Auditoria de Permissões IAM do GCP

Quando Usar

• Ao realizar avaliações de segurança de configurações IAM de organização ou projeto do GCP
• Ao identificar contas de serviço com permissões excessivas ou acesso não utilizado
• Quando requisitos de conformidade exigem a revisão de controles de acesso e atribuições de função
• Ao investigar potencial movimento lateral através de configurações incorretas de IAM
• Ao reduzir o raio de impacto de credenciais comprometidas, limitando o escopo das permissões

Não use para auditoria de regras de firewall VPC (use ferramentas de segurança de rede), para auditoria de RBAC do GKE (use ferramentas RBAC específicas do Kubernetes) ou para detecção de ameaças em tempo real em ações de IAM (use o Event Threat Detection do SCC).

Pré-requisitos

• Organização ou projeto GCP com roles/iam.securityReviewer e roles/cloudAsset.viewer
• CLI gcloud autenticada com permissões apropriadas
• API Cloud Asset habilitada (gcloud services enable cloudasset.googleapis.com)
• API IAM Recommender habilitada (gcloud services enable recommender.googleapis.com)
• API Policy Analyzer habilitada (gcloud services enable policyanalyzer.googleapis.com)

Fluxo de Trabalho

Etapa 1: Enumerar Vinculações IAM em Toda a Organização

Liste todas as vinculações IAM nos níveis de organização, pasta e projeto para entender o cenário completo de acesso.

# Organization-level IAM bindings
gcloud organizations get-iam-policy ORG_ID \
  --format=json > org-iam-policy.json

# Search all IAM policies across the organization
gcloud asset search-all-iam-policies \
  --scope=organizations/ORG_ID \
  --format="table(resource, policy.bindings.role, policy.bindings.members)" \
  --limit=500

# Find all users and service accounts with Owner role
gcloud asset search-all-iam-policies \
  --scope=organizations/ORG_ID \
  --query="policy:roles/owner" \
  --format="table(resource, policy.bindings.members)"

# Find all bindings using primitive roles (Owner, Editor, Viewer)
gcloud asset search-all-iam-policies \
  --scope=organizations/ORG_ID \
  --query="policy:roles/owner OR policy:roles/editor" \
  --format=json | python3 -c "
import json, sys
data = json.load(sys.stdin)
for result in data:
    resource = result.get('resource', '')
    for binding in result.get('policy', {}).get('bindings', []):
        role = binding.get('role', '')
        if role in ['roles/owner', 'roles/editor']:
            for member in binding.get('members', []):
                print(f'{resource} | {role} | {member}')
"

Etapa 2: Auditar Contas de Serviço e Suas Chaves

Identifique contas de serviço com permissões excessivas, chaves gerenciadas pelo usuário e contas não utilizadas.

# List all service accounts in a project
gcloud iam service-accounts list \
  --project=PROJECT_ID \
  --format="table(email, displayName, disabled)"

# Check for user-managed keys (should be minimized)
for sa in $(gcloud iam service-accounts list --project=PROJECT_ID --format="value(email)"); do
  keys=$(gcloud iam service-accounts keys list \
    --iam-account="$sa" \
    --managed-by=user \
    --format="table(name.basename(),validAfterTime,validBeforeTime)")
  if [ -n "$keys" ]; then
    echo "=== $sa ==="
    echo "$keys"
  fi
done

# Find service accounts with admin roles across all projects
gcloud asset search-all-iam-policies \
  --scope=organizations/ORG_ID \
  --query="policy.bindings.members:serviceAccount AND (policy:roles/owner OR policy:roles/editor OR policy:admin)" \
  --format="table(resource, policy.bindings.role, policy.bindings.members)"

# Check service account IAM policies (who can impersonate)
for sa in $(gcloud iam service-accounts list --project=PROJECT_ID --format="value(email)"); do
  echo "=== $sa ==="
  gcloud iam service-accounts get-iam-policy "$sa" --format=json 2>/dev/null
done

Etapa 3: Usar o IAM Recommender para Identificar Permissões Excessivas

Utilize o IAM Recommender do GCP para encontrar funções que concedem mais acesso do que o realmente utilizado.

# Listar recomendações de função IAM para um projeto
gcloud recommender recommendations list \
  --project=PROJECT_ID \
  --recommender=google.iam.policy.Recommender \
  --location=global \
  --format="table(name, description, priority, stateInfo.state)"

# Obter recomendação detalhada
gcloud recommender recommendations describe RECOMMENDATION_ID \
  --project=PROJECT_ID \
  --recommender=google.iam.policy.Recommender \
  --location=global \
  --format=json

# Listar insights sobre o uso do IAM
gcloud recommender insights list \
  --project=PROJECT_ID \
  --insight-type=google.iam.policy.Insight \

…