Access Transparency

Diese Seite beschreibt Access Transparency und das Aktivieren von Access Transparency-Logs.

Übersicht

Mit Access Transparency erhalten Sie Logs, in denen die Aktionen erfasst werden, die Google-Mitarbeiter beim Zugriff auf Ihre Inhalte ausführen.

Sie kennen möglicherweise Cloud-Audit-Logs, mit denen Sie Fragen zu "Wer hat was, wo und wann getan?" in Ihren Google Cloud-Projekten beantworten können. Während Cloud-Audit-Logs zu Aktionen bereitgestellt werden, die von Mitgliedern in Ihrer eigenen Organisation ausgeführt wurden, bietet Access Transparency Logs zu Aktionen, die von Google-Mitarbeitern ausgeführt wurden.

Typische Fälle für die Nutzung von Access Transparency

Access Transparency-Logdaten können aus folgenden Gründen erforderlich sein:

  • Zum Bestätigen, dass Google nur aus legitimen geschäftlichen Gründen auf Ihre Daten zugreift, z. B. um einen Fehler zu beheben oder wenn der Google Support Ihre Anfragen bearbeiten will.
  • Zum Bestätigen, dass die Mitarbeiter von Google bei der Ausführung Ihrer Anweisungen keinen Fehler gemacht haben.
  • Zum Bestätigen und Überwachen der Einhaltung der gesetzlichen/aufsichtsrechtlichen Verpflichtungen.
  • Zum Erfassen und Analysieren von beobachteten Zugriffen über ein automatisiertes SIEM-Tool (Security Information and Event Management).

Access Transparency ist für die gesamte Google Cloud-Organisation aktiviert. Wenn Sie die Access Transparency auf Projektebene aktivieren möchten, wenden Sie sich an den Google Cloud-Support.

Access Transparency aktivieren

Zum Aktivieren von Access Transparency muss Ihre Google Cloud-Organisation eine der folgenden Kundensupportstufen haben:

Sie können Access Transparency auch von Google Cloud Sales oder dem Support aktivieren lassen. Sie benötigen keine speziellen Rollen oder Berechtigungen in der Identitäts- und Zugriffsverwaltung. Informationen zur Kontaktaufnahme mit Google Cloud Sales oder dem Support finden Sie unter Google Cloud-Support.

Wenn Sie nicht sicher sind, ob Ihre Google Cloud-Organisation die entsprechende Supportstufe hat, gehen Sie zur Supportseite der Google Cloud Console:

Zur Supportseite der Cloud Console

Im Steuerfeld Support sehen Sie entweder Ihren Supportstatus oder die Option für ein Upgrade Ihrer Stufe.

Access Transparency deaktivieren

Wenden Sie sich an den Google Cloud-Support, um Access Transparency deaktivieren zu lassen.

Informationen zur Kontaktaufnahme mit dem Google Cloud-Support finden Sie unter Google Cloud-Support.

Google-Dienste, die Access Transparency-Logs erzeugen

Eine Liste der Google-Dienste, die Access Transparency-Logs bereitstellen, finden Sie unter Google-Dienste mit Access Transparency-Logs.

Was ist nicht in den Access Transparency-Logs enthalten?

Access Transparency-Logs werden generiert, wenn Google-Mitarbeiter in den folgenden Szenarien auf Inhalte zugreifen, die Sie in einen von Access Transparency unterstützten Dienst hochgeladen haben; mit Ausnahme der folgenden Szenarien:

  1. Google ist es gesetzlich untersagt, Sie über den Zugriff zu informieren.

  2. Sie haben den Google-Mitarbeitern mit Ihren Identitäts- und Zugriffsverwaltungsrichtlinien Zugriff auf Ihre Inhalte gewährt; die Aktivitäten werden in Cloud-Audit-Logs erfasst, sofern diese aktiviert sind, nicht jedoch mit Zugriffstransparenzlogs.

  3. Der Zugriff zielt nicht auf den Inhalt eines bestimmten Nutzers ab; beispielsweise fragt ein Google-Entwickler nach der durchschnittlichen Größe der Datensätze in einer Datenbank, die Inhalte von mehreren Google Cloud-Kunden enthält.

  4. Die fraglichen Inhalte sind IDs öffentlicher Ressourcen. Beispiel:

    • Google Cloud-Projekt-IDs
    • Cloud Storage-Bucket-Namen
    • Compute Engine-VM-Namen
    • Google Kubernetes Engine-Clusternamen
    • BigQuery-Ressourcennamen (einschließlich Datasets, Tabellen und Reservierungen)
  5. Der Zugriff stammt aus einem Standardworkflow. Dies kann beispielsweise ein Komprimierungsjob sein, der während des Löschvorgangs für einen Inhalt oder während einer Zerstörung von Festplatten ausgeführt wird. Details:

    • Google verwendet eine interne Version der Binärautorisierung, die feststellt, ob der auf den Access Transparency-Diensten ausgeführte Systemcode von mehreren Google-Mitarbeitern überprüft wurde, bevor ein Zugriff auf Kundeninhalte erfolgt. Der Prüfer muss als Inhaber des Quellcodes festgelegt sein, um Änderungen durch nicht autorisierte Google-Mitarbeiter zu verhindern.

    • Google überprüft, ob der Systemjob, der auf Kundeninhalte zugreift, dazu berechtigt ist. Beispiel:

      • Zur Gewährung Ihres Zugriffs auf Ihre eigenen Inhalte
      • Zur Indizierung, Komprimierung oder für andere Optimierungsvorgänge
      • Zur Ausführung geplanter Jobs oder Arbeitslasten:

Google erkennt, ob der Zugriff auf Kundeninhalte gezielt erfolgt oder nicht, bevor Access Transparency-Logs generiert werden. Wenn es nicht möglich ist, einen Kunden anhand der aufgerufenen Inhalte zu identifizieren, wird kein Access Transparency-Log generiert.

Google beschränkt die Anzahl und Berechtigungen von Mitarbeitern, die auf Kundeninhalte zugreifen können, wenn Aufgaben in einer Low-Level-Infrastruktur ausgeführt werden. Mithilfe von Verschlüsselung bietet Google Mitarbeitern in diesen Situationen die Möglichkeit, Kundeninhalte zu lesen, und überwacht das Verhalten der Mitarbeiter durch internes Logging und Audits. Diese Zugriffe auf niedriger Ebene generieren keine Access Transparency-Logs.

Preise

Access Transparency-Logs sind kostenlos. Die Aktivierung von Access Transparency setzt jedoch bestimmte Google Cloud-Supportstufen voraus. Weitere Informationen finden Sie unter Access Transparency aktivieren.

Weitere Informationen

Informationen zum Inhalt von Access Transparency-Logeinträgen finden Sie unter Access Transparency-Logs lesen.