Gerenciar o acesso privilegiado just-in-time e imediato aos projetos

Implantar o acesso just-in-time

Nesta seção, descrevemos como implantar o aplicativo de acesso just-in-time no App Engine ou no Cloud Run.

A implantação do aplicativo de acesso just-in-time no Cloud Run requer uma configuração mais complexa do que a implantação do aplicativo no App Engine. Portanto, recomendamos que você use o App Engine, a menos que esteja implantando em uma região que não seja compatível com o App Engine, ou se não for possível usar o App Engine por outros motivos.

O código do acesso just-in-time está em um repositório do GitHub.

Esta seção pressupõe que você é um administrador.

Configurar o projeto do Google Cloud

1. No console do Google Cloud, alterne para o projeto e ative as APIs necessárias:

   App Engine

   Enable the Cloud Asset Inventory, Resource Manager, Identity-Aware Proxy, Container Registry, Cloud Build, Identity and Access Management, and Directory APIs.

   Enable the APIs

   Cloud Run

   Enable the Cloud Asset Inventory, Resource Manager, Identity-Aware Proxy, Container Registry, Cloud Run, Compute Engine, Identity and Access Management, and Directory APIs.

   Enable the APIs

2. Abra o Cloud Shell.

   Abrir o Cloud Shell

3. Defina uma variável de ambiente que contenha o ID do projeto:

   gcloud config set project PROJECT_ID
   

   Substitua PROJECT_ID pelo ID do seu projeto.

4. Crie uma conta de serviço para o aplicativo Just-in-Time Access:

   SERVICE_ACCOUNT=$(gcloud iam service-accounts create jitaccess --display-name "Just-In-Time Access" --format "value(email)")
   

5. Conceda ao aplicativo o papel de Criador de token da conta de serviço (roles/iam.serviceAccountTokenCreator) para permitir que ele crie tokens usando a própria conta de serviço:

   gcloud iam service-accounts add-iam-policy-binding $SERVICE_ACCOUNT \
     --member "serviceAccount:$SERVICE_ACCOUNT" \
     --role "roles/iam.serviceAccountTokenCreator"
   

   O aplicativo usa a permissão para criar tokens para acessar a API Directory e, opcionalmente, para processar fluxos de trabalho de aprovação de várias partes.

Conceder permissão ao aplicativo Just-in-Time Access para gerenciar vinculações do IAM

Agora você concede o papel Administrador do IAM do projeto à conta de serviço do aplicativo. Esse papel permite que o aplicativo Just-In-Time Access crie vinculações temporárias do IAM quando ele precisa conceder acesso just-in-time.

Como o papel Administrador do projeto de IAM é altamente privilegiado, você precisa limitar o acesso à conta de serviço do aplicativo e ao projeto que a contém.

Siga estas diretrizes:

• Limite o número de usuários que podem acessar o projeto e evite conceder a qualquer usuário o papel de Proprietário ou de Editor.
• Limite o número de usuários que podem representar a conta de serviço. Os usuários que podem fazer essa representação incluem aqueles que têm o papel usuário da conta de serviço ou criador do token da conta de serviço.

Para conceder o papel Administrador do IAM do projeto à conta de serviço, faça o seguinte:

1. Conceda o papel Administrador de projeto do IAM (roles/resourcemanager.projectIamAdmin) e o papel Visualizador do recurso do Cloud (roles/cloudasset.viewer) à parte da sua hierarquia de recursos que você quer gerenciar o acesso privilegiado just-in-time para:

   Projeto

   SCOPE_ID=RESOURCE_PROJECT_ID
   SCOPE_TYPE=projects
   
   gcloud projects add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   
   gcloud projects add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Substitua RESOURCE_PROJECT_ID pelo ID do projeto do Google Cloud em que você quer gerenciar o acesso. Esse projeto é diferente daquele em que você está implantando o acesso just-in-time.

   Pasta

   SCOPE_ID=RESOURCE_FOLDER_ID
   SCOPE_TYPE=folders
   
   gcloud resource-manager folders add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   gcloud resource-manager folders add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Substitua RESOURCE_FOLDER_ID pelo ID da pasta que contém os projetos em que você quer gerenciar o acesso.

   Organização

   SCOPE_ID=ORGANIZATION_ID
   SCOPE_TYPE=organizations
   
   gcloud organizations add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/resourcemanager.projectIamAdmin" \
       --condition None
   gcloud organizations add-iam-policy-binding $SCOPE_ID \
       --member "serviceAccount:$SERVICE_ACCOUNT" \
       --role "roles/cloudasset.viewer" \
       --condition None
   

   Substitua ORGANIZATION_ID pelo ID da organização.

Permitir acesso para permitir que o aplicativo resolva associações ao grupo

Com o aplicativo Just-In-Time Access, você concede acesso qualificado a um usuário específico ou a um grupo inteiro. Para avaliar as associações a grupos, o aplicativo precisa ter permissão para ler as informações de associação a grupos da sua conta do Cloud Identity ou do Google Workspace.

Para conceder permissão à conta de serviço do aplicativo para ler associações a grupos, faça o seguinte:

1. Abra o Google Admin Console e faça login como usuário superadministrador.

2. Acesse Conta > Papéis do administrador:

   Acesse Funções do administrador

3. Clique em Leitor de grupos > Administradores.

4. Clique em Atribuir contas de serviço.

5. Digite o seguinte endereço de e-mail:

   jitaccess@PROJECT_ID.iam.gserviceaccount.com
   

   Substitua PROJECT_ID pelo ID do projeto do Google Cloud.

6. Clique em Adicionar.

7. Clique em Atribuir papel.

Pesquisar o ID de cliente da sua conta do Cloud Identity ou do Google Workspace

Para avaliar as associações a grupos usando a API Directory, o aplicativo de acesso Just-In-Time precisa do ID de cliente da sua conta do Cloud Identity ou do Google Workspace. Para procurar esse ID, faça o seguinte:

1. No Google Admin Console, acesse Conta > Configurações da conta:

   Acessar as configurações da conta

2. Copie o ID de cliente da sua conta. O ID de cliente começa com C.

   Você vai precisar do ID de cliente em uma etapa posterior.

3. Feche o Admin Console.

Implantar o aplicativo

Agora está tudo pronto para implantar o aplicativo de acesso just-in-time no App Engine ou no Cloud Run.

Configurar um balanceador de carga

Agora você vai configurar um balanceador de carga para o aplicativo de acesso just-in-time.

Configurar o Identity-Aware Proxy

Agora configure o IAP para o aplicativo Just-In-Time Access.

1. No Cloud Shell, configure uma tela de consentimento do OAuth:

   gcloud iap oauth-brands create \
       --application_title "Just-In-Time Access" \
       --support_email=$(gcloud config get core/account)
   

2. No console do Google Cloud, acesse Segurança > Identity-Aware Proxy.

   Acessar o IAP

3. Defina IAP como habilitado.

Agora defina quais usuários têm permissão para acessar o aplicativo de Just-In-Time Access. É possível conceder acesso a usuários individuais, a grupos ou a todo um domínio.

1. No console do Google Cloud, acesse IAM e administrador > IAM.

   Acessar IAM

2. Clique em Conceder acesso e defina os seguintes valores:

   1. Na lista de participantes, selecione um usuário, um grupo ou um domínio.
   2. Na lista de papéis, selecione Usuário do app da Web protegido pelo IAP.

   O papel de usuário do app da Web protegido pelo IAP permite que os usuários abram o aplicativo Just-In-Time Access, mas o papel ainda não fornece acesso a nenhum outro recurso.

3. Clique em Salvar.

A vinculação de papéis pode levar alguns minutos para entrar em vigor.

PROJECT_NUMBER=$(gcloud projects list \
  --filter $(gcloud config get-value project) \
  --format "value(PROJECT_NUMBER)")

gcloud projects add-iam-policy-binding $(gcloud config get-value core/project) \
  --member "serviceAccount:service-$PROJECT_NUMBER@gcp-sa-iap.iam.gserviceaccount.com" \
  --role "roles/run.invoker"

Testar o acesso just-in-time

Agora você pode testar o processo de concessão de acesso qualificado e o processo de uso do aplicativo de acesso just-in-time para ativar o acesso qualificado.

Permitir acesso qualificado

Para começar, conceda acesso qualificado a um segundo usuário do Cloud Identity ou do Google Workspace.

1. No Console do Google Cloud, use a lista de projetos para selecionar um projeto que faz parte da hierarquia de recursos gerenciada pelo aplicativo Just-In-Time Access.
2. Na página do IAM, clique em Conceder acesso.
3. Digite o endereço de e-mail do segundo usuário do Cloud Identity ou do Google Workspace e selecione um papel como Projeto > Navegador.
4. Clique em Adicionar condição.
5. Digite um título como Eligible for JIT access.

6. Selecione Editor de condições e insira a seguinte expressão CEL:

   has({}.jitAccessConstraint)
   

7. Salve as alterações.

Ativar acesso

Agora você pode mudar os usuários e solicitar acesso temporário a um recurso.

1. Abra uma janela anônima do navegador e acesse o URL do aplicativo Just-In-Time Access que você anotou anteriormente.
2. Faça login como o usuário para quem você concedeu acesso qualificado.
3. No aplicativo Just-In-Time Access, selecione o papel e o recurso para o qual você quer ativar o acesso.

4. Digite uma justificativa, como testing, e clique em Solicitar acesso.

   Na próxima página, observe que o acesso foi ativado temporariamente.

Analisar registros

Agora você pode voltar para o usuário administrativo e analisar o registro.

1. No console do Google Cloud, acesse Geração de registros > Explorador de registros.

   Acessar o Explorador de registros

2. Defina Mostrar consulta como habilitado.

3. Digite a seguinte consulta:

   labels.event="api.activateRole"
   

4. Clique em Run query.

   O resultado será assim:

   {
   "textPayload": "User EMAIL activated role 'ROLE' on '//cloudresourcemanager.googleapis.com/projects/PROJECT_ID' for themselves",
   "severity": "INFO",
   "labels": {
       "resource": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
       "event": "api.activateRole",
       "role": "ROLE",
       "clone_id": "00c6...",
       "user": "EMAIL",
       "justification": "testing",
       ...
     },
   ...
   }
   

   Observe que um registro foi criado para cada papel ativado. O registro inclui um conjunto de rótulos que podem ser usados para criar filtros personalizados.

Fazer upgrade do acesso just-in-time

Nesta seção, descrevemos como fazer upgrade de uma implantação de acesso just-in-time para usar uma versão mais recente do aplicativo ou uma configuração diferente.

Esta seção pressupõe que você é um administrador.

1. No console do Google Cloud, mude para seu projeto e abra o Cloud Shell.

   Abra o Cloud Shell

2. Defina uma variável de ambiente que contenha o ID do projeto:

   gcloud config set project PROJECT_ID
   

   Substitua PROJECT_ID pelo ID do seu projeto.

3. Clone o repositório do GitHub e mude para a ramificação latest:

   git clone https://github.com/GoogleCloudPlatform/jit-access.git
   cd jit-access/sources
   git checkout latest
   

4. Faça o download do arquivo de configuração usado anteriormente para implantar o aplicativo e salvá-lo em um arquivo app.yaml:

   App Engine

   APPENGINE_VERSION=$(gcloud app versions list --service default --hide-no-traffic --format "value(version.id)")
   APPENGINE_APPYAML_URL=$(gcloud app versions describe $APPENGINE_VERSION --service default --format "value(deployment.files.'app.yaml'.sourceUrl)")
   
   curl -H "Authorization: Bearer $(gcloud auth print-access-token)" $APPENGINE_APPYAML_URL -o app.yaml
   cat app.yaml
   

   Se o download do arquivo app.yaml falhar, será possível fazer o download da configuração atual no Console do Google Cloud.

   Cloud Run

   gcloud config set run/region REGION
   gcloud run services describe jitaccess --format yaml > app.yaml
   

   Substitua REGION pela região que contém a implantação atual do Cloud Run.

5. Para fazer mudanças na configuração, edite o arquivo app.yaml. Para ver uma lista de configurações, consulte a página Opções de configuração no repositório do GitHub associado.

6. Implante o aplicativo:

   App Engine

   sed -i 's/java11/java17/g' app.yaml
   gcloud app deploy --appyaml app.yaml
   

   Cloud Run

   PROJECT_ID=$(gcloud config get-value core/project)
   
   docker build -t gcr.io/$PROJECT_ID/jitaccess:latest .
   docker push gcr.io/$PROJECT_ID/jitaccess:latest
   
   IMAGE=$(docker inspect --format='{{index .RepoDigests 0}}'  gcr.io/$PROJECT_ID/jitaccess)
   sed -i "s|image:.*|image: $IMAGE|g" app.yaml
   
   gcloud run services replace app.yaml