Présentation d'Access Approval

Cette page présente Access Approval. Access Approval fait partie de l'engagement à long terme de Google en faveur de la transparence, de la confiance des utilisateurs et de la propriété des données par les clients. Access Transparency vous aide à découvrir quand le personnel Google accède aux données client, et l'approbation des accès vous permet d'autoriser ces demandes d'accès. De plus, il offre des niveaux de contrôle plus précis sur le moment où Google peut accéder aux données client. Pour les clients qui utilisent des approbations d'accès signées avec une clé de chiffrement gérée par le client (CMEK), Google offre également aux utilisateurs une visibilité et un contrôle sur les demandes d'accès aux clés via les justifications d'accès aux clés.

Ensemble, chacun de ces produits fournit des fonctionnalités de gestion des accès qui vous permettent de contrôler et de contextualiser les requêtes administratives d'accès aux données client.

Présentation

Access Approval vous garantit que Cloud Customer Care et les équipes d'ingénierie ne puissent accéder à vos données client qu'avec votre approbation explicite. Chaque demande d'approbation est signée et validée de manière cryptographique pour en garantir l'intégrité. Les demandes d'approbation d'accès actives peuvent être révoquées à tout moment.

Access Approval fournit une couche supplémentaire de contrôle en plus de la transparence assurée par les journaux Access Transparency. Access Transparency fournit des journaux qui capturent les actions réalisées par le personnel de Google lors de l'accès à vos données client. L'approbation des accès fournit également un historique de toutes les demandes approuvées, ignorées, révoquées ou expirées.

Si vous souhaitez gérer directement l'accès du personnel Google à vos données client, nous vous recommandons d'utiliser Access Approval. Pour en savoir plus sur les raisons pour lesquelles le personnel Google peut avoir besoin d'accéder aux données client et sur les principes d'accès privilégiés de Google Cloud, consultez la page Accès privilégié dans Google Cloud.

Fonctionnement d'Access Approval

Access Approval oblige les administrateurs Google à demander et à recevoir l'approbation d'un administrateur client autorisé avant d'accéder aux données client. Les clients sont informés d'une demande d'approbation en attente à l'aide d'un e-mail préconfiguré ou d'un message Pub/Sub.

À l'aide des informations contenues dans le message, la requête d'approbation d'accès peut être approuvée ou refusée dans la console Google Cloud ou à l'aide de l'API Access Approval. L'accès n'est accordé qu'une fois la demande d'approbation d'accès approuvée. L'approbation d'accès utilise une clé cryptographique pour signer la requête d'accès. Sa signature permet de vérifier l'intégrité de la requête. Vous pouvez utiliser une clé de signature gérée par Google ou apporter votre propre clé de signature.

Fonctionnement d'Access Approval avec Assured Workloads

Lorsque vous utilisez l'approbation d'accès avec une limite de conformité Assured Workloads, les assurances d'accès du personnel Assured Workloads s'appliquent avant que l'approbation d'accès ne soit évaluée. La requête d'approbation d'accès peut contenir des paramètres non conformes (tels que l'emplacement global). Toutefois, ces conditions sont secondaires par rapport à la configuration de la charge de travail Assured Workloads.

Par exemple, si une demande d'approbation d'accès est envoyée à un propriétaire de dossier Protégé B au Canada pour l'emplacement global, les restrictions Protégé B au Canada sont d'abord appliquées à cette demande. Aucune autre restriction régionale d'approbation d'accès ne s'applique à ces membres du personnel.

L'option Utiliser une clé de signature gérée par Google est sélectionnée par défaut. Si vous souhaitez utiliser votre propre clé de signature, vous pouvez en créer une à l'aide de Cloud KMS ou importer une clé gérée en externe à l'aide de Cloud EKM. Pour en savoir plus sur la prise en main d'une clé de signature personnalisée, consultez la section Configurer l'approbation d'accès à l'aide d'une clé de signature personnalisée.

Services Google compatibles avec Access Approval

Access Approval vous permet de sélectionner les services Google Cloud que vous souhaitez enregistrer dans Access Approval. Access Approval ne demande votre autorisation que pour les demandes d'accès aux données client stockées dans les services que vous sélectionnez.

Vous disposez des options suivantes pour enregistrer des services dans Access Approval:

  • Activez automatiquement Access Approval pour tous les services compatibles, quelle que soit leur phase de lancement (par exemple, Preview ou Disponibilité générale (DG)). Si vous sélectionnez cette option, tous les services compatibles avec Access Approval seront automatiquement enregistrés à l'avenir. Il s'agit de l'option par défaut.
  • Activer Access Approval uniquement pour les services en phase de lancement de la disponibilité générale Lorsque vous sélectionnez cette option, tous les services GA compatibles avec Access Approval sont automatiquement enregistrés à l'avenir.
  • Sélectionnez les services spécifiques que vous souhaitez enregistrer dans Access Approval.

Pour obtenir la liste complète des services compatibles avec Access Approval, consultez la section Services compatibles.

Exclusions d'Access Approval

Les exclusions d'Access Transparency s'appliquent également à Access Approval.

En plus de ces exclusions, la demande d'approbation peut être approuvée automatiquement sans action de la part du client pour résoudre les pannes urgentes. Ces demandes d'autorisation d'accès approuvées automatiquement sont consignées dans un état auto approved.

L'approbation automatique est automatiquement désactivée pour toutes les charges de travail déployées avec les contrôles souverains des charges de travail assurées ou les contrôles souverains fournis par les partenaires.

Les clients qui souhaitent s'assurer que les demandes d'accès administrateur ne peuvent être traitées que lorsque les approbations sont signées avec une clé gérée par le client peuvent configurer Access Approval avec une clé gérée par le client et utiliser Key Access Justifications.

Conditions requises pour utiliser Access Approval

Vous pouvez activer l'approbation des accès pour un projet Google Cloud, un dossier ou une organisation. Avant d'activer Access Approval, vous devez activer Access Transparency pour votre organisation.

Après avoir activé Access Transparency, vous pouvez utiliser la console Google Cloud pour activer Access Approval. Pour savoir comment configurer Access Approval, consultez les guides de démarrage rapide.

Conditions requises pour une clé de signature personnalisée

L'utilisation de la clé de signature gérée par Google par défaut ne nécessite aucune configuration supplémentaire. Pour utiliser votre propre clé de signature, vous pouvez créer une clé de signature asymétrique à l'aide de Cloud Key Management Service ou utiliser Cloud External Key Manager pour héberger une clé de signature gérée en externe. Pour connaître les limites liées aux clés de signature asymétriques compatibles avec Cloud EKM, consultez la section Restrictions concernant les clés de signature asymétriques.

Si vous souhaitez utiliser une clé de signature gérée en externe, nous vous recommandons d'activer Cloud EKM. Pour en savoir plus sur l'utilisation de Cloud EKM pour gérer les clés qui ne sont pas stockées dans Google Cloud, consultez la page Présentation de Cloud EKM.

Étape suivante