OS Login

Auf dieser Seite werden der OS Login-Dienst und seine Funktionsweise beschrieben. Informationen zum Einrichten von OS Login finden Sie unter OS Login einrichten.

Mit OS Login können Sie den SSH-Zugriff auf Ihre Instanzen mithilfe von IAM verwalten, ohne einzelne SSH-Schlüssel erstellen und verwalten zu müssen. OS Login verwendet Compute Engine-instanzübergreifend eine konsistente Linux-Nutzeridentität und wird empfohlen, wenn es darum geht, viele Nutzer über mehrere Compute-Instanzen oder Projekte hinweg zu verwalten.

Vorteile von OS Login

OS Login vereinfacht die Verwaltung des SSH-Zugriffs, weil Ihr Linux-Nutzerkonto mit Ihrer Google-Identität verknüpft wird. Administratoren können den Zugriff auf Instanzen auf Instanz- oder Projektebene einfach dadurch verwalten, dass sie IAM-Berechtigungen festlegen.

OS Login bietet folgende Vorteile:

  • Automatisches Lebenszyklusmanagement für Linux-Konten: Sie können ein Linux-Nutzerkonto direkt an die Google-Identität eines Nutzers binden. Dadurch werden für alle Instanzen in demselben Projekt oder in derselben Organisation die gleichen Linux-Kontodaten verwendet.

  • Feingranulare Autorisierung mit Google IAM: Administratoren auf Projekt- und Instanzebene können mit IAM einem Nutzer mit seiner Google-Identität SSH-Zugriff gewähren, ohne ihm umfassendere Berechtigungen zu erteilen. Sie können einem Nutzer beispielsweise die Berechtigung erteilen, sich im System anzumelden, aber nicht die Möglichkeit, Befehle wie sudo auszuführen. Google prüft diese Berechtigungen, um festzustellen, ob sich ein Nutzer in einer Compute-Instanz anmelden kann.

  • Automatische Aktualisierungen von Berechtigungen: Bei OS Login werden Berechtigungen automatisch aktualisiert, wenn ein Administrator die IAM-Berechtigungen ändert. Wenn Sie beispielsweise IAM-Berechtigungen für eine Google-Identität entfernen, wird der Zugriff auf Compute-Instanzen widerrufen. Google überprüft Berechtigungen bei jedem Anmeldeversuch, um unerwünschten Zugriff zu verhindern.

  • Importmöglichkeit für vorhandene Linux-Konten: Administratoren können optional Linux-Kontodaten aus Active Directory (AD) und LDAP (Lightweight Directory Access Protocol), die lokal eingerichtet sind, synchronisieren. So können Sie beispielsweise dafür sorgen, dass Nutzer sowohl in Ihrer Cloud als auch in lokalen Umgebungen dieselbe Nutzer-ID (UID) haben.

  • Integration mit Bestätigung in zwei Schritten des Google-Kontos: Sie können optional festlegen, dass OS Login-Nutzer ihre Identität mithilfe der 2‑Faktor-Authentifizierung (2FA) bestätigen, wenn sie eine Verbindung zu Compute-Instanzen herstellen. OS Login unterstützt die folgenden Arten von Bestätigungen: Google Authenticator, Bestätigung per SMS oder Anruf, Aufforderungen auf dem Smartphone und Einmalpasswort (OTP) mit Sicherheitsschlüssel.

  • Unterstützung der zertifikatbasierten Authentifizierung: Sie können die SSH-Zertifikatauthentifizierung verwenden, um eine Verbindung zu Compute-Instanzen herzustellen, die OS Login verwenden. Weitere Informationen finden Sie unter SSH-Zertifikate für OS Login erforderlich machen.

  • Integration mit Audit-Logging: OS Login bietet Audit-Logging, mit dem Sie Verbindungen zu Compute-Instanzen für OS Login-Nutzer überwachen können.

OS Login-IAM-Rollen

OS Login verwendet IAM, um den Anmeldezugriff zu autorisieren. Sie können OS Login-IAM-Rollen auf Instanz-, Ordner- oder Organisationsebene zuweisen. OS Login bietet die folgenden vordefinierten Rollen:

  • roles/compute.osLogin: Gewährt Anmeldezugriff ohne sudo-Zugriff auf Compute-Instanzen.
  • roles/compute.osAdminLogin: Gewährt den Log-in-Zugriff mit sudo-Zugriff auf Compute-Instanzen.

Eine Anleitung zum Zuweisen von OS Login-IAM-Rollen finden Sie unter OS Login-IAM-Rollen zuweisen.

So funktioniert OS Login

Wenn OS Login aktiviert ist, führt Compute Engine Konfigurationen auf Compute-Instanzen und den Google-Konten von OS Login-Nutzern aus.

Compute-Instanzkonfiguration

Wenn Sie OS Login aktivieren, ruft die Compute-Instanz die dem Linux-Nutzerkonto zugeordneten SSH-Schlüssel vom OS Login-Dienst ab, um einen Anmeldeversuch zu authentifizieren.

Sie können eine authorized_keys-Datei konfigurieren, um Zugriff für ein lokales Nutzerkonto bereitzustellen, auch wenn OS Login aktiviert ist. Öffentliche SSH-Schlüssel, die in der Datei authorized_keys konfiguriert sind, werden verwendet, um Nutzeranmeldungsversuche vom lokalen Nutzer zu authentifizieren. Lokale Nutzerkonten und OS Login-Nutzer müssen unterschiedliche Nutzernamen und UIDs haben.

Weitere Informationen zu den OS Login-Komponenten finden Sie auf der GitHub-Seite für OS Login.

Nutzerkontokonfiguration

OS Login konfiguriert Ihr Google-Konto mit POSIX-Informationen, einschließlich eines Nutzernamens, wenn eine der folgenden Aktionen ausgeführt wird:

  • Verbindung zu einer Compute-Instanz mit aktiviertem OS Login über die Google Cloud Console herstellen
  • Verbindung zu einer Compute-Instanz mit OS Login über die gcloud CLI herstellen
  • Öffentlichen SSH-Schlüssel mithilfe der gcloud CL importieren
  • Öffentlichen SSH-Schlüssel mit der OS Login API importieren

OS Login konfiguriert POSIX-Konten mit folgenden Werten:

  • Nutzername: Ein Nutzername im Format USERNAME_DOMAIN_SUFFIX. Wenn der Nutzer aus einer anderen Google Workspace-Organisation stammt als der, die seine OS Login-fähigen Compute-Instanzen hostet, wird seinem Nutzernamen das Präfix ext_ vorangestellt. Wenn der Nutzer ein Dienstkonto ist, wird seinem Nutzernamen das Präfix sa_ vorangestellt. Der Nutzername darf nicht länger als 32 Zeichen sein. Nutzernamen mit mehr als 32 Zeichen werden abgeschnitten.

    Cloud Identity-Administratoren können Nutzernamen ändern und Google Workspace-Super Admins können das Format der Nutzernamen ändern, um das Domainsuffix zu entfernen.

  • UID:eine eindeutige, zufällig generierte POSIX-konforme Nutzer-ID.

  • GID: Eine POSIX-konforme Gruppen-ID, die der UID entspricht.

  • Basisverzeichnis: Der Pfad zum Basisverzeichnis des Nutzers.

Organisationsadministratoren können die POSIX-Kontoinformationen eines Nutzers konfigurieren und aktualisieren. Weitere Informationen finden Sie unter Nutzerkonten mithilfe der Directory API bearbeiten.

Beschränkungen

OS Login wird nicht für alle Compute-Instanzkonfigurationen unterstützt. Weitere Informationen finden Sie unter Einschränkungen von OS Login.

Nächste Schritte