Access Transparency

Cette page décrit la fonctionnalité Access Transparency et explique comment activer les journaux associés.

Aperçu

Dans le cadre de l'engagement à long terme de Google en matière de sécurité et de transparence, vous pouvez désormais utiliser Access Transparency, qui fournit des journaux des actions entreprises par le personnel de Google lors de l'accès à vos données.

Vous connaissez peut-être les journaux Cloud Audit Logging, qui peuvent vous aider à déterminer qui a fait quoi, où et quand dans vos projets Google Cloud Platform. Alors que ces journaux sont relatifs aux actions effectuées par les membres de votre propre entreprise, ceux fournis par Access Transparency concernent les actions entreprises par le personnel de Google.

Parallèlement aux autres journaux de Stackdriver Logging, les journaux d'Access Transparency incluent les données suivantes : les actions de l'assistance que vous avez éventuellement demandées par téléphone, les enquêtes techniques de niveau inférieur dans le cadre de vos demandes d'assistance, ou d'autres actions effectuées à des fins commerciales valables, telles qu'une reprise après interruption.

Si vous avez besoin de pouvoir approuver préalablement l'accès, consultez la documentation relative aux autorisations d'accès.

Quand utiliser Access Transparency ?

Vous pouvez avoir besoin d'Access Transparency pour diverses raisons. Voici quelques exemples :

  • Vérifier que Google n'accède à vos données que pour des raisons commerciales valables, telles que la résolution d'un problème ou le traitement de vos demandes
  • Vérifier que le personnel de Google n'a commis aucune erreur lors de l'exécution de vos instructions
  • Vérifier la conformité avec les obligations légales et les réglementations
  • Collecter et analyser les événements d'accès suivis au moyen d'un outil automatisé de gestion des informations et des événements de sécurité (SIEM)

La fonctionnalité Access Transparency est activée pour l'ensemble de l'organisation GCP. Pour l'activer par projet, veuillez contacter l'assistance GCP.

Conditions requises pour utiliser Access Transparency

Vous pouvez activer Access Transparency pour votre organisation GCP si l'une des conditions suivantes est remplie :

  • Votre organisation GCP dispose de l'une des formules d'assistance Role-based suivantes :

    • Formule d'assistance Enterprise
    • Au moins quatre rôles de développement
    • Au moins quatre rôles de production
    • Une combinaison d'au moins quatre rôles de développement ou de production

    Vous pouvez activer Access Transparency en contactant le service commercial ou l'assistance de GCP. Vous n'avez pas besoin de rôles ni d'autorisations IAM spéciales. Pour savoir comment contacter le service commercial ou l'assistance de GCP, consultez la page Assistance GCP.

  • Votre organisation GCP dispose d'une formule d'assistance Platinum ou Gold. Vous pouvez activer Access Transparency à l'aide de la console Google Cloud Platform ou en contactant l'assistance GCP. Vous devez également disposer de certaines autorisations Cloud IAM et d'un projet associé à un compte de facturation. Ces deux exigences sont décrites dans les instructions de configuration ci-dessous.

Si vous avez des doutes quant à la formule d'assistance de votre organisation GCP, consultez votre console d'assistance Cloud :

Accéder à votre console d'assistance Cloud

Dans le panneau Assistance, vous verrez l'état de votre assistance ou l'option permettant de mettre à jour votre formule.

Configurer Access Transparency à l'aide de la console GCP

Si vous avez vérifié que votre organisation GCP dispose de la formule d'assistance requise Gold ou Platinum, comme décrit ci-dessus, vous pouvez utiliser les instructions suivantes pour activer ou désactiver Access Transparency à l'aide de la console GCP :

  1. Vérifiez les autorisations au niveau de votre organisation :

    1. Accédez à la page IAM de la console GCP :

      Accéder à IAM

    2. Si vous y êtes invité, sélectionnez l'organisation GCP dans le menu de sélection en haut de la page.

    3. Vérifiez que le rôle Cloud IAM Administrateur Access Transparency (roles/axt.admin) apparaît dans la colonne Rôle de votre liste Membre.

  2. Sélectionnez un projet GCP au sein de l'organisation à l'aide du menu de sélection situé en haut de la page.

    La fonctionnalité Access Transparency est configurée sur une page de projet GCP, mais elle est activée pour l'ensemble de l'organisation. Pour l'activer par projet, veuillez contacter l'assistance GCP.

  3. Vérifiez que le projet GCP est associé à un compte de facturation. Vous ne pouvez configurer Access Transparency dans la console GCP qu'à partir d'un projet associé à un compte de facturation :

    1. Dans le menu de navigation de gauche, sélectionnez Facturation. Si le message Ce projet n'est associé à aucun compte de facturation s'affiche, sélectionnez un autre projet ou suivez les instructions relatives à la modification du compte de facturation d'un projet.
  4. Accédez à la page IAM et administration > Paramètres.

  5. Cliquez sur le bouton Activer Access Transparency.

    Si votre projet GCP n'est pas associé à la formule d'assistance ou au compte de facturation appropriés, ou si vous ne disposez pas des autorisations adéquates, ce bouton ne s'affiche pas. Contactez alors l'assistance GCP pour obtenir davantage d'aide.

Désactiver Access Transparency

Pour désactiver Access Transparency, contactez l'assistance GCP. Vous ne pouvez pas désactiver Access Transparency à l'aide de la console GCP.

Pour savoir comment contacter l'assistance GCP, consultez la page Assistance GCP.

Disponibilité du service

Le tableau ci-dessous répertorie les services GCP qui écrivent des journaux Access Transparency. AT (accessible à tous) indique que le type de journal est accessible par tous pour un service. Bêta (version bêta) indique que le type de journal est disponible, mais peut faire l'objet de modifications susceptibles d'affecter la rétrocompatibilité. En outre, cela implique qu'il n'est sujet à aucun contrat de niveau de service ni aucun règlement d'obsolescence.

Notez que vous ne pouvez activer les journaux AT que dans la console GCP. Consultez les instructions de configuration ci-dessus. Si vous souhaitez activer les journaux bêta, contactez l'assistance GCP.

Les journaux Access Transparency sont produits par les services suivants :

Services GCP compatibles avec Access Transparency Disponibilité
App Engine1 AT
BigQuery2 AT
Cloud Bigtable AT
Cloud Dataflow AT
Cloud Dataproc Bêta
Cloud Identity and Access Management AT
Cloud Key Management Service (KMS) AT
Cloud Pub/Sub AT
Cloud Spanner Bêta
Cloud Storage AT
Compute Engine AT
Google Kubernetes Engine Bêta

1 Cloud Storage est le seul backend de stockage compatible pour App Engine qui est actuellement accepté par Access Transparency.

2 Il est possible que certaines informations sur vos requêtes, tables et ensembles de données ne génèrent pas de journaux Access Transparency si elles sont visualisées par l'assistance GCP. L'affichage du texte des requêtes, des noms de tables, des noms d'ensembles de données et des listes de contrôle d'accès aux ensembles de données peut ne pas générer de journaux Access Transparency. Ce chemin d'accès accorde un accès en lecture seule. L'affichage des résultats de requêtes et des données de tables ou d'ensembles de données générera toujours des journaux Access Transparency.

Éléments inclus dans les journaux

Les journaux Access Transparency sont générés lorsque des personnes travaillent pour des données d'accès Google téléchargées par vous dans un service accepté par Access Transparency (par exemple, affichage de l'un des libellés de votre instance Compute Engine), sauf lorsque :

  1. Vous accordez à la personne accédant aux données une autorisation via votre stratégie Cloud Identity and Access Management (gestion de l'authentification et des accès Cloud).
    • Des journaux d'audit (s'ils sont activés) sont générés lorsqu'un employé de Google auquel vous avez donné accès via Cloud IAM travaille avec vous.
  2. Il est légalement interdit à Google de vous informer de l'accès.
  3. Les données en question sont un identifiant de ressource publique, par exemple les ID de projet GCP ou les noms de bucket Cloud Storage.
  4. L'accès correspond à une tâche système, par exemple une tâche de compression exécutée sur les données.
    • Google utilise une version interne de l'autorisation binaire pour vérifier que le code système s'exécutant sur les services Access Transparency a été examiné par une autre partie.

Prix

Les journaux Access Transparency sont gratuits. Cependant, l'activation d'Access Transparency nécessite certains niveaux d'assistance GCP. Pour plus d'informations, consultez la section Conditions requises pour utiliser Access Transparency.

Étape suivante

Pour comprendre le contenu des entrées de journal Access Transparency, consultez la page Lire les journaux Access Transparency.

Cette page vous a-t-elle été utile ? Évaluez-la :

Envoyer des commentaires concernant…

Stackdriver Logging
Besoin d'aide ? Consultez notre page d'assistance.