Glossarbegriff
allUsers und allAuthenticatedUsers
Spezielle IAM-Identitäten für jeden im Internet (allUsers) oder jeden mit angemeldetem Google-Konto (allAuthenticatedUsers). Sie machen Ressourcen öffentlich.
allUsers und allAuthenticatedUsers sind spezielle IAM-Mitglieder. allUsers steht für jeden im Internet, ob authentifiziert oder nicht; allAuthenticatedUsers steht für jeden, der mit irgendeinem Google-Konto angemeldet ist, was in der Praxis ebenfalls das gesamte Internet ist.
Wer eines von beiden zur Richtlinie eines Buckets, Datasets, Cloud-Run-Dienstes, einer Funktion oder eines Images hinzufügt, macht die Ressource öffentlich. Die Vergabe wird in den Admin-Activity-Logs als Eintrag in bindingDeltas mit action: ADD erfasst, spätere anonyme Lesezugriffe auf öffentliche Cloud-Storage-Objekte erfassen Cloud Audit Logs jedoch nicht; Ermittler müssen daher in Expositionszeitfenstern denken. Die Verhinderung öffentlichen Zugriffs in Cloud Storage blockiert solche Vergaben.
Siehe Exfiltration aus GCS und BigQuery: Spuren in Audit-Logs.