Panoramica di Privileged Access Manager

Puoi utilizzare Privileged Access Manager (PAM) per controllare l'aumento temporaneo dei privilegi just-in-time per le entità selezionate e per visualizzare gli audit log in un secondo momento per scoprire chi ha avuto accesso a cosa e quando.

Per consentire l'elevazione temporanea, crea un diritto in Gestore degli accessi con privilegi e aggiungi i seguenti attributi:

• Un insieme di entità autorizzate a richiedere una concessione in base al diritto.

• Se è richiesta una motivazione per la concessione.

• Un insieme di ruoli da concedere temporaneamente. Le condizioni IAM possono essere impostate sui ruoli.

• La durata massima di una concessione.

• (Facoltativo) Indica se le richieste richiedono l'approvazione di un insieme selezionato di entità e se queste entità devono giustificare la loro approvazione.

• (Facoltativo) Altri stakeholder da informare su eventi importanti, come sovvenzioni e approvazioni in attesa.

Un'entità aggiunta come richiedente a un diritto può richiedere una concessione per quel diritto. In caso di esito positivo, vengono concessi i ruoli elencati nel diritto fino al termine della durata della concessione, dopodiché i ruoli vengono revocati da Privileged Access Manager.

Casi d'uso

Per utilizzare in modo efficace Privileged Access Manager, inizia identificando casi d'uso e scenari specifici in cui può soddisfare le esigenze della tua organizzazione. Personalizza i diritti di Privileged Access Manager in base a questi casi d'uso e ai requisiti e controlli necessari. Ciò comporta la mappatura di utenti, ruoli, risorse e durate coinvolti, nonché eventuali giustificazioni e approvazioni necessarie.

Sebbene Privileged Access Manager possa essere utilizzato come best practice generale per concedere privilegi temporanei anziché permanenti, di seguito sono riportati alcuni scenari in cui potrebbe essere comunemente utilizzato:

• Concedi accesso di emergenza: consente a determinati personale di primo intervento di eseguire attività critiche senza dover attendere l'approvazione. Puoi richiedere giustificazioni per fornire un contesto aggiuntivo sul motivo per cui è necessario l'accesso di emergenza.

• Controlla l'accesso alle risorse sensibili: controlla rigorosamente l'accesso alle risorse sensibili, richiedendo approvazioni e giustificazioni aziendali. Privileged Access Manager può essere utilizzato anche per controllare come è stato utilizzato questo accesso, ad esempio quando i ruoli concessi erano attivi per un utente, quali risorse erano accessibili durante questo periodo, la giustificazione dell'accesso e chi lo ha approvato.

  Ad esempio, puoi utilizzare Privileged Access Manager per:

  • Concedi agli sviluppatori l'accesso temporaneo agli ambienti di produzione per la risoluzione dei problemi o i deployment.

  • Consenti agli ingegneri dell'assistenza di accedere ai dati sensibili dei clienti per attività specifiche.

  • Concedere agli amministratori del database privilegi elevati per la manutenzione o le modifiche alla configurazione.

• Implementa il principio del privilegio minimo granulare: l'assegnazione di ruoli amministrativi o l'accesso ampio a tutti gli utenti può aumentare la superficie di attacco. Per evitare questo problema, gli amministratori possono assegnare ruoli permanenti con privilegio minimo e utilizzare Privileged Access Manager per fornire un accesso temporaneo con privilegi elevati per attività specifiche quando necessario. Gli amministratori possono creare diritti con condizioni basate su tag e imporre ai richiedenti di creare richieste di concessione con ambito personalizzato e revocare le concessioni al termine dell'attività. Ciò riduce notevolmente le opportunità di uso improprio e rafforza il principio dell'accesso "just-in-time".

• Automatizza le approvazioni dell'accesso con privilegi: per migliorare l'efficienza, puoi configurare i service account come approvatori all'interno delle pipeline DevOps. Questi account possono automatizzare le approvazioni programmatiche convalidando i ticket direttamente dai sistemi ITSM, eliminando così i lenti controlli manuali.

• Proteggi i service account: anziché concedere permanentemente ruoli ai service account, consenti ai service account di auto-elevarsi e assumere ruoli solo quando necessario per le attività automatizzate.

• Mitigare le minacce interne e l'uso improprio accidentale: con le approvazioni di più parti, puoi aggiungere due livelli di approvazione nel processo decisionale. Ciò riduce il rischio associato a un singolo amministratore o a un account approvatore compromesso che approva una richiesta di accesso dannosa.

• Gestisci l'accesso per i collaboratori e la forza lavoro estesa: concedi ai collaboratori o ai membri della forza lavoro estesa l'accesso temporaneo e limitato nel tempo alle risorse, con approvazioni e giustificazioni richieste.

Funzionalità e limitazioni

Le seguenti sezioni descrivono le diverse funzionalità e limitazioni di Privileged Access Manager.

Risorse supportate

Privileged Access Manager supporta la creazione di diritti e la richiesta di concessioni per progetti, cartelle e organizzazioni.

Se vuoi limitare l'accesso a un sottoinsieme di risorse all'interno di un progetto, una cartella o un'organizzazione, puoi aggiungere condizioni IAM al diritto. Privileged Access Manager supporta tutti gli attributi di condizione supportati nelle associazioni di ruoli delle policy di autorizzazione.

Ruoli supportati

Privileged Access Manager supporta i ruoli predefiniti, i ruoli personalizzati e i ruoli di base Amministratore, Scrittore e Lettore. Privileged Access Manager non supporta i ruoli di base legacy (Proprietario, Editor e Visualizzatore).

Identità supportate

Privileged Access Manager supporta tutti i tipi di identità, tra cui Cloud Identity, federazione delle identità della forza lavoro e federazione delle identità per i workload.

Audit logging

Gli eventi di Privileged Access Manager, come la creazione di diritti, richieste o revisione di concessioni, vengono registrati in Cloud Audit Logs. Per un elenco completo degli eventi per cui Privileged Access Manager genera log, consulta la documentazione sull'audit logging di Privileged Access Manager. Per scoprire come visualizzare questi log, vedi Eventi di verifica e concessione dei diritti in Privileged Access Manager.

Approvazioni multilivello e da più parti

Gli amministratori di Privileged Access Manager possono configurare approvazioni multilivello e da più parti. Questa opzione è utile per i casi d'uso che prevedono:

• Operazioni ad alto rischio, come la modifica di infrastrutture critiche o l'accesso a dati sensibili
• Applicazione della separazione dei compiti
• Automatizzare processi di approvazione multilivello in workflow dinamici utilizzando service account come approvatori intelligenti

Con questa funzionalità, gli amministratori di Privileged Access Manager possono imporre più di un livello di approvazione per diritto, consentendo fino a due livelli di approvazioni sequenziali per ogni diritto. Gli amministratori possono richiedere fino a cinque approvazioni per livello. Per saperne di più, consulta Creare diritti.

Personalizzazione dell'ambito

I richiedenti possono personalizzare l'ambito delle loro richieste di concessione in modo da includere solo i ruoli e le risorse specifici di cui hanno bisogno nell'ambito del loro diritto. Per maggiori informazioni, vedi Richiedere l'accesso temporaneo con privilegi elevati.

Approvazioni del service account

Gli amministratori di Privileged Access Manager possono abilitare i service account come approvatori idonei. In questo modo, gli amministratori possono aggiungere service account e identità nei pool di identità dei carichi di lavoro come approvatori durante la creazione o la modifica dei diritti. Per ulteriori informazioni, vedi Configurare le impostazioni di Privileged Access Manager.

Supporto per l'ereditarietà

I diritti e le autorizzazioni configurati a livello di organizzazione o cartella sono visibili dalle cartelle e dai progetti discendenti nella console Google Cloud . I richiedenti possono richiedere l'accesso alle risorse figlio in base a questi diritti direttamente all'interno di queste risorse figlio. Per saperne di più, vedi Richiedere l'accesso temporaneo con privilegi con Gestore degli accessi con privilegi.

Personalizzazione delle preferenze di notifica

Gli amministratori delle impostazioni di Privileged Access Manager possono personalizzare le preferenze di notifica a livello di risorsa per vari eventi di Privileged Access Manager. Queste impostazioni consentono agli amministratori di disattivare selettivamente le notifiche per eventi e personaggi specifici o disattivare tutte le notifiche. Per ulteriori informazioni, vedi Configurare le impostazioni di Privileged Access Manager.

Ritiro della concessione

I richiedenti possono ritirare le richieste di concessione in attesa di approvazione o terminare le concessioni attive quando l'attività privilegiata è completata o quando l'accesso non è più necessario. Le organizzazioni possono consigliare questa procedura come best practice per limitare la durata dell'accesso privilegiato solo al periodo di tempo in cui è effettivamente necessario. Per ulteriori informazioni, consulta la sezione Revocare le concessioni.

Mantenimento della concessione

Le concessioni vengono eliminate automaticamente da Privileged Access Manager 30 giorni dopo essere state rifiutate, revocate, ritirate, scadute o terminate. I log per le concessioni vengono conservati in Cloud Audit Logs per la durata di conservazione dei log del bucket _Required. Per scoprire come visualizzare questi log, vedi Eventi di concessione e verifica dei diritti di accesso in Privileged Access Manager.

Modifiche a Privileged Access Manager e alle policy IAM

Privileged Access Manager gestisce l'accesso temporaneo aggiungendo e rimuovendo associazioni di ruoli dalle norme IAM delle risorse. Se queste associazioni di ruoli vengono modificate da un elemento diverso da Privileged Access Manager, quest'ultimo potrebbe non funzionare come previsto.

Per evitare questo problema, ti consigliamo di procedere come segue:

• Non modificare manualmente le associazioni di ruoli gestite da Privileged Access Manager.
• Se utilizzi Terraform per gestire i tuoi criteri IAM, assicurati di utilizzare risorse non autorevoli anziché risorse autorevoli. In questo modo, Terraform non esegue l'override dei binding dei ruoli Privileged Access Manager, anche se non sono presenti nella configurazione dichiarativa dei criteri IAM.

Notifiche

Privileged Access Manager può inviarti notifiche su vari eventi che si verificano in Privileged Access Manager, come descritto nelle sezioni seguenti.

Notifiche via email

Privileged Access Manager invia notifiche via email agli stakeholder pertinenti per le modifiche di un diritto e di una concessione. I gruppi di destinatari sono i seguenti:

• Richiedenti idonei di un diritto:

  • Indirizzi email degli utenti e dei gruppi Cloud Identity specificati come richiedenti nel diritto.
  • Indirizzi email configurati manualmente nel diritto: quando utilizzi la consoleGoogle Cloud , questi indirizzi email sono elencati nel campo Destinatari email richiedente della sezione Aggiungi richiedenti. Quando utilizzi l'interfaccia a riga di comando gcloud o l'API REST, questi indirizzi email sono elencati nel campo requesterEmailRecipients.

• Concedere approvatori per un diritto:

  • Indirizzi email di utenti e gruppi Cloud Identity specificati come approvatori nel livello di approvazione.
  • Indirizzi email configurati manualmente nel diritto: quando utilizzi la consoleGoogle Cloud , questi indirizzi email sono elencati nel campo Destinatari email di approvazione nella sezione Aggiungi approvatori. Quando utilizzi gcloud CLI o l'API REST, questi indirizzi email sono elencati nel campo approverEmailRecipients dei passaggi del flusso di lavoro di approvazione.

• Amministratore del diritto:

  • Indirizzi email configurati manualmente nel diritto: quando utilizzi la consoleGoogle Cloud , questi indirizzi email sono elencati nel campo Destinatari email amministratore nella sezione Dettagli diritto. Quando utilizzi gcloud CLI o l'API REST, questi indirizzi email sono elencati nel campo adminEmailRecipients.

• Richiedente di una sovvenzione:

  • Indirizzo email del richiedente della concessione, se è un utente Cloud Identity.
  • Indirizzi email aggiuntivi aggiunti dal richiedente durante la richiesta della concessione: quando utilizzi la console Google Cloud , questi indirizzi email sono elencati nel campo Indirizzi email aggiuntivi. Quando utilizzi gcloud CLI o l'API REST, questi indirizzi email sono elencati nel campo additionalEmailRecipients.

Privileged Access Manager invia email a questi indirizzi email per i seguenti eventi:

Destinatari	Evento
Richiedenti idonei di un diritto	Quando il diritto viene assegnato e reso disponibile per l'uso al richiedente
Concedere approvatori per un diritto	Quando viene richiesta una concessione che richiede approvazione
Richiedente di una sovvenzione	Quando la concessione viene attivata correttamente o non viene attivata Al termine della concessione Quando la concessione viene negata Quando la concessione scade (non è stata approvata o rifiutata entro 24 ore) Quando la concessione è stata revocata
Amministratore del diritto	Quando la concessione viene attivata correttamente o non viene attivata Al termine della concessione

Notifiche Pub/Sub

Privileged Access Manager è integrato con Cloud Asset Inventory. Puoi utilizzare la funzionalità feed Cloud Asset Inventory per ricevere notifiche su tutte le modifiche alle concessioni tramite Pub/Sub. Il tipo di risorsa da utilizzare per le sovvenzioni è privilegedaccessmanager.googleapis.com/Grant.

Passaggi successivi

• Autorizzazioni e configurazione di Privileged Access Manager