Access Approval 概览

本页面简要介绍了 Access Approval。Access Approval 是 Google 对透明度、用户信任和客户对其数据的所有权所作出的长期承诺的一部分。Access Transparency 可帮助您了解 Google 员工何时访问客户数据，而 Access Approval 可让您授权此类访问请求。此外，它还可让您更精细地控制 Google 何时可以访问客户数据。对于使用使用客户管理的加密密钥 (CMEK) 签名的访问权限审批的客户，Google 还通过密钥访问权限证明为用户提供对密钥访问权限请求的公开透明和控制功能。

这些产品各有千秋，提供的访问权限管理功能可让您控制对客户数据的管理员请求，并为这些请求提供背景信息。

概览

Access Approval 可确保 Cloud Customer Care 和工程团队每次在需要访问您的客户数据时均需要您的明确批准。每个审批请求都会经过加密签名和验证，以确保其完整性。我们可能会随时撤消有效的访问权限审批请求。

Access Approval 在 Access Transparency 日志提供的透明度之上还提供了一层控制。Access Transparency 会提供有关 Google 员工在访问您的客户数据时所采取的操作的日志。“访问权限审批”还会显示已批准、已拒绝、已撤消或已过期的所有请求的历史记录。

如果您希望能够直接管理 Google 员工对您客户数据的访问权限，我们建议您使用 Access Approval。如需详细了解 Google 员工可能需要访问客户数据的原因以及 Google Cloud 的特权访问原则，请参阅 Google Cloud 的特权访问。

Access Approval 的工作方式

Access Approval 的运作方式是，要求 Google 管理员在访问客户数据之前，先向授权的客户管理员请求并获得批准。系统会使用预配置的电子邮件或 Pub/Sub 消息通知客户有待批准的请求。

您可以根据电子邮件/消息中的信息，在 Google Cloud 控制台中或使用 Access Approval API 批准或拒绝访问权限请求。只有在访问权限审批请求获得批准后，我们才会授予访问权限。访问权限审批会使用加密密钥对访问权限请求进行签名，其签名用于验证请求的完整性。您可以使用由 Google 管理的签名密钥，也可以自带签名密钥。

Access Approval 与 Assured Workloads 的搭配使用方式

将 Access Approval 与 Assured Workloads 合规边界搭配使用时，在评估 Access Approval 之前，系统会先应用 Assured Workloads 人员访问权限保证。访问权限审批访问请求可能包含不合规的参数（例如 global 位置信息）；不过，这些条件次于“Assured Workloads 工作负载配置。

例如，如果向加拿大 Protected B 文件夹所有者发送了针对 global 位置的 Access Approval 请求，系统会先对此请求应用加拿大 Protected B 限制，而不会对这些人员应用进一步的 Access Approval 地区性限制。

使用 Google 管理的签名密钥是默认选项。如果您想使用自己的签名密钥，可以使用 Cloud KMS 创建一个，也可以使用 Cloud EKM 导入一个外部管理的密钥。如需详细了解如何开始使用自定义签名密钥，请参阅使用自定义签名密钥设置访问权限审批。

支持 Access Approval 的 Google 服务

借助 Access Approval，您可以选择要注册 Access Approval 的 Google Cloud 服务。Access Approval 仅会针对对您选择的服务中存储的客户数据的访问权限请求征求您的同意。

您可以通过以下方式在 Access Approval 中注册服务：

  • 为所有受支持的服务自动启用 Access Approval，无论其产品发布阶段（例如预览版或正式版 [GA]）如何。选择此选项后，系统日后还会自动注册 Access Approval 支持的所有服务。这是默认选项。
  • 仅针对处于 GA 发布阶段的服务启用 Access Approval。选择此选项后，系统日后还会自动注册 Access Approval 支持的所有 Google Analytics 服务。
  • 选择您要注册 Access Approval 的具体服务。

如需查看 Access Approval 支持的服务的完整列表，请参阅支持的服务。

Access Approval 排除项

Access Transparency 的排除对象也适用于 Access Approval。

除了这些例外情况之外，系统可能会自动批准审批请求，而无需客户采取行动来解决具有时效性的服务中断问题。系统会以 auto approved 状态记录此类自动批准的 Access Approval 请求。

系统会自动为使用“可确保工作负载主权控制”或合作伙伴主权控制部署的所有工作负载停用自动审批功能。

如果客户希望确保只有在使用客户管理的密钥对审批签名后，才能处理管理员访问权限请求，则可以使用客户管理的密钥配置 Access Approval，并使用 Key Access Justifications。

Access Approval 的使用要求

您可以为 Google Cloud 项目、文件夹或组织启用 Access Approval。在启用 Access Approval 之前，您必须为组织启用 Access Transparency。

启用 Access Transparency 后，您可以使用 Google Cloud 控制台启用 Access Approval。如需了解如何设置 Access Approval，请参阅快速入门。

自定义签名密钥的要求

使用 Google 管理的默认签名密钥无需进行任何额外配置。如需使用您自己的签名密钥，您可以使用 Cloud Key Management Service 创建非对称签名密钥，也可以使用 Cloud External Key Manager 托管外部管理的签名密钥。如需了解与 Cloud EKM 支持的非对称签名密钥相关的限制，请参阅非对称签名密钥的限制。

如果您想使用外部管理的签名密钥，我们建议您启用 Cloud EKM。如需详细了解如何使用 Cloud EKM 管理未存储在 Google Cloud 中的密钥，请参阅 Cloud EKM 概览。

后续步骤