Zugriffsanfragen mit dem von Google verwalteten Signaturschlüssel überprüfen und genehmigen
In diesem Dokument erfahren Sie, wie Sie die Zugriffsgenehmigung mithilfe der Google Cloud Console einrichten, um E-Mail-Benachrichtigungen über Zugriffsanfragen für ein Projekt zu erhalten.
Mit der Zugriffsgenehmigung wird sichergestellt, dass Google-Mitarbeiter eine kryptografisch signierte Genehmigung haben, um auf Ihre aufGoogle Cloudgespeicherten Inhalte zuzugreifen.
Hinweise
- Aktivieren Sie Access Transparency für Ihre Organisation. Weitere Informationen finden Sie unter Access Transparency aktivieren.
- Sie benötigen die IAM-Rolle Bearbeiter der Zugriffsgenehmigungskonfiguration (
roles/accessapproval.configEditor).
Für Zugriffsgenehmigung registrieren
So melden Sie sich für Access Approval an:
Wählen Sie in der Google Cloud Console das Projekt aus, für das Sie die Zugriffsgenehmigung aktivieren möchten.
Rufen Sie die Seite Zugriffsgenehmigung auf.
Klicken Sie auf Registrieren, um sich für die Zugriffsgenehmigung anzumelden.
Klicken Sie im Dialogfeld, das geöffnet wird, auf Registrieren.
Einstellungen konfigurieren
Klicken Sie in der Google Cloud Console auf der Seite Zugriffsberechtigung auf Einstellungen verwalten.
Dienste auswählen
Standardmäßig werden die Dienste, für die eine Zugriffsbestätigung erforderlich ist, von der übergeordneten Ressource des Projekts übernommen. Sie können den Umfang der Registrierung erweitern, indem Sie die Option zur automatischen Aktivierung der Zugriffsgenehmigung für alle unterstützten Dienste auswählen.
E-Mail- und Pub/Sub-Benachrichtigungen einrichten
In diesem Abschnitt wird erläutert, wie Sie Benachrichtigungen zu Zugriffsanfragen für dieses Projekt erhalten.
Sich selbst die erforderliche IAM-Rolle erteilen
Wenn Sie Zugriffsanfragen ansehen und genehmigen möchten, benötigen Sie die IAM-Rolle „Genehmiger für Zugriffsgenehmigungen“ (roles/accessapproval.approver).
So weisen Sie sich diese IAM-Rolle zu:
- Rufen Sie in der Google Cloud Console die Seite IAM auf.
- Klicken Sie auf dem Tab Nach Hauptkonten ansehen auf Zugriff gewähren.
- Geben Sie im rechten Bereich im Feld Neue Hauptkonten Ihre E-Mail-Adresse ein.
- Klicken Sie auf das Feld Rolle auswählen und wählen Sie im Menü die Rolle Genehmiger für Zugriffsgenehmigungen aus.
- Klicken Sie auf Speichern.
Sich selbst als Genehmiger für Anfragen für Zugriffsgenehmigungen hinzufügen und Benachrichtigungen konfigurieren
So fügen Sie sich als Genehmiger hinzu, damit Sie Zugriffsanfragen prüfen und genehmigen können:
Rufen Sie in der Google Cloud Console die Seite Zugriffsgenehmigung auf.
Klicken Sie auf Einstellungen verwalten.
Wenn Sie E-Mail-Benachrichtigungen aktivieren möchten, fügen Sie Ihre E-Mail-Adresse unter Genehmigungsbenachrichtigungen einrichten in das Feld E-Mail-Adresse des Nutzers oder der Gruppe ein.
Wenn Sie Pub/Sub-Benachrichtigungen aktivieren möchten, fügen Sie Ihr Pub/Sub-Thema im Feld Pub/Sub-Thema unter Genehmigungsbenachrichtigungen einrichten hinzu.
Von Google verwalteten Signaturschlüssel auswählen
Bei der Zugriffsgenehmigung wird die Integrität der Zugriffsgenehmigung mit einem Signaturschlüssel überprüft.
Der von Google verwaltete Signaturschlüssel ist die Standardoption. Für die Verwendung einerGoogle-owned and managed key ist keine zusätzliche Konfiguration erforderlich.
Anfragen für die Zugriffsgenehmigung überprüfen
Nachdem Sie die Zugriffsgenehmigung aktiviert und sich als Genehmiger für Zugriffsanfragen hinzugefügt haben, erhalten Sie E-Mail-Benachrichtigungen zu Zugriffsanfragen.
Das folgende Bild zeigt eine Beispiel-E-Mail-Benachrichtigung, die von der Zugriffsgenehmigung gesendet wird, wenn Google-Mitarbeiter Zugriff auf Kundeninhalte anfordern.
So überprüfen und genehmigen Sie eine eingehende Zugriffsanfrage:
Rufen Sie in der Google Cloud Console die Seite Zugriffsgenehmigung auf.
Sie können auch auf den Link in der E-Mail klicken, die Sie mit der Genehmigungsanfrage erhalten haben, um auf diese Seite weitergeleitet zu werden.
Klicken Sie auf Genehmigen.
Nachdem Sie die Anfrage genehmigt haben, können Google-Mitarbeiter mit Merkmalen, die mit der Genehmigung übereinstimmen (z. B. gleiche Begründung, gleicher Standort oder Schreibtischstandort), innerhalb des genehmigten Zeitraums auf die angegebene Ressource und ihre untergeordneten Ressourcen zugreifen.
Bereinigen
-
So melden Sie sich von Access Approval ab:
- Klicken Sie in der Google Cloud Console auf der Seite Zugriffsberechtigung auf Einstellungen verwalten.
- Klicken Sie auf Abmelden.
- Klicken Sie im Dialogfeld, das geöffnet wird, auf Abmelden.
- Wenden Sie sich an Cloud Customer Care, um Access Transparency für Ihre Organisation zu deaktivieren.
Es sind keine zusätzlichen Schritte erforderlich, um zu vermeiden, dass Gebühren für Ihr Konto anfallen.