为逐出操作配置 Privileged Access Manager

本页介绍了如何设置 Privileged Access Manager 以逐出 LUN 和存储卷。

Privileged Access Manager 可确保对敏感资源（例如永久删除 LUN 和存储卷）的关键操作仅在具有正当理由的情况下执行，并且仅在有限的时间内执行。如需了解详情，请参阅 Privileged Access Manager 概览。

只有项目所有者或 Identity and Access Management (IAM) 管理员才能创建自定义角色、设置 Privileged Access Manager、创建使用权以及批准或拒绝授权请求。

重要提示：我们建议您仅向有权执行逐出操作的主账号授予临时提升的访问权限。请避免向贵组织中的所有人授予访问权限，

因为这可能会导致您的存储卷被意外永久删除。

准备工作

• 创建具有以下权限的自定义 IAM 角色：

  • baremetalsolution.volumes.onDemandEvict
  • baremetalsolution.luns.onDemandEvict

  如需了解如何创建自定义角色，请参阅创建和管理自定义角色。

• 设置 Privileged Access Manager 并授予所需权限。

创建使用权

创建授权，以执行裸金属解决方案逐出操作，并提供以下信息：

• 您在准备工作中为逐出操作创建的自定义角色。
• 公益金的最长持续时间。例如，2 小时。
• 审批要求：建议您设置强制审批人要求，以授权该请求。

请求提升的访问权限

如果您是需要执行逐出操作的用户，可以申请授权，并提供理由，以获得裸金属解决方案逐出操作的授权。

您可以查看授权请求的状态。

批准或拒绝授权

您请求授权后，相应授权中指定的审批者会收到您的授权请求。审批人批准请求后，您的访问权限即会激活。

如果您是审批人，如需了解如何批准公益金，请参阅使用 Google Cloud 控制台批准或拒绝公益金。