Privileged Access Manager – Übersicht

Mit Privileged Access Manager (PAM) können Sie die temporäre Just-in-Time-Ausweitung von Berechtigungen für ausgewählte Hauptkonten steuern und anschließend Audit-Logs aufrufen, um herauszufinden, wer wann auf was zugegriffen hat.

Wenn Sie eine vorübergehende Rechteausweitung zulassen möchten, erstellen Sie in Privileged Access Manager eine Berechtigung und fügen Sie ihr die folgenden Attribute hinzu:

  • Eine Reihe von Hauptkonten, die eine Erteilung für die Berechtigung anfordern dürfen.

  • Ob für diese Erteilung eine Begründung erforderlich ist.

  • Eine Reihe von Rollen, die vorübergehend gewährt werden sollen. Für die Rollen können IAM-Bedingungen festgelegt werden.

  • Die maximale Dauer einer Erteilung.

  • Optional: Ob Anfragen von einer ausgewählten Gruppe von Hauptkonten genehmigt werden müssen und ob diese Hauptkonten ihre Genehmigung begründen müssen.

  • Optional: Zusätzliche Stakeholder, die über wichtige Ereignisse benachrichtigt werden sollen, z. B. über Erteilungen und ausstehende Genehmigungen.

Ein Hauptkonto, das einer Berechtigung als Anforderer hinzugefügt wurde, kann eine Erteilung für diese Berechtigung beantragen. Bei Erfolg werden ihnen die in der Berechtigung aufgeführten Rollen bis zum Ende der Gewährungsdauer zugewiesen. Danach werden die Rollen vom Privileged Access Manager widerrufen.

Anwendungsfälle

Wenn Sie Privileged Access Manager effektiv nutzen möchten, sollten Sie zuerst bestimmte Anwendungsfälle und Szenarien identifizieren, in denen die Anforderungen Ihrer Organisation erfüllt werden können. Passen Sie Ihre Privileged Access Manager-Berechtigungen an diese Anwendungsfälle und erforderlichen Anforderungen und Kontrollen an. Dazu müssen die beteiligten Nutzer, Rollen, Ressourcen und Zeiträume sowie alle erforderlichen Begründungen und Genehmigungen erfasst werden.

Der Privileged Access Manager kann als allgemeine Best Practice verwendet werden, um temporäre statt dauerhafte Berechtigungen zu gewähren. Hier sind einige Szenarien, in denen er häufig verwendet wird:

  • Notfallzugriff gewähren: Ausgewählten Rettungskräften erlauben, kritische Aufgaben auszuführen, ohne auf eine Genehmigung warten zu müssen. Sie können Begründungen für Notfallzugriffsanfragen anfordern, um zusätzlichen Kontext zu erhalten.

  • Zugriff auf sensible Ressourcen steuern: Steuern Sie den Zugriff auf sensible Ressourcen streng und verlangen Sie Genehmigungen und geschäftliche Begründungen. Mit Privileged Access Manager können Sie auch prüfen, wie dieser Zugriff verwendet wurde, z. B. wann gewährte Rollen für einen Nutzer aktiv waren, auf welche Ressourcen in dieser Zeit zugegriffen werden konnte, die Begründung für den Zugriff und wer ihn genehmigt hat.

    Mit Privileged Access Manager können Sie beispielsweise Folgendes tun:

    • Entwicklern vorübergehenden Zugriff auf Produktionsumgebungen für die Fehlerbehebung oder Bereitstellungen gewähren.

    • Support-Entwicklern Zugriff auf vertrauliche Kundendaten für bestimmte Aufgaben gewähren

    • Datenbankadministratoren erhöhte Berechtigungen für Wartungs- oder Konfigurationsänderungen gewähren

  • Geringste Berechtigung implementieren: Wenn Sie allen Nutzern Administratorrollen oder umfassenden Zugriff zuweisen, kann sich die Angriffsfläche vergrößern. Um dies zu verhindern, können Administratoren dauerhafte Rollen mit den geringsten Berechtigungen zuweisen und Privileged Access Manager verwenden, um bei Bedarf vorübergehenden, zeitlich begrenzten erweiterten Zugriff für bestimmte Aufgaben zu gewähren. Administratoren können Berechtigungen mit tagbasierten Bedingungen erstellen und Anfragende dazu verpflichten, Gewährungsanfragen mit benutzerdefiniertem Umfang zu erstellen und Gewährungen nach Abschluss der Aufgabe zurückzuziehen. Dadurch werden die Möglichkeiten für Missbrauch erheblich reduziert und das Prinzip des „Just-in-Time“-Zugriffs wird gestärkt.

  • Genehmigungen für privilegierten Zugriff automatisieren: Um die Effizienz zu steigern, können Sie Dienstkonten oder Agent-Identitäten als Genehmiger in Ihren DevOps-Pipelines konfigurieren. Diese Konten können programmatische Genehmigungen automatisieren, indem sie Tickets direkt aus ITSM-Systemen validieren. Dadurch entfallen langsame manuelle Prüfungen.

  • Dienstkonten und Agent-Identitäten schützen: Anstatt Dienstkonten oder Agent-Identitäten dauerhaft Rollen zuzuweisen, können Sie ihnen erlauben, sich selbst zu erhöhen und Rollen nur dann zu übernehmen, wenn dies für automatisierte Aufgaben erforderlich ist.

  • Bedrohungen durch Insider und versehentlichen Missbrauch minimieren: Mit Genehmigungen durch mehrere Parteien können Sie einen zweiten Genehmiger für Gewährungsanfragen festlegen. Dieser Ansatz verringert das Risiko, dass ein einzelner Administrator oder ein gehacktes Konto böswilligen Zugriff genehmigt.

  • Zugriff für Auftragnehmer und externe Mitarbeiter verwalten: Gewähren Sie Auftragnehmern oder externen Mitarbeitern vorübergehenden, zeitlich begrenzten Zugriff auf Ressourcen, wobei Genehmigungen und Begründungen erforderlich sind.

  • Dauerhafte Rollen in temporären Zugriff umwandeln: Beheben Sie übermäßige Berechtigungen, die vom IAM Recommender identifiziert wurden. Anstatt eine Rolle dauerhaft zu widerrufen, können Sie sie in eine temporäre On-Demand-Berechtigung umwandeln. Weitere Informationen finden Sie unter Übermäßige Berechtigungen mit Privileged Access Manager beheben.

Funktionen und Beschränkungen

In den folgenden Abschnitten werden die verschiedenen Funktionen und Einschränkungen von Privileged Access Manager beschrieben.

Unterstützte Ressourcen

Privileged Access Manager unterstützt das Erstellen von Berechtigungen und das Anfordern von Erteilungen dieser Berechtigungen für Projekte, Ordner und Organisationen.

Wenn Sie den Zugriff auf eine Teilmenge von Ressourcen innerhalb eines Projekts, Ordners oder einer Organisation beschränken möchten, können Sie der Berechtigung IAM-Bedingungen hinzufügen. Privileged Access Manager unterstützt alle Bedingungsattribute, die in Rollenbindungen von Zulassungsrichtlinien unterstützt werden. Privileged Access Manager unterstützt nur Dienste, die einen detaillierten Zugriff über IAM unterstützen, da IAM-Bedingungen zum Verwalten des temporären Zugriffs verwendet werden.

Unterstützte Rollen

Privileged Access Manager unterstützt vordefinierte Rollen, benutzerdefinierte Rollen und die einfachen Rollen „Admin“, „Writer“ und „Reader“. Privileged Access Manager unterstützt keine einfachen Legacy-Rollen (Inhaber, Bearbeiter und Betrachter).

Unterstützte Identitäten

Privileged Access Manager unterstützt alle Arten von Identitäten, einschließlich Cloud Identity, Workforce Identity-Föderation, Workload Identity-Föderation und Agent-Identitäten.

Audit-Logging

Privileged Access Manager-Ereignisse, z. B. das Erstellen von Berechtigungen, die Anforderung oder Überprüfung von Erteilungen, werden in Cloud-Audit-Logs protokolliert. Eine vollständige Liste der Ereignisse, für die Privileged Access Manager Logs generiert, finden Sie in der Dokumentation zum Audit-Logging für Privileged Access Manager. Informationen zum Aufrufen dieser Logs finden Sie unter Berechtigungs- und Genehmigungsereignisse in Privileged Access Manager prüfen.

Mehrstufige Genehmigungen und Genehmigungen durch mehrere Parteien

Privileged Access Manager-Administratoren können mehrstufige Genehmigungen und Genehmigungen durch mehrere Parteien einrichten. Dies ist für Anwendungsfälle nützlich, die Folgendes umfassen:

  • Vorgänge mit hohem Risiko, z. B. das Ändern kritischer Infrastruktur oder der Zugriff auf sensible Daten
  • Aufgabentrennung erzwingen
  • Automatisierung mehrstufiger Genehmigungsprozesse in dynamischen Workflows mit Dienstkonten oder KI-Agenten-Identitäten als intelligente Genehmiger

Mit dieser Funktion können Privileged Access Manager-Administratoren mehr als eine Genehmigungsstufe pro Berechtigung vorschreiben. Pro Berechtigung sind bis zu zwei Stufen sequenzieller Genehmigungen möglich. Administratoren können bis zu fünf Genehmigungen pro Ebene vorschreiben. Weitere Informationen finden Sie unter Berechtigungen erstellen.

Anpassung des Umfangs

Anforderer können den Umfang ihrer Gewährungsanfragen so anpassen, dass sie nur die spezifischen Rollen und Ressourcen enthalten, die sie im Rahmen ihrer Berechtigung benötigen. Weitere Informationen finden Sie unter Temporären erweiterten Zugriff anfordern.

Genehmigungen für Dienstkonten und KI-Agenten-Identitäten

Privileged Access Manager-Administratoren können Dienstkonten und Agent-Identitäten als berechtigte Genehmiger aktivieren. So können Administratoren Dienstkonten, Agent-Identitäten und Identitäten in Workload Identity-Pools als Genehmiger hinzufügen, wenn sie Berechtigungen erstellen oder ändern. Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.

Unterstützung für Übernahme

Berechtigungen und Erteilungen, die auf Organisations- oder Ordnerebene eingerichtet sind, sind in den untergeordneten Ordnern und Projekten in der Google Cloud Console sichtbar. Anforderer können den Zugriff auf die untergeordneten Ressourcen basierend auf diesen Berechtigungen direkt in diesen untergeordneten Ressourcen anfordern. Weitere Informationen finden Sie unter Vorübergehenden erweiterten Zugriff mit Privileged Access Manager anfordern.

Benachrichtigungseinstellungen anpassen

Administratoren von Privileged Access Manager-Einstellungen können ressourcenweite Benachrichtigungseinstellungen für verschiedene Privileged Access Manager-Ereignisse anpassen. Mit diesen Einstellungen können Administratoren Benachrichtigungen für bestimmte Ereignisse und bestimmte Personas selektiv deaktivieren oder alle Benachrichtigungen deaktivieren. Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.

Planung von Erteilungen

Anfragende können Erteilungsanfragen bis zu sieben Tage im Voraus planen. So können Anfragende den Zugriff auf geplante Wartungsarbeiten oder Bereitschaftsdienste abstimmen und die Wartezeit auf Genehmigungen verkürzen. Weitere Informationen finden Sie unter Vorübergehenden erweiterten Zugriff anfordern.

Widerruf der Erteilung

Anfragende können Gewährungsanträge zurückziehen, die noch nicht genehmigt wurden oder für die Aktivierung geplant sind. Anforderer können ihre aktiven Erteilungen auch beenden, wenn ihre privilegierte Aufgabe abgeschlossen ist oder der Zugriff nicht mehr erforderlich ist. Unternehmen können dies als Best Practice empfehlen, um die Dauer des privilegierten Zugriffs auf die Zeit zu beschränken, in der er aktiv benötigt wird. Weitere Informationen finden Sie unter Gewährungen widerrufen.

Aufbewahrung von Erteilungen

Erteilungen von Berechtigungen werden 30 Tage nach Ablehnung, Widerruf, Zurücknahme, Ablauf oder Ende automatisch aus dem Privileged Access Manager gelöscht. Logs für Erteilungen werden in Cloud Audit Logs für die Aufbewahrungsdauer des _Required-Buckets aufbewahrt. Informationen zum Aufrufen dieser Logs finden Sie unter Berechtigungs- und Genehmigungsereignisse in Privileged Access Manager prüfen.

Privileged Access Manager und Änderungen an IAM-Richtlinien

Privileged Access Manager verwaltet den temporären Zugriff, indem Rollenbindungen zu den IAM-Zulassungsrichtlinien von Ressourcen hinzugefügt und daraus entfernt werden. Diese Rollenbindungen verwenden zeitbasierte IAM-Bedingungen, um dafür zu sorgen, dass der Zugriff nur vorübergehend ist. Daher hängen die Aktivierung und der Widerruf des temporären Zugriffs von der standardmäßigen Zugriffsänderungsweitergabe ab.

Wenn diese Rollenbindungen durch etwas anderes als Privileged Access Manager geändert werden, funktioniert Privileged Access Manager möglicherweise nicht wie erwartet.

Um dieses Problem zu vermeiden, empfehlen wir Folgendes:

  • Ändern Sie Rollenbindungen, die von Privileged Access Manager verwaltet werden, nicht manuell.
  • Wenn Sie Terraform zum Verwalten Ihrer IAM-Richtlinien verwenden, achten Sie darauf, dass Sie nicht autoritative Ressourcen anstelle von autoritativen Ressourcen verwenden. So wird verhindert, dass Terraform Rollenbindungen von Privileged Access Manager überschreibt, auch wenn sie nicht in der deklarativen IAM-Richtlinienkonfiguration enthalten sind.

Benachrichtigungen

Privileged Access Manager kann Sie über verschiedene Ereignisse in Privileged Access Manager benachrichtigen, wie in den folgenden Abschnitten beschrieben.

E-Mail-Benachrichtigungen

Bei neuen oder geänderten Berechtigungen sendet Privileged Access Manager E‑Mail-Benachrichtigungen an die betroffenen Stakeholder. Die Empfängergruppen sind:

  • Berechtigte Anforderer einer Berechtigung:

    • E-Mail-Adressen von Cloud Identity-Nutzern und -Gruppen, die in der Berechtigung als Anforderer angegeben sind.
    • Manuell konfigurierte E-Mail-Adressen in der Berechtigung: Wenn Sie dieGoogle Cloud Console verwenden, sind diese E-Mail-Adressen im Feld E-Mail-Empfänger für Anforderer im Abschnitt Anforderer hinzufügen aufgeführt. Wenn Sie die gcloud CLI oder die REST API verwenden, werden diese E-Mail-Adressen im Feld requesterEmailRecipients aufgeführt.

  • Genehmiger der Erteilung einer Berechtigung:

    • E-Mail-Adressen von Cloud Identity-Nutzern und -Gruppen, die in der Genehmigungsstufe als Genehmiger angegeben sind.
    • Manuell konfigurierte E-Mail-Adressen in der Berechtigung: Wenn Sie dieGoogle Cloud Console verwenden, sind diese E-Mail-Adressen im Feld Empfänger der Genehmigungs-E-Mail im Abschnitt Genehmiger hinzufügen aufgeführt. Wenn Sie die gcloud CLI oder die REST API verwenden, werden diese E-Mail-Adressen im Feld approverEmailRecipients der Schritte des Genehmigungsworkflows aufgeführt.

  • Administrator der Erteilung:

    • Manuell konfigurierte E-Mail-Adressen in der Berechtigung: Wenn Sie dieGoogle Cloud Console verwenden, sind diese E-Mail-Adressen im Feld E-Mail-Empfänger für Administratoren im Abschnitt Berechtigungsdetails aufgeführt. Wenn Sie die gcloud CLI oder die REST API verwenden, werden diese E-Mail-Adressen im Feld adminEmailRecipients aufgeführt.

  • Anforderer einer Erteilung:

    • E-Mail-Adresse des Anforderers, falls er ein Cloud Identity-Nutzer ist.
    • Zusätzliche E-Mail-Adressen, die der Antragsteller beim Beantragen des Ad Grants-Budgets hinzugefügt hat: Wenn Sie die Google Cloud Console verwenden, werden diese E-Mail-Adressen im Feld Zusätzliche E-Mail-Adresse(n) aufgeführt. Wenn Sie die gcloud CLI oder die REST API verwenden, werden diese E-Mail-Adressen im Feld additionalEmailRecipients aufgeführt.

Privileged Access Manager sendet bei den folgenden Ereignissen E‑Mails an diese E‑Mail-Adressen:

Empfänger Ereignis
Berechtigte Anforderer einer Berechtigung Wenn die Berechtigung dem Anforderer zugewiesen und für ihn verfügbar ist
Genehmiger der Erteilung einer Berechtigung Wenn eine Erteilung angefordert wird und eine Genehmigung erforderlich ist
Anforderer einer Erteilung
  • Wenn die Erteilung erfolgreich aktiviert wurde oder die Aktivierung fehlgeschlagen ist
  • Nach Ablauf der Erteilung
  • Wenn die Erteilung abgelehnt wurde
  • Wenn die Erteilung abläuft (sie wurde nicht innerhalb von 24 Stunden oder bis zum geplanten Aktivierungszeitpunkt genehmigt oder abgelehnt)
  • Wenn die Erteilung widerrufen wurde
Administrator der Erteilung
  • Wenn die Erteilung erfolgreich aktiviert wurde oder die Aktivierung fehlgeschlagen ist
  • Nach Ablauf der Erteilung

Pub/Sub-Benachrichtigungen

Wenn Sie Benachrichtigungen zu Änderungen an Berechtigungen über Pub/Sub erhalten möchten, empfehlen wir, Cloud-Audit-Logs mithilfe einer Cloud Logging-Senke an Pub/Sub weiterzuleiten. Weitere Informationen zu den verfügbaren Audit-Ereignissen finden Sie unter Audit-Logging für Privileged Access Manager.

Nächste Schritte