Descripción general de la Aprobación de acceso

En esta página, se proporciona una descripción general de la Aprobación de acceso. La Aprobación de acceso forma parte del compromiso a largo plazo de Googlecon la transparencia, la confianza del usuario y la propiedad de los datos por parte del cliente. La Transparencia de acceso te ayuda a descubrir información sobre cuándo el personal accede a los Datos del Cliente, y la Aprobación de acceso te permite autorizar esas solicitudes de acceso. Google Además, proporciona niveles mejorados de control detallado sobre cuándo Google puede acceder a los Datos del Cliente. Para los clientes que usan aprobaciones de acceso firmadas con una clave de encriptación administrada por el cliente (CMEK),Google también proporciona a los usuarios visibilidad y control sobre las solicitudes de acceso a las claves a través de las Justificaciones de acceso a las claves.

En conjunto, cada uno de estos productos proporciona capacidades de administración de acceso que te brindan control y contexto para las solicitudes administrativas de acceso a los Datos del Cliente.

Descripción general

La aprobación de acceso garantiza que los equipos de ingeniería y de atención al cliente de Cloud requieran tu aprobación explícita cada vez que necesiten acceder a tus datos del cliente. Cada solicitud de aprobación se firma y verifica de forma criptográfica para garantizar su integridad. Las solicitudes de aprobación de acceso activas se pueden revocar en cualquier momento.

La Aprobación de acceso proporciona una capa de control adicional sobre la transparencia que brindan los registros de Transparencia de acceso. La Transparencia de acceso proporciona registros que capturan las acciones que realiza el personal de Google cuando accede a tus Datos del Cliente. La Aprobación de acceso también proporciona una vista histórica de todas las solicitudes que se aprobaron, descartaron, revocaron o vencieron.

Si quieres administrar directamente el acceso del personal a tus Datos del Cliente, te recomendamos que uses la Aprobación de acceso. Google Para obtener más información sobre por qué el personal de Google podría necesitar acceder a los Datos del Cliente y sobre los principios de acceso privilegiado de Google Cloud, consulta Acceso privilegiado en Google Cloud.

Cómo funciona la Aprobación de acceso

La Aprobación de acceso funciona solicitando a los administradores Google que pidan y reciban la aprobación de un administrador autorizado del cliente antes de acceder a los Datos del Cliente. Los clientes reciben notificaciones sobre las solicitudes de aprobación pendientes a través de un correo electrónico preconfigurado o un mensaje de Pub/Sub.

Con la información del mensaje, la solicitud de aprobación de acceso se puede aprobar o rechazar en la consola de Google Cloud o con la API de aprobación de acceso. El acceso solo se otorga después de que se aprueba la solicitud de aprobación de acceso. La Aprobación de acceso usa una clave criptográfica para firmar la solicitud de acceso, y su firma se usa para verificar la integridad de la solicitud. Puedes usar una clave de firma administrada por Google o tu propia clave de firma.

Cómo funciona la Aprobación de acceso con Assured Workloads

Cuando se usa la Aprobación de acceso con un límite de cumplimiento de Assured Workloads, las garantías de acceso del personal de Assured Workloads se aplican antes de que se evalúe la Aprobación de acceso. La solicitud de acceso de Aprobación de acceso puede contener parámetros que no cumplen con los requisitos (como la ubicación de global); sin embargo, estas condiciones son secundarias en relación con la configuración de la carga de trabajo de Assured Workloads.

Por ejemplo, si al propietario de una carpeta de Protected B de Canadá se le envía una solicitud de aprobación de acceso para la ubicación global, primero se aplican las restricciones de Protected B de Canadá, y a ese personal no se le aplican más restricciones regionales de aprobación de acceso.

Usar una clave de firma administrada por Google es la opción predeterminada. Si quieres usar tu propia clave de firma, puedes crear una con Cloud KMS o importar una clave administrada de forma externa con Cloud EKM. Para obtener más información sobre cómo comenzar a usar una clave de firma personalizada, consulta Configura la Aprobación de acceso con una clave de firma personalizada.

Servicios de Google que admiten la Aprobación de acceso

La Aprobación de acceso te permite seleccionar los Google Cloud servicios en los que deseas inscribirte. La Aprobación de acceso solicita tu consentimiento solo para las solicitudes de acceso a los Datos del Cliente almacenados en los servicios que selecciones.

Tienes las siguientes opciones para inscribir servicios en la Aprobación de acceso:

  • Habilitar automáticamente la Aprobación de acceso para todos los servicios compatibles, independientemente de su etapa de lanzamiento del producto (como la versión preliminar o la disponibilidad general [DG]) Si seleccionas esta opción, también se inscribirán automáticamente todos los servicios que admita la Aprobación de acceso en el futuro. Esta es la opción predeterminada.
  • Habilita la Aprobación de acceso solo para los servicios en la etapa de lanzamiento de DG. Si seleccionas esta opción, también se inscribirán automáticamente todos los servicios de DG que la Aprobación de acceso admita en el futuro.
  • Elige los servicios específicos en los que quieres inscribirte en la Aprobación de acceso.

Consulta Servicios compatibles para obtener una lista completa de los servicios que admite la Aprobación de acceso.

Exclusiones de Aprobación de acceso

Las exclusiones de la Transparencia de acceso también se aplican a la Aprobación de acceso.

Además de estas exclusiones, es posible que la solicitud de aprobación se apruebe automáticamente sin que el cliente realice ninguna acción para abordar las interrupciones urgentes. Estas solicitudes de aprobación de acceso aprobadas automáticamente se registran en un estado auto approved.

La aprobación automática se inhabilita automáticamente para todas las cargas de trabajo implementadas con Límite de datos de la UE con justificaciones de acceso o Controles soberanos de los socios.

Los clientes que deseen asegurarse de que las solicitudes de acceso administrativo solo se puedan procesar cuando las aprobaciones se firmen con una clave administrada por el cliente pueden configurar la Aprobación de acceso con una clave administrada por el cliente y usar Key Access Justifications.

Requisitos para usar la Aprobación de acceso

Puedes habilitar la Aprobación de acceso para un Google Cloud proyecto, una carpeta o una organización. Antes de habilitar la Aprobación de acceso, debes habilitar la Transparencia de acceso para tu organización.

Después de habilitar la Transparencia de acceso, puedes usar la consola Google Cloud para habilitar la Aprobación de acceso. Para obtener información sobre cómo configurar la Aprobación de acceso, consulta las guías de inicio rápido.

Requisitos para una clave de firma personalizada

El uso de la clave de firma predeterminada administrada por Google no requiere ninguna configuración adicional. Para usar tu propia clave de firma, puedes crear una clave de firma asimétrica con Cloud Key Management Service o usar Cloud External Key Manager para alojar una clave de firma administrada de forma externa. Para conocer las limitaciones relacionadas con las claves de firma asimétricas compatibles con Cloud EKM, consulta Restricciones para las claves de firma asimétricas.

Si quieres usar una clave de firma administrada de forma externa, te recomendamos que habilites Cloud EKM. Para obtener más información sobre el uso de Cloud EKM para administrar claves que no se almacenan en Google Cloud, consulta la Descripción general de Cloud EKM.

¿Qué sigue?