Voraussetzungen für die Verwendung des Richtlinien-Orchestrators

Auf dieser Seite werden die Voraussetzungen für die Verwendung des Policy Orchestrator-Features in VM Manager beschrieben.

Erforderliche Rollen und Berechtigungen zum Erstellen und Verwalten von Richtlinien-Orchestratoren

Da Richtlinien-Orchestratoren Softwarepakete auf VM-Instanzen in Projekten, Ordnern oder einer Organisation installieren und verwalten können, entspricht die Berechtigung zum Erstellen oder Aktualisieren eines Richtlinien-Orchestrators dem Gewähren des Zugriffs auf die Remote-Codeausführung auf den Ziel-VMs. Wenn Sie Richtlinien-Orchestratoren einrichten, wird der Zugriff auf die Ressourcen der Richtlinien-Orchestratoren über IAM-Berechtigungen (Identity and Access Management) gesteuert. Folgen Sie dem Prinzip der geringsten Berechtigung und gewähren Sie jedem Hauptkonto nur den erforderlichen Zugriff.

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Erstellen und Verwalten von Richtlinien-Orchestratoren benötigen:

• Richtlinien-Orchestratoren erstellen, aktualisieren, löschen, ansehen und auflisten: PolicyOrchestrator Admin (roles/osconfig.policyOrchestratorAdmin) für das Projekt, den Ordner oder die Organisation
• Richtlinien-Orchestratoren ansehen und auflisten: PolicyOrchestrator Viewer (roles/osconfig.policyOrchestratorViewer) für das Projekt, den Ordner oder die Organisation
• Kontingentprojekt für Orchestrierungen auf Ordner- und Organisationsebene verwenden: Service Usage-Nutzer (roles/serviceusage.serviceUsageConsumer) für das Kontingentprojekt

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Erstellen und Verwalten von Richtlinien-Orchestratoren erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um Richtlinien-Orchestratoren zu erstellen und zu verwalten:

• Richtlinienorchestratoren erstellen:
  • osconfig.policyOrchestrators.create
  • osconfig.operations.get
• Richtlinien-Orchestratoren aktualisieren:
  • osconfig.policyOrchestrators.update
  • osconfig.operations.get
• Richtlinienorchestratoren löschen:
  • osconfig.policyOrchestrators.delete
  • osconfig.operations.get
• Richtlinienorchestratoren ansehen und auflisten:
  • osconfig.policyOrchestrators.get
  • osconfig.policyOrchestrators.list
  • osconfig.locations.get
  • osconfig.locations.list
  • osconfig.operations.get
• Verwenden Sie ein Kontingentprojekt für Orchestrierungen auf Ordner- und Organisationsebene: serviceusage.services.use

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Voraussetzungen für den Policy Orchestrator mit gcloud CLI-Befehlen einrichten

In diesem Abschnitt werden alle gcloud-Befehle aufgeführt, die Sie ausführen müssen, bevor Sie die Funktion „Policy Orchestrator“ verwenden können.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Ausführen der erforderlichen Befehle für Policy Orchestrator benötigen:

• Kontingentprojekt für Orchestrierungen auf Ordner- und Organisationsebene einrichten und verwenden: Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) für das Kontingentprojekt
• OS Config API und Progressive Rollout API aktivieren: Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin) für das Projekt oder Kontingentprojekt
• OS Config- und Progressive Rollout-Dienst-Agents erstellen: Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin) für das Projekt, den Ordner oder die Organisation
• Gewähren Sie Dienst-Agents Zugriff auf ein Projekt: Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin) für das Projekt
• Gewähren Sie Dienst-Agents Zugriff auf einen Ordner: Ordner-IAM-Administrator (roles/resourcemanager.folderIamAdmin) oder Ordneradministrator (roles/resourcemanager.folderAdmin) für den Ordner
• Gewähren Sie Dienst-Agents Zugriff auf eine Organisation: Organisationsadministrator (roles/resourcemanager.organizationAdmin) für die Organisation

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Ausführen der erforderlichen Befehle für Policy Orchestrator erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um die erforderlichen Befehle für den Policy Orchestrator auszuführen:

• Kontingentprojekt für Orchestrierungen auf Ordner- und Organisationsebene einrichten und verwenden: serviceusage.services.use
• Aktivieren Sie die OS Config API und die Progressive Rollout API: serviceusage.services.enable
• Dienst-Agents erstellen: serviceusage.services.generateServiceIdentity
• Gewähren Sie Dienst-Agents Zugriff auf ein Projekt:
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.projects.setIamPolicy
• Gewähren Sie Dienst-Agents Zugriff auf einen Ordner:
  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.setIamPolicy
• Gewähren Sie Dienst-Agents Zugriff auf eine Organisation:
  • resourcemanager.organizations.getIamPolicy
  • resourcemanager.organizations.setIamPolicy

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Projekt

Mit den folgenden Befehlen werden die Aufgaben ausgeführt, die zum Erstellen von Orchestrierungen auf Projektebene erforderlich sind:

• Aktivieren Sie die OS Config API für das Projekt, in dem Sie den Orchestrator für Betriebssystemrichtlinien erstellen.
• Aktivieren Sie die Progressive Rollout API für das Projekt, in dem Sie den Orchestrator für Betriebssystemrichtlinien erstellen.
• Erforderliche Dienst-Agents erstellen, falls diese noch nicht erstellt wurden.
• Weisen Sie den Dienst-Agents IAM-Rollen zu.

  # Enable OS Config API
  gcloud services enable osconfig.googleapis.com

  # Enable Progressive Rollout API
  gcloud services enable progressiverollout.googleapis.com

  # Create an OS config service agent
  gcloud beta services identity create --service=osconfig.googleapis.com  --project=PROJECT_NUMBER

  # Create a Progressive Rollout service agent
  gcloud beta services identity create --service=progressiverollout.googleapis.com  --project=PROJECT_NUMBER

  # Grant the required role to the OS config rollout service agent
  gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.rolloutServiceAgent"

  # Grant the required role to the OS config service agent
  gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.serviceAgent"

  # Grant the required role to the Progressive Rollout service agent
  gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:[e-mail]" \
  --role="roles/progressiverollout.serviceAgent"

Ersetzen Sie Folgendes:

• PROJECT_ID: die numerische ID des Projekts, in dem Sie den Dienst-Agent erstellen möchten.
• PROJECT_NUMBER: die Projektressourcennummer, die von Google beim Erstellen des Projekts zugewiesen wurde.

Weitere Informationen finden Sie unter Projektressource.

Ordner

Mit den folgenden Befehlen werden die Aufgaben ausgeführt, die zum Erstellen von Orchestrierungen auf Ordnerebene erforderlich sind:

• Kontingentprojekt einrichten
• Aktivieren Sie die OS Config API für das Projekt, in dem Sie den Orchestrator für Betriebssystemrichtlinien erstellen.
• Erforderliche Dienst-Agents erstellen, falls diese noch nicht erstellt wurden.
• Weisen Sie den Dienst-Agents IAM-Rollen zu.

  # Set up the quota project
  gcloud config set billing/quota_project QUOTA_PROJECT_ID

  # Enable OS Config API
  gcloud services enable osconfig.googleapis.com

  # Create an OS config service agent
  gcloud beta services identity create --service=osconfig.googleapis.com  --folder=FOLDER_NUMBER

  # Create a Progressive Rollout service agent
  gcloud beta services identity create --service=progressiverollout.googleapis.com  --folder=FOLDER_NUMBER

  # Grant the required role to the OS config rollout service agent
  gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.rolloutServiceAgent"

  # Grant the required role to the OS config service agent
  gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.serviceAgent"

  # Grant the required role to the Progressive Rollout service agent
  gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/progressiverollout.serviceAgent"
  

Ersetzen Sie Folgendes:

• QUOTA_PROJECT_ID: die Projekt-ID des Kontingentprojekts. Sie können ein beliebiges Projekt mit aktivierter Abrechnung auswählen.
• FOLDER_NUMBER: die numerische ID des Ordners, in dem Sie den Dienst-Agent erstellen möchten.

Organisation

Mit den folgenden Befehlen werden die Aufgaben ausgeführt, die zum Erstellen von Orchestrierungen auf Organisationsebene erforderlich sind:

• Kontingentprojekt einrichten
• Aktivieren Sie die OS Config API für das Projekt, in dem Sie den Orchestrator für Betriebssystemrichtlinien erstellen.
• Erforderliche Dienst-Agents erstellen, falls diese noch nicht erstellt wurden.
• Weisen Sie den Dienst-Agents IAM-Rollen zu.

  # Set up the quota project
  gcloud config set billing/quota_project QUOTA_PROJECT_ID

  # Enable OS Config API
  gcloud services enable osconfig.googleapis.com

  # Create an OS config service agent
  gcloud beta services identity create --service=osconfig.googleapis.com --organization=ORGANIZATION_NUMBER

  # Create a Progressive Rollout service agent
  gcloud beta services identity create --service=progressiverollout.googleapis.com  --organization=ORGANIZATION_NUMBER

  # Grant the required role to the OS config rollout service agent
  gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.rolloutServiceAgent"

  # Grant the required role to the OS config service agent
  gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.serviceAgent"

  # Grant the required role to the Progressive Rollout service agent
  gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/progressiverollout.serviceAgent"

Ersetzen Sie Folgendes:

• QUOTA_PROJECT_ID: die Projekt-ID des Kontingentprojekts. Sie können ein beliebiges Projekt mit aktivierter Abrechnung auswählen.
• ORGANIZATION_NUMBER durch die numerische ID der Organisation, in der Sie den Dienst-Agent erstellen möchten.

Kontingent- oder Abrechnungsprojekt für Organisations- und Ordnerorchestrierungen einrichten

Wenn Sie Richtlinien-Orchestratoren verwenden, um Ressourcen für Betriebssystemrichtlinien in Ihrer Organisation oder Ihren Ordnern zu verwalten, stellen Sie Anfragen an eine clientbasierte API. Für clientbasierte APIs ist ein Kontingentprojekt erforderlich. Weitere Informationen zu clientbasierten APIs und zum Einrichten von Kontingentprojekten finden Sie unter Kontingentprojekte – Übersicht.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) für das Kontingentprojekt zuzuweisen, um die Berechtigung zu erhalten, die Sie für die Verwendung eines Kontingentprojekts für Orchestrierungen auf Organisations- und Ordnerebene benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierte Rolle enthält die Berechtigung serviceusage.services.use, die erforderlich ist, um ein Kontingentprojekt für Orchestrierungen auf Organisations- und Ordnerebene zu verwenden.

Sie können diese Berechtigung auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Wenn Sie die gcloud CLI oder die REST API verwenden, um die Methoden des Richtlinien-Orchestrators aufzurufen, geben Sie das Kontingentprojekt so an:

Hinweis: Als Kontingentprojekt können Sie jedes Projekt verwenden, für das die Abrechnung aktiviert ist.

gcloud

Legen Sie das Kontingentprojekt im Konfigurationsattribut der gcloud CLI fest:

gcloud config set billing/quota_project QUOTA_PROJECT_ID

Ersetzen Sie QUOTA_PROJECT_ID durch die Projekt-ID des Kontingentprojekts.

Alternativ können Sie das Kontingentprojekt für einen bestimmten Befehl mit dem Flag --billing-project festlegen, das Vorrang vor dem Konfigurationsattribut hat.

REST

Fügen Sie den HTTP-Header x-goog-user-project hinzu, um in jeder Anfrage ein Kontingentprojekt anzugeben. Weitere Informationen finden Sie unter Kontingentprojekt mit REST-Anfrage festlegen.

OS Config API aktivieren

Wenn Sie die Richtlinienorchestrator-Funktion in VM Manager verwenden möchten, aktivieren Sie die OS Config API in den folgenden Projekten:

• Aktivieren Sie für Orchestrierungen auf Organisations- und Ordnerebene die OS Config API für das Kontingentprojekt.
• Aktivieren Sie für Orchestrierungen auf Projektebene die OS Config API in dem Projekt, in dem Sie Richtlinien-Orchestratoren erstellen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin) für das Projekt oder Kontingentprojekt zuzuweisen, um die Berechtigung zu erhalten, die Sie zum Aktivieren der OS Config API benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierte Rolle enthält die Berechtigung serviceusage.services.enable, die zum Aktivieren der OS Config API erforderlich ist.

Sie können diese Berechtigung auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Weitere Informationen finden Sie unter OS Config API aktivieren.

Progressive Rollout API für die Projekte aktivieren

Hinweis: Dieser Schritt ist nur für Orchestrierungen auf Projektebene erforderlich.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin) für das Projekt zuzuweisen, um die Berechtigung zu erhalten, die Sie zum Aktivieren der Progressive Rollout API benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierte Rolle enthält die Berechtigung serviceusage.services.enable, die zum Aktivieren der Progressive Rollout API erforderlich ist.

Sie können diese Berechtigung auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Console

1. Wählen Sie in der Google Cloud Console das Google Cloud Projekt aus, für das Sie die API aktivieren möchten, und rufen Sie dann die Seite APIs und Dienste auf:

   Zu APIs & Dienste

2. Klicken Sie auf APIs und Dienste aktivieren.

3. Suchen Sie nach „Progressive Rollout“.

4. Klicken Sie in den Suchergebnissen auf Progressive Rollout API.

5. Wenn die API nicht bereits aktiviert ist, klicken Sie auf Aktivieren.

gcloud

1. Wenn Sie prüfen möchten, ob die Progressive Rollout API aktiviert ist, listen Sie die aktivierten Dienste für Ihr Projekt auf:

    gcloud services list --project=PROJECT_ID
   

   Ersetzen Sie PROJECT_ID durch die ID des Projekts, für das Sie die API aktivieren möchten.

   Wenn progressiverollout.googleapis.com in der Ausgabe angezeigt wird, ist die API aktiviert.

2. Wenn die API nicht aktiviert ist, führen Sie den folgenden Befehl aus, um sie zu aktivieren:

    gcloud services enable progressiverollout.googleapis.com
   

   Weitere Informationen finden Sie unter gcloud services.

OS Config-Dienst-Agents einrichten

Der Richtlinienorchestrator verwendet die OS Config-Dienst-Agents, um Aktionen in Ihren Projekten auszuführen. Sie hängt auch von der Progressive Rollout API ab, die eigene Dienst-Agents hat. Weitere Informationen finden Sie unter Dienst-Agents.

Sie müssen die Dienst-Agents für jedes Projekt, jeden Ordner oder jede Organisation erstellen, in dem bzw. der Sie den Richtlinien-Orchestrator erstellen. Damit der Richtlinien-Orchestrator ordnungsgemäß funktioniert, müssen Sie diesen Dienst-Agents die erforderlichen IAM-Rollen für die übergeordnete Ressource des Orchestrators zuweisen:

• OSConfig-Dienst-Agent (roles/osconfig.serviceAgent) für das @gcp-sa-osconfig.iam.gserviceaccount.com -Konto
• OSConfig Rollout Service Agent (roles/osconfig.rolloutServiceAgent) für das Konto @gcp-sa-osconfig-rollout.iam.gserviceaccount.com
• Progressiverollout Service Agent (roles/progressiverollout.serviceAgent) für das Konto @gcp-sa-progrollout.iam.gserviceaccount.com

Wenn Sie den Dienst-Agents IAM-Rollen zuweisen möchten, verwenden Sie die Google Cloud Console oder den Befehl add-iam-policy-binding. Weitere Informationen finden Sie unter Dem Dienst-Agent eine Rolle zuweisen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt, den Ordner oder die Organisation zuzuweisen, in dem Sie den Policy Orchestrator erstellen, um die Berechtigungen zu erhalten, die Sie zum Erstellen der Dienst-Agents und zum Gewähren des Zugriffs benötigen:

• Dienst-Agents erstellen: Service Usage-Administrator (roles/serviceusage.serviceUsageAdmin)
• Gewähren Sie Dienst-Agents Zugriff auf ein Projekt: Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
• Gewähren Sie Dienst-Agents Zugriff auf einen Ordner: Folder IAM Admin (roles/resourcemanager.folderIamAdmin) oder Ordneradministrator (roles/resourcemanager.folderAdmin)
• Gewähren Sie Dienst-Agents Zugriff auf Projekte, Ordner und Organisationen: Organisationsadministrator (roles/resourcemanager.organizationAdmin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Erstellen der Dienst-Agents und zum Gewähren des Zugriffs erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um die Dienst-Agents zu erstellen und ihnen Zugriff zu gewähren:

• Dienst-Agents erstellen: serviceusage.services.generateServiceIdentity
• Gewähren Sie Dienst-Agents Zugriff auf ein Projekt:
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.projects.setIamPolicy
• Gewähren Sie Dienst-Agents Zugriff auf einen Ordner:
  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.setIamPolicy
• Gewähren Sie Dienst-Agents Zugriff auf eine Organisation:
  • resourcemanager.organizations.getIamPolicy
  • resourcemanager.organizations.setIamPolicy

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

So erstellen Sie die Dienst-Agents:

1. Prüfen Sie das Format der E-Mail-Adresse des Dienst-Agents für jede Ressource:

   Projekt

   • [e-mail]
   • [e-mail]
   • [e-mail]

   Ersetzen Sie PROJECT_NUMBER durch die numerische ID des Projekts, in dem Sie die Richtlinien-Orchestratoren erstellen.

   Ordner

   • [e-mail]
   • [e-mail]
   • [e-mail]

   Ersetzen Sie FOLDER_NUMBER durch die numerische ID des Ordners, in dem Sie die Richtlinien-Orchestratoren erstellen.

   Organisation

   • [e-mail]
   • [e-mail]
   • [e-mail]

   Ersetzen Sie ORGANIZATION_NUMBER durch die numerische ID der Organisation, in der Sie die Richtlinien-Orchestratoren erstellen.

2. Verwenden Sie den Befehl gcloud beta services identity create, um den Dienst-Agent für eine bestimmte API und Ressource zu erstellen:

   Projekt

   # Create an OS config service agent
   gcloud beta services identity create --service=osconfig.googleapis.com  --project=PROJECT_NUMBER
   
   # Create a Progressive Rollout service agent
   gcloud beta services identity create --service=progressiverollout.googleapis.com  --project=PROJECT_NUMBER
   

   Ersetzen Sie PROJECT_NUMBER durch die numerische ID des Projekts, in dem Sie den Dienst-Agent erstellen möchten.

   Ordner

   # Create an OS config service agent
   gcloud beta services identity create --service=osconfig.googleapis.com  --folder=FOLDER_NUMBER
   
   # Create a Progressive Rollout service agent
   gcloud beta services identity create --service=progressiverollout.googleapis.com  --folder=FOLDER_NUMBER
   

   Ersetzen Sie FOLDER_NUMBER durch die numerische ID des Ordners, in dem Sie den Dienst-Agent erstellen möchten.

   Organisation

   # Create an OS config service agent
   gcloud beta services identity create --service=osconfig.googleapis.com --organization=ORGANIZATION_NUMBER
   
   # Create a Progressive Rollout service agent
   gcloud beta services identity create --service=progressiverollout.googleapis.com  --organization=ORGANIZATION_NUMBER
   

   Ersetzen Sie ORGANIZATION_NUMBER durch die numerische ID der Organisation, in der Sie den Dienst-Agent erstellen möchten.

Dienst-Agents IAM-Rollen zuweisen

Nachdem Sie die Dienst-Agents für OS Config und Progressive Rollout erstellt haben, weisen Sie ihnen die erforderlichen IAM-Rollen (roles/osconfig.serviceAgent, roles/osconfig.rolloutServiceAgent und roles/progressiverollout.serviceAgent) für das Projekt, den Ordner oder die Organisation zu, in dem bzw. der Sie den Policy Orchestrator erstellen.

Erforderliche Rollen

Um Berechtigungen zu erhalten, die Sie brauchen, um den Dienst-Agents Zugriff zu gewähren, bitten Sie Ihren Administrator, Ihnen die folgenden IAM-Rollen für das Projekt, den Ordner oder die Organisation zuzuweisen, für den Sie den Zugriff gewähren wollen:

• Gewähren Sie Dienst-Agents Zugriff auf ein Projekt: Projekt-IAM-Administrator (roles/resourcemanager.projectIamAdmin)
• Gewähren Sie Dienst-Agents Zugriff auf einen Ordner: Folder IAM Admin (roles/resourcemanager.folderIamAdmin) oder Ordneradministrator (roles/resourcemanager.folderAdmin)
• Gewähren Sie Dienst-Agents Zugriff auf Projekte, Ordner und Organisationen: Organisationsadministrator (roles/resourcemanager.organizationAdmin)

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierten Rollen enthalten die Berechtigungen, die zum Gewähren des Zugriffs für die Dienst-Agents erforderlich sind. Erweitern Sie den Abschnitt Erforderliche Berechtigungen, um die erforderlichen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um den Dienst-Agents Zugriff zu gewähren:

• Gewähren Sie Dienst-Agents Zugriff auf ein Projekt:
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.projects.setIamPolicy
• Gewähren Sie Dienst-Agents Zugriff auf einen Ordner:
  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.setIamPolicy
• Gewähren Sie Dienst-Agents Zugriff auf eine Organisation:
  • resourcemanager.organizations.getIamPolicy
  • resourcemanager.organizations.setIamPolicy

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Führen Sie den gcloud add-iam-policy-binding-Befehl so aus, um dem Dienst-Agent Rollen zuzuweisen:

Projekt

# Grant the required role to the OS config rollout service agent
 gcloud projects add-iam-policy-binding PROJECT_ID \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.rolloutServiceAgent"

 # Grant the required role to the OS config service agent
 gcloud projects add-iam-policy-binding PROJECT_ID \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.serviceAgent"

 # Grant the required role to the Progressive Rollout service agent
 gcloud projects add-iam-policy-binding PROJECT_ID \
--member="serviceAccount:[e-mail]" \
--role="roles/progressiverollout.serviceAgent"

Ersetzen Sie PROJECT_NUMBER durch die numerische ID des Projekts, dem die IAM-Richtlinienbindung hinzugefügt wird.

Ordner

# Grant the required role to the OS config rollout service agent
gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.rolloutServiceAgent"

# Grant the required role to the OS config service agent
gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.serviceAgent"

# Grant the required role to the Progressive Rollout service agent
gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
--member="serviceAccount:[e-mail]" \
--role="roles/progressiverollout.serviceAgent"

Ersetzen Sie FOLDER_NUMBER durch die numerische ID des Ordners, dem die IAM-Richtlinienbindung hinzugefügt wird.

Organisation

# Grant the required role to the OS config rollout service agent
gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.rolloutServiceAgent"

 # Grant the required role to the OS config service agent
 gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.serviceAgent"

 # Grant the required role to the Progressive Rollout service agent
 gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
--member="serviceAccount:[e-mail]" \
--role="roles/progressiverollout.serviceAgent"

Ersetzen Sie ORGANIZATION_NUMBER durch die numerische ID der Organisation, der die IAM-Richtlinienbindung hinzugefügt wird.

Zugriff für Projekte in VPC Service Controls-Perimetern konfigurieren

Wenn Sie Richtlinien-Orchestratoren auf Organisations- oder Ordnerebene in Projekten verwenden, die durch VPC Service Controls geschützt sind, müssen Sie dem OSConfig-Rollout-Dienst-Agent Zugriff auf den VPC Service Controls-Dienstperimeter gewähren. Wenn Sie diesen Zugriff nicht gewähren, kann der Richtlinienorchestrator keine Zuweisungen von Betriebssystemrichtlinien für diese Projekte erstellen, aktualisieren oder löschen.

Erforderliche Rollen

Bitten Sie Ihren Administrator, Ihnen die IAM-Rolle Access Context Manager-Bearbeiter (roles/accesscontextmanager.policyEditor) für die Organisation zu gewähren, um die Berechtigungen zu erhalten, die Sie zum Konfigurieren von Orchestratoren für Betriebssystemrichtlinien für die Verwendung innerhalb von VPC Service Controls-Perimetern benötigen. Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Diese vordefinierte Rolle enthält die Berechtigungen, die zum Konfigurieren von Orchestratoren für Betriebssystemrichtlinien für die Verwendung innerhalb von VPC Service Controls-Perimetern erforderlich sind. Maximieren Sie den Abschnitt Erforderliche Berechtigungen, um die notwendigen Berechtigungen anzuzeigen:

Erforderliche Berechtigungen

Die folgenden Berechtigungen sind erforderlich, um Orchestratoren für Betriebssystemrichtlinien für die Verwendung innerhalb von VPC Service Controls-Perimetern zu konfigurieren:

• accesscontextmanager.servicePerimeters.get
• accesscontextmanager.servicePerimeters.update

Sie können diese Berechtigungen auch mit benutzerdefinierten Rollen oder anderen vordefinierten Rollen erhalten.

Regeln für eingehenden Traffic erstellen

Damit der Dienst-Agent auf Ressourcen zugreifen kann, die durch VPC Service Controls geschützt sind, fügen Sie dem entsprechenden Dienstperimeter eine Regel für eingehenden Traffic hinzu.

Weitere Informationen zum Erstellen von Regeln für eingehenden Traffic finden Sie unter Richtlinien für eingehenden und ausgehenden Traffic konfigurieren.

Ordner

Console

1. Wechseln Sie in der Google Cloud Console zur Seite VPC Service Controls.

   Zu „VPC Service Controls“

2. Wählen Sie Ihre Organisation aus.
3. Wählen Sie auf der Seite VPC Service Controls die Zugriffsrichtlinie aus, die den Dienstperimeter enthält, den Sie aktualisieren möchten.
4. Klicken Sie auf den Namen des Dienstperimeters, den Sie aktualisieren möchten, und dann auf Bearbeiten.
5. Klicken Sie auf Richtlinie für eingehenden Traffic.
6. Klicken Sie auf Regel für eingehenden Traffic hinzufügen.
7. Geben Sie im Abschnitt Von die Identität für den Dienst-Agent an:
   1. Wählen Sie unter Identitäten > Identität die Option Identitäten und Gruppen auswählen aus.
   2. Klicken Sie auf Identitäten hinzufügen.
   3. Geben Sie die E-Mail-Adresse ein, die den folgenden OSconfig-Roll-out-Dienst-Agent identifiziert:

      [e-mail]

      Ersetzen Sie FOLDER_NUMBER durch die numerische ID des Ordners.

8. Geben Sie im Abschnitt An die zulässigen Vorgänge an:
   1. Wählen Sie unter Ressourcen > Projekte die Option Alle Projekte aus.
   2. Wählen Sie unter Vorgänge oder IAM-Rollen die Option Vorgänge auswählen aus.
   3. Klicken Sie auf Vorgänge hinzufügen und fügen Sie den folgenden Vorgang hinzu:
      1. Fügen Sie den Dienst osconfig.googleapis.com hinzu.
      2. Klicken Sie auf Alle Methoden.
9. Klicken Sie auf Fertig.
10. Klicken Sie auf Speichern.

gcloud

Wenn Sie die Regel für eingehenden Traffic hinzufügen möchten, erstellen Sie eine YAML-Datei, die die Regel für eingehenden Traffic enthält, und verwenden Sie den Befehl gcloud access-context-manager perimeters update mit dem Flag --set-ingress-policies.

1. Erstellen Sie eine YAML-Datei für die Ingress-Richtlinie mit dem Namen ingress_policy.yaml und folgendem Inhalt:

    - ingressFrom:
        identities:
        - serviceAccount:[e-mail]
        sources:
        - accessLevel: '*'
      ingressTo:
        operations:
        - serviceName: osconfig.googleapis.com
          methodSelectors:
          - method: "*"
        resources:
        - "*"
   

   Ersetzen Sie FOLDER_NUMBER durch die numerische ID des Ordners.

2. Fügen Sie die Richtlinie für eingehenden Traffic dem Perimeter hinzu:

   gcloud access-context-manager perimeters update PERIMETER_NAME \
      --set-ingress-policies=ingress_policy.yaml
   

   Ersetzen Sie PERIMETER_NAME durch den Namen Ihres Dienstperimeters. Beispiel: accessPolicies/1234567890/servicePerimeters/example_perimeter.

Organisation

Console

1. Wechseln Sie in der Google Cloud Console zur Seite VPC Service Controls.

   Zu „VPC Service Controls“

2. Wählen Sie Ihre Organisation aus.
3. Wählen Sie auf der Seite VPC Service Controls die Zugriffsrichtlinie aus, die den Dienstperimeter enthält, den Sie aktualisieren möchten.
4. Klicken Sie auf den Namen des Dienstperimeters, den Sie aktualisieren möchten, und dann auf Bearbeiten.
5. Klicken Sie auf Richtlinie für eingehenden Traffic.
6. Klicken Sie auf Regel für eingehenden Traffic hinzufügen.
7. Geben Sie im Abschnitt Von die Identität für den Dienst-Agent an:
   1. Wählen Sie unter Identitäten > Identität die Option Identitäten und Gruppen auswählen aus.
   2. Klicken Sie auf Identitäten hinzufügen.
   3. Geben Sie die E-Mail-Adresse ein, die den folgenden OSconfig-Roll-out-Dienst-Agent identifiziert:

      [e-mail]

      Ersetzen Sie ORGANIZATION_NUMBER durch die numerische ID der Organisation.

8. Geben Sie im Abschnitt An die zulässigen Vorgänge an:
   1. Wählen Sie unter Ressourcen > Projekte die Option Alle Projekte aus.
   2. Wählen Sie unter Vorgänge oder IAM-Rollen die Option Vorgänge auswählen aus.
   3. Klicken Sie auf Vorgänge hinzufügen und fügen Sie den folgenden Vorgang hinzu:
      1. Fügen Sie den Dienst osconfig.googleapis.com hinzu.
      2. Klicken Sie auf Alle Methoden.
9. Klicken Sie auf Fertig.
10. Klicken Sie auf Speichern.

gcloud

Wenn Sie die Regel für eingehenden Traffic hinzufügen möchten, erstellen Sie eine YAML-Datei, die die Regel für eingehenden Traffic enthält, und verwenden Sie den Befehl gcloud access-context-manager perimeters update mit dem Flag --set-ingress-policies.

1. Erstellen Sie eine YAML-Datei für die Richtlinie für eingehenden Traffic mit dem Namen ingress_policy.yaml und folgendem Inhalt:

    - ingressFrom:
        identities:
        - serviceAccount:[e-mail]
        sources:
        - accessLevel: '*'
      ingressTo:
        operations:
        - serviceName: osconfig.googleapis.com
          methodSelectors:
          - method: "*"
        resources:
        - "*"
   

   Ersetzen Sie ORGANIZATION_NUMBER durch die numerische ID der Organisation.

2. Fügen Sie die Richtlinie für eingehenden Traffic dem Perimeter hinzu:

   gcloud access-context-manager perimeters update PERIMETER_NAME \
     --set-ingress-policies=ingress_policy.yaml
   

   Ersetzen Sie PERIMETER_NAME durch den Namen Ihres Dienstperimeters. Beispiel: accessPolicies/1234567890/servicePerimeters/example_perimeter.

Nächste Schritte

• Zuweisungen von Betriebssystemrichtlinien mit dem Richtlinienorchestrator verwalten
• Richtlinien-Orchestratoren ansehen und bearbeiten