Google verwendet KI-Technologie, um Inhalte in Ihre bevorzugte Sprache zu übersetzen. KI-Übersetzungen können Fehler enthalten.

Berechtigungen in Privileged Access Manager erstellen

Mit Privileged Access Manager (PAM) können Sie Berechtigungen für eine Organisation, einen Ordner oder ein Projekt erstellen, um temporären Zugriff aufGoogle Cloud -Ressourcen zu gewähren. In jeder Berechtigung werden die zu gewährenden IAM-Rollen (Identity and Access Management), die berechtigten Anfragenden, die maximale Zugriffsdauer und alle erforderlichen Genehmigungsworkflows definiert. Rollen, die durch eine Berechtigung gewährt werden, folgen der Google Cloud-Ressourcenhierarchie. Untergeordnete Ressourcen übernehmen also den Zugriff, der auf übergeordneter Ebene gewährt wurde.

Überlegungen zu Berechtigungen

Bevor Sie eine Berechtigung erstellen, sollten Sie die folgenden Anforderungen und Einschränkungen beachten:

Unterstützte Rollen und Dienste:
- Sie können vordefinierte oder benutzerdefinierte Rollen nur für Dienste hinzufügen, die IAM-Bedingungen unterstützen.
- Bei einfachen Rollen werden nur Admin (roles/admin), Writer (roles/writer) und Reader (roles/reader) unterstützt. Die einfachen Legacy-Rollen Owner, Editor und Viewer werden nicht unterstützt.
- Weisen Sie Dienst-Agent-Rollen nicht in Berechtigungen zu. Einige Dienst-Agent-Rollen enthalten sehr leistungsstarke Berechtigungen. Die Berechtigungen in diesen Rollen können ohne Vorankündigung geändert werden. Wählen Sie stattdessen eine andere vordefinierte Rolle aus oder erstellen Sie eine benutzerdefinierte Rolle mit den erforderlichen Berechtigungen.
Anfragende und Genehmiger:
- Sie können bis zu 20 Hauptkonten als Anforderer und bis zu 20 Hauptkonten pro Genehmigungsstufe als Genehmiger hinzufügen. Wenn Sie eine Gruppe als Anforderer oder Genehmiger hinzufügen, können alle Gruppenmitglieder Gewährungen anfordern oder prüfen. Allerdings erhält nur das einzelne Konto, das eine Gewährung anfordert, erweiterte Berechtigungen.
- Wenn für die Ressource automatische Genehmigungen aktiviert sind, können Sie Dienstkonten, Agent-Identitäten und Workload-Pool-Identitäten als Genehmiger hinzufügen (Vorschau). Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.
- Wenn die Security Command Center Premium- oder Enterprise-Stufe aktiviert ist, können Sie bis zu zwei aufeinanderfolgende Genehmigungsstufen pro Berechtigung konfigurieren und bis zu fünf Genehmigungen pro Stufe anfordern (Vorschau). Genehmigende der zweiten Ebene werden benachrichtigt, nachdem die Genehmigungen der ersten Ebene abgeschlossen sind. Die Gewährung wird zu active, nachdem die Genehmigungen der zweiten Ebene eingegangen sind. Wenn ein Genehmiger die Anfrage ablehnt, wechselt die Gewährung in den Status denied, ohne dass weitere Genehmiger benachrichtigt werden.
Vorhandener Zugriff: Durch das Erstellen einer Berechtigung werden dauerhafte IAM-Rollenbindungen, die Hauptkonten bereits haben, nicht widerrufen. Wenn Sie einen Just-In-Time-Zugriff erzwingen möchten, entfernen Sie vorhandene dauerhafte Rollenbindungen separat.

Hinweis

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für die Organisation, den Ordner oder das Projekt zuzuweisen, für die Sie Berechtigungen erstellen möchten, um die Berechtigungen zu erhalten, die Sie zum Erstellen von Berechtigungen benötigen:

Berechtigungen für eine Organisation erstellen:
- Privileged Access Manager Admin (roles/privilegedaccessmanager.admin)
- Sicherheitsadministrator (roles/iam.securityAdmin)
Für einen Ordner erstellen:
- Privileged Access Manager Admin (roles/privilegedaccessmanager.admin)
- Ordner-IAM-Administrator (roles/resourcemanager.folderAdmin)
Berechtigungen für ein Projekt erstellen:
- Privileged Access Manager Admin (roles/privilegedaccessmanager.admin)
- Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
So rufen Sie Audit-Logs auf: Loganzeige (roles/logs.viewer)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Erstellen von Berechtigungen erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind zum Erstellen von Berechtigungen erforderlich:

So erstellen Sie Berechtigungen und Erteilungen für eine Organisation:
- resourcemanager.organizations.get
- resourcemanager.organizations.setIamPolicy
- privilegedaccessmanager.entitlements.create
So erstellen Sie Berechtigungen und Erteilungen für einen Ordner:
- resourcemanager.folders.get
- resourcemanager.folders.setIamPolicy
- privilegedaccessmanager.entitlements.create
So erstellen Sie Berechtigungen und Erteilungen für ein Projekt:
- resourcemanager.projects.get
- resourcemanager.projects.setIamPolicy
- privilegedaccessmanager.entitlements.create

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Berechtigungen erstellen

Console

Rufen Sie die Seite Privileged Access Manager auf.

Privileged Access Manager aufrufen
Wählen Sie die Organisation, den Ordner oder das Projekt aus, für das die Berechtigung gelten soll.
Klicken Sie auf den Tab Berechtigungen.
Klicken Sie auf Erstellen.
Geben Sie im Abschnitt Berechtigungsdetails die folgenden Berechtigungsdetails ein:
- Ein Berechtigungsname. Ein Berechtigungsname kann 4 bis 63 Zeichen lang sein. Sie muss mit einem Kleinbuchstaben beginnen und darf nur Kleinbuchstaben, Ziffern und Bindestriche enthalten.
- Bis zu 30 Rollen, die für die Organisation, den Ordner oder das Projekt gewährt werden können.
  
  Sie können diesen Rollen auch IAM-Bedingungen hinzufügen, so wie Sie Bedingungen zu Rollenbindungen in Zulassungsrichtlinien hinzufügen.
- Die maximale Dauer einer Erteilung. Die maximale Dauer, die Sie für eine Berechtigung festlegen können, beträgt 7 Tage.
Klicken Sie auf Weiter.
Geben Sie im Abschnitt Anforderer hinzufügen bis zu 20 gültige anfordernde Hauptkonten für die Berechtigung ein.

Alle Hauptkontotypen werden unterstützt, mit Ausnahme von allUsers und allAuthenticatedUsers. Sie können mehr als 20 Identitäten hinzufügen, indem Sie sie einer Gruppe hinzufügen und die Gruppe in der Berechtigung auflisten.
Wählen Sie aus, ob die Hauptkonten eine Begründung für den Gewährungsantrag angeben müssen.
Geben Sie zusätzliche E‑Mail-Adressen von Nutzern ein, die benachrichtigt werden sollen, wenn die Berechtigung angefordert werden kann.

Google-Identitäten, die mit der Berechtigung verknüpft sind, z. B. Genehmiger und Antragsteller, werden automatisch benachrichtigt. Wenn Sie jedoch weitere Personen benachrichtigen möchten, können Sie deren E-Mail-Adressen hinzufügen. Das ist besonders nützlich, wenn Sie Mitarbeiteridentitäten anstelle von Google-Konten verwenden.
Klicken Sie auf Weiter.
Führen Sie im Abschnitt Genehmiger hinzufügen einen der folgenden Schritte aus:
- Wenn Sie die Gewährung von Rollen ohne Genehmigung zulassen möchten, wählen Sie Zugriff ohne Genehmigungen aktivieren aus.
- So legen Sie Genehmigungen fest:
  
  Hinweis: Das Hinzufügen von Genehmigern der zweiten Ebene und das Konfigurieren der Anzahl der erforderlichen Genehmigungen sind nur verfügbar, wenn die Security Command Center Premium- oder Enterprise-Stufe aktiviert ist.
  1. Optional: Wenn Genehmiger eine Begründung für die Genehmigung von Anfragen eingeben müssen, wählen Sie Begründung von Genehmigern erforderlich aus.
  2. Geben Sie die Details des Genehmigers der ersten Ebene ein:
    - Eine Liste der Genehmiger für die Berechtigung
      
      Sie können einen der folgenden Hauptkontotypen als Genehmiger hinzufügen:
      - Google-Konten
      - Google-Gruppen
      - Google Workspace-Domains
      - Personalpool-IDs
      - Arbeitslastpool-IDs
      - Dienstkonten und Agentenidentitäten
        
        Dienstkonten, Agent-Identitäten und Workload-Pool-IDs sind nur verfügbar, wenn Dienstkonten und Agent-Identitäten Genehmigungen für diese Ressource erteilen dürfen. Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.
    - Anzahl der erforderlichen Genehmigungen
      
      Wenn Sie eine Gruppe als Genehmiger hinzugefügt haben, muss die Anzahl der erforderlichen Genehmigungen kleiner oder gleich der Anzahl der Hauptkonten in der Gruppe sein. Andernfalls bleiben die Berechtigungen dauerhaft im Status approval awaited.
    - E‑Mail-Adressen der Genehmiger für Benachrichtigungen
  3. Optional: Fügen Sie Details für den Genehmiger der zweiten Stufe hinzu:
    - Eine Liste der Genehmiger für die Berechtigung
      
      Sie können einen der folgenden Hauptkontotypen als Genehmiger hinzufügen:
      - Google-Konten
      - Google-Gruppen
      - Google Workspace-Domains
      - Personalpool-IDs
      - Arbeitslastpool-IDs
      - Dienstkonten und Agentenidentitäten
        
        Dienstkonten, Agent-Identitäten und Workload-Pool-IDs sind nur verfügbar, wenn Dienstkonten und Agent-Identitäten Genehmigungen für diese Ressource erteilen dürfen. Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.
    - Anzahl der erforderlichen Genehmigungen
      
      Wenn Sie eine Gruppe als Genehmiger hinzugefügt haben, muss die Anzahl der erforderlichen Genehmigungen kleiner oder gleich der Anzahl der Hauptkonten in der Gruppe sein. Andernfalls bleiben die Berechtigungen dauerhaft im Status approval awaited.
    - E‑Mail-Adressen der Genehmiger für Benachrichtigungen
Sie können pro Genehmigung bis zu 20 genehmigende Hauptkonten (Identitäten oder Gruppen) hinzufügen. Wenn Sie mehr als 20 Genehmiger hinzufügen möchten, können Sie sie einer Gruppe hinzufügen und die Gruppe als Genehmiger für die Berechtigung auflisten.
Klicken Sie auf Weiter.
Klicken Sie auf Berechtigung erstellen.

Es kann einige Minuten dauern, bis neu erstellte Berechtigungen wirksam und einsatzbereit sind.

gcloud

Mit dem Befehl gcloud alpha pam entitlements create wird eine Berechtigung auf Organisations-, Ordner- oder Projektebene erstellt.

Ersetzen Sie folgende Werte, bevor sie einen der Befehlsdaten verwenden:

ENTITLEMENT_ID: Die zu erstellende Berechtigungs-ID. Eine ID muss 4–63 Zeichen lang sein und die folgenden Zeichen enthalten: [a-z0-9-]. Das erste Zeichen muss ein Buchstabe sein.
RESOURCE_TYPE: Optional. Der Ressourcentyp, zu dem die Berechtigung gehört. Verwenden Sie den Wert organization, folder oder project.
SCOPE: Die Organisation, der Ordner oder das Projekt, in dem die Berechtigung erstellt werden soll, im Format organizations/ORGANIZATION_ID, folders/FOLDER_ID oder projects/PROJECT_ID. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.
RESOURCE_MANAGER_RESOURCE_TYPE: Entweder Organization, Folder oder Project, je nach Bereich.
ROLE: Die Rollen, die zugewiesen werden sollen, wenn eine Berechtigung gewährt wird.
MAXIMUM_GRANT_DURATION: Die maximale Dauer, für die eine Gewährung angefordert werden kann, in Sekunden, endend mit dem Suffix s. Wenn Sie beispielsweise 30 Minuten angeben möchten, verwenden Sie 1800s. Der unterstützte Bereich liegt zwischen 30 Minuten (1800s) und 168 Stunden (604800s).
REQUESTING_MEMBER: Hauptkonten, die die Gewährung der Berechtigung anfordern können. Alle Hauptkontotypen werden unterstützt, außer allUsers und allAuthenticatedUsers.
APPROVING_MEMBER: Hauptkonten, die die Berechtigungsanfrage genehmigen können. Gültige Hauptkontotypen:
- Nutzer
- Gruppe
- Domain
- Personalpool-IDs
- Arbeitslastpool-IDs
  Diese Option ist nur verfügbar, wenn Dienstkonten und Agentenidentitäten Berechtigungsanfragen für diese Ressource genehmigen dürfen. Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.
- Dienstkonten und Agentenidentitäten
  Diese Option ist nur verfügbar, wenn Dienstkonten und Agentenidentitäten Berechtigungsanfragen für diese Ressource genehmigen dürfen. Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.
APPROVALS_NEEDED: Die Anzahl der Genehmiger, die die Berechtigungsanfrage genehmigen müssen.
Wenn Sie eine Gruppe als Genehmiger hinzugefügt haben, muss die Anzahl der erforderlichen Genehmigungen kleiner oder gleich der Anzahl der Hauptkonten in der Gruppe sein. Andernfalls bleiben die Berechtigungen dauerhaft im Status approval awaited.
APPROVER_EMAIL_ADDRESSES: Optional. Zusätzliche E-Mail-Adressen, an die eine Benachrichtigung gesendet werden soll, wenn eine Gewährung angefordert wurde. Google-Identitäten, die mit Gewährungsgenehmigern verknüpft sind, werden automatisch benachrichtigt. Möglicherweise möchten Sie jedoch andere E-Mail-Adressen benachrichtigen, insbesondere wenn Sie die Mitarbeiteridentitätsföderation verwenden.
ADMIN_EMAIL_ADDRESS: Optional. Zusätzliche E-Mail-Adressen, an die eine Benachrichtigung gesendet werden soll, wenn einem Anforderer Zugriff gewährt wird. Google-Identitäten, die mit Gewährungsgenehmigern verknüpft sind, werden automatisch benachrichtigt. Möglicherweise möchten Sie jedoch andere E-Mail-Adressen benachrichtigen, insbesondere wenn Sie die Mitarbeiteridentitätsföderation verwenden.
REQUESTER_EMAIL_ADDRESS: Optional. Zusätzliche E‑Mail-Adressen, an die eine Benachrichtigung gesendet werden soll, wenn diese Berechtigung angefordert werden kann. Google-Identitäten, die mit Antragstellern von Gewährungen verknüpft sind, werden automatisch benachrichtigt. Möglicherweise möchten Sie jedoch andere E-Mail-Adressen benachrichtigen, insbesondere wenn Sie die Mitarbeiteridentitätsföderation verwenden.
CONDITION_EXPRESSION: Optional. Der Bedingungsausdruck, der angibt, wann das Hauptkonto die Berechtigungen in der Rolle verwenden kann. Diese Bedingung gilt nur, wenn die Gewährung aktiv ist.
Hinweis: Privileged Access Manager unterstützt die Verwendung von Zugriffsebenenattributen in der IAM-Bedingung einer Berechtigung nicht.

Speichern Sie den folgenden Inhalt in einer Datei mit dem Namen entitlement.yaml:

privilegedAccess:
  gcpIamAccess:
    resourceType: cloudresourcemanager.googleapis.com/RESOURCE_MANAGER_RESOURCE_TYPE
    resource: //cloudresourcemanager.googleapis.com/SCOPE
    roleBindings:
    - role: ROLE_1
      conditionExpression: CONDITION_EXPRESSION_1
    - role: ROLE_2
      conditionExpression: CONDITION_EXPRESSION_2
maxRequestDuration: MAXIMUM_GRANT_DURATION
eligibleUsers:
- principals:
  - REQUESTING_MEMBER_1
  - REQUESTING_MEMBER_2
approvalWorkflow:
  manualApprovals:
    requireApproverJustification: true
    steps:
    - approvalsNeeded: APPROVALS_NEEDED_1
      approverEmailRecipients:
      - APPROVER_EMAIL_ADDRESSES_1
      - APPROVER_EMAIL_ADDRESSES_2
      approvers:
      - principals:
       - APPROVING_MEMBER_1
       - APPROVING_MEMBER_2
    - approvalsNeeded: APPROVALS_NEEDED_2
      approverEmailRecipients:
       - APPROVER_EMAIL_ADDRESSES_3
       - APPROVER_EMAIL_ADDRESSES_4
      approvers:
      - principals:
        - APPROVING_MEMBER_3
        - APPROVING_MEMBER_4
requesterJustificationConfig:
  unstructured: {}
additionalNotificationTargets:
  adminEmailRecipients:
  - ADMIN_EMAIL_ADDRESS_1
  - ADMIN_EMAIL_ADDRESS_2
  requesterEmailRecipients:
  - REQUESTER_EMAIL_ADDRESS_1
  - REQUESTER_EMAIL_ADDRESS_2

Führen Sie folgenden Befehl aus:

Linux, macOS oder Cloud Shell

gcloud alpha pam entitlements create \
    ENTITLEMENT_ID \
    --entitlement-file=entitlement.yaml \
    --location=global \
    --RESOURCE_TYPE=RESOURCE_ID

Windows (PowerShell)

gcloud alpha pam entitlements create `
    ENTITLEMENT_ID `
    --entitlement-file=entitlement.yaml `
    --location=global `
    --RESOURCE_TYPE=RESOURCE_ID

Windows (cmd.exe)

gcloud alpha pam entitlements create ^
    ENTITLEMENT_ID ^
    --entitlement-file=entitlement.yaml ^
    --location=global ^
    --RESOURCE_TYPE=RESOURCE_ID

Sie sollten eine Antwort ähnlich der folgenden erhalten:

Create request issued for: [ENTITLEMENT_ID]
Waiting for operation [projects/PROJECT_ID/locations/global/operations/OPERATION_ID] to complete...done.
Created entitlement [ENTITLEMENT_ID].
additionalNotificationTargets: {}
approvalWorkflow:
  manualApprovals:
    requireApproverJustification: true
    steps:
    - id: step-1
      approvalsNeeded: 3
      approvers:
      - principals:
        - user:alex@example.com
        - group:dev-team@example.com
    - id: step-2
      approvalsNeeded: 1
      approvers:
      - principals:
        - user:alex@example.com
  createTime: '2024-04-09T02:39:37.011866832Z'
  eligibleUsers:
  - principals:
    - user:bola@example.com
  etag: 00000000000000000000000000000000000000000000000000000000000=
  maxRequestDuration: 7200s
  name: projects/my-project/locations/global/entitlements/ENTITLEMENT_ID
  privilegedAccess:
    gcpIamAccess:
      resource: //cloudresourcemanager.googleapis.com/RESOURCE_TYPE/RESOURCE_ID
      resourceType: cloudresourcemanager.googleapis.com/Project
      roleBindings:
      - role: roles/storage.admin
        id: hwarq_1
        conditionExpression: "request.time.getHours() >= 8"
  requesterJustificationConfig:
    unstructured: {}
  state: AVAILABLE

Es kann einige Minuten dauern, bis neu erstellte Berechtigungen übernommen werden und einsatzbereit sind.

REST

Die Methode createEntitlement der Privileged Access Manager API erstellt eine Berechtigung auf Organisations-, Ordner- oder Projektebene.

Ersetzen Sie diese Werte in den folgenden Anfragedaten:

SCOPE: Die Organisation, der Ordner oder das Projekt, in dem die Berechtigung erstellt werden soll, im Format organizations/ORGANIZATION_ID, folders/FOLDER_ID oder projects/PROJECT_ID. Projekt-IDs sind alphanumerische Strings, wie my-project. Ordner- und Organisations-IDs sind numerisch, z. B. 123456789012.
ENTITLEMENT_ID: Die zu erstellende Berechtigungs-ID. Eine ID muss 4–63 Zeichen lang sein und die folgenden Zeichen enthalten: [a-z0-9-]. Das erste Zeichen muss ein Buchstabe sein.
RESOURCE_MANAGER_RESOURCE_TYPE: Entweder Organization, Folder oder Project, je nach Bereich.
ROLE: Die Rollen, die zugewiesen werden sollen, wenn eine Berechtigung gewährt wird.
MAXIMUM_GRANT_DURATION: Die maximale Dauer, für die eine Gewährung angefordert werden kann, in Sekunden, endend mit dem Suffix s. Wenn Sie beispielsweise 30 Minuten angeben möchten, verwenden Sie 1800s. Der unterstützte Bereich liegt zwischen 30 Minuten (1800s) und 168 Stunden (604800s).
REQUESTING_MEMBER: Hauptkonten, die die Gewährung der Berechtigung anfordern können. Alle Hauptkontotypen werden unterstützt, außer allUsers und allAuthenticatedUsers.
APPROVING_MEMBER: Hauptkonten, die die Berechtigungsanfrage genehmigen können. Gültige Hauptkontotypen:
- Nutzer
- Gruppe
- Domain
- Personalpool-IDs
- Arbeitslastpool-IDs
  Diese Option ist nur verfügbar, wenn Dienstkonten und Agentenidentitäten Berechtigungsanfragen für diese Ressource genehmigen dürfen. Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.
- Dienstkonten und Agentenidentitäten
  Diese Option ist nur verfügbar, wenn Dienstkonten und Agentenidentitäten Berechtigungsanfragen für diese Ressource genehmigen dürfen. Weitere Informationen finden Sie unter Privileged Access Manager-Einstellungen konfigurieren.
APPROVALS_NEEDED: Die Anzahl der Genehmiger, die die Berechtigungsanfrage genehmigen müssen.
Wenn Sie eine Gruppe als Genehmiger hinzugefügt haben, muss die Anzahl der erforderlichen Genehmigungen kleiner oder gleich der Anzahl der Hauptkonten in der Gruppe sein. Andernfalls bleiben die Berechtigungen dauerhaft im Status approval awaited.
APPROVER_EMAIL_ADDRESSES: Optional. Zusätzliche E-Mail-Adressen, an die eine Benachrichtigung gesendet werden soll, wenn eine Gewährung angefordert wurde. Google-Identitäten, die mit Gewährungsgenehmigern verknüpft sind, werden automatisch benachrichtigt. Möglicherweise möchten Sie jedoch andere E-Mail-Adressen benachrichtigen, insbesondere wenn Sie die Mitarbeiteridentitätsföderation verwenden.
ADMIN_EMAIL_ADDRESS: Optional. Zusätzliche E-Mail-Adressen, an die eine Benachrichtigung gesendet werden soll, wenn einem Anforderer Zugriff gewährt wird. Google-Identitäten, die mit Gewährungsgenehmigern verknüpft sind, werden automatisch benachrichtigt. Möglicherweise möchten Sie jedoch andere E-Mail-Adressen benachrichtigen, insbesondere wenn Sie die Mitarbeiteridentitätsföderation verwenden.
REQUESTER_EMAIL_ADDRESS: Optional. Zusätzliche E‑Mail-Adressen, an die eine Benachrichtigung gesendet werden soll, wenn diese Berechtigung angefordert werden kann. Google-Identitäten, die mit Antragstellern von Gewährungen verknüpft sind, werden automatisch benachrichtigt. Möglicherweise möchten Sie jedoch andere E-Mail-Adressen benachrichtigen, insbesondere wenn Sie die Mitarbeiteridentitätsföderation verwenden.
CONDITION_EXPRESSION: Optional. Der Bedingungsausdruck, der angibt, wann das Hauptkonto die Berechtigungen in der Rolle verwenden kann. Diese Bedingung gilt nur, wenn die Gewährung aktiv ist.
Hinweis: Privileged Access Manager unterstützt die Verwendung von Zugriffsebenenattributen in der IAM-Bedingung einer Berechtigung nicht.

HTTP-Methode und URL:

POST https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements?entitlementId=ENTITLEMENT_ID

JSON-Text anfordern:

{
  "privilegedAccess": {
    "gcpIamAccess": {
      "resourceType": "cloudresourcemanager.googleapis.com/RESOURCE_MANAGER_RESOURCE_TYPE",
      "resource": "//cloudresourcemanager.googleapis.com/SCOPE",
      "roleBindings": [
        {
          "role": "ROLE_1",
          "conditionExpression": "CONDITION_EXPRESSION_1",
        },
        {
          "role": "ROLE_2",
          "conditionExpression": "CONDITION_EXPRESSION_2",
        },
      ]
    }
  },
  "maxRequestDuration": "MAXIMUM_GRANT_DURATION",
  "eligibleUsers": [
    {
      "principals": [
        "REQUESTING_MEMBER_1",
        "REQUESTING_MEMBER_2",
        ...
      ]
    }
  ],
  "approvalWorkflow": {
    "manualApprovals": {
      "requireApproverJustification": true,
      "steps": [
        {
          "approvers": [
            {
              "principals": [
                "APPROVING_MEMBER_1",
                "APPROVING_MEMBER_2",
              ]
            }
          ],
          "approvalsNeeded": APPROVALS_NEEDED_1,
          "approverEmailRecipients": [
            "APPROVER_EMAIL_ADDRESSES_1",
            "APPROVER_EMAIL_ADDRESSES_2",
          ]
        },
        {
          "approvers": [
            {
              "principals": [
                "APPROVING_MEMBER_3",
                "APPROVING_MEMBER_4",
              ]
            }
          ],
          "approvalsNeeded": APPROVALS_NEEDED_2,
          "approverEmailRecipients": [
            "APPROVER_EMAIL_ADDRESSES_3",
            "APPROVER_EMAIL_ADDRESSES_4",
          ]
        }
      ]
    }
  },
  "requesterJustificationConfig": {
    "unstructured": {
    }
  },
  "additionalNotificationTargets": {
    "adminEmailRecipients": [
      "ADMIN_EMAIL_ADDRESS_1",
      "ADMIN_EMAIL_ADDRESS_2",
    ],
    "requesterEmailRecipients": [
      "REQUESTER_EMAIL_ADDRESS_1",
      "REQUESTER_EMAIL_ADDRESS_2",
    ]
  }
}

Wenn Sie die Anfrage senden möchten, maximieren Sie eine der folgenden Optionen:

curl (Linux, macOS oder Cloud Shell)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt oder die Cloud Shell genutzt haben, die Sie automatisch in der gcloud-Befehlszeile anmeldet. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements?entitlementId=ENTITLEMENT_ID"

PowerShell (Windows)

Hinweis: Der folgende Befehl setzt voraus, dass Sie sich mit Ihrem Nutzerkonto in der gcloud-Befehlszeile angemeldet haben, indem Sie gcloud init oder gcloud auth login ausgeführt haben. Um herauszufinden, welches Konto gerade aktiv ist, führen Sie gcloud auth list aus.

Speichern Sie den Anfragetext in einer Datei mit dem Namen request.json und führen Sie den folgenden Befehl aus:

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements?entitlementId=ENTITLEMENT_ID" | Select-Object -Expand Content

Sie sollten in etwa folgende JSON-Antwort erhalten:


{
  "name": "projects/PROJECT_ID/locations/global/operations/OPERATION_ID",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.privilegedaccessmanager.v1beta.OperationMetadata",
    "createTime": "2024-03-05T03:35:14.596739353Z",
    "target": "projects/PROJECT_ID/locations/global/entitlements/ENTITLEMENT_ID",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v1beta"
  },
  "done": false
}

Wenn Sie den Fortschritt eines Erstellungsvorgangs prüfen möchten, können Sie eine GET-Anfrage an den folgenden Endpunkt senden:

https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/operations/OPERATION_ID

Senden Sie eine GET-Anfrage an den folgenden Endpunkt, um alle Vorgänge aufzulisten:

https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/operations

Es kann einige Minuten dauern, bis neu erstellte Berechtigungen weitergegeben werden und einsatzbereit sind.

Terraform

Sie können Terraform verwenden, um Berechtigungen zu erstellen. Weitere Informationen finden Sie in der Terraform-Dokumentation unter google_privileged_access_manager_entitlement. Es kann einige Minuten dauern, bis neu erstellte Berechtigungen wirksam und einsatzbereit sind.

Config Connector

Sie können Kubernetes Config Connector verwenden, um Berechtigungen zu erstellen. Weitere Informationen finden Sie unter PrivilegedAccessManagerEntitlement in der Config Connector-Dokumentation. Es kann einige Minuten dauern, bis neu erstellte Berechtigungen wirksam und einsatzbereit sind.