Access Approval の概要

このページでは、Access Approval の概要について説明します。 Access Approval は、 Google's の透明性、ユーザーの信頼、お客様のデータの所有権がお客様にあることを確保するための 長期的な取り組みの一環です。 アクセスの透明性では、 の担当者がお客様データにいつアクセスしたかに関する情報を確認できます。Access Approval では、そのようなアクセス Google リクエストを承認できます。また、 どのような場合に Google が 顧客データにアクセスできるかをきめ細かく制御できます。 顧客管理の暗号鍵（CMEK）で署名された アクセス承認を使用するお客様は、 Google Key Access Justifications を使用して鍵アクセス リクエストを可視化して制御することもできます。

これらの各プロダクトを組み合わせることで、お客様データにアクセスするための管理者リクエストを制御し、コンテキストを提供できるアクセス管理機能が実現します。

概要

Access Approval により、Cloud カスタマーケアやエンジニアリング チームがお客様のデータにアクセスする必要がある場合は常に、お客様の明示的な承認が必要になります。各承認リクエストは暗号で署名され、整合性を確保するために検証されます。有効なアクセス承認リクエストはいつでも取り消すことができます。

Access Approval は、アクセスの透明性ログによって提供される透明性に制御の階層を追加します。アクセスの透明性では、 の担当者がお客様 データにアクセスしたときに行った操作を記録したログが提供されます。 Google また、Access Approval は承認済み、拒否、取り消し、期限切れになったすべてのリクエストの履歴情報も提供します。

の担当者によるお客様のデータへのアクセスを直接管理できるようにするには、Access Approval を使用することをおすすめします。 Google の担当者がお客様データにアクセスする必要がある理由と、 の特権アクセスの原則の詳細については、 の特権アクセスをご覧ください。 Google Google CloudGoogle Cloud

Access Approval のしくみ

Access Approval では、 Google 管理者が お客様データにアクセスする前に、権限のあるお客様管理者にリクエストして承認を得る必要があります。保留中の承認リクエストは、事前構成されたメールまたは Pub/Sub メッセージを使用してお客様に通知されます。

メッセージ内の情報を使用して、Access Approval 承認リクエストを コンソールまたは Access Approval APIで承認または拒否できます。 Google Cloud アクセス権は、Access Approval リクエストが承認された後にのみ付与されます。 Access Approval では、暗号鍵を使用してアクセス リクエストに署名し、その署名を使用してリクエストの整合性が検証されます。 Google が管理する署名鍵を使用することも、独自の署名鍵を使用することもできます。

Access Approval と Assured Workloads の連携

Assured Workloads コンプライアンス境界で Access Approval を使用する場合、Access Approval が評価される前に、Assured Workloads の担当者のアクセス保証が適用されます。Access Approval のアクセス リクエストには、準拠していないパラメータ（global ロケーションなど）が含まれている場合があります。ただし、これらの条件は Assured Workloads ワークロード構成に次ぐものです。

たとえば、カナダ保護 B フォルダのオーナーに global ロケーションの承認リクエストが送信された場合、このリクエストにはまずカナダ保護 B の制限が適用されます。これらの担当者には、Access Approval のリージョン制限は適用されません。

Google が管理する署名鍵の使用 がデフォルトのオプションです。 独自の署名鍵を使用する場合は、 Cloud KMS を使用して署名鍵を作成するか、 Cloud EKM を使用して外部管理の鍵を用意できます。カスタム署名鍵の使用開始については、 カスタム署名鍵を使用して Access Approval を設定するをご覧ください。

Access Approval をサポートする Google サービス

Access Approval では、Access Approval に 登録する Google Cloud サービスを選択できます。Access Approval は、選択したサービスに保存されているお客様データへのアクセス リクエストに対してのみお客様の同意をリクエストします。

Access Approval にサービスを登録するには、次の方法があります。

  • サポートされているすべてのサービスに対して Access Approval を自動的に有効にします。 プロダクトのリリース ステージ （プレビューや一般提供（GA）など）に関係なく。このオプションを選択すると、今後 Access Approval でサポートされるすべてのサービスも自動的に登録されます。これはデフォルトのオプションです。
  • GA リリース ステージのサービスに対してのみ Access Approval を有効にします。 このオプションを選択すると、今後 Access Approval でサポートされるすべての GA サービスも自動的に登録されます。
  • Access Approval に登録する特定のサービスを選択します。

Access Approval でサポートされるサービスの一覧については、 サポート サービス をご覧ください。

Access Approval の除外

アクセスの透明性の除外事項は、Access Approval にも適用されます。

これらの除外に加えて、時間的制約のあるサービス停止に対処するためにお客様がアクションを起こさなくても、承認リクエストが自動的に承認される場合があります。自動承認された Access Approval リクエストは、auto approved 状態でログに記録されます。

自動承認は、 アクセス理由を使用した EU Data Boundary またはパートナーによる主権管理を使用してデプロイされたすべてのワークロードで自動的に無効になります。

承認が顧客管理の鍵で署名されている場合にのみ管理者アクセス リクエストが処理されるようにするには、顧客管理の鍵でアクセス承認を構成し、Key Access Justifications を使用します。

Access Approval を使用するための要件

Access Approval は、Google Cloud プロジェクト、フォルダ、組織に対して有効にできます。Access Approval を有効にする前に、組織で アクセスの透明性を有効にする必要があります。

アクセスの透明性を有効にしたら、 Google Cloud コンソールを使用して Access Approval を有効にできます。Access Approval の設定方法については、 クイックスタートをご覧ください。

カスタム署名鍵の要件

デフォルトの Google が管理する署名鍵を使用する場合、追加の構成は必要ありません。独自の署名鍵を使用するには、Cloud Key Management Service を使用して非対称署名鍵を作成するか、Cloud External Key Manager を使用して外部管理の鍵をホストします。Cloud EKM でサポートされている非対称署名鍵に関連する制限については、非対称署名鍵の制限をご覧ください。

外部管理の署名鍵を使用する場合は、Cloud EKM を有効にすることをおすすめします。に保存されていない鍵の管理に Cloud EKM Google Cloudを使用する方法については、 Cloud EKM の概要をご覧ください。

次のステップ