A Google Cloud consola, a Google Cloud CLI e a API REST apresentam mensagens de erro quando um utilizador tenta aceder a um recurso ao qual não tem autorização de acesso. Quando um utilizador encontra um erro de autorização, pode pedir acesso ao recurso. Isto gera um email que é enviado para o contacto essencial técnico da sua organização.
Quando o administrador clica no link no email gerado, é direcionado para o resumo da correção de políticas. Os administradores também podem aceder ao resumo da correção de políticas clicando em Ver detalhes da resolução de problemas numa mensagem de erro de autorização e, de seguida, clicando em Resolução de problemas de políticas. Esta página descreve os detalhes do pedido, incluindo o principal que faz o pedido, o recurso e as autorizações que o principal está a pedir.
A secção Estado de acesso atual resume os resultados de cada tipo de política (especificamente, políticas de permissão, políticas de negação e políticas de limite de acesso principal) e indica o resultado geral. O resultado indica se o principal pode aceder ao recurso, de acordo com as políticas relevantes.
Pode obter mais informações sobre as políticas que estão a bloquear o acesso do utilizador clicando em Resolução de problemas avançada.
Clique em Corrigir para ver as opções de correção dos problemas de acesso desse utilizador. Para saber as diferentes formas de resolver erros de autorização causados por cada um dos diferentes tipos de políticas através da Google Cloud consola, consulte o seguinte:
- Corrija erros de autorização da política de permissões
- Corrija erros de autorização de políticas de recusa
- Corrija erros de autorização de limite de acesso principal
Corrija a política de permissão
A página Corrija a política de permissão mostra as autorizações que o utilizador não tem. Para resolver o acesso bloqueado por uma política de permissão, pode conceder acesso a esse utilizador ou criar uma autorização do Gestor de acessos privilegiados para o utilizador. Depois de criar a concessão, o utilizador pode solicitá-la para aceder ao recurso.
Para conceder acesso ao utilizador, faça o seguinte:
- Selecione Conceder função.
- Clique em Continuar.
- Selecione uma função aplicável para ver os detalhes dessa função.
- Clique em Conceder acesso.
Para criar um novo direito do Gestor de acesso privilegiado, faça o seguinte:
- Selecione Conceder acesso temporário.
- Clique na função aplicável que quer conceder para ver os detalhes sobre essa função.
Clique em Criar autorização.
No painel Crie um novo direito, introduza os detalhes do direito:
- Introduza um nome para a nova concessão.
- Selecione a duração máxima da concessão.
- Clicar em Seguinte.
- Opcionalmente, adicione mais requerentes para esta concessão.
- Clicar em Seguinte.
- Adicione, pelo menos, um principal para aprovar pedidos de autorização ou selecione Ativar acesso sem aprovações.
- Clicar em Seguinte.
- Opcionalmente, introduza os endereços de email dos administradores que quer notificar.
- Clique em Concluído e, de seguida, em Criar autorização.
Para mais informações sobre o Gestor de acessos privilegiados, consulte o artigo Crie autorizações no Gestor de acessos privilegiados.
Se não existir uma função que contenha todas as autorizações necessárias para o utilizador, não são sugeridas funções nem direitos.
Para métodos alternativos de correção do acesso do utilizador, consulte o artigo Resolva erros de autorização da política de permissão.
Corrija a política de recusa
As políticas de recusa estão anexadas a uma Google Cloud organização, uma pasta ou um projeto. Uma política de negação contém regras de negação, que identificam os principais e indicam as autorizações que os principais não podem usar.
A página Corrigir política de recusa mostra a política de recusa que impede o utilizador de usar a autorização e sugere vários métodos para corrigir o acesso do utilizador.
Os métodos sugeridos para corrigir pedidos de acesso relacionados com políticas de recusa incluem o seguinte:
Isentar o utilizador da política de recusa.
Remova a autorização da política de recusa.
Crie uma etiqueta para excluir o recurso da política de recusa.
Corrija o limite de acesso principal
Por predefinição, os principais são elegíveis para aceder a qualquer Google Cloud recurso. No entanto, se estiverem sujeitos a alguma política de limite de acesso principal, só são elegíveis para aceder aos recursos indicados nas políticas de limite de acesso principal a que estão sujeitos. Nestes casos, uma política de limite de acesso principal pode impedir que um principal aceda a um recurso.
A página Corrija o limite de acesso principal mostra a política de limite de acesso principal que impede o utilizador de aceder ao recurso e sugere vários métodos para corrigir o acesso do utilizador.
Os métodos sugeridos para corrigir pedidos de acesso relacionados com políticas de limite de acesso principal incluem o seguinte:
Adicione o recurso a uma política de limite de acesso principal existente anexada a um conjunto mais amplo de identidades.
Não recomendado: isentar a identidade da aplicação do limite de acesso principal.
O que se segue?
- Use a referência de autorizações ou a referência de funções predefinidas para determinar que função atribuir a um utilizador que não tem autorizações.
- Leia acerca das outras ferramentas de informações sobre políticas, que ajudam a compreender e gerir as suas políticas para melhorar proativamente a configuração de segurança.