Présentation d'Access Approval

Restez organisé à l'aide des collections Enregistrez et classez les contenus selon vos préférences.

Access Approval garantit que le service client et l'ingénierie de Cloud ont besoin de votre autorisation explicite chaque fois qu'ils doivent accéder au contenu de votre client. L'approbation est chiffrée de façon cryptographique pour garantir l'intégrité de l'approbation d'accès.

Si vous souhaitez pouvoir gérer directement l'accès à votre contenu par le personnel de Google, nous vous recommandons d'utiliser Access Approval.

Présentation

Access Approval aide à mettre en œuvre le principe de sécurité du moindre privilège, qui stipule que personne ne doit disposer de plus d'autorisations et d'accès que nécessaire. Même après l'octroi de votre accès, le personnel de Google ne peut consulter que le contenu essentiel pour remplir un service contractuel. Par exemple, le personnel de service client de première ligne ne peut accéder qu'aux informations sur les environnements client, ce qui est essentiel pour le débogage des problèmes liés au service client.

Pour en savoir plus sur les raisons pour lesquelles les employés de Google peuvent avoir besoin d'accéder au contenu des clients et sur les principes d'accès privilégié de Google, consultez Accès privilégié chez Google.

Access Approval offre un niveau de contrôle supplémentaire en plus de la transparence fournie par les journaux Access Transparency. Access Transparency fournit des journaux qui enregistrent les actions effectuées par les équipes Google lorsqu'elles accèdent à votre contenu. Access Approval fournit également une vue historique de toutes les requêtes qui ont été approuvées, ignorées ou expirées.

Fonctionnement d'Access Approval

Access Approval vous envoie un e-mail ou un message Pub/Sub contenant une demande d'accès que vous pouvez choisir d'approuver.

À l'aide des informations contenues dans le message, vous pouvez utiliser Google Cloud Console ou l'API Access Approval pour approuver ou refuser l'accès. Access Approval utilise une clé cryptographique pour signer la requête d'accès. Cette signature permet de vérifier l'intégrité de l'approbation d'accès. Vous pouvez utiliser une clé de signature gérée par Google ou votre propre clé de signature.

L'utilisation d'une clé de signature gérée par Google est l'option par défaut. Si vous souhaitez utiliser votre propre clé de signature, vous pouvez en créer une à l'aide de Cloud KMS ou importer une clé gérée en externe à l'aide de Cloud EKM. Pour en savoir plus sur l'utilisation d'une clé de signature personnalisée, consultez la page Configurer Access Approval à l'aide d'une clé de signature personnalisée.

Services Google compatibles avec Access Approval

Access Approval vous permet de sélectionner les services Google Cloud que vous souhaitez inscrire dans Access Approval. Access Approval ne vous demande votre autorisation que pour les demandes d'accès aux contenus stockés dans les services que vous sélectionnez.

Vous disposez des options suivantes pour enregistrer des services dans Access Approval:

  • Activez automatiquement Access Approval pour tous les services compatibles, quel que soit le niveau d'assistance (aperçu ou disponibilité générale). Si vous sélectionnez cette option, tous les services compatibles à l'avenir seront automatiquement enregistrés. Il s'agit de l'option par défaut.
  • N'activez Access Approval que pour les services compatibles avec la disponibilité générale. Si vous sélectionnez cette option, tous les services compatibles à l'avenir avec l'assistance en disponibilité générale seront automatiquement enregistrés.
  • Choisissez les services spécifiques que vous souhaitez inscrire à Access Approval.

Pour obtenir la liste complète des services compatibles avec Access Approval, consultez la section Services compatibles.

Exclusions d'Access Approval

Les actions suivantes de Google ne déclenchent pas de requête Access Approval:

  • Accès système au contenu de l'utilisateur. Il s'agit d'accès programmatiques et non humains par des processus Google autorisés et examinés. Par exemple, une tâche de compression exécutée sur le contenu ou la destruction du disque lors du processus de suppression de contenu. Ces accès sont vérifiés par notre fonctionnalité d'autorisation binaire, qui vérifie que la tâche provient du code qui a été enregistré en production et examiné par un tiers.

  • Indisponibilités de plusieurs clients ayant un impact majeur à grande échelle.

  • Toute autre exception documentée dans les exclusions Access Transparency. Tout ce qui ne génère pas de journal Access Transparency ne génère pas non plus de requête Access Approval.

Conditions requises pour utiliser Access Approval

Vous pouvez activer Access Approval pour un projet Google Cloud, un dossier ou une organisation. Avant d'activer Access Approval, vous devez activer Access Transparency au même niveau dans la hiérarchie des ressources ou à un niveau supérieur.

Après avoir activé Access Transparency, vous pouvez utiliser Google Cloud Console pour activer Access Approval. Pour savoir comment configurer Access Approval, consultez les guides de démarrage rapide.

Exigences concernant une clé de signature personnalisée

L'utilisation de la clé de signature gérée par Google par défaut ne nécessite aucune configuration supplémentaire. Pour utiliser votre propre clé de signature, vous pouvez soit créer une clé de signature asymétrique à l'aide de Cloud Key Management Service, soit utiliser Cloud External Key Manager afin d'héberger une clé de signature gérée en externe.

Si vous souhaitez utiliser une clé de signature gérée en externe, nous vous recommandons d'activer Cloud EKM. Pour en savoir plus sur l'utilisation de Cloud EKM pour gérer les clés qui ne sont pas stockées dans Google Cloud, consultez la page Présentation de Cloud EKM.

Étapes suivantes