Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
Zugriffsgenehmigungsanfragen genehmigen
In diesem Dokument wird erläutert, wie Sie eine Zugriffsgenehmigungsanfrage genehmigen.
Hinweise
Machen Sie sich mit den Konzepten auf der Seite Übersicht vertraut.
Gewähren Sie dem Hauptkonto, das Genehmigungen ausführen soll, die IAM-Rolle „Genehmiger für Zugriffsgenehmigungen“ (roles/accessapproval.approver) für das Projekt, den Ordner oder die Organisation. Sie können die IAM-Rolle „Genehmiger für Zugriffsgenehmigungen“ entweder einem einzelnen Nutzer, einem Dienstkonto oder einer Google-Gruppe zuweisen.
Wenn Sie einen benutzerdefinierten Signaturschlüssel verwenden, müssen Sie dem Dienstkonto für die Zugriffsberechtigung für Ihre Ressource auch die IAM-Rolle „Cloud KMS CryptoKey-Signer/Prüffunktion“ (roles/cloudkms.signerVerifier) zuweisen. Wenn Sie einen von Google verwalteten Signaturschlüssel verwenden, müssen Sie keine weiteren Berechtigungen angeben.
Wenn Sie festgelegt haben, dass Sie Anfragen für die Zugriffsgenehmigung per E-Mail erhalten möchten, können Sie auch auf den Link in der E-Mail klicken, die Sie mit der Genehmigungsanfrage erhalten haben, um auf diese Seite weitergeleitet zu werden.
Wenn Sie einer Anfrage zustimmen möchten, klicken Sie auf Genehmigen.
Sie können die Anfrage auch ablehnen. Sie haben auch die Möglichkeit, die Anfrage abzulehnen. Dies ist jedoch optional, da der Zugriff weiterhin verweigert wird, auch wenn Sie die Anfrage nicht ablehnen.
Wenn Sie den Zugriffsantrag des Google-Mitarbeiters nicht innerhalb von 14 Tagen oder vor Ablauf des Antrags genehmigen, wird er automatisch abgelehnt.
Wählen Sie im angezeigten Dialogfeld das Datum und die Uhrzeit aus, an dem der Zugriff ablaufen soll.
Wählen Sie Genehmigen aus, um den Zugriff bis zum festgelegten Ablaufdatum und zur festgelegten Ablaufzeit zu genehmigen.
Optional: Wenn Sie die Signatur einer Anfrage nach der Genehmigung prüfen möchten, folgen Sie der Anleitung unter Signatur einer Anfrage prüfen.
cURL
So genehmigen Sie eine Zugriffsgenehmigungsanfrage mit cURL:
Übernehmen Sie den approvalRequest-Namen aus der Pub/Sub-Nachricht.
Führen Sie einen API-Aufruf durch, um approvalRequest zu genehmigen oder zu verwerfen.
Sie können auf eine Anfrage mit einer der folgenden Optionen antworten:
Aktion
Effekt
Google-Zugriffsstatus
:approve
Genehmigt die Anfrage.
Vor Genehmigung abgelehnt, nach Genehmigung genehmigt.
:dismiss
Lehnt die Genehmigungsanfrage ab. Wir empfehlen, den Zugriff abzulehnen, anstatt keine Maßnahmen zu ergreifen. Wenn Sie die Zugriffsanfrage ablehnen, wird der Google-Mitarbeiter aufgefordert, sich mit Ihnen in Verbindung zu setzen.
Vor der Ablehnung abgelehnt, nach der Ablehnung abgelehnt.
Keine Aktion
Der Zugriff wird Google-Mitarbeitern weiterhin verweigert. Google-Mitarbeiter müssen eine neue Anfrage öffnen, um nach Ablauf der requestedExpiration-Zeit auf die Ressource zuzugreifen.
Verweigert vor "keine Aktion", verweigert nach Ablauf der Zeit.
Nachdem Sie die Anfrage genehmigt haben, ändert sich der Anfragestatus in Approved. Google-Mitarbeiter mit Merkmalen, die mit dem Geltungsbereich der Genehmigung übereinstimmen, können innerhalb des genehmigten Zeitraums Zugriff nehmen. Dazu gehören die gleiche Begründung, der gleiche Standort oder der gleiche Arbeitsplatz.
Die Zugriffsgenehmigung gewährt dem Google-Mitarbeiter, der den Zugriff angefordert hat, keine IAM-Rolle und keine neue Berechtigung.
Wenn Sie den Zugriffsantrag des Google-Mitarbeiters nicht genehmigen, wird ihm der Zugriff verweigert. Wenn Sie die Anfrage ablehnen, wird sie nur aus der Liste der ausstehenden Anfragen entfernt. Wenn Sie eine Genehmigungsanfrage nicht ablehnen, wird der Zugriff weiterhin verweigert.
Nach der Aktivierung werden mit Access Transparency alle von Ihnen genehmigten Zugriffe auf Kundendaten protokolliert.
Der Zugriff für Google-Mitarbeiter ist zulässig, bis die Genehmigung abläuft oder die Begründung für den Zugriff nicht mehr gültig ist. Der Zugriff läuft beispielsweise ab, wenn der Supportfall, für den Google-Mitarbeiter Zugriff angefordert haben, geschlossen wird.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[[["\u003cp\u003eAccess Approval requests can be approved via the Google Cloud console or using cURL, allowing administrators to grant Google personnel temporary access.\u003c/p\u003e\n"],["\u003cp\u003eApprovers must be granted the Access Approval Approver IAM role, and optionally, the Cloud KMS CryptoKey Signer/Verifier role if using a custom signing key.\u003c/p\u003e\n"],["\u003cp\u003eWhen approving via the Google Cloud console, you must select an expiration date and time, whereas cURL allows for immediate approval or dismissal without time settings.\u003c/p\u003e\n"],["\u003cp\u003eIf a request is not approved or dismissed within 14 days, or by the requested expiration time, the request is automatically dismissed, and access remains denied.\u003c/p\u003e\n"],["\u003cp\u003eDismissing a request is recommended as it prompts the Google employee to follow up if needed, although not acting on a request or dismissing it will still deny them access.\u003c/p\u003e\n"]]],[],null,["# Approving Access Approval requests\n==================================\n\nThis document explains how to approve an Access Approval request.\n\nBefore you begin\n----------------\n\n- Make sure that you understand the concepts in the\n [Overview](/assured-workloads/access-approval/docs/overview) page.\n\n- Grant the Access Approval Approver (`roles/accessapproval.approver`)\n IAM role on the project, folder, or\n organization to the [principal](/iam/docs/overview#concepts_related_identity)\n who you want to be able to perform approvals. You can grant the\n Access Approval Approver IAM role to either an\n [individual user](/iam/docs/overview#google_account), a [service account](/iam/docs/overview#service_account), or a\n [Google group](/iam/docs/overview#google_group).\n\n If you are using a custom signing key, you\n must also grant the Cloud KMS CryptoKey Signer/Verifier\n (`roles/cloudkms.signerVerifier`) IAM role to the\n Access Approval service account for your resource. If you are using a\n Google-managed signing key, you don't need to provide any other permissions.\n\n For information about granting an IAM role, see [Grant\n a single role](/iam/docs/granting-changing-revoking-access#grant-single-role).\n\nConfigure settings to receive notifications\n-------------------------------------------\n\nYou have the following options for receiving Access Approval requests:\n\n- Receive requests through email.\n- Receive requests through Pub/Sub.\n\nYou can choose both of these options by following the instructions in\n[Setting up email and Pub/Sub\nnotifications](/assured-workloads/access-approval/docs/review-approve-access-requests-google-keys#email-pubsub).\n\nApprove Access Approval requests\n--------------------------------\n\nAfter you have enrolled some users as approvers, those users receive all\naccess requests. \n\n### Console\n\nTo approve an Access Approval request using the\nGoogle Cloud console, do the following:\n\n1. To see all your pending approval requests, go to the\n **Access Approval** page in the Google Cloud console.\n\n [Go to Access Approval](https://console.cloud.google.com/security/access-approval)\n\n If you have opted to receive Access Approval requests through\n email, you can also go to this page by clicking the link in the email\n sent to you with the approval request.\n | **Note:** You can only see the pending Access Approval requests for the hierarchy level you have selected. For example, if you have selected a folder, you can only see the Access Approval requests made for folder-level resources, not all projects within those folders.\n2. To approve a request, click **Approve**.\n\n You also have the option of dismissing the request. Dismissing the\n request is optional because access continues to be denied even if you\n don't dismiss the request.\n\n If you don't approve the Google employee's access request within 14\n days or before the request expires, the request is automatically\n dismissed.\n3. In the dialog box that opens, select the date and time when you want\n the access to expire.\n\n | **Note:** Bulk approve option doesn't let you select the expiration date and time.\n4. Select **Approve** to approve access till the set expiration date and\n time.\n\n5. Optional: To validate the signature on a request after approving it,\n follow the steps given in\n [Validate a request signature](/assured-workloads/access-approval/docs/validate-request-signature).\n\n### cURL\n\nTo approve an Access Approval request using cURL, do the following:\n\n1. Take the `approvalRequest` name from the Pub/Sub message.\n2. Make an API call to approve or dismiss that `approvalRequest`.\n\n # HTTP POST request with empty body (an effect of using -d '')\n # service-account-credential.json is attained by going to the\n # IAM -\u003e Service Accounts menu in the cloud console and creating\n # a service account.\n curl -H \"$(oauth2l header --json service-account-credentials.json cloud-platform)\" \\\n -d '' https://accessapproval.googleapis.com/v1/projects/\u003cvar\u003ePROJECT_ID\u003c/var\u003e/approvalRequests/\u003cvar\u003eAPPROVAL_REQUEST_ID\u003c/var\u003e:approve\n\n | **Note:** This preceding example is a sample request using cURL. You can approve an access request by appending `:approve` to a POST request to the mentioned URI that contains a unique `approvalRequestId`.\n\n You can reply to a request with one of the following options:\n\nAfter you approve the request, the request status changes to `Approved`. Any\nGoogle employee with characteristics matching the approval scope can make an\naccess within the approved time frame. These matching characteristics include\nthe same justification, location, or desk location.\n\nAccess Approval doesn't provide any IAM role or any\nnew permission to the Google employee who requested access.\n\nIf you don't approve the Google employee's access request, access is denied to\nthe Google employee. Dismissing the request only removes it from your list of\npending requests. If you fail to dismiss an approval request, access continues\nto be denied.\n\nAfter enabling,\n[Access Transparency](/assured-workloads/access-transparency/docs/overview) logs all\naccesses to Customer Data that you approve.\n\nAccess to Google personnel is allowed until the approval expires or the\njustification for access is no longer valid. For example, access expires if the\nsupport case for which Google personnel requested access is closed.\n\nWhat's next\n-----------\n\n- Learn about the [actions by Google personnel that are excluded from\n Access Approval notifications](/assured-workloads/access-approval/docs/overview#exclusions).\n- Learn about the [fields in an Access Approval request](/assured-workloads/access-approval/docs/approval-request-details)."]]
