Panoramica di Privileged Access Manager

Puoi utilizzare Privileged Access Manager (PAM) per controllare l'aumento temporaneo dei privilegi just-in-time per le entità selezionate e per visualizzare gli audit log in un secondo momento per scoprire chi ha avuto accesso a cosa e quando.

Per consentire l'elevazione temporanea, crea un diritto in Privileged Access Manager e aggiungi i seguenti attributi:

  • Un insieme di entità autorizzate a richiedere una concessione in base al diritto.

  • Se è richiesta una giustificazione per l'autorizzazione.

  • Un insieme di ruoli da concedere temporaneamente. Sui ruoli è possibile impostare le condizioni IAM.

  • La durata massima di una concessione.

  • (Facoltativo) Se le richieste devono essere approvate da un insieme selezionato di entità e se queste entità devono giustificare la loro approvazione.

  • (Facoltativo) Altre parti interessate da informare su eventi importanti, come concessioni e approvazioni in attesa.

Un'entità aggiunta come richiedente a un diritto può richiedere una concessione per quel diritto. Se l'operazione va a buon fine, vengono concessi i ruoli elencati nel diritto fino alla fine della durata della concessione, dopodiché i ruoli vengono revocati da Privileged Access Manager.

Casi d'uso

Per utilizzare in modo efficace Privileged Access Manager, inizia identificando casi d'uso e scenari specifici in cui può soddisfare le esigenze della tua organizzazione. Personalizza i tuoi diritti di Privileged Access Manager in base a questi casi d'uso e ai requisiti e ai controlli necessari. Ciò comporta la mappatura degli utenti, dei ruoli, delle risorse e delle durate coinvolti, insieme alle giustificazioni e alle approvazioni necessarie.

Sebbene Privileged Access Manager possa essere utilizzato come best practice generale per concedere privilegi temporanei anziché permanenti, di seguito sono riportati alcuni scenari in cui potrebbe essere di uso comune:

  • Concedi l'accesso di emergenza: consenti a personale di primo intervento selezionato di eseguire attività critiche senza dover attendere l'approvazione. Puoi richiedere giustificazioni per le richieste di accesso di emergenza per avere un contesto aggiuntivo.

  • Controlla l'accesso alle risorse sensibili: controlla rigorosamente l'accesso alle risorse sensibili, richiedendo approvazioni e giustificazioni aziendali. Privileged Access Manager può essere utilizzato anche per controllare come è stato utilizzato questo accesso, ad esempio quando i ruoli concessi erano attivi per un utente, quali risorse erano accessibili in quel periodo, la giustificazione dell'accesso e chi lo ha approvato.

    Ad esempio, puoi utilizzare Privileged Access Manager per:

    • Concedi agli sviluppatori l'accesso temporaneo agli ambienti di produzione per la risoluzione dei problemi o i deployment.

    • Concedere ai tecnici del servizio di assistenza l'accesso ai dati dei clienti sensibili per attività specifiche.

    • Concedi agli amministratori di database privilegi elevati per la manutenzione o le modifiche alla configurazione.

  • Implementa il privilegio minimo granulare: l'assegnazione di ruoli amministrativi o di un accesso ampio a tutti gli utenti può aumentare la superficie di attacco. Per evitare questo problema, gli amministratori possono assegnare ruoli permanenti con privilegio minimo e utilizzare Privileged Access Manager per fornire un accesso con privilegi elevati temporaneo e limitato nel tempo per attività specifiche, se necessario. Gli amministratori possono creare diritti con condizioni basate su tag e imporre ai richiedenti di creare richieste di concessione con un ambito personalizzato e di ritirare le concessioni al termine dell'attività. In questo modo, si riducono notevolmente le opportunità di uso improprio e si rafforza il principio dell'accesso "just-in-time".

  • Automatizza le approvazioni degli accessi con privilegi: per migliorare l'efficienza, puoi configurare i service account o le identità degli agenti come approvatori all'interno delle tue pipeline DevOps. Questi account possono automatizzare le approvazioni programmatiche convalidando i ticket direttamente dai sistemi ITSM, eliminando così i lenti controlli manuali.

  • Contribuisci a proteggere i service account e le identità degli agenti: anziché concedere in modo permanente i ruoli ai service account o alle identità degli agenti, consenti loro di eseguire l'auto-elevazione e di assumere i ruoli solo quando necessario per le attività automatizzate.

  • Mitiga le minacce interne e l'uso improprio accidentale: con le approvazioni da più parti, puoi richiedere un secondo approvatore per le richieste di concessione. Questo approccio riduce il rischio che un singolo amministratore o un account compromesso approvi un accesso dannoso.

  • Gestisci l'accesso per i fornitori e la forza lavoro estesa: concedi ai fornitori o ai membri della forza lavoro estesa l'accesso temporaneo e limitato nel tempo alle risorse, con approvazioni e giustificazioni obbligatorie.

  • Passa dai ruoli permanenti all'accesso temporaneo: correggi le autorizzazioni eccessive identificate dal motore per suggerimenti IAM. Anziché revocare definitivamente un ruolo, puoi convertirlo in un diritto temporaneo on demand. Per saperne di più, consulta Correggi le autorizzazioni eccessive con Privileged Access Manager.

Funzionalità e limitazioni

Le sezioni seguenti descrivono le diverse funzionalità e limitazioni di Privileged Access Manager.

Risorse supportate

Privileged Access Manager supporta la creazione di entitlement e la richiesta di concessioni per progetti, cartelle e organizzazioni.

Se vuoi limitare l'accesso a un sottoinsieme di risorse all'interno di un progetto, una cartella o un'organizzazione, puoi aggiungere condizioni IAM al diritto. Privileged Access Manager supporta tutti gli attributi delle condizioni supportati nelle associazioni dei ruoli delle policy di autorizzazione. Privileged Access Manager supporta solo i servizi che supportano l'accesso granulare tramite IAM, perché utilizza le condizioni IAM per gestire l'accesso temporaneo.

Ruoli supportati

Privileged Access Manager supporta ruoli predefiniti, ruoli personalizzati e i ruoli di base Amministratore, Writer e Reader. Privileged Access Manager non supporta i ruoli di base legacy (Proprietario, Editor e Visualizzatore).

Identità supportate

Privileged Access Manager supporta tutti i tipi di identità, tra cui Cloud Identity, federazione delle identità per la forza lavoro, federazione delle identità per i workload e identità degli agenti.

Audit logging

Gli eventi di Privileged Access Manager, come la creazione di entitlement, la richiesta o la revisione di concessioni, vengono registrati in Cloud Audit Logs. Per un elenco completo degli eventi per cui Privileged Access Manager genera log, consulta la documentazione sull'audit logging di Privileged Access Manager. Per scoprire come visualizzare questi log, consulta Controlla gli eventi di entitlement e concessione in Privileged Access Manager.

Approvazioni multilivello e da più parti

Gli amministratori di Privileged Access Manager possono configurare approvazioni multilivello e da più parti. Questa opzione è utile per i casi d'uso che coinvolgono:

  • Operazioni ad alto rischio, come la modifica di infrastrutture critiche o l'accesso a dati sensibili
  • Applicazione della separazione dei compiti
  • Automazione dei processi di approvazione multilivello in workflow dinamici utilizzando service account o identità degli agenti come approvatori intelligenti

Con questa funzionalità, gli amministratori di Privileged Access Manager possono richiedere più di un livello di approvazione per entitlement, consentendo fino a due livelli di approvazioni sequenziali per ogni entitlement. Gli amministratori possono richiedere fino a cinque approvazioni per livello. Per saperne di più, consulta Crea diritti.

Personalizzazione dell'ambito

I richiedenti possono personalizzare l'ambito delle loro richieste di concessione in modo da includere solo i ruoli e le risorse specifici di cui hanno bisogno nell'ambito del loro diritto. Per saperne di più, consulta Richiedi l'accesso con privilegi elevati temporaneo.

Approvazioni di service account e Agent Identity

Gli amministratori di Privileged Access Manager possono abilitare i service account e le identità degli agenti come approvatori idonei. In questo modo, gli amministratori possono aggiungere service account, identità degli agenti e identità nei pool di identità del workload come approvatori durante la creazione o la modifica dei diritti. Per saperne di più, consulta Configura le impostazioni di Privileged Access Manager.

Assistenza per l'ereditarietà

I diritti e le concessioni configurati a livello di organizzazione o cartella sono visibili dalle cartelle e dai progetti discendenti nella console Google Cloud . I richiedenti possono richiedere l'accesso alle risorse secondarie in base a questi diritti direttamente all'interno delle risorse secondarie. Per saperne di più, consulta Richiedi l'accesso temporaneo con privilegi elevati con Privileged Access Manager.

Personalizzazione delle preferenze di notifica

Gli amministratori delle impostazioni di Privileged Access Manager possono personalizzare le preferenze di notifica a livello di risorsa per vari eventi di Privileged Access Manager. Queste impostazioni consentono agli amministratori di disattivare selettivamente le notifiche per eventi specifici e utenti tipo specifici o di disattivare tutte le notifiche. Per saperne di più, consulta Configura le impostazioni di Privileged Access Manager.

Pianificazione delle concessioni

I richiedenti possono pianificare le richieste di concessione con un anticipo massimo di sette giorni. In questo modo, i richiedenti possono allineare l'accesso alla manutenzione pianificata o ai turni di reperibilità e ridurre il tempo di attesa per le approvazioni. Per saperne di più, consulta Richiedi l'accesso con privilegi elevati temporaneo.

Ritiro della concessione

I richiedenti possono ritirare le richieste di concessione in attesa di approvazione o pianificate per l'attivazione. I richiedenti possono anche terminare le concessioni attive quando l'attività con privilegi è stata completata o quando l'accesso non è più necessario. Le organizzazioni possono consigliare questa best practice per limitare la durata dell'accesso con privilegi solo al momento in cui è effettivamente necessario. Per maggiori informazioni, consulta la pagina Revoca delle concessioni.

Concedi la conservazione

Le concessioni vengono eliminate automaticamente da Privileged Access Manager 30 giorni dopo essere state rifiutate, revocate, ritirate, scadute o terminate. I log per le concessioni vengono conservati in Cloud Audit Logs per la durata di conservazione dei log del bucket _Required. Per scoprire come visualizzare questi log, consulta Controlla i diritti e concedi gli eventi in Privileged Access Manager.

Modifiche alle policy IAM e di Privileged Access Manager

Privileged Access Manager gestisce l'accesso temporaneo aggiungendo e rimuovendo le associazioni dei ruoli dalle policy di autorizzazione IAM delle risorse. Queste associazioni di ruoli utilizzano le condizioni IAM basate sul tempo per garantire che l'accesso sia temporaneo. Di conseguenza, l'attivazione e la revoca dell'accesso temporaneo dipendono dalla propagazione standard delle modifiche di accesso.

Se queste associazioni dei ruoli vengono modificate da un elemento diverso da Privileged Access Manager, Privileged Access Manager potrebbe non funzionare come previsto.

Per evitare questo problema, ti consigliamo di procedere come segue:

  • Non modificare manualmente le associazioni di ruoli gestite da Privileged Access Manager.
  • Se utilizzi Terraform per gestire le policy IAM, assicurati di utilizzare risorse non autoritative anziché risorse autoritative. In questo modo, Terraform non eseguirà l'override delle associazioni dei ruoli di Privileged Access Manager, anche se non sono presenti nella configurazione della policy IAM dichiarativa.

Notifiche

Privileged Access Manager può informarti su vari eventi che si verificano in Privileged Access Manager, come descritto nelle sezioni seguenti.

Notifiche via email

Privileged Access Manager invia notifiche via email agli stakeholder pertinenti per le modifiche di un diritto e di una concessione. I gruppi di destinatari sono i seguenti:

  • Richiedenti idonei di un diritto:

    • Indirizzi email degli utenti e dei gruppi di Cloud Identity specificati come richiedenti nel diritto.
    • Indirizzi email configurati manualmente nel diritto: quando utilizzi la consoleGoogle Cloud , questi indirizzi email sono elencati nel campo Destinatari email del richiedente nella sezione Aggiungi richiedenti. Quando utilizzi gcloud CLI o l'API REST, questi indirizzi email sono elencati nel campo requesterEmailRecipients.

  • Concedi i diritti di approvazione per un diritto:

    • Indirizzi email degli utenti e dei gruppi Cloud Identity specificati come approvatori nel livello di approvazione.
    • Indirizzi email configurati manualmente nel diritto: quando utilizzi la consoleGoogle Cloud , questi indirizzi email sono elencati nel campo Destinatari email di approvazione nella sezione Aggiungi approvatori. Quando utilizzi gcloud CLI o l'API REST, questi indirizzi email sono elencati nel campo approverEmailRecipients dei passaggi del workflow di approvazione.

  • Amministratore del diritto:

    • Indirizzi email configurati manualmente nel diritto: quando utilizzi la consoleGoogle Cloud , questi indirizzi email sono elencati nel campo Destinatari email amministratore nella sezione Dettagli diritto. Quando utilizzi gcloud CLI o l'API REST, questi indirizzi email sono elencati nel campo adminEmailRecipients.

  • Richiedente di una concessione:

    • Indirizzo email del richiedente della concessione, se è un utente Cloud Identity.
    • Indirizzi email aggiuntivi aggiunti dal richiedente durante la richiesta della concessione: quando utilizzi la console Google Cloud , questi indirizzi email sono elencati nel campo Indirizzi email aggiuntivi. Quando utilizzi gcloud CLI o l'API REST, questi indirizzi email sono elencati nel campo additionalEmailRecipients.

Privileged Access Manager invia email a questi indirizzi email per i seguenti eventi:

Destinatari Evento
Richiedenti idonei di un diritto Quando il diritto viene assegnato e reso disponibile per l'utilizzo da parte del richiedente
Responsabili approvazione delle concessioni per un diritto Quando viene richiesta una concessione che richiede l'approvazione
Richiedente di una concessione
  • Quando la concessione viene attivata correttamente o non viene attivata
  • Al termine della concessione
  • Quando la concessione viene negata
  • Quando la concessione scade (non è stata approvata o negata entro 24 ore o entro l'orario di attivazione programmato)
  • Quando la concessione viene revocata
Amministratore dell'entitlement
  • Quando la concessione viene attivata correttamente o non viene attivata
  • Al termine della concessione

Notifiche Pub/Sub

Per ricevere notifiche sulle modifiche alle concessioni tramite Pub/Sub, ti consigliamo di instradare Cloud Audit Logs a Pub/Sub utilizzando un sink di Cloud Logging. Per saperne di più sugli eventi di controllo disponibili, consulta Audit logging di Privileged Access Manager.

Passaggi successivi