カスタム署名鍵を使用してアクセス リクエストを確認して承認する

カスタム署名鍵を使用してアクセス リクエストを確認して承認する

このドキュメントでは、Google Cloud コンソールとカスタム署名鍵を使用して Access Approval を設定し、プロジェクトに対するアクセス リクエストのメール通知を受信する方法を示します。

Access Approval は、Google の担当者が Google Cloud に保存されているコンテンツにアクセスするために、暗号署名付き承認が存在することを確認します。

Access Approval では、独自の暗号鍵を使用してアクセス リクエストに署名できます。Cloud Key Management Service を使用して鍵を作成するか、Cloud External Key Manager を使用して外部管理の鍵を提供できます。

準備

• 組織でアクセスの透明性を有効にします。詳しくは、アクセスの透明性を有効にするをご覧ください。
• Access Approval Config Editor（roles/accessapproval.configEditor）IAM ロールがあることを確認します。

Access Approval に登録しますか？

Access Approval に登録するには、以下の手順を行います。

1. Google Cloud コンソールで、Access Approval を有効にするプロジェクトを選択します。

   プロジェクト セレクタに移動

2. Access Approval のページに移動

   アクセス承認に移動

3. Access Approval に登録するには、[登録] をクリックしてください。

   

4. 表示されたダイアログ ボックスで [登録] をクリックします。

   

構成の設定

Google Cloud コンソールの [Access Approval] ページで、[設定を管理する] をクリックします。

サービスを選択する

デフォルトでは、Access Approval を必要とするサービスは、プロジェクトの親リソースから継承されます。すべてのサポート対象のサービスに対して Access Approval を自動的に有効にするオプションを選択することで、登録の範囲を拡張できます。

メール通知を設定する

このセクションでは、このプロジェクトのアクセス リクエスト通知を受信する方法について説明します。

必要な IAM ロールを付与する

アクセス リクエストを表示して承認するには、Access Approval 承認者（roles/accessapproval.approver）IAM ロールが必要です。

この IAM ロールを自分自身に付与するには、次のようにします。

1. Google Cloud コンソールで [IAM] ページに移動します。

   IAM に移動

2. [プリンシパルごとに表示] タブで、[アクセスを許可] をクリックします。
3. 右側のペインの [新しいプリンシパル] フィールドに、メールアドレスを入力します。
4. [ロールを選択] フィールドをクリックし、メニューから [アクセス承認者] ロールを選択します。
5. [保存] をクリックします。

自分自身を Access Approval リクエストの承認者として追加する

承認者として自分自身を追加し、アクセス リクエストを確認して承認できるようにするには、次の操作を行います。

1. Google Cloud コンソールの [Access Approval] ページに移動します。

   アクセス承認に移動

2. [設定を管理する] をクリックします。

3. [承認通知を設定] で、[ユーザーまたはグループのメールアドレス] フィールドにメールアドレスを追加します。

4. 通知設定を保存するには、[保存] をクリックします。

カスタム署名鍵を使用する

Access Approval は、署名鍵を使用してアクセス承認の整合性を検証します。

Cloud EKM を有効にしている場合は、外部管理の署名鍵を選択できます。外部鍵の使用については、Cloud EKM の概要をご覧ください。

任意のアルゴリズムで Cloud KMS 署名鍵を作成することもできます。詳細については、非対称鍵の作成をご覧ください。

カスタム署名鍵を使用するには、このセクションの手順に従ってください。

サービス アカウントのメールアドレスを取得する

サービス アカウントのメールアドレスは、次の形式になります。

  [e-mail]

PROJECT_NUMBER は、プロジェクト番号に置き換えます。

たとえば、プロジェクト番号が 123456789 のプロジェクトのサービス アカウントのメールアドレスは [e-mail] です。

署名鍵を使用するには、次の手順を行います。

1. Google Cloud コンソールの [Access Approval] ページで、[Cloud KMS 署名キー（高度）を使用] を選択します。

2. 暗号鍵バージョンのリソース ID を追加します。

   暗号鍵バージョンのリソース ID は次の形式である必要があります。

   projects/PROJECT_ID/locations/LOCATION/keyRings/KEYRING_ID/cryptoKeys/CRYPTOKEY_ID/cryptoKeyVersions/KEY_ID
   

   詳細については、Cloud KMS リソース ID の取得をご覧ください。

3. 設定を保存するには、[保存] をクリックします。

   カスタム署名鍵を使用するには、プロジェクトの Access Approval サービス アカウントに Cloud KMS 暗号鍵の署名者 / 検証者（roles/cloudkms.signerVerifier）の IAM ロールを指定する必要があります。

   指定した鍵で署名する権限が Access Approval サービス アカウントに付与されていない場合は、[付与] をクリックして、必要な権限を付与できます。権限を付与したら、[保存] をクリックします。

   

Access Approval のリクエストを確認する

Access Approval に登録して、アクセス リクエストの承認者として追加したら、アクセス リクエストのメール通知を受け取ることができます。

次の図は、Google の担当者がお客様のコンテンツへのアクセスをリクエストするときに、Access Approval から送信されるメール通知の例を示しています。

受信アクセス リクエストを確認して承認する手順は次のとおりです。

1. Google Cloud コンソールの [Access Approval] ページに移動します。

   アクセス承認に移動

   このページを表示するには、承認リクエストとともに送信されたメールのリンクをクリックします。

2. [承認] をクリックします。

リクエストを承認すると、承認に一致する特徴（同じ理由、ロケーション、デスクの場所など）を持つ Google の担当者は、承認された期間内で指定されたリソースとその子リソースにアクセスできます

クリーンアップ

1. Access Approval の登録を解除するには、次の操作を行います。
   1. Google Cloud コンソールの [Access Approval] ページで、[設定を管理する] をクリックします。
   2. [登録解除] をクリック
   3. 表示されたダイアログで [登録解除] をクリックします。
2. 組織のアクセスの透明性を無効にするには、Cloud カスタマーケアにお問い合わせください。

アカウントへの請求を避けるための追加の手順は必要ありません。

次のステップ

• アクセス リクエストの詳細について学習する。
• Access Approval のリクエストを承認する方法を確認する。
• Access Approval のリクエストの履歴を表示する方法を確認する。