Reveja e aprove pedidos de acesso através da chave de assinatura gerida pela Google
Este documento mostra como configurar a aprovação de acesso através da consola do Google Cloud para receber notificações por email de pedidos de acesso a um projeto.Google Cloud
A aprovação de acesso garante que existe uma aprovação assinada criptograficamente para o pessoal da Google aceder ao seu conteúdo armazenado noGoogle Cloud.
Antes de começar
- Ative a transparência de acesso para a sua organização. Para mais informações, consulte o artigo Ativar a Transparência de acesso.
- Certifique-se de que tem a função de IAM
Editor de configuração da aprovação de acesso
(
roles/accessapproval.configEditor).
Inscreva-se na aprovação de acesso
Para se inscrever na aprovação de acesso, faça o seguinte:
Na Google Cloud consola, selecione o projeto para o qual quer ativar a aprovação de acesso.
Aceda à página Aprovação de acesso.
Para se inscrever na aprovação de acesso, clique em Inscrever-se.
Na caixa de diálogo, selecione o modo de inscrição para a sua política e clique em Inscrever.
Modo de inscrição principal da aprovação de acesso
Pode configurar a Aprovação de acesso num de três modos e alterar o modo em qualquer altura nas definições da Aprovação de acesso. Pode selecionar os seguintes modos:
- Transparência (recomendado): use este modo para registar apenas o acesso administrativo da Google nas suas cargas de trabalho sem interromper o apoio técnico da Google nem a manutenção proativa nas suas cargas de trabalho. Consulte os documentos de transparência de acesso para mais informações.
- Apoio técnico simplificado: use este modo para aprovar automaticamente o acesso do serviço de apoio ao cliente para trabalhar nos seus registos de apoio técnico. O acesso proativo de manutenção e reparação requer a aprovação de acesso.
- Aprovação de acesso: use este modo para ativar a funcionalidade completa de aprovação de acesso para todos os acessos.
Os registos da Transparência de acesso são gerados automaticamente para todos os modos de aprovação de acesso.
Configure as definições
Na página Aprovação de acesso na consola Google Cloud , clique em Gerir definições.
Selecione os serviços
As definições de aprovação de acesso, incluindo a lista de produtos ativados, são herdadas do recurso principal. Pode expandir o âmbito da inscrição ativando a aprovação de acesso para todos ou alguns serviços adicionais serviços suportados.
Configure notificações por email e do Pub/Sub
Esta secção explica como pode receber notificações de pedidos de acesso para este projeto.
Conceda a si mesmo a função de IAM necessária
Para ver e aprovar pedidos de acesso, tem de ter a função de IAM aprovador da aprovação de acesso
(roles/accessapproval.approver).
Para conceder esta função do IAM a si próprio, faça o seguinte:
- Aceda à página IAM na Google Cloud consola.
- No separador Vista por responsáveis, clique em Conceder acesso.
- No campo Novos membros no painel do lado direito, introduza o seu endereço de email.
- Clique no campo Selecionar uma função e selecione a função Aprovador da aprovação de acesso no menu.
- Clique em Guardar.
Adicione-se como aprovador de pedidos de aprovação de acesso e configure as notificações
Para se adicionar como aprovador para poder rever e aprovar pedidos de acesso, faça o seguinte:
Aceda à página Aprovação de acesso na Google Cloud consola.
Clique em Gerir definições.
Para ativar as notificações por email, adicione o seu endereço de email no campo Email do utilizador ou do grupo em Configurar notificações de aprovação.
Para ativar as notificações do Pub/Sub, adicione o seu tópico do Pub/Sub no campo Tópico do Pub/Sub em Configurar notificações de aprovação.
Reveja as predefinições
As predefinições regem o comportamento dos pedidos de aprovação de acesso.
- Preferir pedidos de aprovação específicos de recursos
Define o âmbito predefinido dos pedidos de aprovação de acesso. Por predefinição, esta definição está desativada. Se ativar esta definição, o número de pedidos de aprovação de acesso que recebe para aceder aos mesmos dados pode aumentar, o que pode atrasar a assistência do apoio técnico da Google.
Exemplo:
- Desativado: recurso: product.googleapis.com/project/12345/
- Ativada: recurso: product.googleapis.com/project/12345/instances/abcde
- Dias de validade predefinidos do pedido de aprovação Defina a validade predefinida para pedidos de aprovação de acesso. Pode alterar esta opção no momento da aprovação de cada pedido.
- Âmbito de acesso máximo preferencial Define o âmbito de acesso aos recursos recomendado mais amplo que um administrador da Google pode pedir. Por exemplo, quando definido como Projeto, os administradores da Google pedem acesso ao nível do projeto ou do recurso.
Selecione uma chave de assinatura gerida pela Google
A aprovação de acesso usa uma chave de assinatura para validar a integridade do pedido de aprovação de acesso.
A chave de assinatura gerida pela Google é a opção predefinida. A utilização de um Google-owned and managed key não requer nenhuma configuração adicional.
Reveja pedidos de aprovação
Agora que se inscreveu na aprovação de acesso e se adicionou como aprovador de pedidos de acesso, vai receber notificações por email para pedidos de acesso.
A imagem seguinte mostra um exemplo de notificação por email que a Aprovação de acesso envia quando o pessoal da Google pede acesso aos Dados do Cliente.
Para rever e aprovar um pedido de acesso recebido, faça o seguinte:
Aceda à página Aprovação de acesso na Google Cloud consola.
Para aceder a esta página, também pode clicar no link no email que lhe foi enviado com o pedido de aprovação.
Clique em Aprovar.
Depois de aprovar o pedido, o pessoal da Google com características correspondentes à aprovação, como a mesma justificação, localização ou localização da mesa, pode aceder ao recurso especificado e aos respetivos recursos subordinados dentro do período aprovado.
Limpar
-
Para anular a inscrição na aprovação de acesso, faça o seguinte:
- Na página Aprovação de acesso na consola Google Cloud , clique em Gerir definições.
- Clique em Anular inscrição.
- Na caixa de diálogo apresentada, clique em Desinscrever.
- Para desativar a Transparência de acesso para a sua organização, contacte o apoio técnico ao cliente do Google Cloud.
Não são necessários passos adicionais para evitar incorrer em encargos na sua conta.
O que se segue?
- Saiba mais sobre a anatomia de um pedido de acesso.
- Saiba como aprovar pedidos de aprovação de acesso.
- Saiba como ver pedidos de aprovação de acesso anteriores.