Vorübergehenden erweiterten Zugriff mit Privileged Access Manager anfordern

Wenn Sie Ihre Berechtigungen vorübergehend erhöhen möchten, können Sie in Privileged Access Manager (PAM) eine Berechtigung für eine bestimmte Dauer anfordern.

Eine Berechtigung enthält Rollen, die Ihnen nach erfolgreicher Genehmigungsanfrage gewährt werden. Diese Rollen werden vom Privileged Access Manager entfernt, wenn die Gewährung abläuft. Die Aktivierung von Berechtigungen und das Entfernen von Rollen benötigen aufgrund der standardmäßigen Weitergabe von Zugriffsänderungen einige Zeit, bis sie im System wirksam werden.

Beachten Sie Folgendes, wenn Sie eine Gewährung für eine Berechtigung beantragen möchten:

  • Sie können Gewährungen nur für Berechtigungen beantragen, zu denen Sie hinzugefügt wurden. Wenn Sie einer Berechtigung hinzugefügt werden möchten, wenden Sie sich an das Hauptkonto, das die Berechtigung verwaltet.

  • Ein Nutzer kann maximal 10 offene Grants pro Berechtigung gleichzeitig haben. Diese Berechtigungen können den Status Active, Scheduled oder Approval awaited haben.

  • Sie können keinen Zuschuss mit demselben Umfang wie einen bestehenden Zuschuss im Status Active, Scheduled oder Approval awaited beantragen.

  • Sie können nicht zwei geplante Berechtigungen für dieselbe Berechtigung haben, wenn sich sowohl ihre Bereiche als auch ihre Aktivierungszeiten überschneiden. Außerdem können Sie keinen Zuschuss planen, der vor dem Ende eines aktiven Zuschusses mit demselben Umfang beginnt.

  • Je nach Konfiguration ist für die Gewährungsanfrage möglicherweise eine Genehmigung erforderlich.

  • Wenn für einen Gewährungsantrag eine Genehmigung erforderlich ist, muss er genehmigt oder abgelehnt werden, bevor er abläuft. Die Frist hängt vom Aktivierungstyp ab:

    • Sofortige Aktivierung: innerhalb von 24 Stunden nach der Anfrage.
    • Geplante Aktivierung: Vor der geplanten Aktivierungszeit.

    Wenn eine Anfrage nicht bis zur Frist genehmigt oder abgelehnt wird, ändert sich ihr Status in Expired.

  • Es dauert eine Weile, bis erfolgreiche Anfragen für die Gewährung von Berechtigungen im System weitergegeben werden, da Privileged Access Manager zeitbasierte IAM-Bedingungen verwendet, die der standardmäßigen Weitergabe von Zugriffsänderungen unterliegen.

Erteilung anfordern

Console

  1. Rufen Sie die Seite Privileged Access Manager auf.

    Privileged Access Manager aufrufen

  2. Wählen Sie die Organisation, den Ordner oder das Projekt aus, für das Sie eine Gewährung beantragen möchten.

  3. Suchen Sie auf dem Tab Meine Berechtigungen nach der Berechtigung, für die Sie eine Genehmigung anfordern möchten, und klicken Sie dann in derselben Zeile auf Gewährung anfordern.

    Bei Berechtigungen, die von einem übergeordneten Ordner oder einer übergeordneten Organisation übernommen werden, wird der Bereich der Erteilung automatisch an die ausgewählte Organisation, den ausgewählten Ordner oder das ausgewählte Projekt angepasst. Sie können eine Gewährung für die übernommene Berechtigung auf Ebene der untergeordneten Ressource beantragen. Dieses Feature ist in der Vorschau verfügbar.

  4. Wenn die Premium- oder Enterprise-Stufe von Security Command Center aktiviert ist, können Sie den Umfang Ihrer Erteilungsanfrage so anpassen, dass nur bestimmte Rollen und Ressourcen enthalten sind. Dieses Feature ist in der Vorschau verfügbar.

    1. Aktivieren Sie die Ein/Aus-Schaltfläche Bereich anpassen.
    2. Fügen Sie die erforderlichen Ressourcenfilter hinzu. Sie können bis zu fünf Ressourcenfilter hinzufügen.
    3. Wählen Sie die erforderlichen Rollen aus.

  5. Geben Sie die folgenden Informationen ein:

    • Die für die Gewährung erforderliche Dauer, bis zur maximalen Dauer, die für die Berechtigung festgelegt ist.

    • Optional: Wenn Sie die Erteilung für einen späteren Zeitpunkt planen möchten, klicken Sie auf Erteilungen planen und geben Sie eine Aktivierungszeit an, die bis zu sieben Tage in der Zukunft liegen kann. Wenn Sie die Erteilung nicht planen, wird sie sofort nach der Erstellung oder Genehmigung aktiviert.

    • Falls erforderlich, eine Begründung für die Erteilung.

    • Optional: E‑Mail-Adressen für Benachrichtigungen.

      Google-Identitäten, die mit der Berechtigung verknüpft sind, z. B. Genehmiger und Antragsteller, werden automatisch benachrichtigt. Wenn Sie jedoch weitere Personen benachrichtigen möchten, können Sie ihre E‑Mail-Adressen hinzufügen. Das ist besonders nützlich, wenn Sie Mitarbeiteridentitäten anstelle von Google-Konten verwenden.

  6. Klicken Sie auf Gewährung anfordern.

gcloud

Sie können ein Ad Grants-Budget über eine der folgenden Optionen beantragen: