커스텀 서명 키를 사용하여 액세스 요청 검토 및 승인

이 문서에서는 프로젝트에 대한 액세스 요청 이메일 알림을 수신하기 위해 Google Cloud Console 및 맞춤 서명 키를 사용하여 액세스 승인을 설정하는 방법을 보여줍니다.

액세스 승인은 Google 직원이 Google Cloud에 저장된 콘텐츠에 액세스할 수 있도록 암호화 서명 승인을 사용합니다.

액세스 승인을 사용하면 자체 암호화 키를 가져와 액세스 요청에 서명할 수 있습니다. Cloud Key Management Service를 사용하여 키를 만들거나 Cloud 외부 키 관리자를 사용하여 외부 관리 키를 가져올 수 있습니다.

시작하기 전에

액세스 승인에 등록하려면 다음을 수행합니다.

Google Cloud 콘솔의 액세스 승인 페이지에서 설정 관리를 클릭합니다.

설정 관리 버튼을 선택합니다.

기본적으로 액세스 승인이 필요한 서비스는 프로젝트의 상위 리소스에서 상속됩니다. 모든 지원되는 서비스에 대해 액세스 승인을 자동으로 사용 설정하는 옵션을 선택하여 등록 범위를 확장할 수 있습니다.

이 섹션에서는 이 프로젝트의 액세스 요청 알림을 받는 방법을 설명합니다.

액세스 요청을 보고 승인하려면 액세스 승인자(roles/accessapproval.approver) IAM 역할이 있어야 합니다.

이 IAM 역할을 직접 부여하려면 다음 안내를 따르세요.

액세스 요청을 검토하고 승인할 수 있도록 자신을 승인자로 추가하려면 다음을 수행하세요.

액세스 승인은 서명 키를 사용하여 액세스 승인의 무결성을 확인합니다.

Cloud EKM을 사용 설정한 경우 외부 관리 서명 키를 선택할 수 있습니다. 외부 키 사용에 관한 자세한 내용은 Cloud EKM 개요를 참고하세요.

원하는 알고리즘으로 Cloud KMS 서명 키를 만들 수도 있습니다. 자세한 내용은 비대칭 키 만들기를 참고하세요.

커스텀 서명 키를 사용하려면 이 섹션의 안내를 따르세요.

서비스 계정의 이메일 주소 가져오기

서비스 계정의 이메일 주소 형식은 다음과 같습니다.

  service-pPROJECT_NUMBER@gcp-sa-accessapproval.iam.gserviceaccount.com

PROJECT_NUMBER를 프로젝트 번호로 바꿉니다.

예를 들어 프로젝트 번호가 123456789인 프로젝트의 서비스 계정에 대한 이메일 주소는 [email protected]입니다.

서명 키를 사용하려면 다음 단계를 따르세요.

Google Cloud 콘솔의 액세스 승인 페이지에서 Cloud KMS 서명 키 사용(고급)을 선택합니다.
암호화 키 버전 리소스 ID를 추가합니다.

암호화 키 버전 리소스 ID는 다음 형식이어야 합니다.
```
projects/PROJECT_ID/locations/LOCATION/keyRings/KEYRING_ID/cryptoKeys/CRYPTOKEY_ID/cryptoKeyVersions/KEY_ID
```
자세한 내용은 Cloud KMS 리소스 ID 가져오기를 참고하세요.
설정을 저장하려면 저장을 클릭합니다.

커스텀 서명 키를 사용하려면 프로젝트의 액세스 승인 서비스 계정에 Cloud KMS CryptoKey 서명자/확인자(roles/cloudkms.signerVerifier) IAM 역할을 제공해야 합니다.

액세스 승인 서비스 계정에 제공한 키로 서명할 권한이 없는 경우 부여를 클릭하여 필요한 권한을 부여할 수 있습니다. 권한을 부여한 후 저장을 클릭합니다.

이제 액세스 승인에 등록하고 자신을 액세스 요청 승인자로 추가했으므로 액세스 요청에 대한 이메일 알림을 받을 수 있습니다.

다음 이미지는 Google 직원이 고객 콘텐츠에 대한 액세스를 요청할 때 액세스 승인이 전송하는 샘플 이메일 알림을 보여줍니다.

Google 직원이 고객 콘텐츠에 대한 액세스를 요청할 때 전송되는 이메일 알림입니다.

액세스 권한 요청을 검토 및 승인하려면 다음 안내를 따르세요.

Google Cloud 콘솔에서 액세스 승인 페이지로 이동합니다.

액세스 승인으로 이동

이 페이지로 이동하려면 승인 요청과 함께 전송된 이메일 내 링크를 클릭할 수도 있습니다.
승인을 클릭합니다.

요청을 승인하면 동일한 사유, 위치, 책상 위치와 같이 승인과 일치하는 특성을 가진 Google 직원이 승인된 기간 내에 지정된 리소스 및 해당 하위 리소스에 액세스할 수 있습니다.

액세스 승인에서 등록 해제하려면 다음 안내를 따르세요.
1. Google Cloud 콘솔의 액세스 승인 페이지에서 설정 관리를 클릭합니다.
2. 등록 해제를 클릭합니다.
3. 대화상자가 열리면 등록 해제를 클릭합니다.
조직의 액세스 투명성을 사용 중지하려면 클라우드 고객 관리에 문의하세요.

계정에 비용이 청구되지 않도록 하는데 필요한 추가 단계는 없습니다.