Examiner et approuver les demandes d'accès à l'aide de la clé de signature gérée par Google

Examiner et approuver les demandes d'accès à l'aide de la clé de signature gérée par Google

Ce document vous explique comment configurer Access Approval à l'aide de la consoleGoogle Cloud pour recevoir des notifications par e-mail des demandes d'accès à un projet.

Access Approval garantit qu'une approbation signée de manière cryptographique est présente pour que le personnel Google puisse accéder à votre contenu stocké surGoogle Cloud.

Avant de commencer

• Activez Access Transparency pour votre organisation. Pour en savoir plus, consultez Activer Access Transparency.
• Assurez-vous de disposer du rôle IAM Éditeur pour la configuration des autorisations d'accès (roles/accessapproval.configEditor).

S'enregistrer auprès d'Access Approval

Pour vous inscrire à Access Approval, procédez comme suit :

1. Dans la console Google Cloud , sélectionnez le projet pour lequel vous souhaitez activer l'approbation de l'accès.

   Accéder au sélecteur de projet

2. Accédez à la page Access Approval.

   Accéder à Access Approval

3. Pour vous enregistrer auprès d'Access Approval, cliquez sur S'enregistrer.

   

4. Dans la boîte de dialogue, sélectionnez le mode d'enregistrement pour votre règle, puis cliquez sur Enregistrer.

   

Mode d'enregistrement principal Access Approval

Vous pouvez configurer Access Approval dans l'un des trois modes disponibles et le modifier à tout moment dans les paramètres d'Access Approval. Vous pouvez sélectionner les modes suivants :

1. Transparence (recommandé) : utilisez ce mode pour n'enregistrer que l'accès administratif Google à vos charges de travail, sans interrompre l'assistance Google ni la maintenance proactive de vos charges de travail. Pour en savoir plus, consultez la documentation Access Transparency.
2. Assistance simplifiée : utilisez ce mode pour approuver automatiquement l'accès du service client à vos demandes d'assistance. L'accès à la maintenance proactive et aux réparations nécessite Access Approval.
3. Approbation d'accès : utilisez ce mode pour activer l'ensemble des fonctionnalités d'approbation d'accès pour tous les accès.

Les journaux Access Transparency sont générés automatiquement pour tous les modes Access Approval.

Configurer les paramètres

Sur la page Approbation de l'accès de la console Google Cloud , cliquez surGérer les paramètres.

Sélectionner des services

Les paramètres Access Approval, y compris la liste des produits activés, sont hérités de la ressource parente. Vous pouvez étendre le champ d'application de l'inscription en activant Access Approval pour tous les services compatibles ou pour certains d'entre eux.

Configurer les notifications par e-mail et Pub/Sub

Cette section explique comment recevoir des notifications de demande d'accès pour ce projet.

Accorder à votre compte le rôle IAM requis

Pour afficher et approuver les demandes d'accès, vous devez disposer du rôle IAM Approbateur Access Approval (roles/accessapproval.approver).

Pour vous attribuer ce rôle IAM, procédez comme suit :

1. Accédez à la page IAM dans la console Google Cloud .

   Accéder à IAM

2. Dans l'onglet Afficher par compte principal, cliquez sur Accorder l'accès.
3. Dans le champ Nouveaux comptes principaux du volet de droite, saisissez votre adresse e-mail.
4. Cliquez sur le champ Sélectionner un rôle, puis sélectionnez le rôle Approbateur de l'approbation de l'accès dans le menu.
5. Cliquez sur Enregistrer.

Ajouter votre nom à la liste des approbateurs pour les demandes d'approbation des accès et configurer les notifications

Pour vous ajouter en tant qu'approbateur afin de pouvoir examiner et approuver les demandes d'accès, procédez comme suit :

1. Accédez à la page Access Approval dans la console Google Cloud .

   Accéder à Access Approval

2. Cliquez sur Gérer les paramètres.

3. Pour activer les notifications par e-mail, ajoutez votre adresse e-mail dans le champ Adresse e-mail de l'utilisateur ou du groupe sous Configurer les notifications d'approbation.

4. Pour activer les notifications Pub/Sub, ajoutez votre sujet Pub/Sub dans le champ Sujet Pub/Sub sous Configurer les notifications d'approbation.

Vérifier les paramètres par défaut

Les paramètres par défaut régissent le comportement des demandes Access Approval.

• Préférer les demandes d'approbation spécifiques à des ressources Définit le champ d'application par défaut des demandes Access Approval. Par défaut, ce paramètre est désactivé. Si vous activez ce paramètre, le nombre de demandes Access Approval que vous recevez pour accéder aux mêmes données peut augmenter, ce qui peut retarder l'assistance de l'assistance Google. Exemple :
  • Désactivé : ressource product.googleapis.com/project/12345/
  • Activé : ressource : product.googleapis.com/project/12345/instances/abcde
• Délai d'expiration (en jours) par défaut des demandes d'approbation Définissez le délai d'expiration par défaut des demandes Approval Access. Vous pourrez modifier ce paramètre au moment de l'approbation de chaque demande.
• Champ d'application d'accès maximal préféré Définit le niveau d'accès aux ressources le plus étendu qu'un administrateur Google peut demander. Par exemple, si la valeur est définie sur "Projet", les administrateurs Google demanderont un accès au niveau du projet ou de la ressource.

Sélectionner une clé de signature gérée par Google

Access Approval utilise une clé de signature pour vérifier l'intégrité de la demande Access Approval.

L'option par défaut est la clé de signature gérée par Google. L'utilisation d'unGoogle-owned and managed key ne nécessite aucune configuration supplémentaire.

Examiner les demandes d'approbation

Maintenant que vous vous êtes inscrit à Access Approval et que vous vous êtes ajouté en tant qu'approbateur pour les demandes d'accès, vous recevrez des notifications par e-mail pour les demandes d'accès.

L'image suivante montre un exemple de notification par e-mail envoyée par Access Approval lorsque le personnel Google demande l'accès aux données client.

Pour examiner et approuver une demande d'accès entrante, procédez comme suit :

1. Accédez à la page Access Approval dans la console Google Cloud .

   Accéder à Access Approval

   Pour accéder à cette page, vous pouvez également cliquer sur le lien de l'e-mail qui vous a été envoyé avec la demande d'approbation.

2. Cliquez sur Approuver.

Une fois la demande approuvée, le personnel de Google dont les caractéristiques correspondent à l'approbation (par exemple, même motif de justification, même adresse ou adresse professionnelle) peut accéder à la ressource spécifiée et à ses ressources enfants dans le délai approuvé.

Effectuer un nettoyage

1. Pour vous désinscrire d'Access Approval, procédez comme suit :
   1. Sur la page Approbation de l'accès de la console Google Cloud , cliquez sur Gérer les paramètres.
   2. Cliquez sur Se désinscrire.
   3. Dans la boîte de dialogue qui s'ouvre, cliquez sur Se désinscrire.
2. Pour désactiver Access Transparency pour votre organisation, contactez l'assistance Cloud Customer Care.

Aucune étape supplémentaire n'est requise pour éviter des frais sur votre compte.

Étapes suivantes

• Découvrez l'anatomie d'une demande d'accès.
• Découvrez comment approuver les demandes Access Approval.
• Découvrez comment afficher l'historique des demandes Access Approval.