Visão geral do Access Approval

Esta página oferece uma visão geral do Access Approval. O Access Approval faz parte do Google's compromisso de longo prazo com a transparência, a confiança do usuário e a propriedade dos dados do cliente. A Transparência no acesso ajuda você a descobrir informações sobre quando a equipe do Google acessa Google os dados do cliente, e o Access Approval permite autorizar essas solicitações de acesso. Além disso, ele oferece níveis aprimorados de controle granular sobre quando o Google Google pode acessar os dados do cliente. Para clientes que usam aprovações de acesso assinadas com uma chave de criptografia gerenciada pelo cliente (CMEK), Google o Google também oferece aos usuários visibilidade e controle das solicitações de acesso à chave por meio das Justificativas de acesso à chave.

Juntos, cada um desses produtos oferece recursos de gerenciamento de acesso que dão controle e contexto para solicitações administrativas de acesso aos dados do cliente.

Visão geral

O Access Approval garante que o Atendimento ao cliente e as equipes de engenharia do Cloud exijam sua aprovação explícita sempre que precisarem acessar os dados do cliente. Cada solicitação de aprovação é assinada e verificada criptograficamente para garantir a integridade. As solicitações de aprovação de acesso ativas podem ser revogadas a qualquer momento.

O Access Approval fornece uma camada adicional de controle sobre a transparência fornecida pelos registros da Transparência no acesso. A Transparência no acesso fornece registros que capturam as ações que a equipe do Google realiza ao acessar os dados do cliente . Google O Access Approval também oferece uma visualização histórica de todas as solicitações aprovadas, descartadas, revogadas ou expiradas.

Se você quiser gerenciar diretamente o acesso da equipe do Google aos dados do cliente, recomendamos o uso do Access Approval. Google Para mais informações sobre por que a equipe do Google pode precisar acessar os dados do cliente e sobre os princípios de acesso privilegiado do Google Google Cloud, consulte Acesso privilegiado no Google Google Cloud. Google

Como o Access Approval funciona

O Access Approval exige que os administradores do Google solicitem e recebam uma aprovação de um administrador autorizado do cliente antes de acessar os dados do cliente. Google Os clientes são notificados de uma solicitação de aprovação pendente usando um e-mail pré-configurado ou uma mensagem do Pub/Sub.

Usando as informações na mensagem, a solicitação do Access Approval pode ser aprovada ou negada no Google Cloud console ou usando a API Access Approval. O acesso só é concedido depois que a solicitação do Access Approval é aprovada. O Access Approval usa uma chave criptográfica para assinar a solicitação de acesso, e a assinatura é usada para verificar a integridade da solicitação. Você pode usar uma chave de assinatura gerenciada pelo Google ou trazer sua própria chave.

Como o Access Approval funciona com o Assured Workloads

Ao usar o Access Approval com um limite de conformidade do Assured Workloads, as garantias de acesso da equipe do Assured Workloads são aplicadas antes que o Access Approval seja avaliado. A solicitação de acesso do Access Approval pode conter parâmetros não compatíveis (como o local global), mas essas condições são secundárias à configuração da carga de trabalho do Assured Workloads.

Por exemplo, se o proprietário de uma pasta do Canadá Protegido B receber uma solicitação do Access Approval para o local global, essa solicitação será aplicada primeiro às restrições do Canadá Protegido B, e essas pessoas não receberão outras restrições regionais do Access Approval.

O uso de uma chave de assinatura gerenciada pelo Google é a opção padrão. Se você quiser usar sua própria chave de assinatura, crie uma usando o Cloud KMS ou traga uma chave gerenciada externamente usando o Cloud EKM. Para mais informações sobre como começar a usar uma chave de assinatura personalizada, consulte Configurar o Access Approval usando uma chave de assinatura personalizada.

Serviços do Google que oferecem suporte ao Access Approval

O Access Approval permite selecionar os Google Cloud serviços em que você quer se inscrever. O Access Approval solicita seu consentimento apenas para solicitações de acesso aos dados do cliente armazenados nos serviços selecionados.

Você tem as seguintes opções para inscrever serviços no Access Approval:

  • Ativar automaticamente o Access Approval para todos os serviços com suporte, independentemente do estágio de lançamento do produto (como visualização ou disponibilidade geral). Selecionar essa opção também inscreve automaticamente todos os serviços que o Access Approval oferece suporte no futuro. Essa é a opção padrão.
  • Ativar o Access Approval apenas para serviços no estágio de lançamento de disponibilidade geral. Selecionar essa opção também inscreve automaticamente todos os serviços de disponibilidade geral que o Access Approval oferece suporte no futuro.
  • Escolha os serviços específicos em que você quer se inscrever no Access Approval.

Consulte Serviços com suporte para uma lista completa de serviços que o Access Approval oferece suporte.

Exclusões do Access Approval

As exclusões da Transparência no acesso também são aplicáveis ao Access Approval.

Além dessas exclusões, a solicitação de aprovação pode ser aprovada automaticamente sem a ação do cliente para resolver interrupções sensíveis ao tempo. Essas solicitações de aprovação automática do Access Approval são registradas em um estado auto approved.

A aprovação automática é desativada para todas as cargas de trabalho implantadas com o limite de dados da UE com justificativas de acesso ou controles soberanos por parceiros.

Os clientes que querem garantir que as solicitações de acesso administrativo só possam ser processadas quando as aprovações forem assinadas com uma chave gerenciada pelo cliente podem configurar o Access Approval com uma chave gerenciada pelo cliente e usar as Justificativas de acesso às chaves.

Requisitos para usar o Access Approval

É possível ativar o Access Approval para um Google Cloud projeto, pasta ou organização. Antes de ativar o Access Approval, você precisa ativar a Transparência no acesso para sua organização.

Depois de ativar a Transparência no acesso, você pode usar o Google Cloud console para ativar o Access Approval. Para saber como configurar o Access Approval, consulte os guias de início rápido.

Requisitos para uma chave de assinatura personalizada

O uso da chave de assinatura padrão gerenciada pelo Google não exige nenhuma configuração adicional. Para usar sua própria chave de assinatura, crie uma chave de assinatura assimétrica usando Cloud Key Management Service ou use Cloud External Key Manager para hospedar uma chave de assinatura gerenciada externamente. Para as limitações relacionadas às chaves de assinatura assimétricas com suporte do Cloud EKM, consulte Restrições para chaves de assinatura assimétricas.

Se você quiser usar uma chave de assinatura gerenciada externamente, recomendamos que ative o Cloud EKM. Para mais informações sobre como usar o Cloud EKM para gerenciar chaves que não estão armazenadas no Google Cloud Google Cloud, consulte Visão geral do Cloud EKM.

A seguir