Gestire l'accesso con privilegi just-in-time ai progetti

Esegui il deployment dell'accesso just-in-time

Questa sezione descrive come eseguire il deployment dell'applicazione di accesso Just-In-Time in App Engine o Cloud Run.

Il deployment dell'applicazione di accesso Just-In-Time in Cloud Run richiede una configurazione più complessa rispetto al deployment dell'applicazione in App Engine. Ti consigliamo quindi di utilizzare App Engine a meno che tu non stia eseguendo il deployment in una regione che non supporta App Engine, se non puoi usare App Engine per altri motivi.

Il codice per l'accesso Just-In-Time si trova in un repository GitHub.

In questa sezione si presuppone che tu sia un amministratore.

Configura il tuo progetto Google Cloud

1. Nella console Google Cloud, passa al tuo progetto e abilita le API richieste:

   App Engine

   Enable the Cloud Asset Inventory, Resource Manager, Identity-Aware Proxy, Container Registry, Cloud Build, Identity and Access Management, and Directory APIs.

   Enable the APIs

   Cloud Run

   Enable the Cloud Asset Inventory, Resource Manager, Identity-Aware Proxy, Container Registry, Cloud Run, Compute Engine, Identity and Access Management, and Directory APIs.

   Enable the APIs

2. Apri Cloud Shell.

   Apri Cloud Shell

3. Imposta una variabile di ambiente che contenga ID progetto:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del tuo progetto.

4. Crea un account di servizio per l'applicazione Accesso Just-in-Time:

   SERVICE_ACCOUNT=$(gcloud iam service-accounts create jitaccess --display-name "Just-In-Time Access" --format "value(email)")
   

5. Consenti all'applicazione di creare token utilizzando il proprio account di servizio concedendo all'applicazione Ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator):

   gcloud iam service-accounts add-iam-policy-binding $SERVICE_ACCOUNT \
     --member "serviceAccount:$SERVICE_ACCOUNT" \
     --role "roles/iam.serviceAccountTokenCreator"
   

   L'applicazione utilizza l'autorizzazione per creare token per accedere API Directory e, facoltativamente, di gestire flussi di lavoro di approvazione da più parti.

Concedi all'applicazione Accesso just-in-time l'autorizzazione per gestire le associazioni IAM

Ora concedi il ruolo Amministratore IAM del progetto all'account di servizio dell'applicazione. Questo ruolo consente all'applicazione di accesso Just-In-Time di creare Associazioni IAM quando deve concedere l'accesso just-in-time.

Poiché il ruolo Amministratore IAM progetto dispone di privilegi elevati, devi limitare l'accesso all'account di servizio dell'applicazione e al progetto che la contiene.

Segui queste linee guida:

• Limita il numero di utenti che possono accedere al progetto ed evita concedendo a qualsiasi utente il ruolo Proprietario o Editor.
• Limita il numero di utenti che possono simulare l'identità dell'account di servizio. Gli utenti che dovrebbero essere in grado di eseguire questa operazione di rappresentazione includono quelli che dispongono del ruolo Utente account di servizio o del ruolo Creatore token account di servizio.

Per concedere il ruolo Amministratore IAM del progetto all'account di servizio, svolgi quanto segue:

1. Concedi il ruolo di Amministratore IAM progetto (roles/resourcemanager.projectIamAdmin) e Ruolo Visualizzatore di asset cloud (roles/cloudasset.viewer) per la parte del gerarchia delle risorse per cui vuoi gestire l'accesso con privilegi just-in-time:

   Progetto

   SCOPE_ID=RESOURCE_PROJECT_ID
   SCOPE_TYPE=projects
   
   gcloud projects add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   
   gcloud projects add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Sostituisci RESOURCE_PROJECT_ID con l'ID del Il progetto Google Cloud per il quale vuoi gestire l'accesso. Questo progetto è diversa da quella per cui stai eseguendo il deployment dell'accesso Just-In-Time.

   Cartella

   SCOPE_ID=RESOURCE_FOLDER_ID
   SCOPE_TYPE=folders
   
   gcloud resource-manager folders add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   gcloud resource-manager folders add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Sostituisci RESOURCE_FOLDER_ID con l'ID della cartella che contiene i progetti per i quali vuoi gestire l'accesso.

   Organizzazione

   SCOPE_ID=ORGANIZATION_ID
   SCOPE_TYPE=organizations
   
   gcloud organizations add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   gcloud organizations add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Sostituisci ORGANIZATION_ID con il ID della tua organizzazione.

Concedi l'accesso per consentire all'applicazione di risolvere le iscrizioni ai gruppi

L'applicazione Just-in-Time Access ti consente di concedere l'accesso idoneo a un un utente specifico o a un intero gruppo. Per valutare le iscrizioni ai gruppi, è necessario l'applicazione deve disporre dell'autorizzazione per leggere le informazioni sulle iscrizioni ai gruppi dal tuo un account Cloud Identity o Google Workspace.

Concedere all'account di servizio dell'applicazione l'autorizzazione di accesso al gruppo di lettura. ad esempio, segui questi passaggi:

1. Apri la Console di amministrazione Google e accedi come utente super amministratore.

2. Vai ad Account > Ruoli amministratore:

   Vai a Ruoli amministratore

3. Fai clic su Lettore di gruppi > Amministratori.

4. Fai clic su Assegna account di servizio.

5. Inserisci il seguente indirizzo email:

   jitaccess@PROJECT_ID.iam.gserviceaccount.com
   

   Sostituisci PROJECT_ID con l'ID del tuo progetto Google Cloud.

6. Fai clic su Aggiungi.

7. Fai clic su Assegna ruolo.

Cercare l'ID cliente del tuo account Cloud Identity o Google Workspace

Per valutare le iscrizioni ai gruppi utilizzando l'API Directory, l'applicazione Accesso Just-In-Time ha bisogno dell'ID cliente del tuo account Cloud Identity o Google Workspace. Per cercare questo ID:

1. Nella Console di amministrazione Google, vai ad Account > Impostazioni account:

   Vai a Impostazioni account

2. Copia l'ID cliente del tuo account. L'ID cliente inizia con C.

   L'ID cliente ti servirà in un secondo momento.

3. Chiudi la Console di amministrazione.

Esegui il deployment dell'applicazione

Ora puoi eseguire il deployment dell'applicazione Just-in-Time Access in in App Engine o Cloud Run.

Configura un bilanciatore del carico

Ora configura un bilanciatore del carico per l'applicazione di accesso Just-In-Time.

Configurare Identity-Aware Proxy

Ora configura l'IAP per l'applicazione di accesso Just-In-Time.

1. In Cloud Shell, configura una schermata per il consenso OAuth:

   gcloud iap oauth-brands create \
       --application_title "Just-In-Time Access" \
       --support_email=$(gcloud config get core/account)
   

2. Nella console Google Cloud, vai a Sicurezza > Identity-Aware Proxy.

   Vai a IAP

3. Imposta IAP su enabled.

Ora devi definire gli utenti autorizzati ad accedere all'applicazione Accesso Just-In-Time. Puoi concedere l'accesso a singoli utenti, gruppi o un l'intero dominio.

1. Nella console Google Cloud, vai a IAM e amministrazione > IAM.

   Vai a IAM

2. Fai clic su Concedi l'accesso e imposta i seguenti valori:

   1. Nell'elenco delle entità, seleziona un utente, un gruppo o un dominio.
   2. Nell'elenco dei ruoli, seleziona Utente app web con protezione IAP.

   Il ruolo Utente app web con protezione IAP consente agli utenti di aprire l'applicazione Just-In-Time Access, ma il ruolo non gli consente di accedere ad alcuna risorse aggiuntive.

3. Fai clic su Salva.

L'applicazione dell'associazione del ruolo potrebbe richiedere alcuni minuti.

PROJECT_NUMBER=$(gcloud projects list \
  --filter $(gcloud config get-value project) \
  --format "value(PROJECT_NUMBER)")

gcloud projects add-iam-policy-binding $(gcloud config get-value core/project) \
  --member "serviceAccount:[email protected]" \
  --role "roles/run.invoker"

Testa l'accesso just-in-time

Ora puoi testare la procedura di concessione dell'accesso idoneo e la procedura di utilizzo dell'applicazione di accesso just-in-time per attivare l'accesso idoneo.

Concedere l'accesso idoneo

Per iniziare, concedi l'accesso idoneo a un secondo account Cloud Identity Utente di Google Workspace.

1. Nella console Google Cloud, utilizza l'elenco dei progetti per selezionare un progetto che fa parte della gerarchia delle risorse gestita dall'applicazione di accesso Just-In-Time.
2. Nella pagina IAM, fai clic su Concedi l'accesso.
3. Inserisci l'indirizzo email del secondo utente Cloud Identity o Google Workspace e seleziona un ruolo, ad esempio Progetto > Browser.
4. Fai clic su Aggiungi condizione.
5. Inserisci un titolo, ad esempio Eligible for JIT access.

6. Seleziona Editor condizioni e inserisci la seguente espressione CEL:

   has({}.jitAccessConstraint)
   

7. Salva le modifiche.

Attiva l'accesso

Ora puoi cambiare utente e richiedere l'accesso temporaneo a una risorsa.

1. Apri una finestra del browser in incognito e vai all'URL dell'applicazione di accesso Just-In-Time che hai annotato in precedenza.
2. Accedi con l'account dell'utente a cui hai concesso l'accesso idoneo.
3. Nell'applicazione Accesso Just-In-Time, seleziona un ruolo e una risorsa per cui vuoi attivare l'accesso.

4. Inserisci una motivazione, ad esempio testing, quindi fai clic su Richiedi l'accesso.

   Nella pagina successiva, noterai che l'accesso è stato temporaneamente attivato.

Analisi dei log

Ora puoi tornare all'utente amministrativo ed esaminare il log.

1. Nella console Google Cloud, vai a Logging > Esplora log.

   Vai a Esplora log

2. Imposta Mostra query su attivata.

3. Inserisci la seguente query:

   labels.event="api.activateRole"
   

4. Fai clic su Esegui query.

   L'output è simile al seguente:

   {
   "textPayload": "User EMAIL activated role 'ROLE' on '//cloudresourcemanager.googleapis.com/projects/PROJECT_ID' for themselves",
   "severity": "INFO",
   "labels": {
       "resource": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
       "event": "api.activateRole",
       "role": "ROLE",
       "clone_id": "00c6...",
       "user": "EMAIL",
       "justification": "testing",
       ...
     },
   ...
   }
   

   Tieni presente che è stato creato un record di log per ogni ruolo attivato. Il record del log include un insieme di etichette che puoi utilizzare per creare filtri personalizzati.

Eseguire l'upgrade dell'accesso just-in-time

Questa sezione descrive come eseguire l'upgrade di un deployment di Access Just-In-Time esistente per utilizzare una versione più recente dell'applicazione o una configurazione diversa.

Questa sezione presuppone che tu sia un amministratore.

1. Nella console Google Cloud, passa al tuo progetto e apri Cloud Shell.

   Apri Cloud Shell

2. Imposta una variabile di ambiente contenente il tuo ID progetto:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del tuo progetto.

3. Clona il repository GitHub e passa al ramo latest:

   git clone https://github.com/GoogleCloudPlatform/jit-groups.git
   cd jit-access/sources
   git checkout latest
   

4. Scarica il file di configurazione utilizzato in precedenza per eseguire il deployment dell'applicazione e salvalo in un file app.yaml:

   App Engine

   APPENGINE_VERSION=$(gcloud app versions list --service default --hide-no-traffic --format "value(version.id)")
   APPENGINE_APPYAML_URL=$(gcloud app versions describe $APPENGINE_VERSION --service default --format "value(deployment.files.'app.yaml'.sourceUrl)")
   
   curl -H "Authorization: Bearer $(gcloud auth print-access-token)" $APPENGINE_APPYAML_URL -o app.yaml
   cat app.yaml
   

   Se il download del file app.yaml non va a buon fine, puoi scaricare la configurazione attuale nella console Google Cloud.

   Cloud Run

   gcloud config set run/region REGION
   gcloud run services describe jitaccess --format yaml > app.yaml
   

   Sostituisci REGION con la regione che contiene il tuo deployment di Cloud Run esistente.

5. Se vuoi apportare modifiche alla configurazione, modifica il file app.yaml. Per un elenco delle impostazioni, vedi Opzioni di configurazione. nel repository GitHub associato.

6. Esegui il deployment dell'applicazione:

   App Engine

   sed -i 's/java11/java17/g' app.yaml
   gcloud app deploy --appyaml app.yaml
   

   Cloud Run

   PROJECT_ID=$(gcloud config get-value core/project)
   
   docker build -t gcr.io/$PROJECT_ID/jitaccess:latest .
   docker push gcr.io/$PROJECT_ID/jitaccess:latest
   
   IMAGE=$(docker inspect --format='{{index .RepoDigests 0}}'  gcr.io/$PROJECT_ID/jitaccess)
   sed -i "s|image:.*|image: $IMAGE|g" app.yaml
   
   gcloud run services replace app.yaml