Codes de motifs de justification

Cette page fournit la liste des justifications qui peuvent être utilisées pour demander l'accès à vos clés de chiffrement.

Motif Description
CUSTOMER_INITIATED_ACCESS Le client utilise son compte pour accéder à ses propres données, comme l'autorise sa stratégie IAM. Ces accès incluent les opérations exécutées indirectement pour le compte ou en réponse à l'activité des ressources client, comme la journalisation.
MODIFIED_CUSTOMER_INITIATED_ACCESS Le client utilise son compte pour accéder à ses propres données, comme l'autorise sa stratégie IAM. Ces accès incluent les opérations exécutées indirectement pour le compte ou en réponse à l'activité des ressources client, comme la journalisation.

En même temps, l'une des conditions suivantes est remplie :

  • Un administrateur Google a réinitialisé le compte avec accès racine associé à l'organisation de l'utilisateur au cours des sept derniers jours.
  • Une opération d'accès d'urgence initiée par Google a interagi avec une ressource du même projet ou dossier que la ressource actuellement consultée au cours des sept derniers jours.
GOOGLE_INITIATED_SYSTEM_OPERATION Les systèmes Google accèdent aux données client pour optimiser leur structure ou leur qualité en vue d'une utilisation ultérieure par le client. Ces accès peuvent servir à indexer, structurer, précalculer, hacher, segmenter et mettre en cache les données client. Cela inclut également la sauvegarde des données pour des raisons de reprise après sinistre ou d'intégrité des données, ainsi que la détection des erreurs pouvant être corrigées à partir de ces sauvegardes. Certaines opérations, comme les vérifications de l'état des clés, sont initiées par les systèmes Google en réponse directe à l'activité des ressources client, mais peuvent générer une justification GOOGLE_INITIATED_SYSTEM_OPERATION en raison de l'architecture des systèmes concernés. Les accès aux clés avec cette justification sont toujours au service d'une charge de travail client.

Si le client a délégué à Google une opération d'un plan de contrôle géré, telle que la création d'un groupe d'instances géré, toutes les opérations gérées s'affichent en tant qu'opérations système. Les services qui déclenchent des opérations de déchiffrement en aval (tels que le gestionnaire de groupe d'instances géré) n'ont pas accès en clair aux données du client.
MODIFIED_GOOGLE_INITIATED_SYSTEM_OPERATION Les systèmes Google accèdent aux données client pour optimiser leur structure ou leur qualité en vue d'une utilisation ultérieure par le client. Ces accès peuvent servir à indexer, structurer, précalculer, hacher, segmenter et mettre en cache les données client. Cela inclut également la sauvegarde des données pour des raisons de reprise après sinistre ou d'intégrité des données, ainsi que la détection des erreurs pouvant être corrigées à partir de ces sauvegardes. Certaines opérations, comme les vérifications de l'état des clés, sont initiées par les systèmes Google en réponse directe à l'activité des ressources client, mais peuvent générer une justification GOOGLE_INITIATED_SYSTEM_OPERATION en raison de l'architecture des systèmes concernés. Les accès aux clés avec cette justification sont toujours au service d'une charge de travail client.

En même temps, l'une des conditions suivantes est remplie :

  • Un administrateur Google a réinitialisé le compte avec accès racine associé à l'organisation de l'utilisateur au cours des sept derniers jours.
  • Une opération d'accès d'urgence initiée par Google a interagi avec une ressource du même projet ou dossier que la ressource actuellement consultée au cours des sept derniers jours.

Si le client a délégué à Google une opération d'un plan de contrôle géré, telle que la création d'un groupe d'instances géré, toutes les opérations gérées s'affichent en tant qu'opérations système. Les services qui déclenchent des opérations de déchiffrement en aval (tels que le gestionnaire de groupe d'instances géré) n'ont pas accès en clair aux données du client.
REASON_NOT_EXPECTED

Aucune raison n'est attendue pour cette demande de clé, car au moins un service impliqué dans le traitement de la demande présente l'une des caractéristiques suivantes :

  • Le service n'a jamais été intégré à Key Access Justifications.
  • Le service a été partiellement intégré à Key Access Justifications, mais cette intégration est toujours en version preview. Il est possible que certaines parties de ces services ne soient pas entièrement intégrées à Key Access Justifications, ce qui peut empêcher la production de justifications.

Bien qu'une justification REASON_NOT_EXPECTED ait la signification susmentionnée, les services qui n'ont pas encore atteint l'état de disponibilité générale pour leur intégration de Key Access Justifications peuvent également générer d'autres justifications, y compris REASON_UNSPECIFIED. Google n'offre aucune garantie concernant les justifications générées lors de l'utilisation de services qui ne sont pas des justifications d'accès aux clés en disponibilité générale.
CUSTOMER_INITIATED_SUPPORT Le client a initié une demande d'assistance (par exemple, "Numéro de la demande : ####").
GOOGLE_INITIATED_SERVICE

Fait référence à l'accès initié par Google pour la gestion du système et le dépannage. Le personnel Google peut accorder ce type d'accès pour les raisons suivantes :

  • Pour effectuer le débogage technique nécessaire à une demande d'assistance ou à une enquête complexe.
  • Pour résoudre les problèmes techniques, tels qu'un échec de stockage ou une corruption de données.
  • Assistance proactive des équipes Technical Account Management. **Taguée avec le détail du motif "Assistance TAM"**
THIRD_PARTY_DATA_REQUEST Google a initié un accès en réponse à une demande légale ou à un acte de procédure. Cela inclut les actes de procédure à l'initiative d'un client demandant à Google d'accéder à ses données.
GOOGLE_INITIATED_REVIEW Accès initié par Google pour une opération concernant la sécurité, la fraude, les abus ou la mise conformité, telle que :
  • assurer la sûreté et la sécurité des comptes et données client ;
  • vérifier si les données sont touchées par un événement susceptible d'affecter la sécurité du compte (par exemple, les infections par des logiciels malveillants) ;
  • Vérifier si le client utilise les services Google conformément aux conditions d'utilisation de Google
  • enquêter sur les réclamations d'autres utilisateurs et clients, ou sur d'autres signes d'activité abusive ;
  • vérifier que les services Google sont utilisés de manière cohérente avec les régimes de conformité pertinents (par exemple, les réglementations contre le blanchiment d'argent).
GOOGLE_RESPONSE_TO_PRODUCTION_ALERT

Fait référence à un accès initié par Google pour maintenir la fiabilité du système. Le personnel Google peut accorder ce type d'accès pour les raisons suivantes :

  • Enquête pour confirmer qu'une suspicion d'indisponibilité du service n'affecte pas le client.
  • Pour assurer la sauvegarde et la récupération en cas d'indisponibilité et de panne du système.
REASON_UNSPECIFIED

Vous avez activé Key Access Justifications, mais aucune justification n'est disponible pour cette demande. Cela peut être dû à une erreur temporaire, à un bug ou à d'autres circonstances.

En raison des implémentations spécifiques d'affichage de la justification de divers systèmes de journalisation fournis par Google Cloud et certains fournisseurs EKM, la justification REASON_UNSPECIFIED peut être représentée par une chaîne vide. Si un champ de justification est présent dans un journal de requête, mais qu'aucune justification n'est affichée, cela doit être interprété comme une justification REASON_UNSPECIFIED.
CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING

L'une des opérations suivantes est en cours d'exécution et un problème technique interne s'est produit simultanément, ce qui a empêché la génération d'un code de justification plus précis :

  • Votre compte a été utilisé pour accéder à vos propres données, comme l'autorise votre stratégie IAM.
  • Un système Google automatisé fonctionne sur les données client chiffrées que votre stratégie IAM autorise.
  • Accès à l'assistance Google initié par le client.
  • Accès au service d'assistance initié par Google pour protéger la fiabilité du système.

En cas de problème technique interne de ce type, Google s'efforcera immédiatement de le résoudre et de rétablir l'état des systèmes concernés afin que d'autres codes de justification plus précis soient générés.

Pour réduire le risque opérationnel d'une indisponibilité résultant du refus d'une demande avec une justification CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING, Google vous recommande d'autoriser CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING dans vos stratégies de Key Access Justifications.

Une justification CUSTOMER_AUTHORIZED_WORKFLOW_SERVICING peut également être générée lorsqu'une charge de travail utilise un service qui ne prend pas en charge les justifications d'accès aux clés. Cette justification sera générée dans de tels cas tant que le service ne prend pas en charge les justifications d'accès aux clés.
Pas de champ justification Les justifications d'accès aux clés ne sont pas activées pour vous.

Étapes suivantes