אישור או דחייה של הענקת הרשאות באמצעות Privileged Access Manager

כשלהרשאה יש תהליך עבודה לאישור, הישויות המורשות שצוינו כגורמים מאשרים יכולות לאשר או לדחות בקשות למתן הרשאה.

אם מופעלת רמת Premium או Enterprise של Security Command Center, יכולות להיות שתי רמות אישור בתהליך העבודה של האישור. אפשר להוסיף מאשר לאחת מרמות האישור או לשתי הרמות, אבל הוא יכול לאשר רק פעם אחת. אחרי שמתקבל מספר האישורים הנדרש ברמה הראשונה, נשלחות התראות באימייל למאשרים ברמה השנייה. אחרי שמתקבל מספר האישורים הנדרש ברמה השנייה, ההרשאה עוברת למצב active. אם אחד מהמאשרים דוחה את ההרשאה, היא עוברת למצב denied ולא נשלחת למאשרים נוספים. התכונה הזו זמינה בגרסת טרום-השקה (Preview).

כשמאשרים או דוחים בקשת גישה להרשאה, חשוב לזכור את הנקודות הבאות:

  • אי אפשר לאשר בקשה של עצמכם.

  • אם בקשה לא מאושרת או נדחית, הסטטוס שלה משתנה ל-expired באופן הבא:

    • אם לא מאשרים או דוחים את המענקים הלא מתוזמנים תוך 24 שעות מרגע הבקשה, התוקף שלהם פג.
    • התוקף של הענקת גישה מתוזמנת יפוג אם היא לא תאושר או תידחה עד למועד ההפעלה המתוזמן.

    אחרי שתוקף ההרשאה פג, הגורם המורשה צריך לשלוח בקשת הרשאה חדשה אם עדיין נדרשת העלאת רמת ההרשאה.

אישור או דחייה של הרשאות באמצעות מסוף Google Cloud

כדי לאשר או לדחות בקשה למתן מענק שנוצרה לגבי זכאות, פועלים לפי ההוראות הבאות:

  1. עוברים לדף Privileged Access Manager.

    כניסה ל-Privileged Access Manager

  2. לוחצים על הכרטיסייה אישור הרשאות ואז על הכרטיסייה בהמתנה לאישור.

  3. בשורה שקשורה לבקשה שרוצים לאשר או לדחות, לוחצים על אישור/דחייה.

  4. אם נדרש נימוק, מזינים אותו בשדה הערה. אפשר לראות את היסטוריית המענק בכרטיסייה היסטוריה.

  5. לוחצים על אישור או על דחייה.

אפשר לראות את היסטוריית האישורים בכרטיסייה היסטוריית האישורים שלי. היסטוריית האישורים זמינה למשך 30 יום אחרי ביצוע פעולת אישור. הענקות שנוצרו על הרשאות שירשו ממשאב הורה מופיעות בהיסטוריית האישורים של משאב ההורה.

אישור או דחייה של הרשאות באופן פרוגרמטי

כדי לאשר או לדחות הרשאות, צריך לבצע את הפעולות הבאות:

  1. חיפוש הרשאות שאתם מאשרים.

  2. בעזרת מזהה ההרשאה הרלוונטי, מחפשים בקשות למתן הרשאות שאפשר לאשר או לדחות.

  3. מאשרים או דוחים את בקשות המענק.

חיפוש הרשאות שאתם מוגדרים כגורם מאשר שלהן

gcloud

הפקודה gcloud pam entitlements search grant-approver עם סוג הגישה של המתקשר מחפשת הרשאות שאתם מוגדרים בהן כמאשרים.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫RESOURCE_TYPE: אופציונלי. סוג המשאב שאליו שייכת ההרשאה. אפשר להשתמש בערך organization,‏ folder או project.
  • ‫RESOURCE_ID: משמש עם RESOURCE_TYPE. המזהה של הפרויקט, התיקייה או הארגון שרוצים לנהל את ההרשאות שלהם. Google Cloudמזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud pam entitlements search \
    --caller-access-type=grant-approver \
    --location=global \
    --RESOURCE_TYPE=RESOURCE_ID

‏Windows (PowerShell)

gcloud pam entitlements search `
    --caller-access-type=grant-approver `
    --location=global `
    --RESOURCE_TYPE=RESOURCE_ID

Windows‏ (cmd.exe)

gcloud pam entitlements search ^
    --caller-access-type=grant-approver ^
    --location=global ^
    --RESOURCE_TYPE=RESOURCE_ID

אמורים לקבל תגובה שדומה לזו:

additionalNotificationTargets: {}
approvalWorkflow:
  manualApprovals:
    requireApproverJustification: true
    steps:
    - approvalsNeeded: 1
      approvers:
      - principals:
        - user:alex@example.com
createTime: '22024-03-26T11:07:37.009498890Z'
etag: 00000000000000000000000000000000000000000000000000000000000=
maxRequestDuration: 3600s
name: projects/my-project/locations/global/entitlements/ENTITLEMENT_ID
privilegedAccess:
  gcpIamAccess:
    resource: //cloudresourcemanager.googleapis.com/projects/my-project
    resourceType: cloudresourcemanager.googleapis.com/Project
    roleBindings:
    - role: roles/storage.admin
requesterJustificationConfig:
  notMandatory: {}
state: AVAILABLE
updateTime: '2024-03-26T11:07:40.056780645Z'

REST

ה-method ‏searchEntitlements ב-Privileged Access Manager API עם סוג הגישה GRANT_APPROVER caller מחפשת הרשאות שאתם מאשרים.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫SCOPE: הארגון, התיקייה או הפרויקט שבהם נמצאת הזכאות, בפורמט organizations/ORGANIZATION_ID,‏ folders/FOLDER_ID או projects/PROJECT_ID. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
  • ‫FILTER: אופציונלי. הפונקציה מחזירה זכויות גישה שערכי השדות שלהן תואמים ל ביטוי AIP-160.
  • ‫PAGE_SIZE: אופציונלי. מספר הפריטים שיוחזרו בתשובה.
  • ‫PAGE_TOKEN: אופציונלי. מספר הדף שממנו רוצים להתחיל את התשובה, באמצעות טוקן דף שהוחזר בתשובה קודמת.

ה-method של ה-HTTP וכתובת ה-URL: 

GET https://privilegedaccessmanager.googleapis.com/v1/SCOPE/locations/global/entitlements:search?callerAccessType=GRANT_APPROVER&filter=FILTER&pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:

[
  {
    "name": "projects/my-project/locations/global/entitlements/ENTITLEMENT_ID",
    "createTime": "2023-11-21T17:28:39.962144708Z",
    "updateTime": "2023-11-21T17:28:43.160309410Z",
    "eligibleUsers": [
      {
        "principals": [
          "user:alex@example.com"
        ]
      }
    ],
    "approvalWorkflow": {
      "manualApprovals": {
        "steps": [
          {
            "approvers": [
              {
                "principals": [
                  "user:bola@example.com"
                ]
              }
            ],
            "approvalsNeeded": 1
          }
        ]
      }
    },
    "privilegedAccess": {
      "gcpIamAccess": {
        "resourceType": "cloudresourcemanager.googleapis.com/Project",
        "resource": "//cloudresourcemanager.googleapis.com/projects/my-project",
        "roleBindings": [
          {
            "role": "roles/storage.admin"
          }
        ]
      }
    },
    "maxRequestDuration": "14400s",
    "state": "AVAILABLE",
    "requesterJustificationConfig": {
      "unstructured": {}
    },
    "additionalNotificationTargets": {
      "adminEmailRecipients": [
        "alex@example.com"
      ]
    },
    "etag": "00000000000000000000000000000000000000000000000000000000000="
  }
]

חיפוש בקשות למתן הרשאות שאפשר לאשר או לדחות

gcloud

הפקודה gcloud alpha pam grants search מחפשת הרשאה שאפשר לאשר או לדחות, או שכבר אושרה או נדחתה. כדי להשתמש בשיטה הזו, לא נדרשות הרשאות ספציפיות ב-Privileged Access Manager.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫ENTITLEMENT_ID: המזהה של ההרשאה שאליה שייכת ההענקה. אפשר לאחזר את המזהה על ידי חיפוש הרשאות שאתם מאשרים.

  • ‫CALLER_RELATIONSHIP_TYPE: משתמשים באחד מהערכים הבאים:

    • ‫had-approved: מחזירה את ההרשאות שהמבצע אישר או דחה.
    • ‫can-approve: מחזירה את ההרשאות שהמבצע יכול לאשר או לדחות.
  • ‫RESOURCE_TYPE: אופציונלי. סוג המשאב שאליו שייכת ההרשאה. אפשר להשתמש בערך organization,‏ folder או project.
  • ‫RESOURCE_ID: משמש עם RESOURCE_TYPE. המזהה של הפרויקט, התיקייה או הארגון שרוצים לנהל את ההרשאות שלהם. Google Cloudמזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud alpha pam grants search \
    --entitlement=ENTITLEMENT_ID \
    --caller-relationship=CALLER_RELATIONSHIP_TYPE \
    --location=global \
    --RESOURCE_TYPE=RESOURCE_ID

‏Windows (PowerShell)

gcloud alpha pam grants search `
    --entitlement=ENTITLEMENT_ID `
    --caller-relationship=CALLER_RELATIONSHIP_TYPE `
    --location=global `
    --RESOURCE_TYPE=RESOURCE_ID

Windows‏ (cmd.exe)

gcloud alpha pam grants search ^
    --entitlement=ENTITLEMENT_ID ^
    --caller-relationship=CALLER_RELATIONSHIP_TYPE ^
    --location=global ^
    --RESOURCE_TYPE=RESOURCE_ID

אמורים לקבל תגובה שדומה לזו:

additionalEmailRecipients:
- bola@example.com
createTime: '2024-03-07T00:34:32.557017289Z'
justification:
  unstructuredJustification: Renaming a file to mitigate issue #312
name: projects/PROJECT_ID/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID
privilegedAccess:
  gcpIamAccess:
    resource: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID
    resourceType: cloudresourcemanager.googleapis.com/Project
    roleBindings:
    - role: roles/storage.admin
      id: hwqrt_1
requestedDuration: 3600s
requestedPrivilegedAccess:
  gcpIamAccess:
    resource: //cloudresourcemanager.googleapis.com/projects/PROJECT_ID
    resourceType: cloudresourcemanager.googleapis.com/Project
    roleBindings:
    - role: roles/storage.admin
      entitlementRoleBindingId: hwqrt_1
requester: cruz@example.com
state: DENIED
timeline:
  events:
  - eventTime: '2024-03-07T00:34:32.793769042Z'
    requested:
      expireTime: '2024-03-08T00:34:32.793769042Z'
  - denied:
      actor: alex@example.com
      reason: Issue has already been resolved
    eventTime: '2024-03-07T00:36:08.309116203Z'
updateTime: '2024-03-07T00:34:32.926967128Z'

REST

השיטה searchGrants ב-Privileged Access Manager API מחפשת הרשאה שאפשר לאשר או לדחות, או שכבר אושרה או נדחתה. כדי להשתמש בשיטה הזו, לא נדרשות הרשאות ספציפיות ב-Privileged Access Manager.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫SCOPE: הארגון, התיקייה או הפרויקט שבהם נמצאת הזכאות, בפורמט organizations/ORGANIZATION_ID,‏ folders/FOLDER_ID או projects/PROJECT_ID. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
  • ‫ENTITLEMENT_ID: המזהה של ההרשאה שאליה שייכת ההענקה. אפשר לאחזר את המזהה על ידי חיפוש הרשאות שאתם מאשרים.
  • ‫RELATIONSHIP_TYPE: הערכים התקפים הם:
    • ‫HAD_APPROVED: מחזירה מענקים שהמבצע אישר או דחה בעבר.
    • ‫CAN_APPROVE: מחזירה את ההרשאות שהמבצע יכול לאשר או לדחות.
  • ‫FILTER: אופציונלי. הפונקציה מחזירה הרשאות שערכי השדות שלהן תואמים ל ביטוי AIP-160.
  • ‫PAGE_SIZE: אופציונלי. מספר הפריטים שיוחזרו בתשובה.
  • ‫PAGE_TOKEN: אופציונלי. מספר הדף שממנו רוצים להתחיל את התשובה, באמצעות טוקן דף שהוחזר בתשובה קודמת.

ה-method של ה-HTTP וכתובת ה-URL: 

GET https://privilegedaccessmanager.googleapis.com/v1beta/SCOPE/locations/global/entitlements/ENTITLEMENT_ID/grants:search?callerRelationship=RELATIONSHIP_TYPE&filter=FILTER&pageSize=PAGE_SIZE&pageToken=PAGE_TOKEN

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "grants": [
    {
      "name": "projects/PROJECT_ID/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID",
      "createTime": "2024-03-06T03:08:49.330577625Z",
      "updateTime": "2024-03-06T03:08:49.625874598Z",
      "requester": "alex@example.com",
      "requestedDuration": "3600s",
      "justification": {
        "unstructuredJustification": "Emergency service for outage"
      },
      "state": "APPROVAL_AWAITED",
      "timeline": {
        "events": [
          {
            "eventTime": "2024-03-06T03:08:49.462765846Z",
            "requested": {
              "expireTime": "2024-03-07T03:08:49.462765846Z"
            }
          }
        ]
      },
      "privilegedAccess": {
        "gcpIamAccess": {
          "resourceType": "cloudresourcemanager.googleapis.com/Project",
          "resource": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
          "roleBindings": [
            {
              "role": "roles/storage.admin"
              "id": "hwqrt_1"
            }
          ]
        }
      },
      "requestedPrivilegedAccess": {
        "gcpIamAccess": {
          "resourceType": "cloudresourcemanager.googleapis.com/Project",
          "resource": "//cloudresourcemanager.googleapis.com/projects/PROJECT_ID",
          "roleBindings": [
            {
              "role": "roles/storage.admin",
              "entitlementRoleBindingId": "hwqrt_1"
            }
          ]
        }
      },
      "additionalEmailRecipients": [
        "bola@google.com"
      ]
    }
  ]
}

אישור הרשאות באופן פרוגרמטי

gcloud

הפקודה gcloud pam grants describe מאשרת בקשה ספציפית למתן הרשאה.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫GRANT_ID: המזהה של המענק שמאשרים. אפשר לאחזר את המזהה על ידי חיפוש בקשות למתן הרשאות שאפשר לאשר או לדחות.
  • ‫ENTITLEMENT_ID: המזהה של ההרשאה שאליה שייכת ההענקה.
  • ‫APPROVAL_REASON: למה המענק אושר.
  • ‫RESOURCE_TYPE: אופציונלי. סוג המשאב שאליו שייכת ההרשאה. אפשר להשתמש בערך organization,‏ folder או project.
  • ‫RESOURCE_ID: משמש עם RESOURCE_TYPE. המזהה של הפרויקט, התיקייה או הארגון שרוצים לנהל את ההרשאות שלהם. Google Cloudמזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud pam grants approve \
    GRANT_ID \
    --entitlement=ENTITLEMENT_ID \
    --reason="APPROVAL_REASON" \
    --location=global \
    --RESOURCE_TYPE=RESOURCE_ID

‏Windows (PowerShell)

gcloud pam grants approve `
    GRANT_ID `
    --entitlement=ENTITLEMENT_ID `
    --reason="APPROVAL_REASON" `
    --location=global `
    --RESOURCE_TYPE=RESOURCE_ID

Windows‏ (cmd.exe)

gcloud pam grants approve ^
    GRANT_ID ^
    --entitlement=ENTITLEMENT_ID ^
    --reason="APPROVAL_REASON" ^
    --location=global ^
    --RESOURCE_TYPE=RESOURCE_ID

אמורים לקבל תגובה שדומה לזו:

createTime: '2024-04-05T01:17:04.596455403Z'
justification:
  unstructuredJustification: Renaming a file to mitigate issue #312
name: projects/my-project/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID
privilegedAccess:
  gcpIamAccess:
    resource: //cloudresourcemanager.googleapis.com/projects/my-project
    resourceType: cloudresourcemanager.googleapis.com/Project
    roleBindings:
    - role: roles/storage.admin
requestedDuration: 2700s
requester: cruz@example.com
state: SCHEDULED
timeline:
  events:
  - eventTime: '2024-04-05T01:17:04.732226659Z'
    requested:
      expireTime: '2024-04-06T01:17:04.732226659Z'
  - approved:
      actor: alex@example.com
      reason: Access allowed under existing policy
    eventTime: '2024-04-05T01:21:49.139539732Z'
  - eventTime: '2024-04-05T01:21:49.139463954Z'
    scheduled:
      scheduledActivationTime: '2024-04-05T01:21:49.139463954Z'
updateTime: '2024-04-05T01:21:49.139463954Z'

REST

ה-method approveGrant של ה-API של Privileged Access Manager מאשרת בקשה ספציפית למתן הרשאה.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫SCOPE: הארגון, התיקייה או הפרויקט שבהם נמצאת הזכאות, בפורמט organizations/ORGANIZATION_ID,‏ folders/FOLDER_ID או projects/PROJECT_ID. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
  • ‫ENTITLEMENT_ID: המזהה של ההרשאה שאליה שייכת ההענקה.
  • ‫GRANT_ID: המזהה של ההרשאה שאתם מאשרים. אפשר לאחזר את המזהה על ידי חיפוש בקשות למתן הרשאות שאפשר לאשר או לדחות.
  • ‫REASON: הסיבה לאישור בקשת ההרשאה.

ה-method של ה-HTTP וכתובת ה-URL: 

POST https://privilegedaccessmanager.googleapis.com/v1/SCOPE/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID:approve

תוכן בקשת JSON: 

{
    "reason": "REASON"
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/my-project/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID",
  "createTime": "2024-03-06T03:08:49.330577625Z",
  "updateTime": "2024-03-06T23:01:13.964619844Z",
  "requester": "alex@example.com",
  "requestedDuration": "3600s",
  "justification": {
    "unstructuredJustification": "Emergency service for outage"
  },
  "state": "SCHEDULED",
  "timeline": {
    "events": [
      {
        "eventTime": "2024-03-06T03:08:49.462765846Z",
        "requested": {
          "expireTime": "2024-03-07T03:08:49.462765846Z"
        }
      },
      {
        "eventTime": "2024-03-06T23:01:13.964685709Z",
        "approved": {
          "reason": "Approved escalation",
          "actor": "cruz@example.com"
        }
      },
      {
        "eventTime": "2024-03-06T23:01:13.964619844Z",
        "scheduled": {
          "scheduledActivationTime": "2024-03-06T23:01:13.964619844Z"
        }
      }
    ]
  },
  "privilegedAccess": {
    "gcpIamAccess": {
      "resourceType": "cloudresourcemanager.googleapis.com/Project",
      "resource": "//cloudresourcemanager.googleapis.com/projects/my-project",
      "roleBindings": [
        {
          "role": "roles/storage.admin"
        }
      ]
    }
  },
  "additionalEmailRecipients": [
    "bola@example.com.com"
  ]
}

דחיית הרשאות באופן פרוגרמטי

gcloud

הפקודה gcloud pam grants describe דוחה בקשת הרשאה ספציפית.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

  • ‫GRANT_ID: המזהה של ההרשאה שרוצים לדחות. אפשר לאחזר את המזהה על ידי חיפוש הרשאות שאפשר לאשר או לדחות.
  • ‫ENTITLEMENT_ID: המזהה של ההרשאה שאליה שייכת ההענקה.
  • DENIAL_REASON: הסיבה לדחיית בקשת הגישה.
  • ‫RESOURCE_TYPE: אופציונלי. סוג המשאב שאליו שייכת ההרשאה. אפשר להשתמש בערך organization,‏ folder או project.
  • ‫RESOURCE_ID: משמש עם RESOURCE_TYPE. המזהה של הפרויקט, התיקייה או הארגון שרוצים לנהל את ההרשאות שלהם. Google Cloudמזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.

מריצים את הפקודה הבאה:

‫Linux,‏ macOS או Cloud Shell

gcloud pam grants deny \
    GRANT_ID \
    --entitlement=ENTITLEMENT_ID \
    --reason="DENIAL_REASON" \
    --location=global \
    --RESOURCE_TYPE=RESOURCE_ID

‏Windows (PowerShell)

gcloud pam grants deny `
    GRANT_ID `
    --entitlement=ENTITLEMENT_ID `
    --reason="DENIAL_REASON" `
    --location=global `
    --RESOURCE_TYPE=RESOURCE_ID

Windows‏ (cmd.exe)

gcloud pam grants deny ^
    GRANT_ID ^
    --entitlement=ENTITLEMENT_ID ^
    --reason="DENIAL_REASON" ^
    --location=global ^
    --RESOURCE_TYPE=RESOURCE_ID

אמורים לקבל תגובה שדומה לזו:

createTime: '2024-04-05T01:29:13.129192816Z'
justification:
  unstructuredJustification: Renaming a file to mitigate issue #312
name: projects/my-project/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID
privilegedAccess:
  gcpIamAccess:
    resource: //cloudresourcemanager.googleapis.com/projects/my-project
    resourceType: cloudresourcemanager.googleapis.com/Project
    roleBindings:
    - role: roles/storage.admin
requestedDuration: 2700s
requester: cruz@example.com
state: DENIED
timeline:
  events:
  - eventTime: '2024-04-05T01:29:13.267878626Z'
    requested:
      expireTime: '2024-04-06T01:29:13.267878626Z'
  - denied:
      actor: alex@example.com
      reason: Access denied under existing policy
    eventTime: '2024-04-05T01:29:49.492161363Z'
updateTime: '2024-04-05T01:29:49.492097724Z'

REST

ה-method denyGrant של ה-API של Privileged Access Manager דוחה בקשה ספציפית למתן הרשאה.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

  • ‫SCOPE: הארגון, התיקייה או הפרויקט שבהם נמצאת הזכאות, בפורמט organizations/ORGANIZATION_ID,‏ folders/FOLDER_ID או projects/PROJECT_ID. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
  • ‫ENTITLEMENT_ID: המזהה של ההרשאה שאליה שייכת ההענקה.
  • ‫GRANT_ID: המזהה של ההרשאה שרוצים לבטל. אפשר לאחזר את המזהה על ידי חיפוש הרשאות שאפשר לאשר או לדחות.
  • ‫REASON: הסיבה לדחיית בקשת ההרשאה.

ה-method של ה-HTTP וכתובת ה-URL: 

POST https://privilegedaccessmanager.googleapis.com/v1/SCOPE/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID:deny

תוכן בקשת JSON: 

{
    "reason": "REASON"
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "projects/my-project/locations/global/entitlements/ENTITLEMENT_ID/grants/GRANT_ID",
  "createTime": "2024-03-07T00:34:32.557017289Z",
  "updateTime": "2024-03-07T00:36:08.309046580Z",
  "requester": "alex@example.com",
  "requestedDuration": "3600s",
  "justification": {
    "unstructuredJustification": "Emergency service for outage"
  },
  "state": "DENIED",
  "timeline": {
    "events": [
      {
        "eventTime": "2024-03-07T00:34:32.793769042Z",
        "requested": {
          "expireTime": "2024-03-08T00:34:32.793769042Z"
        }
      },
      {
        "eventTime": "2024-03-07T00:36:08.309116203Z",
        "denied": {
          "reason": "Outage already resolved",
          "actor": "cruz@example.com"
        }
      }
    ]
  },
  "privilegedAccess": {
    "gcpIamAccess": {
      "resourceType": "cloudresourcemanager.googleapis.com/Project",
      "resource": "//cloudresourcemanager.googleapis.com/projects/my-project",
      "roleBindings": [
        {
          "role": "roles/storage.admin"
        }
      ]
    }
  },
  "additionalEmailRecipients": [
    "bola@example.com"
  ]
}