Ringkasan Privileged Access Manager

Anda dapat menggunakan Privileged Access Manager (PAM) guna mengontrol peningkatan hak istimewa sementara tepat waktu untuk principal tertentu, dan untuk melihat log audit setelahnya guna mengetahui siapa yang memiliki akses ke apa dan kapan.

Untuk mengizinkan peningkatan sementara, Anda harus membuat hak di Privileged Access Manager, dan menambahkan atribut berikut ke dalamnya:

• Kumpulan akun utama yang diizinkan untuk meminta pemberian atas hak.

• Apakah justifikasi diperlukan untuk pemberian tersebut.

• Sekumpulan peran yang akan diberikan untuk sementara. IAM Condition dapat ditetapkan pada peran.

• Durasi maksimum pemberian akses.

• Opsional: Apakah permintaan memerlukan persetujuan dari sekumpulan akun utama tertentu, dan apakah akun utama tersebut perlu memberikan justifikasi atas persetujuan mereka.

• Opsional: Pemangku kepentingan tambahan yang akan diberi tahu tentang peristiwa penting, seperti pemberian akses dan persetujuan yang tertunda.

Akun utama yang telah ditambahkan sebagai pemohon ke hak dapat meminta pemberian akses terhadap hak tersebut. Jika berhasil, mereka akan diberi peran yang tercantum dalam hak hingga akhir durasi pemberian, setelah itu peran akan dicabut oleh Privileged Access Manager.

Kasus penggunaan

Untuk menggunakan Privileged Access Manager secara efektif, mulailah dengan mengidentifikasi kasus penggunaan dan skenario tertentu yang dapat memenuhi kebutuhan organisasi Anda. Sesuaikan hak Privileged Access Manager Anda berdasarkan kasus penggunaan ini serta persyaratan dan kontrol yang diperlukan. Hal ini melibatkan pemetaan pengguna, peran, resource, dan durasi yang terlibat, beserta justifikasi dan persetujuan yang diperlukan.

Meskipun Privileged Access Manager dapat digunakan sebagai praktik terbaik umum untuk memberikan hak istimewa sementara, bukan permanen, berikut beberapa skenario yang mungkin umum digunakan:

• Memberikan akses darurat: Mengizinkan petugas tanggap darurat tertentu melakukan tugas penting tanpa harus menunggu persetujuan. Anda dapat mewajibkan justifikasi untuk permintaan akses darurat guna mendapatkan konteks tambahan.

• Mengontrol akses ke resource sensitif: Kontrol akses ke resource sensitif dengan ketat, yang memerlukan persetujuan dan justifikasi bisnis. Privileged Access Manager juga dapat digunakan untuk mengaudit cara akses ini digunakan—misalnya, saat peran yang diberikan aktif untuk pengguna, resource mana yang dapat diakses selama waktu tersebut, alasan akses, dan siapa yang menyetujuinya.

  Misalnya, Anda dapat menggunakan Privileged Access Manager untuk melakukan hal berikut:

  • Beri developer akses sementara ke lingkungan produksi untuk pemecahan masalah atau deployment.

  • Memberi engineer dukungan akses ke data pelanggan yang sensitif untuk tugas tertentu.

  • Memberi administrator database hak istimewa yang ditingkatkan untuk pemeliharaan atau perubahan konfigurasi.

• Menerapkan hak istimewa terendah yang terperinci: Menetapkan peran administratif atau akses luas ke semua pengguna dapat meningkatkan permukaan serangan. Untuk mencegah hal ini, administrator dapat menetapkan peran permanen dengan hak istimewa terendah dan menggunakan Privileged Access Manager untuk memberikan akses sementara yang dibatasi waktu untuk tugas tertentu saat diperlukan. Administrator dapat membuat hak dengan kondisi berbasis tag dan menerapkan pemohon untuk membuat permintaan pemberian dengan cakupan yang disesuaikan dan menarik pemberian setelah tugas selesai. Hal ini secara signifikan mengurangi peluang penyalahgunaan dan memperkuat prinsip akses "just-in-time".

• Mengotomatiskan persetujuan akses istimewa: Untuk meningkatkan efisiensi, Anda dapat mengonfigurasi akun layanan atau identitas agen sebagai pemberi persetujuan dalam pipeline DevOps Anda. Akun ini dapat mengotomatiskan persetujuan terprogram dengan memvalidasi tiket langsung dari sistem ITSM, sehingga menghilangkan pemeriksaan manual yang lambat.

• Membantu mengamankan akun layanan dan identitas agen: Alih-alih memberikan peran secara permanen kepada akun layanan atau identitas agen, izinkan akun layanan atau identitas agen untuk meningkatkan hak istimewa dan mengambil peran hanya saat diperlukan untuk tugas otomatis.

• Memitigasi ancaman dari dalam dan penyalahgunaan yang tidak disengaja: Dengan persetujuan banyak pihak, Anda dapat mewajibkan pemberi persetujuan kedua untuk permintaan pemberian akses. Pendekatan ini mengurangi risiko satu administrator atau akun yang disusupi menyetujui akses berbahaya.

• Mengelola akses untuk kontraktor dan tenaga kerja eksternal: Memberikan akses sementara dan terikat waktu ke resource kepada kontraktor atau anggota tenaga kerja eksternal, dengan persetujuan dan justifikasi yang diperlukan.

• Transisikan peran permanen ke akses sementara: Perbaiki izin berlebihan yang diidentifikasi oleh pemberi rekomendasi IAM. Daripada mencabut peran secara permanen, Anda dapat mengalihkannya ke hak sementara on-demand. Untuk mengetahui informasi selengkapnya, lihat Memperbaiki izin berlebihan dengan Privileged Access Manager.

Kemampuan dan batasan

Bagian berikut menjelaskan berbagai kemampuan dan batasan Privileged Access Manager.

Resource yang didukung

Privileged Access Manager mendukung pembuatan hak dan permintaan pemberian akses untuk project, folder, dan organisasi.

Jika ingin membatasi akses ke subset resource dalam project, folder, atau organisasi, Anda dapat menambahkan IAM Condition ke hak akses. Privileged Access Manager mendukung semua atribut kondisi yang didukung dalam binding peran kebijakan izin. Privileged Access Manager hanya mendukung layanan yang mendukung akses terperinci melalui IAM karena menggunakan kondisi IAM untuk mengelola akses sementara.

Peran yang didukung

Privileged Access Manager mendukung peran bawaan, peran khusus, serta Peran dasar Admin, Penulis, dan Pembaca. Privileged Access Manager tidak mendukung peran dasar lama (Pemilik, Editor, dan Viewer).

Identitas yang didukung

Privileged Access Manager mendukung semua jenis identitas, termasuk Cloud Identity, Workforce Identity Federation, Workload Identity Federation, dan identitas agen.

Logging audit

Peristiwa Privileged Access Manager, seperti pembuatan hak, permintaan, atau peninjauan pemberian akses, dicatat ke dalam log di Cloud Audit Logs. Untuk mengetahui daftar lengkap peristiwa yang lognya dibuat oleh Privileged Access Manager, lihat dokumentasi logging audit Privileged Access Manager. Untuk mempelajari cara melihat log ini, lihat Mengaudit peristiwa pemberian hak dan pemberian akses di Privileged Access Manager.

Persetujuan multi-level dan banyak pihak

Pratinjau — Persetujuan bertingkat dan banyak pihak

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Catatan: Fitur ini tersedia di tingkat Enterprise atau Premium Security Command Center.

Administrator Privileged Access Manager dapat menyiapkan persetujuan multi-level dan multi-pihak. Hal ini berguna untuk kasus penggunaan yang melibatkan hal berikut:

• Operasi berisiko tinggi seperti memodifikasi infrastruktur penting atau mengakses data sensitif
• Menerapkan pemisahan tugas
• Mengotomatiskan proses persetujuan multi-level dalam alur kerja dinamis menggunakan akun layanan atau identitas agen sebagai pemberi persetujuan cerdas

Dengan fitur ini, administrator Privileged Access Manager dapat mewajibkan lebih dari satu tingkat persetujuan per hak, sehingga memungkinkan hingga dua tingkat persetujuan berurutan untuk setiap hak. Administrator dapat mewajibkan hingga lima persetujuan per level. Untuk mengetahui informasi selengkapnya, lihat Membuat hak akses.

Penyesuaian cakupan

Pratinjau — Penyesuaian cakupan

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Catatan: Fitur ini tersedia di tingkat Enterprise atau Premium Security Command Center.

Pemohon dapat menyesuaikan cakupan permintaan pemberian mereka agar hanya menyertakan peran dan resource tertentu yang mereka perlukan dalam cakupan hak mereka. Untuk mengetahui informasi selengkapnya, lihat Meminta akses yang ditingkatkan sementara.

Persetujuan identitas agen dan akun layanan

Pratinjau — Persetujuan akun layanan dan identitas agen

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Administrator Privileged Access Manager dapat mengaktifkan akun layanan dan identitas agen sebagai pemberi persetujuan yang memenuhi syarat. Hal ini memungkinkan administrator menambahkan akun layanan, identitas agen, dan identitas di workload identity pool sebagai pemberi persetujuan saat membuat atau mengubah hak istimewa. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi setelan Privileged Access Manager.

Dukungan pewarisan

Pratinjau — Dukungan pewarisan

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Hak dan pemberian akses yang disiapkan di level organisasi atau folder dapat dilihat dari folder dan project turunannya di konsol Google Cloud . Pemohon dapat meminta akses ke resource turunan berdasarkan hak tersebut langsung dalam resource turunan tersebut. Untuk mengetahui informasi selengkapnya, lihat Meminta akses yang ditingkatkan sementara dengan Privileged Access Manager.

Penyesuaian preferensi notifikasi

Pratinjau — Penyesuaian preferensi notifikasi

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Administrator setelan Privileged Access Manager dapat menyesuaikan preferensi notifikasi di seluruh resource untuk berbagai peristiwa Privileged Access Manager. Setelan ini memungkinkan administrator menonaktifkan notifikasi secara selektif untuk peristiwa tertentu dan persona tertentu, atau menonaktifkan semua notifikasi. Untuk mengetahui informasi selengkapnya, lihat Mengonfigurasi setelan Privileged Access Manager.

Penjadwalan pemberian akses

Pratinjau — Penjadwalan pemberian

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Pemohon dapat menjadwalkan permintaan pemberian akses hingga tujuh hari sebelumnya. Hal ini membantu pemohon menyelaraskan akses dengan pemeliharaan terencana atau shift on-call dan mengurangi waktu yang mereka habiskan untuk menunggu persetujuan. Untuk mengetahui informasi selengkapnya, lihat Meminta akses yang ditingkatkan sementara.

Pencabutan pemberian akses

Pratinjau — Pembatalan hibah

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Pemohon dapat membatalkan permintaan pemberian akses yang menunggu persetujuan atau dijadwalkan untuk aktivasi. Pemohon juga dapat mengakhiri pemberian akses aktif mereka saat tugas istimewa mereka selesai atau saat akses tidak lagi diperlukan. Organisasi dapat merekomendasikan hal ini sebagai praktik terbaik untuk membatasi durasi akses istimewa hanya pada saat akses tersebut benar-benar diperlukan. Untuk mengetahui informasi selengkapnya, lihat Mencabut pemberian akses.

Retensi hibah

Pemberian akses akan otomatis dihapus dari Privileged Access Manager 30 hari setelah ditolak, dicabut, ditarik, habis masa berlakunya, atau berakhir. Log untuk pemberian akses disimpan di Cloud Audit Logs selama durasi retensi log bucket _Required. Untuk mempelajari cara melihat log ini, lihat Mengaudit peristiwa pemberian hak dan pemberian di Privileged Access Manager.

Modifikasi kebijakan IAM dan Privileged Access Manager

Privileged Access Manager mengelola akses sementara dengan menambahkan dan menghapus binding peran dari kebijakan izin IAM resource. Binding peran ini menggunakan IAM Conditions berbasis waktu untuk membantu memastikan bahwa akses bersifat sementara. Oleh karena itu, aktivasi dan pencabutan akses sementara bergantung pada penerapan perubahan akses standar.

Jika binding peran ini diubah oleh sesuatu selain Privileged Access Manager, Privileged Access Manager mungkin tidak berfungsi seperti yang diharapkan.

Untuk menghindari masalah ini, sebaiknya lakukan hal berikut:

• Jangan mengubah binding peran yang dikelola oleh Privileged Access Manager secara manual.
• Jika Anda menggunakan Terraform untuk mengelola kebijakan IAM, pastikan Anda menggunakan resource non-otoritatif, bukan resource otoritatif. Hal ini membantu memastikan bahwa Terraform tidak akan mengganti binding peran Privileged Access Manager, meskipun tidak ada dalam konfigurasi kebijakan IAM deklaratif.

Notifikasi

Privileged Access Manager dapat memberi tahu Anda tentang berbagai peristiwa yang terjadi di Privileged Access Manager seperti yang dijelaskan di bagian berikut.

Notifikasi email

Privileged Access Manager mengirimkan notifikasi email kepada pemangku kepentingan yang relevan untuk perubahan hak dan pemberian akses. Kumpulan penerima adalah sebagai berikut:

• Pemohon hak yang memenuhi syarat:

  • Alamat email pengguna dan grup Cloud Identity yang ditentukan sebagai pemohon dalam hak.
  • Alamat email yang dikonfigurasi secara manual dalam hak: Saat menggunakan konsolGoogle Cloud , alamat email ini tercantum di kolom Penerima email pemohon di bagian Tambahkan pemohon. Saat menggunakan gcloud CLI atau REST API, alamat email ini tercantum di kolom requesterEmailRecipients.

• Pemberi persetujuan untuk hak:

  • Alamat email pengguna dan grup Cloud Identity yang ditentukan sebagai pemberi persetujuan di tingkat persetujuan.
  • Alamat email yang dikonfigurasi secara manual dalam hak: Saat menggunakan konsolGoogle Cloud , alamat email ini tercantum di kolom Penerima email persetujuan di bagian Tambahkan pemberi persetujuan. Saat menggunakan gcloud CLI atau REST API, alamat email ini tercantum di kolom approverEmailRecipients pada langkah-langkah alur kerja persetujuan.

• Administrator hak:

  • Alamat email yang dikonfigurasi secara manual dalam hak: Saat menggunakan konsolGoogle Cloud , alamat email ini tercantum di kolom Penerima email admin di bagian Detail hak . Saat menggunakan gcloud CLI atau REST API, alamat email ini tercantum di kolom adminEmailRecipients.

• Pemohon pemberian akses:

  • Alamat email pemohon pemberian akses jika mereka adalah pengguna Cloud Identity.
  • Alamat email tambahan yang ditambahkan oleh pemohon saat meminta pemberian: Saat menggunakan konsol Google Cloud , alamat email ini tercantum di kolom Alamat email tambahan. Saat menggunakan gcloud CLI atau REST API, alamat email ini tercantum di kolom additionalEmailRecipients.

Privileged Access Manager mengirimkan email ke alamat email ini untuk peristiwa berikut:

Penerima	Acara
Pemohon yang memenuhi syarat untuk mendapatkan hak	Saat hak ditetapkan dan tersedia untuk digunakan oleh pemohon
Pemberi persetujuan pemberian hak untuk hak akses	Saat pemberian akses diminta dan memerlukan persetujuan
Pemohon hibah	Saat pemberian akses berhasil diaktifkan atau gagal diaktifkan Saat pemberian akses berakhir Saat pemberian akses ditolak Saat pemberian akses berakhir (tidak disetujui atau ditolak dalam waktu 24 jam atau sebelum waktu aktivasi yang dijadwalkan) Saat pemberian akses dicabut
Administrator hak	Saat pemberian akses berhasil diaktifkan atau gagal diaktifkan Saat hibah berakhir

Notifikasi Pub/Sub

Untuk menerima notifikasi tentang perubahan pemberian akses melalui Pub/Sub, sebaiknya rutekan Cloud Audit Logs ke Pub/Sub menggunakan sink Cloud Logging. Untuk mengetahui informasi selengkapnya tentang peristiwa audit yang tersedia, lihat Logging audit Privileged Access Manager.

Langkah berikutnya

• Izin dan penyiapan Privileged Access Manager