Privileged Access Manager (PAM)
Hva er PAM?
Google Cloud Privileged Access Manager (PAM) er et sett med definerte tilgangsrettigheter som brukes for å gi tidsbegrenset og kontrollert tilgang til prosjekt og ressurser. I tråd med Principle of Least Privilege er formålet å gi tilganger først når behov oppstår, dette skal hindre risiko knyttet til feilbruk av overpriviligerte roller.
Kort fortalt:
- Tilgang gis ved behov, i en begrenset periode.
- Brukere får tilgang i 30 min - 4 timer.
- Alle forespørsler blir logget.
Når skal teamet bruke PAM?
Bruk PAM når det er behov for midlertidig forhøyede rettigheter for å utføre arbeid i Google Cloud, dette kan eksempelvis være å administrere en database eller oppdatere secrets.
Hvordan fungerer PAM hos oss?
Vi bruker definerte sett med rettigheter (entitlements) for å gi tilganger i Google Cloud. Det er 4 entitlements å velge fra, der alle bortsett fra storage-admin trenger approval for å få tilgangen innvilget. Det vil gis varsel på epost for tilgangsforespørsler, godkjent forespørsel og ved når tilgangen løper ut. Det er mulig å be om tilganger på to forskjellige måter:
Under GCP prosjekt --> IAM & Admin --> PAM:
Direkte under ressurs:
Inntil videre er det 4 entitlements:
| Entitlement | Autoapprove | Beskrivelse |
|---|---|---|
| cloudsql-user | Ikke i prod | Rettigheter for lese secrets og koble til cloudsql instanser med tag component: cloudsql |
| storage-admin | Ja | Storage admin (uten conditions, men deny policy hindrer fortsatt lesing av terraform state) |
| secret-admin | Ikke i prod | Secret Manager admin |
| admin | Nei | Secret Manager admin - Slags break-glass mulighet hvis nødvendig |
Hvordan bruke PAM?
1. Finn frem til ditt prosjekt
2. Velg entitlement/ressurs og trykk "Request Grant"
Velg varighet ved å trykke på "Grant duration", og gi en begrunnelse for tilgangen i tekstboksen under, f.eks "Midlertidig tilgang for å lese secret".
3. Utfør oppgaven og avslutt
- Verifiser at tilgang er aktiv
- Gjennomfør kun nødvendig arbeid
- Du vil bli varslet på epost når tilgangen har løpt ut
Godkjenning og ansvar
- Teamene har selv ansvar for godkjenning og oppfølging av PAM-forespørsler, det kreves at et teammedlem godkjenner forespørselen.