Konsol Google Cloud , Google Cloud CLI, dan REST API menampilkan pesan error saat pengguna mencoba mengakses resource yang tidak memiliki izin untuk diakses. Saat pengguna mengalami error izin, mereka dapat meminta akses ke resource. Tindakan ini akan membuat email yang dapat disalin dan dikirimkan pengguna kepada administrator atau email yang otomatis dikirimkan ke Kontak Penting teknis organisasi Anda.
Saat administrator mengklik link di email yang dibuat, mereka akan diarahkan ke Google Cloud konsol, tempat mereka dapat memilih untuk menolak permintaan atau melanjutkan ke tindakan perbaikan.
Jika mereka memilih untuk melanjutkan ke tindakan perbaikan, maka Google Cloud konsol akan menampilkan ringkasan tindakan perbaikan kebijakan. Administrator juga dapat mengakses ringkasan tindakan perbaikan kebijakan dengan mengklik Lihat detail pemecahan masalah pada pesan error izin, lalu mengklik Pemecah Masalah Kebijakan.
Halaman ringkasan tindakan perbaikan menjelaskan detail permintaan, termasuk akun utama yang meminta, resource, dan izin yang diminta oleh akun utama.
Bagian Status akses saat ini meringkas hasil untuk setiap jenis kebijakan (khususnya, kebijakan izin, kebijakan penolakan, dan kebijakan batas akses utama) serta menyatakan hasil keseluruhan. Hasil menunjukkan apakah akun utama dapat mengakses resource, sesuai dengan kebijakan yang relevan.
Anda bisa mendapatkan informasi selengkapnya tentang kebijakan yang memblokir akses pengguna dengan mengklik Pemecahan masalah lanjutan.
Klik Tindakan perbaikan untuk melihat opsi tindakan perbaikan masalah akses pengguna tersebut. Untuk mempelajari berbagai cara mengatasi error izin yang disebabkan oleh setiap jenis kebijakan yang berbeda menggunakan Google Cloud konsol, lihat hal berikut:
- Mengatasi error izin kebijakan izin
- Mengatasi error izin kebijakan penolakan
- Mengatasi error izin principal access boundary
Mengatasi kebijakan izin
Halaman Tindakan perbaikan kebijakan izin menampilkan izin yang tidak dimiliki pengguna. Untuk mengatasi akses yang diblokir oleh kebijakan izin, Anda dapat memberikan akses kepada pengguna tersebut atau membuat hak Privileged Access Manager untuk pengguna. Setelah Anda membuat hak, pengguna dapat memintanya untuk mengakses resource.
Untuk memberikan akses kepada pengguna, lakukan hal berikut:
- Pilih Berikan peran.
- Klik Lanjutkan.
- Pilih peran yang berlaku untuk melihat detail tentang peran tersebut.
- Klik Berikan akses.
Untuk membuat hak Privileged Access Manager baru, lakukan hal berikut:
- Pilih Berikan akses sementara.
- Klik peran yang berlaku untuk diberikan guna melihat detail tentang peran tersebut.
Klik Buat hak.
Di panel Buat hak baru, masukkan detail untuk hak:
- Masukkan nama untuk hak baru.
- Pilih durasi maksimum pemberian akses.
- Klik Berikutnya.
- Secara opsional, tambahkan lebih banyak pemohon untuk hak ini.
- Klik Berikutnya.
- Tambahkan setidaknya satu akun utama untuk menyetujui permintaan hak atau pilih Aktifkan akses tanpa persetujuan.
- Klik Berikutnya.
- Secara opsional, masukkan alamat email administrator yang ingin Anda beri tahu.
- Klik Selesai, lalu klik Buat hak.
Untuk mengetahui informasi selengkapnya tentang Privileged Access Manager, lihat Membuat hak di Privileged Access Manager.
Jika tidak ada satu peran yang berisi semua izin yang diperlukan oleh pengguna, tidak ada peran atau hak yang disarankan.
Untuk mengetahui metode alternatif dalam mengatasi akses pengguna, lihat Mengatasi error izin kebijakan izin.
Mengatasi kebijakan penolakan
Kebijakan penolakan dilampirkan ke Google Cloud organisasi, folder, atau project. Kebijakan penolakan berisi aturan penolakan, yang mengidentifikasi akun utama dan mencantumkan izin yang tidak dapat digunakan oleh akun utama.
Halaman Tindakan perbaikan kebijakan penolakan menampilkan kebijakan penolakan yang mencegah pengguna menggunakan izin dan menyarankan beberapa metode untuk mengatasi akses pengguna.
Metode yang disarankan untuk mengatasi permintaan akses terkait kebijakan penolakan mencakup hal berikut:
Mengecualikan pengguna dari kebijakan penolakan.
Menghapus izin dari kebijakan penolakan.
Membuat tag untuk mengecualikan resource dari kebijakan penolakan.
Mengatasi principal access boundary
Secara default, akun utama memenuhi syarat untuk mengakses resource apa pun Google Cloud . Namun, jika tunduk pada kebijakan batas akses utama, akun utama hanya memenuhi syarat untuk mengakses resource yang tercantum dalam kebijakan batas akses utama yang berlaku untuknya. Dalam kasus ini, kebijakan batas akses utama dapat mencegah akun utama mengakses resource.
Halaman Tindakan perbaikan batas akses utama menampilkan kebijakan batas akses utama yang mencegah pengguna mengakses resource dan menyarankan beberapa metode untuk mengatasi akses pengguna.
Metode yang disarankan untuk mengatasi permintaan akses terkait kebijakan batas akses utama mencakup hal berikut:
Menambahkan resource ke kebijakan batas akses utama yang sudah ada dilampirkan ke kumpulan identitas yang lebih luas.
Tidak direkomendasikan: mengecualikan identitas dari penerapan principal access boundary.
Langkah berikutnya
- Gunakan referensi izin atau referensi peran yang telah ditentukan sebelumnya untuk menentukan peran yang akan diberikan kepada pengguna yang tidak memiliki izin.
- Baca tentang alat Policy Intelligence lainnya, yang dapat membantu Anda memahami dan mengelola kebijakan untuk meningkatkan konfigurasi keamanan secara proaktif.