核准 Access Approval 要求

本文說明如何核准 Access Approval 要求。

事前準備

  • 請務必瞭解「總覽」頁面中的概念。

  • 在專案、資料夾或機構中，將存取核准核准者 (roles/accessapproval.approver) IAM 角色授予要能夠執行核准作業的主體。您可以將「存取核准核准者」IAM 角色授予個別使用者、服務帳戶或 Google 群組。

    如果您使用自訂簽署金鑰，也必須將 Cloud KMS CryptoKey Signer/Verifier (roles/cloudkms.signerVerifier) IAM 角色授予資源的 Access Approval 服務帳戶。如果您使用 Google 代管的簽署金鑰，則不必提供任何其他權限。

    如要瞭解如何授予 IAM 角色，請參閱「授予單一角色」。

設定接收通知

您可以選擇下列方式接收 Access Approval 要求：

  • 透過電子郵件接收要求。
  • 透過 Pub/Sub 接收要求。

如要選擇這兩種選項，請按照「設定電子郵件和 Pub/Sub 通知」一文中的操作說明進行。

核准存取權核准要求

將部分使用者註冊為核准者後，這些使用者就會收到所有存取要求。

控制台

如要使用Google Cloud 控制台核准存取權核准要求，請執行下列步驟：

  1. 如要查看所有待處理的核准要求，請前往 Google Cloud 控制台的「Access Approval」(存取權核准) 頁面。

    前往存取權核准頁面

    如果您選擇透過電子郵件接收存取權核准要求，也可以點選核准要求電子郵件中的連結，前往這個頁面。

  2. 如要核准要求，請按一下「核准」。

    你也可以選擇駁回要求。即使不關閉要求，系統也會繼續拒絕存取權，因此您可以選擇是否要關閉要求。

    如果您未在 14 天內或要求失效前核准 Google 員工的存取要求，系統會自動拒絕該要求。

  3. 在隨即開啟的對話方塊中，選取存取權到期日期和時間。

  4. 選取「核准」，即可核准存取權，直到設定的到期日和時間為止。

    選取存取權核准要求的到期日期和時間

  5. 選用：如要在核准要求後驗證要求簽章，請按照「驗證要求簽章」一文中的步驟操作。

cURL

如要使用 cURL 核准存取核准要求，請執行下列步驟：

  1. 從 Pub/Sub 訊息中取得 approvalRequest 名稱。

  2. 發出 API 呼叫，核准或駁回該 approvalRequest。

     # HTTP POST request with empty body (an effect of using -d '')
 # service-account-credential.json is attained by going to the
 # IAM -> Service Accounts menu in the cloud console and creating
 # a service account.
 curl -H "$(oauth2l header --json service-account-credentials.json cloud-platform)" \
   -d '' https://accessapproval.googleapis.com/v1/projects/<var>PROJECT_ID</var>/approvalRequests/<var>APPROVAL_REQUEST_ID</var>:approve

    你可以透過下列任一方式回覆要求：

    動作 效果 Google 存取權狀態
    :approve 核准要求。 核准前遭拒，核准後獲准。
    :dismiss 駁回核准要求。建議您拒絕存取要求，而不是不採取任何行動。關閉存取要求後，Google 員工會進行後續追蹤。 在關閉前遭拒，在關閉後遭拒。
    沒有動作 Google 員工仍無法存取。requestedExpiration時間過後，Google 員工必須重新提出要求，才能存取資源。 過期前遭拒，過期後遭拒。

核准要求後，要求狀態會變更為 Approved。只要 Google 員工的特徵符合核准範圍，就能在核准時間範圍內存取。這些相符的特徵包括相同的理由、地點或辦公桌位置。

Access Approval 不會為提出存取要求的 Google 員工提供任何 IAM 角色或新權限。

如果您未核准 Google 員工的存取要求，系統會拒絕該員工存取。要求遭拒後，只會從待處理要求清單中移除。如果未關閉核准要求，系統會繼續拒絕存取權。

啟用後，「資料存取透明化控管機制」會記錄您核准的所有客戶資料存取要求。

在核准過期或存取理由失效前，Google 人員可存取資料。舉例來說，如果 Google 人員要求存取權的客服案件已結案，存取權就會失效。

後續步驟