationsseite der Admin-Konsole unter „Client-ID“ oder in der E-Mail-Adresse des Dienstkontos aufgeführt. Weitere Informationen Suchen Sie nach Berechtigungen oder Rollen wie Inhaber und Bearbeiter von iam.serviceAccountTokenCreator oder iam.serviceAccountKeyAdmin, um zu sehen, wer direkte oder übernommene Berechtigungen für das Dienstkonto hat. Nachvollziehen, wer Zugriff auf Google Cloud-Dienstkonten hat

Weitere Informationen

• Sicherheitschecklisten
• Cloud Shell
• Zugriff auf die API mit domainweiter Delegierung verwalten