Mengelola autentikasi IAM

Pratinjau — Autentikasi grup IAM (khusus cluster baru)

Fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum dari Persyaratan Khusus Layanan. Fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Halaman ini menjelaskan cara menyiapkan instance AlloyDB untuk PostgreSQL guna memfasilitasi autentikasi database menggunakan Identity and Access Management (IAM).

Catatan: Autentikasi grup IAM tersedia dalam Pratinjau untuk cluster AlloyDB baru. Untuk mengaktifkan fitur ini di cluster yang sudah ada, hubungi Google Cloud tim akun Anda.

Autentikasi IAM melengkapi autentikasi database melalui pengguna PostgreSQL standar, yang didukung oleh setiap cluster AlloyDB.

Anda dapat melakukan autentikasi menggunakan akun atau grup individual:

• Akun perorangan: Anda menambahkan setiap akun pengguna atau layanan IAM ke cluster. Anda dapat menggunakan peran pengguna IAM atau PostgreSQL untuk melakukan autentikasi dengan cluster tersebut.
• Grup: Anda menambahkan grup IAM ke cluster. Semua anggota (pengguna dan akun layanan) grup tersebut mewarisi izin untuk mengautentikasi. Hal ini memungkinkan Anda mengelola akses dengan mengelola keanggotaan grup tanpa menambahkan setiap anggota ke cluster satu per satu.

Autentikasi IAM dinonaktifkan di instance AlloyDB secara default.

Untuk menggunakan autentikasi IAM, selesaikan langkah-langkah umum berikut:

1. Aktifkan autentikasi perorangan atau grup IAM di instance Anda.
2. Berikan peran yang diperlukan ke akun atau grup.
3. Tambahkan akun atau grup ke cluster Anda.
4. Memberikan hak istimewa database ke akun atau grup.

Mengaktifkan dan menonaktifkan autentikasi IAM

Untuk mengaktifkan autentikasi IAM pada instance, tetapkan flag database.

• Untuk autentikasi individual, tetapkan alloydb.iam_authentication ke on.
• Untuk autentikasi grup, setel alloydb.iam_authentication dan alloydb.iam_group_authentication ke on.

Untuk menonaktifkan autentikasi IAM, setel tanda ke off.

Untuk mengetahui informasi selengkapnya tentang menyetel flag, lihat Mengonfigurasi flag database instance.

Perhatian: Terdapat kuota login per menit untuk setiap instance, yang mencakup login yang berhasil dan gagal. Jika kuota terlampaui, login tidak akan tersedia untuk sementara. Sebaiknya hindari login yang terlalu sering dan batasi login menggunakan jaringan yang diizinkan.

Memberikan akses ke akun perorangan

Untuk mengaktifkan akses IAM bagi pengguna database baru, ikuti langkah-langkah berikut:

1. Perbarui setelan IAM project Anda untuk memberikan akses database AlloyDB kepada pengguna atau akun layanan IAM yang sesuai.

2. Buat pengguna database baru di cluster Anda, dengan menetapkan nama pengguna sebagai alamat email pengguna IAM atau akun layanan.

Untuk memberi akun IAM akses ke cluster lain di project Anda, ulangi langkah terakhir.

Memperbarui akun IAM dengan peran yang sesuai

Anda dapat memberikan kemampuan kepada pengguna IAM atau akun layanan untuk melakukan autentikasi dengan instance AlloyDB dengan memberikan peran IAM berikut kepada mereka:

• alloydb.databaseUser: Mengizinkan pengguna terhubung ke instance AlloyDB Anda.
• serviceusage.serviceUsageConsumer: Memberikan akses pengguna ke API yang memeriksa izin.

Untuk melakukannya, ikuti petunjuk di bagian Memberikan akses kepada pengguna lain. Pada langkah saat Anda memilih peran untuk diberikan ke akun utama IAM, pilih alloydb.databaseUser.

Menambahkan akun pengguna atau akun layanan IAM ke cluster

Konsol

1. Buka halaman Clusters.

   Buka Cluster

2. Klik nama cluster tempat Anda ingin menambahkan pengguna.

3. Klik Pengguna.

4. Klik Add user account.

5. Pilih Cloud IAM.

6. Di kolom Principal, masukkan akun utama IAM.

   Untuk akun pengguna IAM, berikan alamat email lengkap akun pengguna. Misalnya, [e-mail].

   Untuk akun layanan IAM, berikan alamat akun layanan tanpa akhiran .gserviceaccount.com. Misalnya, untuk menentukan akun layanan [e-mail], Anda menggunakan nilai [e-mail].

7. Untuk menetapkan peran selain alloydbsuperuser default kepada pengguna, ikuti langkah-langkah berikut:

   1. Masukkan nama peran di Peran.
   2. Untuk menambahkan peran, tekan Enter atau Tab.

   3. Pilih x untuk peran yang ingin Anda hapus bagi pengguna tersebut.

      Untuk mengetahui informasi selengkapnya, lihat Peran yang telah ditetapkan

8. Klik Tambahkan.

gcloud

Untuk membuat pengguna database PostgreSQL berdasarkan akun layanan atau pengguna IAM, gunakan perintah gcloud alloydb users create.

gcloud alloydb users create USERNAME \
--cluster=CLUSTER \
--region=REGION \
--type=IAM_BASED

Ganti variabel berikut:

• USERNAME: ID pengguna IAM yang ingin Anda tambahkan sebagai pengguna database baru.

  Untuk akun pengguna IAM, berikan alamat email lengkap akun pengguna. Misalnya, [e-mail].

  Untuk akun layanan IAM, berikan alamat akun layanan tanpa akhiran .gserviceaccount.com. Misalnya, untuk menentukan akun layanan [e-mail], Anda menggunakan nilai [e-mail].

• CLUSTER: ID cluster untuk membuat akun pengguna database ini.

• REGION: ID region tempat cluster berada—misalnya, us-central1.

Memberikan izin database yang sesuai kepada pengguna IAM

Saat Anda menambahkan pengguna IAM ke cluster AlloyDB, pengguna tersebut tidak memiliki hak istimewa di database mana pun secara default, kecuali untuk objek database yang dapat diakses oleh PUBLIC.

Jika pengguna memerlukan akses tambahan, berikan lebih banyak hak istimewa menggunakan pernyataan PostgreSQL GRANT:

GRANT SELECT ON TABLE_NAME TO "USERNAME";

Ganti variabel berikut:

• USERNAME: alamat email untuk pengguna. Anda harus menyertakan tanda kutip ganda di sekitar alamat.

• TABLE_NAME: Nama tabel yang ingin Anda berikan akses kepada pengguna.

Menghapus akun pengguna atau akun layanan IAM dari cluster

Konsol

1. Buka halaman Clusters.

   Buka Cluster

2. Klik nama cluster tempat Anda ingin menghapus pengguna.

3. Klik Pengguna.

4. Pada baris yang menampilkan pengguna yang ingin Anda hapus, klik Buka tindakan untuk pengguna ini.

5. Pilih Hapus.

6. Pada dialog Hapus akun pengguna?, klik Hapus.

gcloud

Gunakan perintah gcloud alloydb users delete.

gcloud alloydb users delete USERNAME \
--cluster=CLUSTER \
--region=REGION

Ganti kode berikut:

• USERNAME: ID pengguna IAM yang ingin Anda hapus dari cluster.

  Untuk akun pengguna IAM, berikan alamat email lengkap akun pengguna. Misalnya, [e-mail].

  Untuk akun layanan IAM, berikan alamat akun layanan tanpa akhiran .gserviceaccount.com. Misalnya, untuk menentukan akun layanan [e-mail], Anda menggunakan nilai [e-mail].

• CLUSTER: ID cluster tempat pengguna ini akan dihapus.

• REGION: ID region tempat cluster berada. Contoh, us-central1.

Memberikan akses ke grup IAM

Untuk menggunakan autentikasi grup (Pratinjau), Anda menambahkan grup IAM ke cluster AlloyDB.

Menambahkan grup IAM ke cluster

1. Tetapkan peran alloydb.databaseUser dan serviceusage.serviceUsageConsumer ke akun grup. Untuk mengetahui informasi selengkapnya, lihat Memperbarui akun IAM dengan peran yang sesuai.

   Maksimum 200 grup IAM dapat ada di cluster kapan saja. Grup yang tidak aktif dihitung dalam batas ini.

   Nama grup IAM hanya boleh memiliki panjang 63 karakter.

   Jika Anda memiliki grup IAM dengan nama yang melebihi batasan panjang, Anda dapat menyarangkannya di bawah grup induk dengan nama yang valid. Anda harus menambahkan grup induk ke cluster sebelum dapat menggunakan grup bertingkat.

2. Untuk membuat pengguna database untuk grup, gunakan perintah gcloud alloydb users create dengan flag --type=IAM_GROUP.

   gcloud beta alloydb users create GROUP_EMAIL \
   --cluster=CLUSTER \
   --region=REGION \
   --type=IAM_GROUP

   Catatan: Jika Anda menghapus grup IAM dari IAM, lalu segera membuat ulang grup tersebut, grup mungkin tidak dapat langsung digunakan. Penghapusan dan pembuatan ulang grup IAM memerlukan waktu untuk diterapkan.

Menambahkan anggota grup secara otomatis

Saat Anda menambahkan grup IAM ke cluster, semua anggota (pengguna dan akun layanan) grup tersebut akan mewarisi izin untuk mengautentikasi. Anda tidak perlu menambahkan anggota satu per satu. Setelah anggota login untuk pertama kalinya, AlloyDB akan membuat akun untuknya secara otomatis.

Memberikan hak istimewa database kepada grup IAM

Anda memberikan hak istimewa database kepada grup, bukan pengguna individu.

Jalankan pernyataan GRANT dari command line psql:

GRANT SELECT ON TABLE_NAME TO "GROUP_NAME";

• GROUP_NAME: Alamat email grup. Anda harus menggunakan tanda kutip karena string berisi karakter khusus.
• TABLE_NAME: Nama tabel.

Menghapus grup IAM dari cluster

Untuk menghapus grup IAM dari cluster AlloyDB, batalkan izin grup di Google Cloud konsol dan hapus pengguna grup yang sesuai dari cluster AlloyDB.

1. Mencabut izin IAM:

   1. Di konsol Google Cloud , buka halaman IAM.

      Buka IAM

   2. Temukan grup IAM yang aksesnya ingin Anda hapus.

   3. Hapus peran roles/alloydb.databaseUser dan peran lain yang terkait dengan AlloyDB yang memberikan akses ke cluster. Tindakan ini mencegah anggota grup melakukan autentikasi.

2. Hapus pengguna grup dari cluster AlloyDB:

   Gunakan Google Cloud CLI untuk menghapus pengguna yang mewakili grup IAM dari cluster AlloyDB. Nama pengguna biasanya berupa alamat email grup IAM.

   gcloud alloydb users delete GROUP_EMAIL_ADDRESS \
   --cluster=CLUSTER_ID \
   --region=REGION_ID

   Ganti kode berikut:

   • GROUP_EMAIL_ADDRESS: alamat email lengkap grup IAM—misalnya, [e-mail].
   • CLUSTER_ID: ID cluster AlloyDB Anda.
   • REGION_ID: region tempat cluster AlloyDB Anda berada—misalnya, us-central1.

3. Opsional: Hapus grup dari Cloud Identity:

   Perhatian: Penghapusan grup bersifat permanen dan tidak dapat diurungkan. Anggota akan kehilangan akses ke resource yang dibagikan dengan grup yang dihapus, dan pesan yang dikirim ke alamat grup tidak akan terkirim.

   Anda memerlukan hak istimewa administrator yang sesuai (seperti Admin Grup) di akun Cloud Identity untuk menghapus grup. Pemilik grup biasanya hanya dapat menghapus grup yang mereka miliki.

   Perubahan pada izin IAM dan keanggotaan grup mungkin memerlukan waktu untuk diterapkan, mungkin 15 menit atau lebih.

   1. Pastikan Anda memiliki hak istimewa administrator yang sesuai seperti Admin Grup di akun Cloud Identity Anda. Pemilik grup hanya dapat menghapus grup yang mereka miliki. Untuk mengetahui informasi selengkapnya, lihat Peran administrator standar.

   2. Jalankan perintah gcloud CLI Cloud Identity berikut:

      gcloud identity groups delete GROUP_EMAIL_ADDRESS

   3. Saat Anda mencabut izin login alloydb.databaseUser untuk grup IAM di Cloud Identity, Anda juga harus menghapus grup dari cluster AlloyDB untuk memastikan bahwa akses dihapus sepenuhnya.

Memigrasikan pengguna yang ada ke autentikasi grup IAM

Pengguna IAM perorangan yang sudah ada tidak menggunakan autentikasi grup. Anda dapat memigrasikannya dengan mengikuti langkah-langkah berikut:

1. Tambahkan pengguna ke grup IAM.
2. Tambahkan grup ke cluster Anda.
3. Tetapkan peran yang diperlukan untuk grup.
4. Tetapkan hak istimewa database ke grup.
5. Hapus pengguna perorangan yang ada dari cluster Anda. Pastikan Anda mentransfer kepemilikan jika memang diinginkan.

Saat pengguna login lagi, AlloyDB akan membuat ulang akun sebagai pengguna grup.

Memecahkan masalah autentikasi grup

Gunakan informasi berikut untuk memecahkan masalah autentikasi grup.

Akun yang ada tidak mewarisi hak istimewa

Jika akun tidak mewarisi hak istimewa dari grup, ikuti langkah-langkah berikut:

1. Mencantumkan pengguna.

   gcloud alpha alloydb users list --cluster=CLUSTER --region=REGION

2. Jika jenisnya adalah ALLOYDB_IAM_USER atau ALLOYDB_IAM_SERVICE_ACCOUNT, hapus akun. Pengguna ini tidak mewarisi hak istimewa grup.

3. Untuk membuat ulang akun dengan jenis grup yang benar, login lagi ke instance dengan akun pengguna atau layanan. Login kembali ke instance akan membuat ulang akun dengan jenis akun yang benar, yaitu ALLOYDB_IAM_GROUP_USER atau ALLOYDB_IAM_GROUP_SERVICE_ACCOUNT.

Langkah berikutnya

• Menghubungkan menggunakan akun IAM