Gestisci l'accesso con privilegi just-in-time ai progetti

Esegui il deployment dell'accesso just-in-time

Questa sezione descrive come eseguire il deployment del modello Just-in-Time Accedi all'applicazione ad App Engine o Cloud Run.

Deployment dell'applicazione Just-In-Time Access in Cloud Run richiede una configurazione più complessa rispetto al deployment in App Engine. Ti consigliamo quindi di utilizzare App Engine a meno che tu non stia eseguendo il deployment in una regione che non supporta App Engine, se non puoi usare App Engine per altri motivi.

Il codice per l'accesso Just-In-Time si trova in un repository GitHub.

In questa sezione si presuppone che tu sia un amministratore.

Configura il tuo progetto Google Cloud

1. Nella console Google Cloud, passa al tuo progetto e abilita le API richieste:

   App Engine

   Abilita le API Cloud Asset Inventory, Resource Manager, Identity-Aware Proxy, Container Registry, Cloud Build, Identity and Access Management, and Directory.

   Abilita le API

   Cloud Run

   Abilita le API Cloud Asset Inventory, Resource Manager, Identity-Aware Proxy, Container Registry, Cloud Run, Compute Engine, Identity and Access Management, and Directory.

   Abilita le API

2. Apri Cloud Shell.

   Apri Cloud Shell

3. Imposta una variabile di ambiente che contenga ID progetto:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del tuo progetto.

4. Crea un account di servizio per l'applicazione Just-in-Time Access:

   SERVICE_ACCOUNT=$(gcloud iam service-accounts create jitaccess --display-name "Just-In-Time Access" --format "value(email)")
   

5. Consenti all'applicazione di creare token utilizzando il proprio account di servizio concedendo all'applicazione Ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator):

   gcloud iam service-accounts add-iam-policy-binding $SERVICE_ACCOUNT \
     --member "serviceAccount:$SERVICE_ACCOUNT" \
     --role "roles/iam.serviceAccountTokenCreator"
   

   L'applicazione utilizza l'autorizzazione per creare token per accedere API Directory e, facoltativamente, di gestire flussi di lavoro di approvazione da più parti.

Concedi all'applicazione Just-in-Time Access l'autorizzazione per gestire le associazioni IAM

Ora concedi il ruolo di Amministratore IAM progetto all'account di servizio dell'applicazione. Questo ruolo consente all'applicazione di accesso Just-In-Time di creare Associazioni IAM quando deve concedere l'accesso just-in-time.

Poiché il ruolo Amministratore IAM progetto dispone di privilegi elevati, devi limitare l'accesso all'account di servizio dell'applicazione e al progetto che la contiene.

Segui queste linee guida:

• Limita il numero di utenti che possono accedere al progetto ed evita concedendo a qualsiasi utente il ruolo Proprietario o Editor.
• Limita il numero di utenti che possono impersonare l'account di servizio. La che devono poter eseguire il furto d'identità, sono coloro che dispongono del nel ruolo Utente account di servizio o nel ruolo Creatore token account di servizio.

Per concedere il ruolo Amministratore IAM progetto all'account di servizio, esegui le seguenti:

1. Concedi il ruolo di Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin) e Ruolo Visualizzatore di asset cloud (roles/cloudasset.viewer) per la parte del gerarchia delle risorse per cui vuoi gestire l'accesso con privilegi just-in-time:

   Progetto

   SCOPE_ID=RESOURCE_PROJECT_ID
   SCOPE_TYPE=projects
   
   gcloud projects add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   
   gcloud projects add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Sostituisci RESOURCE_PROJECT_ID con l'ID del Il progetto Google Cloud per il quale vuoi gestire l'accesso. Questo progetto è diversa da quella per cui stai eseguendo il deployment dell'accesso Just-In-Time.

   Cartella

   SCOPE_ID=RESOURCE_FOLDER_ID
   SCOPE_TYPE=folders
   
   gcloud resource-manager folders add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   gcloud resource-manager folders add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Sostituisci RESOURCE_FOLDER_ID con l'ID della cartella in cui contiene i progetti per i quali vuoi gestire l'accesso.

   Organizzazione

   SCOPE_ID=ORGANIZATION_ID
   SCOPE_TYPE=organizations
   
   gcloud organizations add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   gcloud organizations add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Sostituisci ORGANIZATION_ID con ID della tua organizzazione.

Concedi l'accesso per consentire all'applicazione di risolvere le iscrizioni ai gruppi

L'applicazione Just-in-Time Access ti consente di concedere l'accesso idoneo a un un utente specifico o a un intero gruppo. Per valutare le iscrizioni ai gruppi, il l'applicazione deve disporre dell'autorizzazione per leggere le informazioni sulle iscrizioni ai gruppi dal tuo un account Cloud Identity o Google Workspace.

Concedere all'account di servizio dell'applicazione l'autorizzazione di accesso al gruppo di lettura. ad esempio, segui questi passaggi:

1. Apri l'app Console di amministrazione Google e accedi come utente super amministratore.

2. Vai ad Account > Ruoli amministratore:

   Vai a Ruoli amministratore

3. Fai clic su Lettore di gruppi > Amministratori.

4. Fai clic su Assegna account di servizio.

5. Inserisci il seguente indirizzo email:

   jitaccess@PROJECT_ID.iam.gserviceaccount.com
   

   Sostituisci PROJECT_ID con l'ID del tuo progetto Google Cloud.

6. Fai clic su Aggiungi.

7. Fai clic su Assegna ruolo.

Cerca l'ID cliente del tuo account Cloud Identity o Google Workspace

Per valutare le iscrizioni ai gruppi utilizzando l'API Directory: l'applicazione Just-in-Time Access richiede la tua ID cliente dell'account Google Workspace. Per cercare questo ID, esegui la seguenti:

1. Nella Console di amministrazione Google, vai ad Account > Impostazioni account:

   Vai a Impostazioni account

2. Copia l'ID cliente del tuo account. L'ID cliente inizia con C.

   Dovrai utilizzare l'ID cliente in un passaggio successivo.

3. Chiudi la Console di amministrazione.

Esegui il deployment dell'applicazione

Ora puoi eseguire il deployment dell'applicazione Just-in-Time Access in in App Engine o Cloud Run.

Configura un bilanciatore del carico

Ora devi configurare un bilanciatore del carico per l'applicazione Just-In-Time Access.

Configura Identity-Aware Proxy

Ora devi configurare IAP per l'applicazione di accesso Just-In-Time.

1. In Cloud Shell, configura una schermata per il consenso OAuth:

   gcloud iap oauth-brands create \
       --application_title "Just-In-Time Access" \
       --support_email=$(gcloud config get core/account)
   

2. Nella console Google Cloud, vai a Sicurezza > Identity-Aware Proxy.

   Vai a IAP

3. Imposta IAP su attivato.

Ora devi definire quali utenti sono autorizzati ad accedere all'accesso Just-In-Time un'applicazione. Puoi concedere l'accesso a singoli utenti, gruppi o un l'intero dominio.

1. Nella console Google Cloud, vai a IAM e Amministratore > IAM.

   Vai a IAM

2. Fai clic su Concedi l'accesso e imposta i seguenti valori:

   1. Nell'elenco delle entità, seleziona un utente, un gruppo o un dominio.
   2. Nell'elenco dei ruoli, seleziona Utente app web con protezione IAP.

   Il ruolo Utente app web con protezione IAP consente agli utenti di aprire l'applicazione Just-In-Time Access, ma il ruolo non gli consente di accedere ad alcuna risorse aggiuntive.

3. Fai clic su Salva.

L'applicazione dell'associazione del ruolo potrebbe richiedere alcuni minuti.

PROJECT_NUMBER=$(gcloud projects list \
  --filter $(gcloud config get-value project) \
  --format "value(PROJECT_NUMBER)")

gcloud projects add-iam-policy-binding $(gcloud config get-value core/project) \
  --member "serviceAccount:service-$PROJECT_NUMBER@gcp-sa-iap.iam.gserviceaccount.com" \
  --role "roles/run.invoker"

Testa l'accesso just-in-time

Ora puoi testare la procedura per concedere l'accesso idoneo e procedura di utilizzo dell'applicazione Just-In-Time Access per attivare l'accesso idoneo.

Concedi l'accesso idoneo

Per iniziare, concedi l'accesso idoneo a un secondo account Cloud Identity Utente di Google Workspace.

1. Nella console Google Cloud, utilizza l'elenco dei progetti per selezionare una che fa parte della gerarchia delle risorse gestita Applicazione Just-In-Time Access.
2. Nella pagina IAM, fai clic su Concedi l'accesso.
3. Inserisci l'indirizzo email della tua seconda identità Cloud Identity oppure utente di Google Workspace e seleziona un ruolo come Progetto > Browser.
4. Fai clic su Aggiungi condizione.
5. Inserisci un titolo, ad esempio Eligible for JIT access.

6. Seleziona Editor condizioni e inserisci la seguente espressione CEL:

   has({}.jitAccessConstraint)
   

7. Salva le modifiche.

Attiva l'accesso

Ora puoi cambiare utente e richiedere l'accesso temporaneo a una risorsa.

1. Apri una finestra in incognito nel browser e vai all'URL del l'applicazione di accesso just-in-time che hai annotato in precedenza.
2. Accedi con l'account dell'utente a cui hai concesso l'accesso idoneo.
3. Nell'applicazione Just-in-Time Access, seleziona un ruolo e una risorsa che per cui vuoi attivare l'accesso.

4. Inserisci una giustificazione, ad esempio testing, e fai clic su Richiedi accesso.

   Nella pagina successiva, vedrai che l'accesso è stato temporaneamente attivato.

Analisi dei log

Ora puoi tornare all'utente amministrativo e rivedere il log.

1. Nella console Google Cloud, vai a Logging > Esplora log.

   Vai a Esplora log

2. Imposta Mostra query su attivata.

3. Inserisci la seguente query:

   labels.event="api.activateRole"
   

4. Fai clic su Esegui query.

   L'output è simile al seguente:

   {
   "textPayload": "User EMAIL activated role 'ROLE' on '//cloudresourcemanager.googleapis.com/projects/PROJECT_ID' for themselves",
   "severity": "INFO",
   "labels": {
       "resource": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
       "event": "api.activateRole",
       "role": "ROLE",
       "clone_id": "00c6...",
       "user": "EMAIL",
       "justification": "testing",
       ...
     },
   ...
   }
   

   Tieni presente che è stato creato un record di log per ogni ruolo attivato. Il record di log include un set di etichette che puoi utilizzare per creare filtri corretti.

Esegui l'upgrade dell'accesso Just-in-Time

Questa sezione descrive come eseguire l'upgrade di un sistema Just-In-Time esistente Accedi al deployment per usare una versione più recente dell'applicazione o per usare un configurazione.

In questa sezione si presuppone che tu sia un amministratore.

1. Nella console Google Cloud, passa al tuo progetto e apri in Cloud Shell.

   Apri Cloud Shell

2. Imposta una variabile di ambiente che contenga ID progetto:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del tuo progetto.

3. Clona il Repository GitHub e passa al ramo latest:

   git clone https://github.com/GoogleCloudPlatform/jit-access.git
   cd jit-access/sources
   git checkout latest
   

4. Scarica il file di configurazione che hai utilizzato in precedenza per il deployment e la salvi in un file app.yaml:

   App Engine

   APPENGINE_VERSION=$(gcloud app versions list --service default --hide-no-traffic --format "value(version.id)")
   APPENGINE_APPYAML_URL=$(gcloud app versions describe $APPENGINE_VERSION --service default --format "value(deployment.files.'app.yaml'.sourceUrl)")
   
   curl -H "Authorization: Bearer $(gcloud auth print-access-token)" $APPENGINE_APPYAML_URL -o app.yaml
   cat app.yaml
   

   Se il download del file app.yaml non va a buon fine, puoi scaricare il file configurazione nella console Google Cloud.

   Cloud Run

   gcloud config set run/region REGION
   gcloud run services describe jitaccess --format yaml > app.yaml
   

   Sostituisci REGION con la regione che contiene il tuo deployment di Cloud Run esistente.

5. Se vuoi apportare modifiche alla configurazione, modifica il file app.yaml. Per un elenco delle impostazioni, vedi Opzioni di configurazione. nel repository GitHub associato.

6. Esegui il deployment dell'applicazione:

   App Engine

   sed -i 's/java11/java17/g' app.yaml
   gcloud app deploy --appyaml app.yaml
   

   Cloud Run

   PROJECT_ID=$(gcloud config get-value core/project)
   
   docker build -t gcr.io/$PROJECT_ID/jitaccess:latest .
   docker push gcr.io/$PROJECT_ID/jitaccess:latest
   
   IMAGE=$(docker inspect --format='{{index .RepoDigests 0}}'  gcr.io/$PROJECT_ID/jitaccess)
   sed -i "s|image:.*|image: $IMAGE|g" app.yaml
   
   gcloud run services replace app.yaml