Esaminare e approvare le richieste di accesso utilizzando una chiave di firma personalizzata

Esaminare e approvare le richieste di accesso utilizzando una chiave di firma personalizzata

Questo documento mostra come configurare Access Approval utilizzando il Console Google Cloud e una chiave di firma personalizzata per ricevere notifiche via email di accesso alle richieste di accesso su un progetto.

L'approvazione accesso garantisce che sia presente un'approvazione firmata in modo crittografico per consentire al personale di Google di accedere ai tuoi contenuti archiviati su Google Cloud.

Access Approval ti consente di utilizzare la tua chiave crittografica per firmare la richiesta di accesso. Puoi creare una chiave utilizzando Cloud Key Management Service o importare una chiave gestita esternamente utilizzando Cloud External Key Manager.

Prima di iniziare

• Attiva Access Transparency per la tua organizzazione. Per ulteriori informazioni, consulta Abilitare Access Transparency.
• Assicurati di disporre del ruolo IAM Editor configurazione di approvazione dell'accesso (roles/accessapproval.configEditor).

Registrati ad Access Approval

Per registrarti ad Access Approval, segui questi passaggi:

1. Nella console Google Cloud, seleziona il progetto per cui vuoi attivare l'approvazione dell'accesso.

   Vai al selettore dei progetti

2. Vai alla pagina Access Approval (Approvazione accesso).

   Vai ad Access Approval

3. Per registrarti ad Access Approval, fai clic su Registrati.

   

4. Nella finestra di dialogo che si apre, fai clic su Registrati.

   

Configura le impostazioni

Nella pagina Access Approval della console Google Cloud, fai clic su Gestisci le impostazioni.

Seleziona i servizi

Per impostazione predefinita, i servizi che richiedono Access Approval vengono ereditati dalla risorsa principale del progetto. Puoi ampliare l'ambito della registrazione per: selezionando l'opzione per abilitare automaticamente Access Approval per tutti i servizi supportati.

Imposta le notifiche email

Questa sezione spiega come ricevere notifiche relative alle richieste di accesso per questo progetto.

Concedi il ruolo IAM richiesto

Per visualizzare e approvare le richieste di accesso, devi disporre dell'approvatore Access Approval (roles/accessapproval.approver) Ruolo IAM.

Per concedere a te stesso questo ruolo IAM, segui questi passaggi:

1. Vai alla pagina IAM nella console Google Cloud.

   Vai a IAM

2. Nella scheda Visualizza per entità, fai clic su Concedi l'accesso.
3. Nel campo Nuove entità nel riquadro di destra, inserisci il tuo indirizzo email .
4. Fai clic sul campo Seleziona un ruolo e scegli Approvatore Access Approval dal menu.
5. Fai clic su Salva.

Aggiungiti come approvatore delle richieste di Access Approval

Per aggiungerti come approvatore in modo da poter esaminare e approvare le richieste di accesso:

1. Vai alla pagina Access Approval nella console Google Cloud.

   Vai ad Access Approval

2. Fai clic su Gestisci impostazioni.

3. In Configura notifiche di approvazione, aggiungi il tuo indirizzo email nel campo Indirizzo email utente o gruppo.

4. Per salvare le impostazioni di notifica, fai clic su Salva.

Utilizza una chiave di firma personalizzata

L'approvazione dell'accesso utilizza una chiave di firma per verificare l'integrità dell'approvazione dell'accesso.

Se hai abilitato Cloud EKM, puoi scegliere una chiave di firma gestita esternamente. Per informazioni sull'utilizzo di vedi la panoramica di Cloud EKM.

Puoi anche scegliere di creare una chiave di firma Cloud KMS con un algoritmo a tua scelta. Per ulteriori informazioni, vedi Creazione di chiavi asimmetriche.

Per usare una chiave di firma personalizzata, segui le istruzioni in questa sezione.

Recuperare l'indirizzo email dell'account di servizio

L'indirizzo email dell'account di servizio ha il seguente formato:

  [e-mail]

Sostituisci PROJECT_NUMBER con il numero del progetto.

Ad esempio, l'indirizzo email è [e-mail] per un account di servizio in un progetto il cui numero è 123456789.

Per utilizzare la chiave di firma:

1. Nella pagina Access Approval della console Google Cloud, seleziona Usa una chiave di firma Cloud KMS (avanzata).

2. Aggiungi l'ID risorsa della versione della chiave di crittografia.

   L'ID risorsa della versione della chiave di crittografia deve avere il seguente formato:

   projects/PROJECT_ID/locations/LOCATION/keyRings/KEYRING_ID/cryptoKeys/CRYPTOKEY_ID/cryptoKeyVersions/KEY_ID
   

   Per ulteriori informazioni, vedi Ottenere un ID risorsa Cloud KMS.

3. Per salvare le impostazioni, fai clic su Salva.

   Per utilizzare una chiave di firma personalizzata, devi fornire il ruolo IAM Autore/verificatore di firme CryptoKey Cloud KMS (roles/cloudkms.signerVerifier) all'account di servizio Access Approval per il tuo progetto.

   Se l'account di servizio Access Approval non dispone delle autorizzazioni di firmare con la chiave che hai fornito, puoi concedere le autorizzazioni richieste facendo clic su Concedi. Dopo aver concesso le autorizzazioni, fai clic su Salva.

   

Esaminare le richieste di Access Approval

Ora che hai eseguito la registrazione ad Approvazione dell'accesso e ti hai aggiunto come approvatore per le richieste di accesso, dovresti ricevere notifiche via email per queste richieste.

L'immagine seguente mostra un esempio di notifica via email inviata da Access Approval quando il personale di Google richiede l'accesso ai contenuti dei clienti.

Per esaminare e approvare una richiesta di accesso in entrata:

1. Vai alla pagina Access Approval nella console Google Cloud.

   Vai ad Access Approval

   Per accedere a questa pagina, puoi anche fare clic sul link nell'email che ti è stata inviata con la richiesta di approvazione.

2. Fai clic su Approva.

Dopo che avrai approvato la richiesta, il personale di Google con caratteristiche corrispondenti all'approvazione, ad esempio la stessa motivazione, la stessa località o la stessa posizione dell'ufficio, potrà accedere alla risorsa specificata e alle relative risorse secondarie entro il periodo di tempo approvato.

Esegui la pulizia

1. Per annullare la registrazione ad Access Approval:
   1. Nella pagina Access Approval (Approvazione accesso) della console Google Cloud, fai clic su Gestisci impostazioni.
   2. Fai clic su Annulla iscrizione.
   3. Nella finestra di dialogo che si apre, fai clic su Disiscrizione.
2. Per disattivare Access Transparency per la tua organizzazione, contatta l'assistenza clienti Google Cloud.

Non sono necessari ulteriori passaggi per evitare che al tuo account vengano addebitati costi.

Passaggi successivi

• Scopri di più sull'anatomia di una richiesta di accesso.
• Scopri come approvare le richieste di Access Approval.
• Scopri come visualizzare la cronologia di Access Approval richieste.