Creare diritti in Privileged Access Manager

Console

1. Vai alla pagina Privileged Access Manager.

   Vai a Privileged Access Manager

2. Seleziona l'organizzazione, la cartella o il progetto a cui vuoi applicare il diritto.

3. Fai clic sulla scheda Diritti.

4. Fai clic su Crea.

5. Nella sezione Dettagli diritto, inserisci i seguenti dettagli:

   • Un nome del diritto. Il nome di un diritto può contenere da 4 a 63 caratteri. Deve iniziare con una lettera minuscola e può contenere solo lettere minuscole, numeri e trattini.

   • Fino a 30 ruoli da concedere all'organizzazione, alla cartella o al progetto.

     Puoi anche aggiungere condizioni IAM a questi ruoli nello stesso modo in cui aggiungi condizioni per consentire i binding dei ruoli dei criteri. Tuttavia, nei diritti di Privileged Access Manager, l'utilizzo di condizioni che controllano i tag per una risorsa è in anteprima.

   • La durata massima di una concessione. La durata massima che puoi impostare per un diritto è di 7 giorni.

6. Fai clic su Avanti.

7. Nella sezione Aggiungi richiedenti, inserisci fino a 20 entità richiedenti valide per il diritto.

   Sono supportati tutti i tipi di entità, ad eccezione di allUsers e allAuthenticatedUsers. Puoi aggiungere più di 20 identità aggiungendole a un gruppo ed elencando il gruppo nel diritto.

8. Scegli se i principali devono fornire una giustificazione per la richiesta di concessione.

9. Inserisci indirizzi email aggiuntivi degli utenti da avvisare quando il diritto è idoneo alla richiesta.

   Le identità Google associate al diritto, come gli approvatori e i richiedenti, vengono avvisate automaticamente. Tuttavia, se vuoi inviare una notifica ad altre persone, puoi aggiungere i loro indirizzi email. Ciò è particolarmente utile se utilizzi identità della forza lavoro anziché Account Google.

10. Fai clic su Avanti.

11. Nella sezione Aggiungi approvatori, esegui una delle seguenti operazioni:

    • Per consentire le concessioni di ruoli senza approvazione, seleziona Attiva l'accesso senza approvazioni.

    • Per rendere obbligatorie le approvazioni, procedi nel seguente modo:

      1. (Facoltativo) Per richiedere agli approvatori di inserire giustificazioni per l'approvazione delle richieste, seleziona Giustificazione richiesta da parte degli approvatori.

      2. Inserisci i dettagli dell'approvatore di primo livello:

         • Un elenco di approvatori per il diritto

           Puoi aggiungere uno dei seguenti tipi di entità come approvatori:

           • Account Google

           • Gruppi Google

           • Domini Google Workspace

           • Identificatori del pool di forza lavoro

           • Identificatori del pool di workload

           • Account di servizio

             Gli identificatori di service account e pool di workload sono disponibili solo se i service account sono autorizzati ad approvare le concessioni per questa risorsa. Per maggiori dettagli, vedi Configurare le impostazioni di Privileged Access Manager.

         • Numero di approvazioni richieste

           Se hai aggiunto un gruppo come approvatore, assicurati che il numero di approvazioni richieste sia inferiore o uguale al numero di entità nel gruppo. In caso contrario, le concessioni rimarranno bloccate per sempre nello stato approval awaited.

         • Indirizzi email degli approvatori per la notifica

      3. (Facoltativo) Aggiungi i dettagli dell'approvatore di secondo livello:

         • Un elenco di approvatori per il diritto

           Puoi aggiungere uno dei seguenti tipi di entità come approvatori:

           • Account Google

           • Gruppi Google

           • Domini Google Workspace

           • Identificatori del pool di forza lavoro

           • Identificatori del pool di workload

           • Account di servizio

             Gli identificatori di service account e pool di workload sono disponibili solo se i service account sono autorizzati ad approvare le concessioni per questa risorsa. Per maggiori dettagli, vedi Configurare le impostazioni di Privileged Access Manager.

         • Numero di approvazioni richieste

           Se hai aggiunto un gruppo come approvatore, assicurati che il numero di approvazioni richieste sia inferiore o uguale al numero di entità nel gruppo. In caso contrario, le concessioni rimarranno bloccate per sempre nello stato approval awaited.

         • Indirizzi email degli approvatori per la notifica

    Puoi aggiungere fino a 20 responsabili dell'approvazione (identità o gruppi) per approvazione. Se vuoi aggiungere più di 20 approvatori, puoi farlo aggiungendoli a un gruppo ed elencando il gruppo come approvatore del diritto.

12. Fai clic su Avanti.

13. Fai clic su Crea diritto.

La propagazione dei diritti appena creati potrebbe richiedere alcuni minuti prima che siano pronti per l'uso.

gcloud

Il comando gcloud alpha pam entitlements create crea un diritto a livello di organizzazione, cartella o progetto.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• ENTITLEMENT_ID: l'ID del diritto da creare. Un ID deve avere una lunghezza compresa tra 4 e 63 caratteri e utilizzare i seguenti caratteri: [a-z0-9-]. Il primo carattere deve essere una lettera.
• RESOURCE_TYPE: (Facoltativo) Il tipo di risorsa a cui appartiene il diritto. Utilizza il valore organization, folder o project.
• RESOURCE_ID: Utilizzato con RESOURCE_TYPE. L'ID dell'organizzazione, della cartella o del progetto Cloud de Confianceper cui vuoi gestire i diritti. Gli ID progetto sono stringhe alfanumeriche, come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
• RESOURCE_MANAGER_RESOURCE_TYPE: Organization, Folder o Project, a seconda dell'ambito.
• ROLE: i ruoli da assegnare quando viene concesso un diritto.
• MAXIMUM_GRANT_DURATION: la durata massima per cui può essere richiesta una concessione, in secondi. L'intervallo supportato è compreso tra 30 minuti (1800) e 168 ore (604800).

• REQUESTING_MEMBER: le entità che possono richiedere la concessione del diritto. Sono supportati tutti i tipi di entità , ad eccezione di allUsers e allAuthenticatedUsers.

• APPROVING_MEMBER: le entità che possono approvare la richiesta di diritto. I tipi di principali validi sono i seguenti:

  • Utente
  • Gruppo
  • Dominio
  • Identificatori del pool di forza lavoro
  • Identificatori del pool di workload

    Questa opzione è disponibile solo se gli account di servizio sono autorizzati ad approvare le richieste di diritti per questa risorsa. Per maggiori dettagli, vedi Configurare le impostazioni di Privileged Access Manager.

  • Account di servizio

    Questa opzione è disponibile solo se gli account di servizio sono autorizzati ad approvare le richieste di diritti per questa risorsa. Per maggiori dettagli, vedi Configurare le impostazioni di Privileged Access Manager.

• APPROVALS_NEEDED: il numero di approvatori richiesti per approvare la richiesta di diritti.

  Se hai aggiunto un gruppo come approvatore, assicurati che il numero di approvazioni richieste sia inferiore o uguale al numero di entità nel gruppo. In caso contrario, le concessioni rimarranno bloccate per sempre nello stato approval awaited.

• APPROVER_EMAIL_ADDRESSES: (Facoltativo) Indirizzi email aggiuntivi da notificare quando è stata richiesta una concessione. Le identità Google associate agli approvatori delle sovvenzioni vengono notificate automaticamente. Tuttavia, potresti voler inviare una notifica a un insieme diverso di indirizzi email, soprattutto se utilizzi la federazione delle identità per la forza lavoro.
• ADMIN_EMAIL_ADDRESS: (Facoltativo) Indirizzi email aggiuntivi da notificare quando a un richiedente viene concesso l'accesso. Le identità Google associate agli approvatori delle sovvenzioni vengono notificate automaticamente. Tuttavia, potresti voler inviare una notifica a un insieme diverso di indirizzi email, soprattutto se utilizzi la federazione delle identità per la forza lavoro.
• REQUESTER_EMAIL_ADDRESS: (Facoltativo) Indirizzi email aggiuntivi da notificare quando questo diritto è disponibile per la richiesta. Le identità Google associate ai richiedenti della sovvenzione vengono avvisate automaticamente. Tuttavia, potresti voler inviare una notifica a un insieme diverso di indirizzi email, soprattutto se utilizzi la federazione delle identità per la forza lavoro.
• CONDITION_EXPRESSION: (Facoltativo) L'espressione di condizione che specifica quando l'entità può utilizzare le autorizzazioni nel ruolo. Questa condizione si applica solo quando la concessione è attiva.

Salva i seguenti contenuti in un file denominato entitlement.yaml:

privilegedAccess:
  gcpIamAccess:
    resourceType: cloudresourcemanager.googleapis.com/RESOURCE_MANAGER_RESOURCE_TYPE
    resource: //cloudresourcemanager.googleapis.com/RESOURCE_ID
    roleBindings:
    - role: ROLE_1
      conditionExpression: CONDITION_EXPRESSION_1
    - role: ROLE_2
      conditionExpression: CONDITION_EXPRESSION_2
maxRequestDuration: MAXIMUM_GRANT_DURATION
eligibleUsers:
- principals:
  - REQUESTING_MEMBER_1
  - REQUESTING_MEMBER_2
approvalWorkflow:
  manualApprovals:
    requireApproverJustification: true
    steps:
    - approvalsNeeded: APPROVALS_NEEDED_1
      approverEmailRecipients:
      - APPROVER_EMAIL_ADDRESSES_1
      - APPROVER_EMAIL_ADDRESSES_2
      approvers:
      - principals:
       - APPROVING_MEMBER_1
       - APPROVING_MEMBER_2
    - approvalsNeeded: APPROVALS_NEEDED_2
      approverEmailRecipients:
       - APPROVER_EMAIL_ADDRESSES_3
       - APPROVER_EMAIL_ADDRESSES_4
      approvers:
      - principals:
        - APPROVING_MEMBER_3
        - APPROVING_MEMBER_4
requesterJustificationConfig:
  unstructured: {}
additionalNotificationTargets:
  adminEmailRecipients:
  - ADMIN_EMAIL_ADDRESS_1
  - ADMIN_EMAIL_ADDRESS_2
  requesterEmailRecipients:
  - REQUESTER_EMAIL_ADDRESS_1
  - REQUESTER_EMAIL_ADDRESS_2

Esegui questo comando:

gcloud alpha pam entitlements create \
    ENTITLEMENT_ID \
    --entitlement-file=entitlement.yaml \
    --location=global \
    --RESOURCE_TYPE=RESOURCE_ID

gcloud alpha pam entitlements create `
    ENTITLEMENT_ID `
    --entitlement-file=entitlement.yaml `
    --location=global `
    --RESOURCE_TYPE=RESOURCE_ID

gcloud alpha pam entitlements create ^
    ENTITLEMENT_ID ^
    --entitlement-file=entitlement.yaml ^
    --location=global ^
    --RESOURCE_TYPE=RESOURCE_ID

Dovresti ricevere una risposta simile alla seguente:

Create request issued for: [ENTITLEMENT_ID]
Waiting for operation [projects/PROJECT_ID/locations/global/operations/OPERATION_ID] to complete...done.
Created entitlement [ENTITLEMENT_ID].
additionalNotificationTargets: {}
approvalWorkflow:
  manualApprovals:
    requireApproverJustification: true
    steps:
    - id: step-1
      approvalsNeeded: 3
      approvers:
      - principals:
        - user:alex@example.com
        - group:dev-team@example.com
    - id: step-2
      approvalsNeeded: 1
      approvers:
      - principals:
        - user:alex@example.com
  createTime: '2024-04-09T02:39:37.011866832Z'
  eligibleUsers:
  - principals:
    - user:bola@example.com
  etag: 00000000000000000000000000000000000000000000000000000000000=
  maxRequestDuration: 7200s
  name: projects/my-project/locations/global/entitlements/ENTITLEMENT_ID
  privilegedAccess:
    gcpIamAccess:
      resource: //cloudresourcemanager.googleapis.com/RESOURCE_TYPE/RESOURCE_ID
      resourceType: cloudresourcemanager.googleapis.com/Project
      roleBindings:
      - role: roles/storage.admin
        id: hwarq_1
        conditionExpression: "request.time.getHours() >= 8"
  requesterJustificationConfig:
    unstructured: {}
  state: AVAILABLE

REST

Il metodo createEntitlement dell'API Privileged Access Manager crea un diritto a livello di organizzazione, cartella o progetto.

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

• SCOPE: l'organizzazione, la cartella o il progetto in cui creare il diritto, nel formato organizations/ORGANIZATION_ID, folders/FOLDER_ID o projects/PROJECT_ID. Gli ID progetto sono stringhe alfanumeriche, come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
• ENTITLEMENT_ID: l'ID del diritto da creare. Un ID deve avere una lunghezza compresa tra 4 e 63 caratteri e utilizzare i seguenti caratteri: [a-z0-9-]. Il primo carattere deve essere una lettera.
• RESOURCE_MANAGER_RESOURCE_TYPE: Organization, Folder o Project, a seconda dell'ambito.
• ROLE: i ruoli da assegnare quando viene concesso un diritto.
• MAXIMUM_GRANT_DURATION: la durata massima per cui può essere richiesta una concessione, in secondi. L'intervallo supportato è compreso tra 30 minuti (1800) e 168 ore (604800).

• REQUESTING_MEMBER: le entità che possono richiedere la concessione del diritto. Sono supportati tutti i tipi di entità , ad eccezione di allUsers e allAuthenticatedUsers.

• APPROVING_MEMBER: le entità che possono approvare la richiesta di diritto. I tipi di principali validi sono i seguenti:

  • Utente
  • Gruppo
  • Dominio
  • Identificatori del pool di forza lavoro
  • Identificatori del pool di workload

    Questa opzione è disponibile solo se gli account di servizio sono autorizzati ad approvare le richieste di diritti per questa risorsa. Per maggiori dettagli, vedi Configurare le impostazioni di Privileged Access Manager.

  • Account di servizio

    Questa opzione è disponibile solo se gli account di servizio sono autorizzati ad approvare le richieste di diritti per questa risorsa. Per maggiori dettagli, vedi Configurare le impostazioni di Privileged Access Manager.

• APPROVALS_NEEDED: il numero di approvatori richiesti per approvare la richiesta di diritti.

  Se hai aggiunto un gruppo come approvatore, assicurati che il numero di approvazioni richieste sia inferiore o uguale al numero di entità nel gruppo. In caso contrario, le concessioni rimarranno bloccate per sempre nello stato approval awaited.

• APPROVER_EMAIL_ADDRESSES: (Facoltativo) Indirizzi email aggiuntivi da notificare quando è stata richiesta una concessione. Le identità Google associate agli approvatori delle sovvenzioni vengono notificate automaticamente. Tuttavia, potresti voler inviare una notifica a un insieme diverso di indirizzi email, soprattutto se utilizzi la federazione delle identità per la forza lavoro.
• ADMIN_EMAIL_ADDRESS: (Facoltativo) Indirizzi email aggiuntivi da notificare quando a un richiedente viene concesso l'accesso. Le identità Google associate agli approvatori delle sovvenzioni vengono notificate automaticamente. Tuttavia, potresti voler inviare una notifica a un insieme diverso di indirizzi email, soprattutto se utilizzi la federazione delle identità per la forza lavoro.
• REQUESTER_EMAIL_ADDRESS: (Facoltativo) Indirizzi email aggiuntivi da notificare quando questo diritto è disponibile per la richiesta. Le identità Google associate ai richiedenti della sovvenzione vengono avvisate automaticamente. Tuttavia, potresti voler inviare una notifica a un insieme diverso di indirizzi email, soprattutto se utilizzi la federazione delle identità per la forza lavoro.
• CONDITION_EXPRESSION: (Facoltativo) L'espressione di condizione che specifica quando l'entità può utilizzare le autorizzazioni nel ruolo. Questa condizione si applica solo quando la concessione è attiva.

Metodo HTTP e URL:

POST https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements?entitlementId=ENTITLEMENT_ID

Corpo JSON della richiesta:

{
  "privilegedAccess": {
    "gcpIamAccess": {
      "resourceType": "cloudresourcemanager.googleapis.com/RESOURCE_MANAGER_RESOURCE_TYPE",
      "resource": "//cloudresourcemanager.googleapis.com/SCOPE",
      "roleBindings": [
        {
          "role": "ROLE_1",
          "conditionExpression": "CONDITION_EXPRESSION_1",
        },
        {
          "role": "ROLE_2",
          "conditionExpression": "CONDITION_EXPRESSION_2",
        },
      ]
    }
  },
  "maxRequestDuration": "MAXIMUM_GRANT_DURATION",
  "eligibleUsers": [
    {
      "principals": [
        "REQUESTING_MEMBER_1",
        "REQUESTING_MEMBER_2",
        ...
      ]
    }
  ],
  "approvalWorkflow": {
    "manualApprovals": {
      "requireApproverJustification": true,
      "steps": [
        {
          "approvers": [
            {
              "principals": [
                "APPROVING_MEMBER_1",
                "APPROVING_MEMBER_2",
              ]
            }
          ],
          "approvalsNeeded": APPROVALS_NEEDED_1,
          "approverEmailRecipients": [
            "APPROVER_EMAIL_ADDRESSES_1",
            "APPROVER_EMAIL_ADDRESSES_2",
          ]
        },
        {
          "approvers": [
            {
              "principals": [
                "APPROVING_MEMBER_3",
                "APPROVING_MEMBER_4",
              ]
            }
          ],
          "approvalsNeeded": APPROVALS_NEEDED_2,
          "approverEmailRecipients": [
            "APPROVER_EMAIL_ADDRESSES_3",
            "APPROVER_EMAIL_ADDRESSES_4",
          ]
        }
      ]
    }
  },
  "requesterJustificationConfig": {
    "unstructured": {
    }
  },
  "additionalNotificationTargets": {
    "adminEmailRecipients": [
      "ADMIN_EMAIL_ADDRESS_1",
      "ADMIN_EMAIL_ADDRESS_2",
    ],
    "requesterEmailRecipients": [
      "REQUESTER_EMAIL_ADDRESS_1",
      "REQUESTER_EMAIL_ADDRESS_2",
    ]
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements?entitlementId=ENTITLEMENT_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements?entitlementId=ENTITLEMENT_ID" | Select-Object -Expand Content

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/PROJECT_ID/locations/global/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.privilegedaccessmanager.v1beta.OperationMetadata",
    "createTime": "2024-03-05T03:35:14.596739353Z",
    "target": "projects/PROJECT_ID/locations/global/entitlements/ENTITLEMENT_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1beta"
  },
  "done": false
}

Per controllare l'avanzamento di un'operazione di creazione, puoi inviare una richiesta GET al seguente endpoint:

https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/operations/OPERATION_ID

Invia una richiesta GET al seguente endpoint per elencare tutte le operazioni:

https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/operations

Terraform

Puoi utilizzare Terraform per creare diritti. Per saperne di più, consulta google_privileged_access_manager_entitlement nella documentazione di Terraform. La propagazione dei diritti appena creati potrebbe richiedere alcuni minuti prima che siano pronti per l'uso.

Config Connector

Puoi utilizzare Kubernetes Config Connector per creare diritti. Per ulteriori informazioni, consulta PrivilegedAccessManagerEntitlement nella documentazione di Config Connector. La propagazione dei diritti appena creati potrebbe richiedere alcuni minuti prima che siano pronti per l'uso.