Présentation d'Access Approval

Access Approval garantit que Cloud Customer Care et les ingénieurs ont besoin de votre approbation explicite chaque fois qu'ils ont besoin d'accéder au contenu de votre client. L'approbation est validée de manière cryptographique pour garantir l'intégrité de l'approbation d'accès.

Si vous souhaitez pouvoir gérer directement l'accès à votre contenu par le personnel de Google, nous vous recommandons d'utiliser Access Approval.

Introduction

Access Approval contribue à mettre en œuvre le principe de sécurité du moindre privilège, qui stipule que personne ne doit disposer de plus d'autorisations et d'accès que nécessaire. Même une fois que vous avez accordé l'accès, le personnel de Google ne peut consulter que le contenu qui est absolument essentiel pour remplir une obligation de fournir un service sous contrat. Par exemple, le personnel d'assistance client en première ligne ne peut accéder qu'aux informations sur les environnements client qui sont absolument essentielles pour déboguer les problèmes liés au service client.

Pour en savoir plus sur les raisons pour lesquelles les employés de Google peuvent avoir besoin d'accéder au contenu des clients et sur les principes d'accès privilégié de Google Cloud, consultez la page Accès privilégié dans Google Cloud.

Pour en savoir plus sur les principes fondamentaux des contrôles des accès administrateur de Google Cloud, consultez la page Présentation des contrôles des accès administrateur.

En plus de la transparence offerte par les journaux Access Transparency, Access Approval offre un niveau de contrôle supplémentaire. Access Transparency fournit des journaux qui capturent les actions effectuées par le personnel de Google lorsqu'il accède à votre contenu. Access Approval fournit également un historique de toutes les demandes approuvées, rejetées ou expirées.

Fonctionnement d'Access Approval

Access Approval vous envoie un e-mail ou un message Pub/Sub contenant une demande d'accès que vous pouvez approuver.

À l'aide des informations contenues dans le message, vous pouvez approuver ou refuser l'accès à l'aide de la console Google Cloud ou de l'API Access Approval. Access Approval signe la demande d'accès à l'aide d'une clé cryptographique. Cette signature permet de vérifier l'intégrité de l'approbation d'accès. Vous pouvez utiliser une clé de signature gérée par Google ou utiliser votre propre clé de signature.

L'option par défaut est Utiliser une clé de signature gérée par Google. Si vous souhaitez utiliser votre propre clé de signature, vous pouvez en créer une à l'aide de Cloud KMS ou utiliser une clé gérée en externe à l'aide de Cloud EKM. Pour découvrir comment utiliser une clé de signature personnalisée, consultez Configurer Access Approval à l'aide d'une clé de signature personnalisée.

Services Google compatibles avec Access Approval

Access Approval vous permet de sélectionner les services Google Cloud que vous souhaitez enregistrer dans Access Approval. La fonctionnalité Access Approval ne vous demande votre consentement que pour les demandes d'accès au contenu stocké dans les services que vous sélectionnez.

Vous disposez des options suivantes pour enregistrer des services dans Access Approval:

  • Activez automatiquement Access Approval pour tous les services compatibles, quel que soit leur niveau de compatibilité (preview ou DG). La sélection de cette option entraîne également l'enregistrement automatique de tous les services compatibles avec Access Approval à l'avenir. Il s'agit de l'option par défaut.
  • Activez Access Approval uniquement pour les services bénéficiant d'une assistance générale. La sélection de cette option entraîne également l'enregistrement automatique de tous les services compatibles à l'avenir avec la compatibilité en DG.
  • Choisissez les services spécifiques que vous souhaitez enregistrer dans Access Approval.

Pour obtenir la liste complète des services compatibles avec Access Approval, consultez la page Services compatibles.

Exclusions d'Access Approval

Les actions suivantes de Google ne déclenchent pas de demande Access Approval:

Interruptions de service à grande échelle nécessitant des interventions d'urgence Les journaux Access Transparency sont générés lors de l'accès aux données client.

  • Toute autre exception documentée dans les exclusions Access Transparency Ces exclusions dans Access Transparency s'appliquent également aux demandes Access Approval.

Conditions requises pour utiliser Access Approval

Vous pouvez activer Access Approval pour un projet, un dossier ou une organisation Google Cloud. Avant d'activer Access Approval, vous devez activer Access Transparency au même niveau dans la hiérarchie des ressources ou à un niveau supérieur.

Après avoir activé Access Transparency, vous pouvez le faire à l'aide de la console Google Cloud. Pour apprendre à configurer Access Approval, consultez les guides de démarrage rapide.

Conditions requises pour une clé de signature personnalisée

L'utilisation de la clé de signature gérée par Google par défaut ne nécessite aucune configuration supplémentaire. Pour utiliser votre propre clé de signature, vous pouvez soit créer une clé de signature asymétrique à l'aide de Cloud Key Management Service, soit utiliser Cloud External Key Manager pour héberger une clé de signature gérée en externe. Pour connaître les limites liées aux clés de signature asymétriques compatibles avec Cloud EKM, consultez la section Restrictions concernant les clés de signature asymétriques.

Si vous souhaitez utiliser une clé de signature gérée en externe, nous vous recommandons d'activer Cloud EKM. Pour en savoir plus sur l'utilisation de Cloud EKM pour gérer les clés qui ne sont pas stockées dans Google Cloud, consultez la page Présentation de Cloud EKM.

Étapes suivantes