IAM-Datenbankauthentifizierung – Übersicht

Auf dieser Seite wird die individuelle und gruppenbasierte IAM-Datenbankauthentifizierung (Identity and Access Management) beschrieben, mit der Sie den Zugriff auf Ihre AlloyDB for PostgreSQL-Datenbanken verwalten.

Die IAM-Datenbankauthentifizierung bietet die folgenden Optionen:

  • Individuelle IAM-Authentifizierung: Sie fügen dem Cluster bestimmte Nutzer oder Dienstkonten hinzu.
  • Gruppenbasierte IAM-Authentifizierung: Sie fügen dem Cluster eine IAM-Gruppe hinzu. Alle Mitglieder dieser Gruppe erben Berechtigungen zur Authentifizierung, was die Verwaltung für mehrere Nutzer vereinfacht.

Die individuelle Authentifizierung ist nützlich, wenn Sie bestimmten Konten direkt Zugriff gewähren müssen. Verwenden Sie die gruppenbasierte Authentifizierung, wenn Sie den Zugriff durch Ändern der Gruppenmitgliedschaft verwalten möchten. Dadurch müssen Sie keine Nutzer auf Clusterebene hinzufügen oder entfernen.

IAM-Authentifizierungskonzepte

Bei Verwendung der IAM-Authentifizierung wird dem Endnutzer die Berechtigung für den Zugriff auf eine AlloyDB-Instanz nicht direkt gewährt. Stattdessen werden Berechtigungen in Rollen gruppiert, die dann Hauptkonten zugewiesen werden. Weitere Informationen finden Sie in der IAM-Übersicht.

Administratoren, bei denen sich Nutzer über die IAM-Datenbankauthentifizierung anmelden, können mit IAM die Zugriffssteuerung für ihre Instanzen zentral über IAM-Richtlinien verwalten.

IAM-Richtlinien umfassen die folgenden Entitäten:

  • Hauptkonten. In AlloyDB können Sie ein Nutzerkonto oder ein Dienstkonto für Anwendungen verwenden. Weitere Informationen finden Sie unter Hauptkonten.

  • Rollen. Für die IAM-Datenbankauthentifizierung benötigt ein Hauptkonto die Berechtigung alloydb.instances.login. Diese Berechtigung ist in der Rolle „AlloyDB-Client“ (roles/alloydb.client) enthalten. Um diese Berechtigung zu erhalten, binden Sie den Nutzer, das Dienstkonto oder die Gruppe an die vordefinierte Rolle oder eine benutzerdefinierte Rolle, die die Berechtigung enthält. Weitere Informationen finden Sie unter Berechtigungen und Rollen.

  • Ressourcen. Die Ressourcen, auf die Hauptkonten zugreifen, sind AlloyDB-Cluster. IAM-Richtlinienbindungen werden auf Projektebene angewendet, sodass Hauptkonten Rollenberechtigungen für alle AlloyDB-Instanzen im Projekt erhalten. Weitere Informationen finden Sie unter Ressourcen.

Optionen für die Datenbankauthentifizierung vergleichen

Anhand der folgenden Tabelle können Sie entscheiden, welche Authentifizierungsmethode am besten für Ihren Anwendungsfall geeignet ist.

Funktion Integrierte Datenbankauthentifizierung IAM-Datenbankauthentifizierung
Authentifizierungsmethode Passwort Temporäres Authentifizierungstoken
Verschlüsselung des Netzwerkverkehrs SSL nicht erforderlich sslRequired
Nutzerverwaltung Manuell Zentral über IAM

Automatische und manuelle IAM-Datenbankauthentifizierung im Vergleich

AlloyDB bietet zwei Methoden für die IAM-Datenbankauthentifizierung: automatisch und manuell.

Automatische IAM-Datenbankauthentifizierung

Mit der automatischen IAM-Datenbankauthentifizierung können Sie das Anfordern und Verwalten von Zugriffstokens an einen AlloyDB-Connector wie den Auth-Proxy oder einen der Sprach-Connectors übergeben.

Bei der automatischen IAM-Datenbankauthentifizierung muss eine Anwendung nur den Nutzernamen der IAM-Datenbank in einer Verbindungsanfrage vom Client übergeben. Der Connector sendet die Zugriffstokeninformationen für das Passwortattribut im Namen des Clients.

Manuelle IAM-Datenbankauthentifizierung

Für die manuelle IAM-Datenbankauthentifizierung muss das IAM-Hauptkonto das Zugriffstoken für das Passwortattribut in der Clientverbindungsanfrage explizit übergeben. Hauptkonten müssen sich zuerst in Google Cloud anmelden und das Zugriffstoken explizit von IAM anfordern.

Sie können Cloud-Audit-Logs verwenden, um Datensätze über den Datenzugriff, einschließlich Anmeldungen, aufzubewahren. Cloud-Audit-Logs sind standardmäßig deaktiviert. Aktivieren Sie Audit-Logs zum Datenzugriff für die Anmeldeverfolgung.

IAM-Gruppenauthentifizierung

Mit der IAM-Gruppenauthentifizierung können Sie AlloyDB-Nutzer auf Gruppenebene verwalten. Ein Beispiel für eine Gruppe ist eine Cloud Identity-Gruppe. Diese Funktion vereinfacht die Verwaltung von Datenbanknutzern. Sie können die PostgreSQL-Rollen oder -Berechtigungen für mehrere IAM-Nutzer gleichzeitig verwalten, anstatt jeden Nutzer oder jedes Dienstkonto einzeln zu aktualisieren. Sie können auch die Datenbankrollen für eine Cloud Identity-Gruppe zuweisen und widerrufen. Alle neuen Konten, die Sie der Cloud Identity-Gruppe hinzufügen, erben die Berechtigungen und Rollen dieser Gruppe.

Mit der IAM-Gruppenauthentifizierung haben Sie folgende Möglichkeiten:

  • Sie können einen Nutzer einer Gruppe hinzufügen und die IAM-Rollen und Datenbankberechtigungen des Nutzers automatisch übernehmen.
  • Sie können einen Nutzer aus einer Gruppe entfernen, um den Anmeldezugriff und die Datenbankberechtigungen des Nutzers aus AlloyDB-Clustern zu entfernen.
  • Sie brauchen Anmelde- oder Datenbankberechtigungen einer Gruppe nur einmal zu erteilen, anstatt sie verschiedenen Nutzern mehrmals erteilen zu müssen.
  • Sie können Anmeldeberechtigungen oder den Zugriff auf ein Datenbankobjekt für eine Gruppe gleichzeitig entfernen.

Obwohl IAM-Rollen und -Berechtigungen auf Gruppenebene zugewiesen werden, verwenden Nutzer und Dienstkonten ihre individuellen IAM-Konten und -Anmeldedaten und nicht ein gemeinsam genutztes Gruppenkonto, um sich anzumelden. AlloyDB erstellt bei der ersten Anmeldung ein Datenbankkonto im Cluster für dieses Hauptkonto.

Die individuelle Anmeldung und Datenbankaktivität für jeden Nutzer oder jedes Dienstkonto wird in Audit-Logs angezeigt. Zu Prüfzwecken können Sie sehen, welches Konto welche Aktion in Ihrer Datenbank ausgeführt hat.

Weitere Informationen zur Verwendung von Cloud Identity-Gruppen finden Sie unter Cloud Identity – Übersicht.

Wenn Sie einer Gruppe einen Nutzer oder ein Dienstkonto hinzufügen, werden in AlloyDB die folgenden Änderungen vorgenommen:

  • Wenn Sie der Gruppe bereits IAM-Anmeldeberechtigungen erteilt haben, kann sich der Nutzer oder das Dienstkonto im AlloyDB-Cluster anmelden, da er oder es zur Gruppe gehört.
  • Der Nutzer erbt automatisch alle Datenbankberechtigungen oder Rollen, die der Gruppe gewährt wurden.

Wenn Sie einen Nutzer oder ein Dienstkonto aus der Gruppe entfernen, werden in AlloyDB die folgenden Änderungen vorgenommen:

  • Der Nutzer verliert alle Datenbankberechtigungen, die zuvor als Mitglied der Gruppe übernommen wurden.
  • Der Nutzer kann möglicherweise weiterhin neue Sitzungen erstellen, wenn er über andere Gruppenmitgliedschaften IAM-Anmeldeberechtigungen für den AlloyDB-Cluster erhält. Der Nutzer erhält bei der Anmeldung jedoch keine Datenbankberechtigungen aus seiner früheren Gruppenmitgliedschaft.

Best Practices

  • Wenn Sie die Anmeldeberechtigung (alloydb.databaseUser) für eine IAM-Gruppe in Cloud Identity widerrufen, löschen Sie die Gruppe aus dem AlloyDB-Cluster.
  • Wenn Sie eine Gruppe aus Cloud Identity löschen, löschen Sie diese Gruppe auch aus dem AlloyDB-Cluster.
  • Verwenden Sie Gruppen, um die rollenbasierte Zugriffssteuerung in Ihrer Datenbank zu konfigurieren. Erteilen Sie der Gruppe nur die erforderlichen Berechtigungen.

Beschränkungen

  • Die IAM-Gruppenauthentifizierung ist in der Vorschau für neue AlloyDB-Cluster verfügbar. Wenn Sie diese Funktion in einem vorhandenen Cluster aktivieren möchten, wenden Sie sich an Ihr Google Cloud-Account-Management-Team.
  • Die IAM-Gruppenauthentifizierung wird in der Datenbankversion POSTGRES_15 und höher in der Vorschau nur unterstützt.
  • Aus Sicherheitsgründen sind Anmeldungen mit der IAM-Datenbankauthentifizierung nur über eine SSL-Verbindung möglich. Unverschlüsselte Verbindungen werden abgelehnt.
  • Für jede Instanz gilt ein Anmeldekontingent pro Minute, das sowohl erfolgreiche als auch fehlgeschlagene Anmeldungen umfasst. Wenn das Kontingent überschritten wird, sind Anmeldungen vorübergehend nicht möglich. Wir empfehlen, häufige Anmeldungen zu vermeiden und Anmeldungen mithilfe von autorisierten Netzwerken einzuschränken.
  • Wenn Sie die IAM-Gruppenauthentifizierung verwenden und einen AlloyDB-Cluster mit Lesereplikaten haben, melden Sie sich zuerst in der primären Instanz an, bevor Sie sich in der Lesereplikatinstanz anmelden. Nach der ersten Anmeldung in der primären Instanz werden die Gruppeninformationen des Nutzers in die Lesereplikate repliziert. Bei nachfolgenden Anmeldungen können Sie sich direkt im Lesereplikat anmelden.
  • Sie können einer Instanz maximal 200 IAM-Gruppen hinzufügen.
  • Sie können derselben Instanz keine einzelnen IAM-Nutzer oder Dienstkonten hinzufügen, die zu einer Gruppe gehören. Mit anderen Worten: Sie können kein Konto mit dem Typ ALLOYDB_IAM_USER hinzufügen, wenn bereits ein identisches Konto mit dem Typ ALLOYDB_IAM_GROUP_USER oder ALLOYDB_IAM_GROUP_SERVICE_ACCOUNT vorhanden ist.

  • Wenn in einer Instanz bereits ein einzelnes Konto mit dem Typ ALLOYDB_IAM_USER vorhanden ist, können Sie das Konto nicht für die IAM-Gruppenauthentifizierung verwenden. Diese Nutzertypen erben keine IAM-Rollen und Datenbankberechtigungen von einer Gruppe. Um dieses Problem zu beheben und das Konto mit der IAM-Gruppenauthentifizierung zu verwenden, entfernen Sie den einzelnen IAM-Nutzer oder das Dienstkonto. Weitere Informationen finden Sie unter Ein vorhandener IAM-Nutzer oder ein vorhandenes Dienstkonto übernimmt nicht die Datenbankberechtigungen, die seiner Gruppe gewährt werden.

  • Änderungen an der Cloud Identity-Gruppenmitgliedschaft, z. B. das Hinzufügen eines Kontos, werden etwa 15 Minuten dauern. Diese Zeit kommt zu der Zeit hinzu, die für IAM-Änderungen erforderlich ist.

  • Die IAM-Gruppenauthentifizierung wird nicht mit verwaltetem Verbindungs-Pooling unterstützt.

  • Die IAM-Gruppenauthentifizierung wird nicht mit föderierten Identitäten unterstützt.

Nächste Schritte