הגדרת IAM ל-Bare Metal Solution

כדי שגורם מרכזי, כמו משתמש בפרויקט או חשבון שירות, יקבל גישה למשאבים בסביבת Bare Metal Solution, צריך להקצות לו תפקידים והרשאות מתאימים. Google Cloud כדי להעניק גישה, אפשר ליצור מדיניות של ניהול זהויות והרשאות גישה (IAM) ולהעניק תפקידים מוגדרים מראש שספציפיים ל-Bare Metal Solution.

כדאי להקצות תפקידים עם מספיק הרשאות כדי שהחשבונות יוכלו לבצע את העבודה שלהם, אבל לא יותר מזה, כדי לשמור על Google Cloudעקרון האבטחה של הרשאות מינימליות.

תפקידים מוגדרים מראש ל-Bare Metal Solution

כל תפקיד IAM ב-Bare Metal Solution מכיל הרשאות שנותנות לחשבון המשתמש גישה למשאבים ספציפיים, כפי שמוצג בטבלה הבאה.

Role	Permissions
Bare Metal Solution Admin (roles/baremetalsolution.admin) Administrator of Bare Metal Solution resources	baremetalsolution.instancequotas.list baremetalsolution.instances.* baremetalsolution.instances.attachNetwork baremetalsolution.instances.attachVolume baremetalsolution.instances.create baremetalsolution.instances.detachLun baremetalsolution.instances.detachNetwork baremetalsolution.instances.detachVolume baremetalsolution.instances.disableInteractiveSerialConsole baremetalsolution.instances.enableInteractiveSerialConsole baremetalsolution.instances.get baremetalsolution.instances.list baremetalsolution.instances.rename baremetalsolution.instances.reset baremetalsolution.instances.start baremetalsolution.instances.stop baremetalsolution.instances.update baremetalsolution.luns.create baremetalsolution.luns.delete baremetalsolution.luns.evict baremetalsolution.luns.get baremetalsolution.luns.list baremetalsolution.luns.update baremetalsolution.maintenanceevents.* baremetalsolution.maintenanceevents.addProposal baremetalsolution.maintenanceevents.approve baremetalsolution.maintenanceevents.get baremetalsolution.maintenanceevents.list baremetalsolution.networkquotas.list baremetalsolution.networks.* baremetalsolution.networks.create baremetalsolution.networks.delete baremetalsolution.networks.get baremetalsolution.networks.list baremetalsolution.networks.rename baremetalsolution.networks.update baremetalsolution.nfsshares.* baremetalsolution.nfsshares.create baremetalsolution.nfsshares.delete baremetalsolution.nfsshares.get baremetalsolution.nfsshares.list baremetalsolution.nfsshares.rename baremetalsolution.nfsshares.update baremetalsolution.operations.get baremetalsolution.osimages.list baremetalsolution.pods.list baremetalsolution.procurements.get baremetalsolution.procurements.list baremetalsolution.skus.list baremetalsolution.snapshotschedulepolicies.* baremetalsolution.snapshotschedulepolicies.create baremetalsolution.snapshotschedulepolicies.delete baremetalsolution.snapshotschedulepolicies.get baremetalsolution.snapshotschedulepolicies.list baremetalsolution.snapshotschedulepolicies.update baremetalsolution.sshKeys.* baremetalsolution.sshKeys.create baremetalsolution.sshKeys.delete baremetalsolution.sshKeys.list baremetalsolution.storageaggregatepools.list baremetalsolution.volumequotas.list baremetalsolution.volumes.create baremetalsolution.volumes.delete baremetalsolution.volumes.evict baremetalsolution.volumes.get baremetalsolution.volumes.list baremetalsolution.volumes.rename baremetalsolution.volumes.resize baremetalsolution.volumes.update baremetalsolution.volumesnapshots.* baremetalsolution.volumesnapshots.create baremetalsolution.volumesnapshots.delete baremetalsolution.volumesnapshots.get baremetalsolution.volumesnapshots.list baremetalsolution.volumesnapshots.restore resourcemanager.projects.get resourcemanager.projects.list
Bare Metal Solution Editor (roles/baremetalsolution.editor) Editor of Bare Metal Solution resources	baremetalsolution.instancequotas.list baremetalsolution.instances.* baremetalsolution.instances.attachNetwork baremetalsolution.instances.attachVolume baremetalsolution.instances.create baremetalsolution.instances.detachLun baremetalsolution.instances.detachNetwork baremetalsolution.instances.detachVolume baremetalsolution.instances.disableInteractiveSerialConsole baremetalsolution.instances.enableInteractiveSerialConsole baremetalsolution.instances.get baremetalsolution.instances.list baremetalsolution.instances.rename baremetalsolution.instances.reset baremetalsolution.instances.start baremetalsolution.instances.stop baremetalsolution.instances.update baremetalsolution.luns.create baremetalsolution.luns.delete baremetalsolution.luns.evict baremetalsolution.luns.get baremetalsolution.luns.list baremetalsolution.luns.update baremetalsolution.maintenanceevents.* baremetalsolution.maintenanceevents.addProposal baremetalsolution.maintenanceevents.approve baremetalsolution.maintenanceevents.get baremetalsolution.maintenanceevents.list baremetalsolution.networkquotas.list baremetalsolution.networks.* baremetalsolution.networks.create baremetalsolution.networks.delete baremetalsolution.networks.get baremetalsolution.networks.list baremetalsolution.networks.rename baremetalsolution.networks.update baremetalsolution.nfsshares.* baremetalsolution.nfsshares.create baremetalsolution.nfsshares.delete baremetalsolution.nfsshares.get baremetalsolution.nfsshares.list baremetalsolution.nfsshares.rename baremetalsolution.nfsshares.update baremetalsolution.operations.get baremetalsolution.osimages.list baremetalsolution.pods.list baremetalsolution.procurements.get baremetalsolution.procurements.list baremetalsolution.skus.list baremetalsolution.snapshotschedulepolicies.* baremetalsolution.snapshotschedulepolicies.create baremetalsolution.snapshotschedulepolicies.delete baremetalsolution.snapshotschedulepolicies.get baremetalsolution.snapshotschedulepolicies.list baremetalsolution.snapshotschedulepolicies.update baremetalsolution.sshKeys.* baremetalsolution.sshKeys.create baremetalsolution.sshKeys.delete baremetalsolution.sshKeys.list baremetalsolution.storageaggregatepools.list baremetalsolution.volumequotas.list baremetalsolution.volumes.create baremetalsolution.volumes.delete baremetalsolution.volumes.evict baremetalsolution.volumes.get baremetalsolution.volumes.list baremetalsolution.volumes.rename baremetalsolution.volumes.resize baremetalsolution.volumes.update baremetalsolution.volumesnapshots.* baremetalsolution.volumesnapshots.create baremetalsolution.volumesnapshots.delete baremetalsolution.volumesnapshots.get baremetalsolution.volumesnapshots.list baremetalsolution.volumesnapshots.restore resourcemanager.projects.get resourcemanager.projects.list
Bare Metal Solution Viewer (roles/baremetalsolution.viewer) Viewer of Bare Metal Solution resources	baremetalsolution.instancequotas.list baremetalsolution.instances.get baremetalsolution.instances.list baremetalsolution.luns.get baremetalsolution.luns.list baremetalsolution.maintenanceevents.get baremetalsolution.maintenanceevents.list baremetalsolution.networkquotas.list baremetalsolution.networks.get baremetalsolution.networks.list baremetalsolution.nfsshares.get baremetalsolution.nfsshares.list baremetalsolution.operations.get baremetalsolution.osimages.list baremetalsolution.pods.list baremetalsolution.procurements.get baremetalsolution.procurements.list baremetalsolution.skus.list baremetalsolution.snapshotschedulepolicies.get baremetalsolution.snapshotschedulepolicies.list baremetalsolution.sshKeys.list baremetalsolution.storageaggregatepools.list baremetalsolution.volumequotas.list baremetalsolution.volumes.get baremetalsolution.volumes.list baremetalsolution.volumesnapshots.get baremetalsolution.volumesnapshots.list resourcemanager.projects.get resourcemanager.projects.list
Bare Metal Solution Instances Admin (roles/baremetalsolution.instancesadmin) Admin of Bare Metal Solution Instance resources	baremetalsolution.instances.* baremetalsolution.instances.attachNetwork baremetalsolution.instances.attachVolume baremetalsolution.instances.create baremetalsolution.instances.detachLun baremetalsolution.instances.detachNetwork baremetalsolution.instances.detachVolume baremetalsolution.instances.disableInteractiveSerialConsole baremetalsolution.instances.enableInteractiveSerialConsole baremetalsolution.instances.get baremetalsolution.instances.list baremetalsolution.instances.rename baremetalsolution.instances.reset baremetalsolution.instances.start baremetalsolution.instances.stop baremetalsolution.instances.update baremetalsolution.operations.get baremetalsolution.osimages.list baremetalsolution.pods.list resourcemanager.projects.get resourcemanager.projects.list
Bare Metal Solution Instances Viewer (roles/baremetalsolution.instancesviewer) Viewer of Bare Metal Solution Instance resources	baremetalsolution.instancequotas.list baremetalsolution.instances.get baremetalsolution.instances.list baremetalsolution.operations.get resourcemanager.projects.get resourcemanager.projects.list
Luns Admin (roles/baremetalsolution.lunsadmin) Administrator of Bare Metal Solution Lun resources	baremetalsolution.luns.get baremetalsolution.luns.list baremetalsolution.operations.get
Luns Viewer (roles/baremetalsolution.lunsviewer) Viewer of Bare Metal Solution Lun resources	baremetalsolution.luns.get baremetalsolution.luns.list baremetalsolution.operations.get
Maintenance Events Admin (roles/baremetalsolution.maintenanceeventsadmin) Administrator of Bare Metal Solution maintenance events resources	baremetalsolution.maintenanceevents.* baremetalsolution.maintenanceevents.addProposal baremetalsolution.maintenanceevents.approve baremetalsolution.maintenanceevents.get baremetalsolution.maintenanceevents.list
Maintenance Events Editor (roles/baremetalsolution.maintenanceeventseditor) Editor of Bare Metal Solution maintenance events resources	baremetalsolution.maintenanceevents.* baremetalsolution.maintenanceevents.addProposal baremetalsolution.maintenanceevents.approve baremetalsolution.maintenanceevents.get baremetalsolution.maintenanceevents.list
Maintenance Events Viewer (roles/baremetalsolution.maintenanceeventsviewer) Viewer of Bare Metal Solution maintenance events resources	baremetalsolution.maintenanceevents.get baremetalsolution.maintenanceevents.list
Networks Admin (roles/baremetalsolution.networksadmin) Admin of Bare Metal Solution networks resources	baremetalsolution.networkquotas.list baremetalsolution.networks.* baremetalsolution.networks.create baremetalsolution.networks.delete baremetalsolution.networks.get baremetalsolution.networks.list baremetalsolution.networks.rename baremetalsolution.networks.update baremetalsolution.operations.get baremetalsolution.pods.list
NFS Shares Admin (roles/baremetalsolution.nfssharesadmin) Administrator of Bare Metal Solution NFS Share resources	baremetalsolution.nfsshares.* baremetalsolution.nfsshares.create baremetalsolution.nfsshares.delete baremetalsolution.nfsshares.get baremetalsolution.nfsshares.list baremetalsolution.nfsshares.rename baremetalsolution.nfsshares.update baremetalsolution.operations.get baremetalsolution.pods.list
NFS Shares Editor (roles/baremetalsolution.nfsshareseditor) Editor of Bare Metal Solution NFS Share resources	baremetalsolution.nfsshares.* baremetalsolution.nfsshares.create baremetalsolution.nfsshares.delete baremetalsolution.nfsshares.get baremetalsolution.nfsshares.list baremetalsolution.nfsshares.rename baremetalsolution.nfsshares.update baremetalsolution.operations.get baremetalsolution.pods.list
NFS Shares Viewer (roles/baremetalsolution.nfssharesviewer) Viewer of Bare Metal Solution NFS Share resources	baremetalsolution.nfsshares.get baremetalsolution.nfsshares.list baremetalsolution.operations.get
OS Images Viewer (roles/baremetalsolution.osimagesviewer) Viewer of Bare Metal Solution OS images resources	baremetalsolution.osimages.list
Bare Metal Solution Procurements Admin (roles/baremetalsolution.procurementsadmin) Administrator of Bare Metal Solution Procurements	baremetalsolution.pods.list baremetalsolution.procurements.* baremetalsolution.procurements.create baremetalsolution.procurements.get baremetalsolution.procurements.list baremetalsolution.skus.list
Bare Metal Solution Procurements Editor (roles/baremetalsolution.procurementseditor) Editor of Bare Metal Solution Procurements	baremetalsolution.pods.list baremetalsolution.procurements.* baremetalsolution.procurements.create baremetalsolution.procurements.get baremetalsolution.procurements.list baremetalsolution.skus.list
Bare Metal Solution Procurements Viewer (roles/baremetalsolution.procurementsviewer) Viewer of Bare Metal Solution Procurements	baremetalsolution.procurements.get baremetalsolution.procurements.list baremetalsolution.skus.list
Bare Metal Solution Storage Admin (roles/baremetalsolution.storageadmin) Administrator of Bare Metal Solution storage resources	baremetalsolution.luns.create baremetalsolution.luns.delete baremetalsolution.luns.evict baremetalsolution.luns.get baremetalsolution.luns.list baremetalsolution.luns.update baremetalsolution.nfsshares.* baremetalsolution.nfsshares.create baremetalsolution.nfsshares.delete baremetalsolution.nfsshares.get baremetalsolution.nfsshares.list baremetalsolution.nfsshares.rename baremetalsolution.nfsshares.update baremetalsolution.operations.get baremetalsolution.pods.list baremetalsolution.snapshotschedulepolicies.* baremetalsolution.snapshotschedulepolicies.create baremetalsolution.snapshotschedulepolicies.delete baremetalsolution.snapshotschedulepolicies.get baremetalsolution.snapshotschedulepolicies.list baremetalsolution.snapshotschedulepolicies.update baremetalsolution.storageaggregatepools.list baremetalsolution.volumequotas.list baremetalsolution.volumes.create baremetalsolution.volumes.delete baremetalsolution.volumes.evict baremetalsolution.volumes.get baremetalsolution.volumes.list baremetalsolution.volumes.rename baremetalsolution.volumes.resize baremetalsolution.volumes.update baremetalsolution.volumesnapshots.* baremetalsolution.volumesnapshots.create baremetalsolution.volumesnapshots.delete baremetalsolution.volumesnapshots.get baremetalsolution.volumesnapshots.list baremetalsolution.volumesnapshots.restore resourcemanager.projects.get resourcemanager.projects.list
Volume Admin (roles/baremetalsolution.volumesadmin) Administrator of Bare Metal Solution volume resources	baremetalsolution.operations.get baremetalsolution.pods.list baremetalsolution.volumes.create baremetalsolution.volumes.delete baremetalsolution.volumes.evict baremetalsolution.volumes.get baremetalsolution.volumes.list baremetalsolution.volumes.rename baremetalsolution.volumes.resize baremetalsolution.volumes.update
Volumes Editor (roles/baremetalsolution.volumeseditor) Editor of Bare Metal Solution volumes resources	baremetalsolution.operations.get baremetalsolution.pods.list baremetalsolution.volumequotas.list baremetalsolution.volumes.create baremetalsolution.volumes.delete baremetalsolution.volumes.get baremetalsolution.volumes.list baremetalsolution.volumes.rename baremetalsolution.volumes.resize baremetalsolution.volumes.update
Snapshots Admin (roles/baremetalsolution.volumesnapshotsadmin) Administrator of Bare Metal Solution snapshots resources	baremetalsolution.operations.get baremetalsolution.volumesnapshots.* baremetalsolution.volumesnapshots.create baremetalsolution.volumesnapshots.delete baremetalsolution.volumesnapshots.get baremetalsolution.volumesnapshots.list baremetalsolution.volumesnapshots.restore
Snapshots Editor (roles/baremetalsolution.volumesnapshotseditor) Editor of Bare Metal Solution snapshots resources	baremetalsolution.operations.get baremetalsolution.volumesnapshots.create baremetalsolution.volumesnapshots.delete baremetalsolution.volumesnapshots.get baremetalsolution.volumesnapshots.list
Snapshots Viewer (roles/baremetalsolution.volumesnapshotsviewer) Viewer of Bare Metal Solution snapshots resources	baremetalsolution.operations.get baremetalsolution.volumesnapshots.get baremetalsolution.volumesnapshots.list
Volumes Viewer (roles/baremetalsolution.volumessviewer) Viewer of Bare Metal Solution volumes resources	baremetalsolution.operations.get baremetalsolution.volumes.get baremetalsolution.volumes.list

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Bare Metal Solution Service Agent (roles/baremetalsolution.serviceAgent) Gives permission to manage network resources such as interconnect pairing keys, required for Bare Metal Solution. Warning: Do not grant service agent roles to any principals except service agents.	compute.interconnectAttachments.get compute.interconnectAttachments.list compute.interconnects.get compute.interconnects.list compute.networks.get compute.networks.list compute.projects.get resourcemanager.projects.get

מומלץ להקצות את התפקידים באופן הבא:

• מילוי טופס קליטה

  • תפקידים ב-Bare Metal Solution: אדמין, עריכה או אדמין של מופעים וצפייה ברשת מחשוב
  • תפקידים בסיסיים: בעלים או עריכה

• הפעלה מחדש של שרת Bare Metal Solution

  • תפקידים ב-Bare Metal Solution: אדמין או עורך
  • תפקידים בסיסיים: בעלים או עריכה

• הצגת רשימה של שרתים או בקשת סטטוס

  • תפקידים ב-Bare Metal Solution: צופה או צפייה במופעים
  • תפקיד בסיסי: צפייה

• ניהול רכיבי האחסון

  • תפקידים ב-Bare Metal Solution: אדמין, עורך או אדמין לניהול אחסון
  • תפקידים בסיסיים: בעלים או עריכה

• ניהול רכיבי רשת

  • תפקידים ב-Bare Metal Solution: אדמין, עריכה או אדמין רשתות
  • תפקידים בסיסיים: בעלים או עריכה

רשימה מלאה של תפקידים ב-Bare Metal Solution מופיעה במאמר תפקידים מוגדרים מראש. כדי לראות אותה, צריך להזין baremetalsolution. בתיבת החיפוש.

לרשימה המלאה של ההרשאות ב-Bare Metal Solution, אפשר לעיין במאמר חיפוש הרשאה ולהזין baremetalsolution. בתיבת החיפוש.

מתן תפקידים ב-IAM

מוסיפים מדיניות IAM כדי להעניק תפקיד ב-Bare Metal Solution לחשבון משתמש. התפקיד מכיל הרשאות שמאפשרות לחשבון הראשי לבצע פעולות מסוימות. כדי להקצות תפקיד:

המסוף

1. חשוב לוודא שיש לכם תפקיד שמכיל את הרשאות ה-IAM המתאימות להקצאת תפקידים לאחרים, כמו בעלים, אדמין IAM בפרויקט או אדמין אבטחה. מידע נוסף על הדרישה הזו זמין במאמר בנושא תפקידים נדרשים.

2. נכנסים לדף ההרשאות של IAM במסוף Google Cloud .

   כניסה לדף IAM

3. לוחצים על הענקת גישה.

4. הזן את פריטי המידע הבאים:

   • בשדה Add principals, מזינים את המשתמשים. אפשר להוסיף משתמשים פרטיים, קבוצות Google, חשבונות שירות או דומיינים של Google Workspace.

   • בקטע Assign roles (הקצאת תפקידים), בוחרים תפקיד מהתפריט Select a role (בחירת תפקיד) כדי להקצות את התפקיד הזה לחשבונות המשתמשים.

   • אם אתם צריכים להקצות כמה תפקידים לחשבונות הראשיים, לוחצים על Add another role.

   • לוחצים על Save.

   חשבונות המשתמשים והתפקידים שהוקצו להם מופיעים בדף הסטטוס IAM permissions.

gcloud

1. חשוב לוודא שיש לכם תפקיד שמכיל את הרשאות ה-IAM המתאימות להקצאת תפקידים לאחרים, כמו בעלים, אדמין IAM בפרויקט או אדמין אבטחה. מידע נוסף על הדרישה הזו זמין במאמר בנושא תפקידים נדרשים.

2. פותחים חלון Cloud Shell בפרויקט Google Cloud .

3. מוסיפים את Google Cloud מזהה הפרויקט, את כתובת האימייל של חשבון Google Cloud הגורם הראשי ואת נתיב התפקיד הרצוי ב-Bare Metal Solution לפקודה הבאה:

   gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=user:[e-mail] \
    --role=roles/baremetalsolution.admin
    

4. מעתיקים את הפקודה ומדביקים אותה בחלון Cloud Shell.

5. מקישים על המקש Enter או על המקש Return.

6. במקרים מסוימים, ייפתח חלון עם הכיתוב Authorize Cloud Shell (אישור ל-Cloud Shell), שבו תתבקשו לאשר קריאה ל-API. אם ההודעה הזו מופיעה, לוחצים על הרשאה.

7. אם הפקודות הוזנו בהצלחה, הפלט ייראה כך:

   Updated IAM policy for project [PROJECT_ID].
     bindings:
     - members:
      - user:[e-mail]
      role: roles/baremetalsolution.admin
     - members:
      - serviceAccount:[e-mail]
      role: roles/compute.serviceAgent
     - members:
      - serviceAccount:[e-mail]
      - serviceAccount:[e-mail]
      role: roles/editor
     - members:
      - user:[e-mail]
      role: roles/owner
     etag: ETAG_NUMBER
     version: 1
    

מידע נוסף על IAM זמין במאמר ניהול זהויות והרשאות גישה.