La Google Cloud consola, la Google Cloud CLI y la API de REST muestran mensajes de error cuando un usuario intenta acceder a un recurso al que no tiene permiso para acceder. Cuando un usuario encuentra un error de permiso, puede solicitar acceso al recurso. Esto crea un correo electrónico que el usuario puede copiar y enviar a un administrador o uno que se envía automáticamente al contacto esencial técnico de tu organización.
Cuando el administrador hace clic en el vínculo del correo electrónico generado, se lo dirige a la Google Cloud consola, donde puede rechazar la solicitud o continuar con la corrección.
Si elige continuar con la corrección, la Google Cloud consola muestra un resumen de la corrección de la política. Los administradores también pueden acceder al resumen de corrección de la política haciendo clic en Ver detalles de solución de problemas en un mensaje de error de permiso y, luego, en Solucionador de problemas de políticas, o bien yendo a la página Solucionador de problemas de políticas y, luego, ingresando un ID de error.
En la página de resumen de corrección, se describen los detalles de la solicitud, incluida la principal solicitante, el recurso y los permisos que solicita la principal.
En la sección Estado de acceso actual, se resumen los resultados de cada tipo de política (específicamente, las políticas de permisos, las políticas de denegación y las políticas de límite de acceso de las principales) y se indica el resultado general. El resultado indica si la principal puede acceder al recurso, según las políticas pertinentes.
Para obtener más información sobre las políticas que bloquean el acceso del usuario, haz clic en Solución de problemas avanzada.
Haz clic en Corregir para ver las opciones para corregir los problemas de acceso de ese usuario. Para conocer las diferentes formas en que puedes resolver los errores de permisos causados por cada uno de los diferentes tipos de políticas con la Google Cloud consola, consulta lo siguiente:
- Corrige los errores de permisos de la política de permisos
- Corrige los errores de permisos de la política de denegación
- Corrige los errores de permisos de límite de acceso de la entidad
Corrige la política de permisos
En la página Corregir la política de permisos , se muestran los permisos que le faltan al usuario. Para resolver el acceso bloqueado por una política de permisos, puedes otorgar acceso a ese usuario o crear un derecho de Privileged Access Manager para el usuario. Después de crear el derecho, el usuario puede solicitarlo para acceder al recurso.
Para otorgar acceso al usuario, haz lo siguiente:
- Selecciona Otorgar rol.
- Haz clic en Continuar.
- Selecciona un rol aplicable para ver los detalles sobre ese rol.
- Haz clic en Otorgar acceso.
Para crear un nuevo derecho de Privileged Access Manager, haz lo siguiente:
- Selecciona Otorgar acceso temporal.
- Haz clic en el rol aplicable para otorgar y ver los detalles sobre ese rol.
Haz clic en Crear derecho.
En el panel Crear un derecho nuevo, ingresa los detalles del derecho:
- Ingresa un nombre para el derecho nuevo.
- Selecciona la duración máxima del subsidio.
- Haz clic en Siguiente.
- De manera opcional, agrega más solicitantes para este derecho.
- Haz clic en Siguiente.
- Agrega al menos una principal para aprobar las solicitudes de derechos o selecciona Activar el acceso sin aprobaciones.
- Haz clic en Siguiente.
- De manera opcional, ingresa las direcciones de correo electrónico de los administradores que deseas notificar.
- Haz clic en Listo y, luego, en Crear derecho.
Para obtener más información sobre Privileged Access Manager, consulta Crea derechos en el Privileged Access Manager.
Si no hay un rol que contenga todos los permisos que requiere el usuario, no se sugieren roles ni derechos.
Para conocer métodos alternativos para corregir el acceso del usuario, consulta Resuelve los errores de permisos de la política de permisos.
Corrige la política de denegación
Las políticas de denegación se adjuntan a una Google Cloud organización, carpeta o proyecto. Una política de denegación contiene reglas de denegación, que identifican las principales y enumeran los permisos que las principales no pueden usar.
En la página Corregir la política de denegación , se muestra la política de denegación que impide que el usuario use el permiso y se sugieren varios métodos para corregir el acceso del usuario.
Los métodos sugeridos para corregir las solicitudes de acceso relacionadas con las políticas de denegación incluyen los siguientes:
Exime al usuario de la política de denegación.
Quita el permiso de la política de denegación.
Crea una etiqueta para excluir el recurso de la política de denegación.
Corrige el límite de acceso de la entidad
De forma predeterminada, las principales son aptas para acceder a cualquier Google Cloud recurso. Sin embargo, si están sujetas a alguna política de límite de acceso de las principales, solo son aptas para acceder a los recursos que se enumeran en las políticas de límite de acceso de las principales a las que están sujetas. En estos casos, una política de límite de acceso de las principales puede impedir que una principal acceda a un recurso.
En la página Corregir el límite de acceso de la entidad , se muestra la política de límite de acceso de las principales que impide que el usuario acceda al recurso y se sugieren varios métodos para corregir el acceso del usuario.
Los métodos sugeridos para corregir las solicitudes de acceso relacionadas con las políticas de límite de acceso de las principales incluyen los siguientes:
Agrega el recurso a una política de límite de acceso de las principales existente asociada a un conjunto más amplio de identidades.
No recomendado: Exime a la identidad de la aplicación del límite de acceso de la entidad.
¿Qué sigue?
- Usa la referencia de permisos o la referencia de funciones predefinidas para determinar qué función otorgar a un usuario que no tiene permisos.
- Lee sobre las otras Policy Intelligence herramientas, que te ayudan a comprender y administrar tus políticas para mejorar de forma proactiva la configuración de seguridad.