Übersicht über die Zugriffsgenehmigung

Mit der Zugriffsgenehmigung ist sichergestellt, dass Cloud Customer Care und das Engineering-Team für den Zugriff auf Ihre Kundeninhalte Ihre ausdrückliche Genehmigung benötigen. Die Genehmigung wird kryptografisch verifiziert, um die Integrität der Zugriffsgenehmigung zu gewährleisten.

Wenn Sie den Zugriff auf Ihre Inhalte durch Google-Mitarbeiter direkt verwalten möchten, empfehlen wir die Verwendung von Access Approval.

Einführung

Access Approval hilft bei der Implementierung des Sicherheitsprinzips der geringsten Berechtigung, das besagt, dass niemand mehr Berechtigungen und Zugriff haben sollte, als er benötigt. Auch nachdem Sie Zugriff gewährt haben, können Google-Mitarbeiter nur die Inhalte aufrufen, die für die Erfüllung einer Verpflichtung zur Bereitstellung eines vertraglich vereinbarten Dienstes absolut notwendig sind. Beispielsweise können Mitarbeiter des Kundensupports nur auf Informationen über Kundenumgebungen zugreifen, die für die Behebung von Kundensupportproblemen unbedingt erforderlich sind.

Weitere Informationen dazu, warum Google-Mitarbeiter möglicherweise auf Kundeninhalte zugreifen müssen, und zu den Prinzipien des privilegierten Zugriffs von Google Cloud finden Sie unter Privilegierter Zugriff in Google Cloud.

Weitere Informationen zu den Grundprinzipien der Administratorzugriffssteuerung in Google Cloud finden Sie unter Übersicht über die Steuerung des Administratorzugriffs.

Access Approval bietet neben der Transparenz, die Access Transparency-Logs bieten, eine weitere Kontrollebene. Access Transparency bietet Logs, in denen die Aktionen von Google-Mitarbeitern beim Zugriff auf Ihre Inhalte erfasst werden. Access Approval bietet auch eine Verlaufsansicht aller Anfragen, die genehmigt, abgelehnt oder abgelaufen sind.

Funktionsweise der Zugriffsgenehmigung

Die Zugriffsgenehmigung sendet Ihnen eine E-Mail oder Pub/Sub-Nachricht mit einer Zugriffsanfrage, die Sie genehmigen können.

Anhand der Informationen in der Nachricht können Sie den Zugriff über die Google Cloud Console oder die Access Approval API genehmigen oder ablehnen. Bei der Zugriffsgenehmigung wird die Zugriffsanfrage mithilfe eines kryptografischen Schlüssels signiert. Diese Signatur wird verwendet, um die Integrität der Zugriffsgenehmigung zu prüfen. Sie können entweder einen von Google verwalteten Signaturschlüssel oder einen eigenen Signaturschlüssel verwenden.

Ein von Google verwalteter Signaturschlüssel ist die Standardoption. Wenn Sie einen eigenen Signaturschlüssel verwenden möchten, können Sie einen mit Cloud KMS erstellen oder einen extern verwalteten Schlüssel mit Cloud EKM nutzen. Weitere Informationen zu den ersten Schritten mit einem benutzerdefinierten Signaturschlüssel finden Sie unter Zugriffsgenehmigung mit einem benutzerdefinierten Signaturschlüssel einrichten.

Google-Dienste, die die Zugriffsgenehmigung unterstützen

Mit Access Approval können Sie die Google Cloud-Dienste auswählen, die Sie für Access Approval registrieren möchten. Die Zugriffsgenehmigung fordert Ihre Einwilligung nur für Zugriffsanfragen auf Inhalte an, die in den von Ihnen ausgewählten Diensten gespeichert sind.

Sie haben die folgenden Möglichkeiten, Dienste für Access Approval zu registrieren:

  • Access Approval automatisch für alle unterstützten Dienste aktivieren, unabhängig von der Supportstufe (Vorabversion oder GA). Wenn Sie diese Option auswählen, werden auch automatisch alle Dienste registriert, die von Access Approval in Zukunft unterstützt werden. Dies ist die Standardoption.
  • Aktivieren Sie Access Approval nur für Dienste mit Support auf GA-Ebene. Wenn Sie diese Option auswählen, werden auch automatisch alle Dienste registriert, die von Access Approval in Zukunft mit Unterstützung auf GA-Ebene unterstützt werden.
  • Wählen Sie die Dienste aus, die Sie für Access Approval registrieren möchten.

Eine vollständige Liste der Dienste, die von Access Approval unterstützt werden, finden Sie unter Unterstützte Dienste.

Ausschlüsse von Zugriffsgenehmigungen

Die folgenden Aktionen von Google lösen keine Anfrage für die Zugriffsgenehmigung aus:

Umfassende Dienstunterbrechungen, die im Notfall eingreifen müssen Access Transparency-Logs werden generiert, wenn Zugriff auf Kundendaten erfolgt.

  • Jede andere Ausnahme, die in den Access Transparency-Ausschlüssen dokumentiert ist. Diese Ausschlüsse von Access Transparency gelten auch für Anfragen für die Zugriffsgenehmigung.

Voraussetzungen für die Verwendung der Zugriffsgenehmigung

Sie können Access Approval für ein Google Cloud-Projekt, einen Ordner oder eine Organisation aktivieren. Bevor Sie die Zugriffsgenehmigung aktivieren können, müssen Sie die Zugriffstransparenz auf derselben Ebene in der Ressourcenhierarchie oder höher aktivieren.

Nachdem Sie Access Transparency aktiviert haben, können Sie die Zugriffsgenehmigung in der Google Cloud Console aktivieren. Informationen zum Einrichten der Zugriffsgenehmigung finden Sie in den Kurzanleitungen.

Anforderungen an einen benutzerdefinierten Signaturschlüssel

Für die Verwendung des von Google verwalteten Standardsignaturschlüssels ist keine zusätzliche Konfiguration erforderlich. Wenn Sie einen eigenen Signaturschlüssel verwenden möchten, können Sie entweder mit dem Cloud Key Management Service einen asymmetrischen Signaturschlüssel erstellen oder Cloud External Key Manager verwenden, um einen extern verwalteten Signaturschlüssel zu hosten. Informationen zu den Einschränkungen für asymmetrische Signaturschlüssel, die von Cloud EKM unterstützt werden, finden Sie unter Einschränkungen für asymmetrische Signaturschlüssel.

Wenn Sie einen extern verwalteten Signaturschlüssel verwenden möchten, empfehlen wir, Cloud EKM zu aktivieren. Weitere Informationen zur Verwendung von Cloud EKM zum Verwalten von Schlüsseln, die nicht in Google Cloud gespeichert sind, finden Sie unter Cloud EKM – Übersicht.

Nächste Schritte