יצירת הרשאות ב-Privileged Access Manager

Privileged Access Manager (PAM) מאפשר ליצור הרשאות בארגון, בתיקייה או בפרויקט כדי לספק גישה זמנית לפי דרישה למשאביGoogle Cloud . כל הרשאה מגדירה את התפקידים בניהול הזהויות והרשאות הגישה (IAM) שצריך להקצות, את המשתמשים שיכולים לשלוח בקשות, את משך הגישה המקסימלי ואת תהליך העבודה הנדרש לאישור. התפקידים שמוקצים באמצעות הרשאה פועלים לפי היררכיית המשאבים של Google Cloud, כך שמשאבי הצאצא יורשים את הגישה שניתנה ברמת ההורה.

שיקולים בנושא הרשאות

לפני שיוצרים הרשאה, חשוב לקרוא את הדרישות והמגבלות הבאות:

  • תפקידים ושירותים נתמכים:
  • מבקשים ומאשרים:
    • אפשר להוסיף עד 20 חשבונות משתמשים כמבקשים, ועד 20 חשבונות משתמשים כמאשרים לכל רמת אישור. אם מוסיפים קבוצה כמבקשת או כמאשרת, כל חברי הקבוצה יכולים לבקש או לבדוק הרשאות, אבל רק החשבון הספציפי שמבקש הרשאה מקבל הרשאות מורחבות.
    • אם האישורים האוטומטיים מופעלים במשאב, אתם יכולים להוסיף חשבונות שירות, זהויות של נציגים וזהויות של מאגרי עומסי עבודה כגורמים מאשרים (גרסת טרום-השקה (Preview)). פרטים נוספים מופיעים במאמר קביעת ההגדרות של Privileged Access Manager.
    • אם הפעלתם את Security Command Center Premium או Enterprise, אתם יכולים להגדיר עד שתי רמות אישור רציפות לכל הרשאה, ולדרוש עד חמישה אישורים לכל רמה (גרסת טרום-השקה (Preview)). הגורמים המאשרים ברמה השנייה מקבלים הודעה אחרי שהאישורים ברמה הראשונה הושלמו, והמענק הופך ל-active אחרי שהאישורים ברמה השנייה מתקבלים. אם אחד מהגורמים המאשרים דוחה את הבקשה, ההרשאה עוברת למצב denied בלי לשלוח הודעה לגורמים מאשרים נוספים.
  • גישה קיימת: יצירת הרשאה לא מבטלת את הקישורים הקבועים של תפקידי IAM שכבר יש לחשבונות המשתמשים. כדי לדרוש גישה בזמן אמת, צריך להסיר בנפרד את קישורי התפקידים הקבועים הקיימים.

לפני שמתחילים

כדי לקבל את ההרשאות שדרושות ליצירת הרשאות, בקשו מהאדמין לתת לכם את התפקידים הבאים ב-IAM ברמת הארגון, התיקייה או הפרויקט שבהם אתם רוצים ליצור הרשאות:

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה כוללים את ההרשאות שנדרשות כדי ליצור הרשאות. כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

ההרשאות הנדרשות

כדי ליצור הרשאות, צריך את ההרשאות הבאות:

  • כדי ליצור הרשאות והקצאות לארגון:
    • resourcemanager.organizations.get
    • resourcemanager.organizations.setIamPolicy
    • privilegedaccessmanager.entitlements.create
  • כדי ליצור הרשאות והקצאות לתיקייה:
    • resourcemanager.folders.get
    • resourcemanager.folders.setIamPolicy
    • privilegedaccessmanager.entitlements.create
  • כדי ליצור הרשאות והקצאות לפרויקט:
    • resourcemanager.projects.get
    • resourcemanager.projects.setIamPolicy
    • privilegedaccessmanager.entitlements.create

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

יצירת הרשאות

המסוף

  1. נכנסים לדף Privileged Access Manager.

    לפתיחת Privileged Access Manager

  2. בוחרים את הארגון, התיקייה או הפרויקט שעליהם רוצים להחיל את ההרשאה.

  3. לוחצים על הכרטיסייה הרשאות.

  4. לוחצים על יצירה.

  5. בקטע פרטי ההרשאה, מזינים את הפרטים הבאים:

    • שם ההרשאה. שם ההרשאה יכול לכלול בין 4 ל-63 תווים. השם צריך להתחיל באות קטנה באנגלית, ויכול לכלול רק אותיות קטנות, מספרים ומקפים.

    • עד 30 תפקידים שאפשר להקצות ברמת הארגון, התיקייה או הפרויקט.

      אתם יכולים גם להוסיף תנאי IAM לתפקידים האלה, באותו אופן שבו מוסיפים תנאים לקישורי תפקידים במדיניות הרשאה.

    • משך הזמן המקסימלי של בקשת הגישה. משך הזמן המקסימלי שאפשר להגדיר להרשאה הוא 7 ימים.

  6. לוחצים על הבא.

  7. בקטע הוספת משתמשים שיכולים לבקש גישה, מזינים עד 20 חשבונות משתמשים תקינים שיכולים לבקש גישה.

    כל סוגי חשבונות המשתמשים נתמכים, חוץ מ-allUsers ו-allAuthenticatedUsers. כדי להוסיף יותר מ-20 זהויות, אפשר להוסיף אותן לקבוצה ולציין את הקבוצה בהרשאה.

  8. בוחרים אם החשבונות הראשיים צריכים לספק הצדקה לבקשת ההקצאה.

  9. מזינים כתובות אימייל נוספות של משתמשים שרוצים שיישלחו אליהם הודעות כשאפשר לבקש גישה להרשאה.

    זהויות Google שמשויכות להרשאה, כמו מאשרים ומבקשים, מקבלות הודעה באופן אוטומטי. עם זאת, אם רוצים להודיע לאנשים נוספים, אפשר להוסיף את כתובות האימייל שלהם. האפשרות הזו שימושית במיוחד אם אתם משתמשים בזהויות של כוח עבודה במקום בחשבונות Google.

  10. לוחצים על הבא.

  11. בקטע הוספת גורמים מאשרים, מבצעים אחת מהפעולות הבאות:

    • כדי לאפשר הקצאת תפקידים בלי אישור, בוחרים באפשרות קבלת גישה ללא צורך באישור.

    • כדי לחייב אישורים, מבצעים את הפעולות הבאות:

      1. אופציונלי: כדי לדרוש מהגורמים המאשרים להזין סיבות לאישור הבקשות, בוחרים באפשרות הגורמים המאשרים צריכים לציין סיבה.

      2. מזינים את הפרטים של המאשר ברמה הראשונה:

        • רשימת המאשרים של ההרשאה

          אתם יכולים להוסיף כל אחד מסוגי חשבונות המשתמשים הבאים כמאשרים:

          • חשבונות Google

          • קבוצות Google

          • דומיינים ב-Google Workspace

          • מזהים של מאגר כוח העבודה

          • מזהים של מאגר עומסי עבודה

          • חשבונות שירות וזהויות של סוכנים

            מזהים של חשבונות שירות, זהויות של סוכנים ומאגרי עומסי עבודה זמינים רק אם לחשבונות שירות ולזהויות של סוכנים מותר לאשר הקצאות למשאב הזה. פרטים נוספים זמינים במאמר קביעת ההגדרות של Privileged Access Manager.

        • מספר האישורים שדרושים

          אם הוספתם קבוצה כגורם מאשר, ודאו שמספר האישורים הנדרשים קטן ממספר החשבונות הראשיים בקבוצה או שווה לו. אחרת, ההרשאות יישארו תקועות במצב approval awaited.

        • כתובות האימייל של המאשרים לקבלת התראות

      3. אופציונלי: מוסיפים את הפרטים של הגורם המאשר ברמה השנייה:

        • רשימת המאשרים של ההרשאה

          אתם יכולים להוסיף כל אחד מסוגי חשבונות המשתמשים הבאים כמאשרים:

          • חשבונות Google

          • קבוצות Google

          • דומיינים ב-Google Workspace

          • מזהים של מאגר כוח העבודה

          • מזהים של מאגר עומסי עבודה

          • חשבונות שירות וזהויות של סוכנים

            מזהים של חשבונות שירות, זהויות של סוכנים ומאגרי עומסי עבודה זמינים רק אם לחשבונות שירות ולזהויות של סוכנים מותר לאשר הקצאות למשאב הזה. פרטים נוספים זמינים במאמר קביעת ההגדרות של Privileged Access Manager.

        • מספר האישורים שדרושים

          אם הוספתם קבוצה כגורם מאשר, ודאו שמספר האישורים הנדרשים קטן ממספר החשבונות הראשיים בקבוצה או שווה לו. אחרת, ההרשאות יישארו תקועות במצב approval awaited.

        • כתובות האימייל של המאשרים לקבלת התראות

    אפשר להוסיף עד 20 חשבונות משתמשים מאשרים (זהויות או קבוצות) לכל אישור. אם רוצים להוסיף יותר מ-20 מאשרים, אפשר להוסיף אותם לקבוצה ולרשום את הקבוצה כמאשרת של ההרשאה.

  12. לוחצים על הבא.

  13. לוחצים על Create Entitlement.

יכול להיות שיעברו כמה דקות עד שההרשאות החדשות שנוצרו יופצו ויהיו מוכנות לשימוש.

gcloud

הפקודה gcloud alpha pam entitlements create יוצרת הרשאה ברמת הארגון, התיקייה או הפרויקט.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫ENTITLEMENT_ID: מזהה ההרשאה שרוצים ליצור. המזהה חייב להיות באורך של 4 עד 63 תווים, ולהכיל את התווים הבאים: [a-z0-9-]. התו הראשון חייב להיות אות.
  • ‫RESOURCE_TYPE: אופציונלי. סוג המשאב שההרשאה שייכת אליו. אפשר להשתמש ב-organization, ב-folder או ב-project.
  • ‫SCOPE: הארגון, התיקייה או הפרויקט שבהם רוצים ליצור את ההרשאה, בפורמט organizations/ORGANIZATION_ID,‏ folders/FOLDER_ID או projects/PROJECT_ID. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות ומזהי הארגון מכילים רק ספרות, למשל 123456789012.
  • ‫RESOURCE_MANAGER_RESOURCE_TYPE: Organization,‏ Folder או Project, בהתאם להיקף.
  • ‫ROLE: התפקידים שיוקצו כשתינתן הרשאה.
  • MAXIMUM_GRANT_DURATION: משך הזמן המקסימלי שאפשר לבקש הרשאה, בשניות, עם הסיומת s. לדוגמה, כדי לציין 30 דקות, משתמשים ב-1800s. הטווח הנתמך הוא בין 30 דקות (1800s) ל-168 שעות (604800s).

  • ‫REQUESTING_MEMBER: חשבונות המשתמשים שיכולים לבקש לקבל את ההרשאה. כל סוגי חשבונות המשתמשים נתמכים, חוץ מ-allUsers ומ-allAuthenticatedUsers.

  • ‫APPROVING_MEMBER: חשבונות המשתמשים שיכולים לאשר את בקשת ההרשאה. אלה סוגי חשבונות המשתמשים התקינים:

    • משתמש
    • קבוצה
    • דומיין
    • מזהים של מאגר כוח העבודה
    • מזהים של מאגר עומסי עבודה

      האפשרות הזו זמינה רק אם לחשבונות שירות ולזהויות של נציגים מותר לאשר בקשות להרשאות במשאב הזה. פרטים נוספים זמינים במאמר קביעת ההגדרות של Privileged Access Manager.

    • חשבונות שירות וזהויות של סוכנים

      האפשרות הזו זמינה רק אם לחשבונות שירות ולזהויות של נציגים מותר לאשר בקשות להרשאות במשאב הזה. פרטים נוספים זמינים במאמר קביעת ההגדרות של Privileged Access Manager.

  • ‫APPROVALS_NEEDED: מספר הגורמים שצריכים לאשר את בקשת ההרשאה.

    אם הוספתם קבוצה כגורם מאשר, ודאו שמספר האישורים הנדרשים קטן ממספר החשבונות הראשיים בקבוצה או שווה לו. אחרת, ההרשאות יישארו תקועות במצב approval awaited.

  • ‫APPROVER_EMAIL_ADDRESSES: אופציונלי. כתובות אימייל נוספות שאליהן תישלח הודעה כשנשלחת בקשת גישה. זהויות Google שמשויכות למאשרי המענקים מקבלות התראה באופן אוטומטי. עם זאת, יכול להיות שתרצו לשלוח הודעות לכתובות אימייל אחרות, במיוחד אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה.
  • ‫ADMIN_EMAIL_ADDRESS: אופציונלי. כתובות אימייל נוספות שאליהן תישלח התראה כשבקשת הגישה מאושרת. זהויות Google שמשויכות למאשרי המענקים מקבלות התראה באופן אוטומטי. עם זאת, יכול להיות שתרצו לשלוח הודעות לכתובות אימייל אחרות, במיוחד אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה.
  • ‫REQUESTER_EMAIL_ADDRESS: אופציונלי. כתובות אימייל נוספות שיישלחו אליהן הודעות כשההרשאה הזו תהיה זמינה לבקשה. זהויות Google שמשויכות למבקשי ההרשאות מקבלות הודעה באופן אוטומטי. עם זאת, יכול להיות שתרצו לשלוח התראות לקבוצה אחרת של כתובות אימייל, במיוחד אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה.
  • ‫CONDITION_EXPRESSION: אופציונלי. ביטוי התנאי שמציין מתי חשבון המשתמש יכול להשתמש בהרשאות שבתפקיד. התנאי הזה חל רק כשהמענק פעיל.

שומרים את התוכן הבא בקובץ בשם entitlement.yaml: 

privilegedAccess:
  gcpIamAccess:
    resourceType: cloudresourcemanager.googleapis.com/RESOURCE_MANAGER_RESOURCE_TYPE
    resource: //cloudresourcemanager.googleapis.com/SCOPE
    roleBindings:
    - role: ROLE_1
      conditionExpression: CONDITION_EXPRESSION_1
    - role: ROLE_2
      conditionExpression: CONDITION_EXPRESSION_2
maxRequestDuration: MAXIMUM_GRANT_DURATION
eligibleUsers:
- principals:
  - REQUESTING_MEMBER_1
  - REQUESTING_MEMBER_2
approvalWorkflow:
  manualApprovals:
    requireApproverJustification: true
    steps:
    - approvalsNeeded: APPROVALS_NEEDED_1
      approverEmailRecipients:
      - APPROVER_EMAIL_ADDRESSES_1
      - APPROVER_EMAIL_ADDRESSES_2
      approvers:
      - principals:
       - APPROVING_MEMBER_1
       - APPROVING_MEMBER_2
    - approvalsNeeded: APPROVALS_NEEDED_2
      approverEmailRecipients:
       - APPROVER_EMAIL_ADDRESSES_3
       - APPROVER_EMAIL_ADDRESSES_4
      approvers:
      - principals:
        - APPROVING_MEMBER_3
        - APPROVING_MEMBER_4
requesterJustificationConfig:
  unstructured: {}
additionalNotificationTargets:
  adminEmailRecipients:
  - ADMIN_EMAIL_ADDRESS_1
  - ADMIN_EMAIL_ADDRESS_2
  requesterEmailRecipients:
  - REQUESTER_EMAIL_ADDRESS_1
  - REQUESTER_EMAIL_ADDRESS_2

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud alpha pam entitlements create \
    ENTITLEMENT_ID \
    --entitlement-file=entitlement.yaml \
    --location=global \
    --RESOURCE_TYPE=RESOURCE_ID

‏Windows (PowerShell)

gcloud alpha pam entitlements create `
    ENTITLEMENT_ID `
    --entitlement-file=entitlement.yaml `
    --location=global `
    --RESOURCE_TYPE=RESOURCE_ID

Windows‏ (cmd.exe)

gcloud alpha pam entitlements create ^
    ENTITLEMENT_ID ^
    --entitlement-file=entitlement.yaml ^
    --location=global ^
    --RESOURCE_TYPE=RESOURCE_ID

אמורים לקבל תגובה שדומה לזו:

Create request issued for: [ENTITLEMENT_ID]
Waiting for operation [projects/PROJECT_ID/locations/global/operations/OPERATION_ID] to complete...done.
Created entitlement [ENTITLEMENT_ID].
additionalNotificationTargets: {}
approvalWorkflow:
  manualApprovals:
    requireApproverJustification: true
    steps:
    - id: step-1
      approvalsNeeded: 3
      approvers:
      - principals:
        - user:alex@example.com
        - group:dev-team@example.com
    - id: step-2
      approvalsNeeded: 1
      approvers:
      - principals:
        - user:alex@example.com
  createTime: '2024-04-09T02:39:37.011866832Z'
  eligibleUsers:
  - principals:
    - user:bola@example.com
  etag: 00000000000000000000000000000000000000000000000000000000000=
  maxRequestDuration: 7200s
  name: projects/my-project/locations/global/entitlements/ENTITLEMENT_ID
  privilegedAccess:
    gcpIamAccess:
      resource: //cloudresourcemanager.googleapis.com/RESOURCE_TYPE/RESOURCE_ID
      resourceType: cloudresourcemanager.googleapis.com/Project
      roleBindings:
      - role: roles/storage.admin
        id: hwarq_1
        conditionExpression: "request.time.getHours() >= 8"
  requesterJustificationConfig:
    unstructured: {}
  state: AVAILABLE
יכול להיות שיעברו כמה דקות עד שההרשאות החדשות שנוצרו יופצו ויהיו מוכנות לשימוש.

REST

ה-method‏ createEntitlement ב-Privileged Access Manager API יוצרת הרשאה ברמת הארגון, התיקייה או הפרויקט.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫SCOPE: הארגון, התיקייה או הפרויקט שבהם רוצים ליצור את ההרשאה, בפורמט organizations/ORGANIZATION_ID,‏ folders/FOLDER_ID או projects/PROJECT_ID. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות ומזהי הארגון מכילים רק ספרות, למשל 123456789012.
  • ‫ENTITLEMENT_ID: מזהה ההרשאה שרוצים ליצור. המזהה חייב להיות באורך של 4 עד 63 תווים, ולהכיל את התווים הבאים: [a-z0-9-]. התו הראשון חייב להיות אות.
  • ‫RESOURCE_MANAGER_RESOURCE_TYPE: Organization,‏ Folder או Project, בהתאם להיקף.
  • ‫ROLE: התפקידים שיוקצו כשתינתן הרשאה.
  • MAXIMUM_GRANT_DURATION: משך הזמן המקסימלי שאפשר לבקש הרשאה, בשניות, עם הסיומת s. לדוגמה, כדי לציין 30 דקות, משתמשים ב-1800s. הטווח הנתמך הוא בין 30 דקות (1800s) ל-168 שעות (604800s).

  • ‫REQUESTING_MEMBER: חשבונות המשתמשים שיכולים לבקש לקבל את ההרשאה. כל סוגי חשבונות המשתמשים נתמכים, חוץ מ-allUsers ומ-allAuthenticatedUsers.

  • ‫APPROVING_MEMBER: חשבונות המשתמשים שיכולים לאשר את בקשת ההרשאה. אלה סוגי חשבונות המשתמשים התקינים:

    • משתמש
    • קבוצה
    • דומיין
    • מזהים של מאגר כוח העבודה
    • מזהים של מאגר עומסי עבודה

      האפשרות הזו זמינה רק אם לחשבונות שירות ולזהויות של נציגים מותר לאשר בקשות להרשאות במשאב הזה. פרטים נוספים זמינים במאמר קביעת ההגדרות של Privileged Access Manager.

    • חשבונות שירות וזהויות של סוכנים

      האפשרות הזו זמינה רק אם לחשבונות שירות ולזהויות של נציגים מותר לאשר בקשות להרשאות במשאב הזה. פרטים נוספים זמינים במאמר קביעת ההגדרות של Privileged Access Manager.

  • ‫APPROVALS_NEEDED: מספר הגורמים שצריכים לאשר את בקשת ההרשאה.

    אם הוספתם קבוצה כמאשרת, ודאו שמספר האישורים הנדרשים קטן או שווה למספר החשבונות הראשיים בקבוצה. אחרת, ההרשאות יישארו תקועות במצב approval awaited.

  • ‫APPROVER_EMAIL_ADDRESSES: אופציונלי. כתובות אימייל נוספות שאליהן תישלח הודעה כשנשלחת בקשת גישה. זהויות Google שמשויכות למאשרי המענקים מקבלות התראה באופן אוטומטי. עם זאת, יכול להיות שתרצו לשלוח הודעות לכתובות אימייל אחרות, במיוחד אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה.
  • ‫ADMIN_EMAIL_ADDRESS: אופציונלי. כתובות אימייל נוספות שאליהן תישלח התראה כשבקשת הגישה מאושרת. זהויות Google שמשויכות למאשרי המענקים מקבלות התראה באופן אוטומטי. עם זאת, יכול להיות שתרצו לשלוח הודעות לכתובות אימייל אחרות, במיוחד אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה.
  • ‫REQUESTER_EMAIL_ADDRESS: אופציונלי. כתובות אימייל נוספות שיישלחו אליהן הודעות כשההרשאה הזו תהיה זמינה לבקשה. זהויות Google שמשויכות למבקשי ההרשאות מקבלות הודעה באופן אוטומטי. עם זאת, יכול להיות שתרצו לשלוח התראות לקבוצה אחרת של כתובות אימייל, במיוחד אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה.
  • ‫CONDITION_EXPRESSION: אופציונלי. ביטוי התנאי שמציין מתי חשבון המשתמש יכול להשתמש בהרשאות שבתפקיד. התנאי הזה חל רק כשהמענק פעיל.

ה-method של ה-HTTP וכתובת ה-URL: 

POST https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements?entitlementId=ENTITLEMENT_ID

תוכן בקשת JSON: 

{
  "privilegedAccess": {
    "gcpIamAccess": {
      "resourceType": "cloudresourcemanager.googleapis.com/RESOURCE_MANAGER_RESOURCE_TYPE",
      "resource": "//cloudresourcemanager.googleapis.com/SCOPE",
      "roleBindings": [
        {
          "role": "ROLE_1",
          "conditionExpression": "CONDITION_EXPRESSION_1",
        },
        {
          "role": "ROLE_2",
          "conditionExpression": "CONDITION_EXPRESSION_2",
        },
      ]
    }
  },
  "maxRequestDuration": "MAXIMUM_GRANT_DURATION",
  "eligibleUsers": [
    {
      "principals": [
        "REQUESTING_MEMBER_1",
        "REQUESTING_MEMBER_2",
        ...
      ]
    }
  ],
  "approvalWorkflow": {
    "manualApprovals": {
      "requireApproverJustification": true,
      "steps": [
        {
          "approvers": [
            {
              "principals": [
                "APPROVING_MEMBER_1",
                "APPROVING_MEMBER_2",
              ]
            }
          ],
          "approvalsNeeded": APPROVALS_NEEDED_1,
          "approverEmailRecipients": [
            "APPROVER_EMAIL_ADDRESSES_1",
            "APPROVER_EMAIL_ADDRESSES_2",
          ]
        },
        {
          "approvers": [
            {
              "principals": [
                "APPROVING_MEMBER_3",
                "APPROVING_MEMBER_4",
              ]
            }
          ],
          "approvalsNeeded": APPROVALS_NEEDED_2,
          "approverEmailRecipients": [
            "APPROVER_EMAIL_ADDRESSES_3",
            "APPROVER_EMAIL_ADDRESSES_4",
          ]
        }
      ]
    }
  },
  "requesterJustificationConfig": {
    "unstructured": {
    }
  },
  "additionalNotificationTargets": {
    "adminEmailRecipients": [
      "ADMIN_EMAIL_ADDRESS_1",
      "ADMIN_EMAIL_ADDRESS_2",
    ],
    "requesterEmailRecipients": [
      "REQUESTER_EMAIL_ADDRESS_1",
      "REQUESTER_EMAIL_ADDRESS_2",
    ]
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:


{
  "name": "projects/PROJECT_ID/locations/global/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.privilegedaccessmanager.v1beta.OperationMetadata",
    "createTime": "2024-03-05T03:35:14.596739353Z",
    "target": "projects/PROJECT_ID/locations/global/entitlements/ENTITLEMENT_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1beta"
  },
  "done": false
}

כדי לבדוק את התקדמות פעולת היצירה, אפשר לשלוח בקשת GET לנקודת הקצה הבאה: 

https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/operations/OPERATION_ID

שולחים בקשת GET לנקודת הקצה הבאה כדי להציג את כל הפעולות:

https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/operations
 יכול להיות שיעברו כמה דקות עד שההרשאות החדשות שנוצרו יופצו ויהיו מוכנות לשימוש.

Terraform

אתם יכולים להשתמש ב-Terraform כדי ליצור הרשאות. מידע נוסף מופיע במאמר google_privileged_access_manager_entitlement במסמכי התיעוד של Terraform. יכול להיות שיעברו כמה דקות עד שההרשאות החדשות שנוצרו יופצו ויהיו מוכנות לשימוש.

Config Connector

אתם יכולים להשתמש ב-Kubernetes Config Connector כדי ליצור הרשאות. מידע נוסף זמין במאמר PrivilegedAccessManagerEntitlement במסמכי התיעוד של Config Connector. יכול להיות שיעברו כמה דקות עד שההרשאות החדשות שנוצרו יופצו ויהיו מוכנות לשימוש.

המאמרים הבאים