Revisar e aprovar solicitações de acesso usando a chave de assinatura gerenciada pelo Google
Este documento mostra como configurar a aprovação de acesso usando o consoleGoogle Cloud para receber notificações por e-mail de solicitações de acesso a um projeto.
A aprovação de acesso garante que uma aprovação assinada criptograficamente esteja presente para que a equipe do Google acesse seu conteúdo armazenado no Google Cloud.
Antes de começar
- Ative a Transparência no acesso para sua organização. Para mais informações, consulte Como ativar a transparência no acesso.
- Verifique se você tem o papel do IAM de Editor de configuração do Access Approval (
roles/accessapproval.configEditor).
Inscrever-se no Access Approval
Para se inscrever na Aprovação de acesso, faça o seguinte:
No console Google Cloud , selecione o projeto em que você quer ativar a aprovação de acesso.
Acesse a página Access Approval.
Para se inscrever no Access Approval, clique em Inscrever-se.
Na caixa de diálogo, selecione o modo de inscrição da política e clique em Inscrever.
Modo principal de inscrição do Access Approval
É possível configurar a aprovação de acesso em um de três modos e mudar o modo a qualquer momento nas configurações de aprovação de acesso. Os seguintes modos podem ser selecionados:
- Transparência (recomendado): use esse modo para registrar apenas o acesso administrativo do Google às suas cargas de trabalho sem interromper o suporte ou a manutenção proativa do Google nelas. Consulte a documentação da transparência no acesso para mais informações.
- Suporte simplificado: use esse modo para aprovar automaticamente o acesso do Customer Care e trabalhar nos seus casos de suporte. A manutenção proativa e o acesso para reparos exigem a aprovação de acesso.
- Aprovação de acesso: use esse modo para ativar a funcionalidade completa da Aprovação de acesso para todos os acessos.
Os registros da Transparência no acesso são gerados automaticamente para todos os modos do Access Approval.
Definir configurações
Na página Aprovação de acesso no Google Cloud console, clique em Gerenciar configurações.
Selecionar serviços
As configurações da Aprovação de acesso, incluindo a lista de produtos ativados, são herdadas do recurso pai. É possível expandir o escopo da inscrição ativando a Aprovação de acesso para todos ou alguns serviços compatíveis.
Configurar notificações por e-mail e do Pub/Sub
Esta seção explica como receber notificações de solicitação de acesso para este projeto.
Conceder a si mesmo o papel do IAM necessário
Para visualizar e aprovar solicitações de acesso, você precisa ter o papel do IAM de aprovador da aprovação de acesso
(roles/accessapproval.approver).
Para conceder esse papel do IAM a você mesmo, faça o seguinte:
- Acesse a página IAM no console Google Cloud .
- Na guia Visualizar por principais, clique em Permitir acesso.
- No campo Novos participantes, no painel à direita, digite seu endereço de e-mail.
- Clique no campo Selecionar um papel e escolha a função Aprovador da aprovação de acesso no menu.
- Clique em Salvar.
Adicionar seu nome como aprovador de solicitações de aprovação de acesso e configurar notificações
Para se adicionar como aprovador e poder analisar e aprovar solicitações de acesso, faça o seguinte:
Acesse a página Access Approval no console do Google Cloud .
Clique em Gerenciar configurações.
Para ativar as notificações por e-mail, adicione seu endereço de e-mail no campo E-mail do usuário ou grupo em Configurar notificações de aprovação.
Para ativar as notificações do Pub/Sub, adicione seu tópico do Pub/Sub no campo Tópico do Pub/Sub em Configurar notificações de aprovação.
Revisar as configurações padrão
As configurações padrão regem o comportamento das solicitações de aprovação de acesso.
- Preferir solicitações de aprovação específicas de recursos
Define o escopo padrão das solicitações de aprovação de acesso. Por padrão, essa configuração fica desativada. Se você ativar essa configuração, o número de solicitações de aprovação de acesso que você recebe para acessar os mesmos dados poderá aumentar, o que pode atrasar a assistência do suporte do Google.
Exemplo:
- Desativado: recurso: product.googleapis.com/project/12345/
- Ativado: recurso: product.googleapis.com/project/12345/instances/abcde
- Quantidade padrão de dias até a solicitação de aprovação expirar Defina a expiração padrão para solicitações de aprovação de acesso. Isso pode ser mudado no momento da aprovação de cada solicitação.
- Escopo de acesso máximo preferível Define o maior escopo de acesso a recursos recomendado para um administrador do Google solicitar. Por exemplo, quando definido como "Projeto", os administradores do Google solicitam acesso no nível do projeto ou do recurso.
Selecionar uma chave de assinatura gerenciada pelo Google
O Access Approval usa uma chave de assinatura para verificar a integridade da solicitação.
A chave de assinatura gerenciada pelo Google é a opção padrão. Usar um Google-owned and managed key não exige nenhuma configuração adicional.
Analisar solicitações de aprovação
Agora que você se inscreveu na Aprovação de acesso e se adicionou como aprovador de solicitações de acesso, vai receber notificações por e-mail sobre essas solicitações.
A imagem a seguir mostra um exemplo de notificação por e-mail que o Access Approval envia quando a equipe do Google solicita acesso aos dados do cliente.
Para revisar e aprovar uma solicitação de acesso recebida, faça o seguinte:
Acesse a página Access Approval no console do Google Cloud .
Para acessar esta página, clique no link no e-mail enviado a você com a solicitação de aprovação.
Clique em Aprovar.
Depois que você aprovar a solicitação, a equipe do Google com características que correspondem à aprovação, como mesma justificativa, local ou local do espaço de trabalho, poderá acessar o recurso especificado e os recursos filhos dele dentro do período aprovado.
Limpar
-
Para cancelar a inscrição da Aprovação de acesso, faça o seguinte:
- Na página Aprovação de acesso no console do Google Cloud , clique em Gerenciar configurações.
- Clique em Cancelar inscrição.
- Na caixa de diálogo exibida, clique em Cancelar inscrição.
- Para desativar a transparência no acesso na sua organização, entre em contato com o Cloud Customer Care.
Não são necessárias etapas adicionais para evitar cobranças na sua conta.
A seguir
- Saiba mais sobre a anatomia de uma solicitação de acesso.
- Saiba como aprovar solicitações do Access Approval.
- Saiba como acessar o histórico de solicitações do Access Approval.