註冊 Access Approval

如要註冊 Access Approval，請按照下列步驟操作：

1. 在 Google Cloud 控制台選取要啟用存取核准的專案。

   前往專案選取器

2. 前往「Access Approval」頁面。

   前往存取權核准頁面

3. 如要註冊 Access Approval，請按一下「註冊」。

4. 在對話方塊中，選取政策的註冊模式，然後按一下「註冊」。

存取權核准註冊模式

您可以透過三種模式之一設定 Access Approval，並隨時在 Access Approval 設定中變更模式。可選模式如下：

1. 透明化 (預設)：使用這個模式監控 Google 管理員存取您工作負載的情形，無須額外核准。詳情請參閱資料存取透明化控管機制文件。
2. 簡化支援程序：使用這個模式，系統會自動核准客戶服務團隊存取權，以便處理支援案件。其他存取理由則需要存取權核准。
3. 存取權核准：啟用此模式後，所有存取要求都必須經過核准。

系統會自動為所有存取權核准模式產生「資料存取透明化控管機制」記錄。

調整設定

在 Google Cloud 控制台的「存取核准」頁面中，按一下「管理設定」settings。

選取服務

Access Approval 設定 (包括已啟用產品的清單) 會沿用上層資源的設定。您可以為所有或所選的支援服務啟用 Access Approval，擴大註冊範圍。

設定電子郵件和 Pub/Sub 通知

本節說明如何接收這個專案的存取要求通知。

將自己新增為存取權核准要求核准者，並設定通知

如要將自己新增為核准者，以便審查及核准存取要求，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「存取權核准」頁面。

   前往存取權核准頁面

2. 按一下「管理設定」settings。

3. 如要啟用電子郵件通知，請在「設定核准通知」下方的「使用者或群組電子郵件」欄位中新增電子郵件地址。

4. 如要啟用 Pub/Sub 通知，請按照下列步驟操作：

   1. 在「設定核准通知」下方的「Pub/Sub topic」(Pub/Sub 主題) 欄位中新增 Pub/Sub 主題。
   2. 在 Identity and Access Management (IAM) 中，將 Pub/Sub 發布者角色 (roles/pubsub.publisher) 授予 customer-approval-jobs@system.gserviceaccount.com 主體，允許存取權核准建立通知。如果沒有這個步驟，系統就不會建立通知。

查看預設設定

預設設定會控管存取權核准要求的行為。

• 偏好資源專屬核准要求： 設定存取權核准要求的預設範圍。這項設定預設為停用。啟用這項設定後，您可能會收到更多存取相同資料的 Access Approval 要求，導致 Google 支援團隊延後提供協助。預設值範例：
  • 已停用：product.googleapis.com/project/12345/
  • 已啟用：product.googleapis.com/project/12345/instances/abcde
• 核准要求預設失效時間： 設定存取權核准要求的預設失效時間。您可以在核准每項要求時變更這項設定。
• 偏好的最大存取權範圍： 設定 Google 管理員要求存取權時，建議的最大資源存取權範圍。舉例來說，如果設為「專案」，Google 管理員就會要求專案或資源層級的存取權。

選擇簽署金鑰

Access Approval 會使用簽署金鑰，驗證 Access Approval 核准要求的完整性。

系統預設會使用 Google-owned and managed key ，不需要任何額外設定。

如要選擇性設定客戶管理的加密金鑰，請參閱設定自訂金鑰。

查看核准要求

註冊存取核准服務並將自己新增為存取要求核准者後，您會收到存取要求電子郵件通知。

下圖顯示當人員要求存取客戶資料時，存取核准服務 傳送 Google 的電子郵件通知範本。

如要審查及核准存取要求，請按照下列步驟操作：

1. 前往 Google Cloud 控制台的「存取權核准」頁面。

   前往存取權核准頁面

   如要前往這個頁面，也可以點選系統傳送給您的電子郵件中的連結 (內含核准要求)。

2. 按一下「核准」。

核准要求後，凡是 Google 人員的特徵符合核准條件 (例如相同的理由、位置或辦公桌位置)，就能在核准的時間範圍內存取指定資源及其子項資源。