Approvazione delle richieste di Access Approval

Questo documento spiega come approvare una richiesta di Access Approval.

Prima di iniziare

  • Assicurati di comprendere i concetti nella pagina Panoramica.

  • Concedi il ruolo IAM Access Approval Approver (roles/accessapproval.approver) sul progetto, sulla cartella o sull'organizzazione all'entità che vuoi che possa eseguire le approvazioni. Puoi concedere il ruolo IAM Access Approval Approver a un singolo utente, a un service account, o a un gruppo Google.

    Se utilizzi una chiave di firma personalizzata, devi anche concedere il ruolo IAM Cloud KMS CryptoKey Signer/Verifier (roles/cloudkms.signerVerifier) al account di servizio Access Approval per la tua risorsa. Se utilizzi una chiave di firma gestita da Google, non devi fornire altre autorizzazioni.

    Per informazioni sulla concessione di un ruolo IAM, consulta Concedi un singolo ruolo.

Configurare le impostazioni per ricevere le notifiche

Hai le seguenti opzioni per ricevere le richieste di Access Approval:

  • Ricevi le richieste via email.
  • Ricevi le richieste tramite Pub/Sub.

Puoi scegliere entrambe le opzioni seguendo le istruzioni riportate in Configurare le notifiche via email e Pub/Sub notifications.

Approvare le richieste di Access Approval

Dopo aver registrato alcuni utenti come approvatori, questi utenti ricevono tutte le richieste di accesso.

Console

Per approvare una richiesta di Access Approval utilizzando la Google Cloud console:

  1. Per visualizzare tutte le richieste di approvazione in attesa, vai alla pagina Access Approval nella Google Cloud console.

    Vai ad Access Approval

    Se hai scelto di ricevere le richieste di Access Approval via email, puoi anche andare a questa pagina facendo clic sul link nell'email che ti è stata inviata con la richiesta di approvazione.

  2. Per approvare una richiesta, fai clic su Approva.

    Hai anche la possibilità di ignorare la richiesta. Ignorare la richiesta è facoltativo perché l'accesso continua a essere negato anche se non la ignori.

    Se non approvi la richiesta di accesso del dipendente Google entro 14 giorni o prima della scadenza della richiesta, quest'ultima viene ignorata automaticamente.

  3. Nella finestra di dialogo che si apre, seleziona la data e l'ora in cui vuoi che termini l'accesso.

  4. Seleziona Approva per approvare l'accesso fino alla data e all'ora di scadenza impostate.

    Seleziona la data e l'ora di scadenza per la richiesta di approvazione dell'accesso

  5. (Facoltativo) Per convalidare la firma di una richiesta dopo averla approvata, segui i passaggi indicati in Convalidare la firma di una richiesta.

cURL

Per approvare una richiesta di Access Approval utilizzando cURL:

  1. Prendi il nome approvalRequest dal messaggio Pub/Sub.

  2. Esegui una chiamata API per approvare o ignorare approvalRequest.

     # HTTP POST request with empty body (an effect of using -d '')
 curl -H \
   "Authorization: Bearer $(gcloud auth print-access-token)" \
   -d '' \
   https://accessapproval.googleapis.com/v1/projects/<var>PROJECT_ID</var>/approvalRequests/<var>APPROVAL_REQUEST_ID</var>:approve

    Puoi rispondere a una richiesta con una delle seguenti opzioni:

    Azione Effetto Google Stato dell'accesso
    :approve Approva la richiesta. Negato prima dell'approvazione,
    approvato dopo l'approvazione.
    :dismiss Ignora la richiesta di approvazione. Ti consigliamo

    di ignorare la richiesta di accesso anziché non intraprendere alcuna azione. Ignorare la richiesta di accesso richiede al Google dipendente di dare seguito. | Negato prima dell'ignoramento, negato dopo l'ignoramento. | | Nessuna azione | Google L'accesso del dipendente è ancora negato. Il dipendente deve aprire una nuova richiesta per accedere alla risorsa dopo che è trascorso il tempo requestedExpiration. | Negato prima di nessuna azione, negato dopo l'ora di scadenza. |

Dopo aver approvato la richiesta, lo stato della richiesta cambia in Approved. Qualsiasi Google dipendente con caratteristiche corrispondenti all'ambito di approvazione può accedere alla risorsa entro il periodo di tempo approvato. Queste caratteristiche corrispondenti includono la stessa giustificazione, località o posizione della scrivania.

Access Approval non fornisce alcun ruolo IAM o alcuna nuova autorizzazione al Google dipendente che ha richiesto l'accesso.

Se non approvi la richiesta di accesso del dipendente, l'accesso viene negato al dipendente. Google Ignorare la richiesta la rimuove solo dall'elenco delle richieste in attesa. Se non ignori una richiesta di approvazione, l'accesso continua a essere negato.

Dopo l'abilitazione, Access Transparency registra tutti gli accessi ai dati dei clienti che approvi.

L'accesso al Google personale è consentito fino alla scadenza dell'approvazione o fino a quando la giustificazione dell'accesso non è più valida. Ad esempio, l'accesso scade se il caso di assistenza per il quale Google il personale ha richiesto l'accesso viene chiuso.

Passaggi successivi