Prasyarat untuk menggunakan orchestrator kebijakan

Halaman ini menjelaskan prasyarat untuk menggunakan fitur orchestrator kebijakan di VM Manager.

Peran dan izin yang diperlukan untuk membuat dan mengelola orchestrator kebijakan

Karena orchestrator kebijakan dapat menginstal dan mengelola paket software di instance virtual machine (VM) di seluruh project, folder, atau organisasi, memberikan izin untuk membuat atau mengupdate orchestrator kebijakan sama dengan memberikan akses eksekusi kode jarak jauh pada VM yang ditargetkan. Saat Anda menyiapkan orchestrator kebijakan, izin Identity and Access Management (IAM) mengontrol akses ke resource orchestrator kebijakan. Ikuti prinsip hak istimewa terendah dan berikan hanya akses yang diperlukan ke setiap akun utama.

Untuk mendapatkan izin yang Anda perlukan untuk membuat dan mengelola orchestrator kebijakan, minta administrator untuk memberi Anda peran IAM berikut:

• Membuat, memperbarui, menghapus, melihat, dan mencantumkan orchestrator kebijakan: PolicyOrchestrator Admin (roles/osconfig.policyOrchestratorAdmin) di project, folder, atau organisasi
• Melihat dan mencantumkan orchestrator kebijakan: PolicyOrchestrator Viewer (roles/osconfig.policyOrchestratorViewer) di project, folder, atau organisasi
• Gunakan project kuota untuk orkestrasi tingkat folder dan tingkat organisasi: Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) pada project kuota

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk membuat dan mengelola orchestrator kebijakan. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk membuat dan mengelola orchestrator kebijakan:

• Membuat orchestrator kebijakan:
  • osconfig.policyOrchestrators.create
  • osconfig.operations.get
• Perbarui orchestrator kebijakan:
  • osconfig.policyOrchestrators.update
  • osconfig.operations.get
• Hapus orchestrator kebijakan:
  • osconfig.policyOrchestrators.delete
  • osconfig.operations.get
• Melihat dan mencantumkan orchestrator kebijakan:
  • osconfig.policyOrchestrators.get
  • osconfig.policyOrchestrators.list
  • osconfig.locations.get
  • osconfig.locations.list
  • osconfig.operations.get
• Gunakan project kuota untuk orkestrasi tingkat folder dan organisasi: serviceusage.services.use

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Menyiapkan prasyarat orchestrator kebijakan menggunakan perintah gcloud CLI

Bagian ini mencantumkan semua perintah gcloud yang perlu Anda jalankan sebelum dapat menggunakan fitur orchestrator kebijakan.

Peran yang diperlukan

Untuk mendapatkan izin yang Anda perlukan guna menjalankan perintah prasyarat untuk orchestrator kebijakan, minta administrator untuk memberi Anda peran IAM berikut:

• Menyiapkan dan menggunakan project kuota untuk orkestrasi tingkat folder dan tingkat organisasi: Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) di project kuota
• Mengaktifkan OS Config API dan Progressive Rollout API: Service Usage Admin (roles/serviceusage.serviceUsageAdmin) di project atau project kuota
• Membuat agen layanan OS Config dan Progressive Rollout: Service Usage Admin (roles/serviceusage.serviceUsageAdmin) pada project, folder, atau organisasi
• Memberikan agen layanan akses ke project: Project IAM Admin (roles/resourcemanager.projectIamAdmin) pada project
• Memberikan agen layanan akses ke folder: Folder IAM Admin (roles/resourcemanager.folderIamAdmin) atau Folder Admin (roles/resourcemanager.folderAdmin) pada folder
• Memberikan agen layanan akses ke organisasi: Organization Admin (roles/resourcemanager.organizationAdmin) pada organisasi

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran yang telah ditetapkan ini berisi izin yang diperlukan untuk menjalankan perintah prasyarat untuk orchestrator kebijakan. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk menjalankan perintah prasyarat bagi orchestrator kebijakan:

• Siapkan dan gunakan project kuota untuk orkestrasi tingkat folder dan tingkat organisasi: serviceusage.services.use
• Aktifkan OS Config API dan Progressive Rollout API: serviceusage.services.enable
• Membuat agen layanan: serviceusage.services.generateServiceIdentity
• Memberikan agen layanan akses ke project:
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.projects.setIamPolicy
• Memberikan agen layanan akses ke folder:
  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.setIamPolicy
• Memberikan agen layanan akses ke organisasi:
  • resourcemanager.organizations.getIamPolicy
  • resourcemanager.organizations.setIamPolicy

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Project

Perintah berikut menjalankan tugas yang diperlukan untuk membuat orkestrasi level project:

• Aktifkan OS Config API untuk project tempat Anda membuat orchestrator kebijakan OS.
• Aktifkan Progressive Rollout API untuk project tempat Anda membuat orchestrator kebijakan OS.
• Buat agen layanan yang diperlukan, jika belum dibuat.
• Memberikan peran IAM ke agen layanan.

  # Enable OS Config API
  gcloud services enable osconfig.googleapis.com

  # Enable Progressive Rollout API
  gcloud services enable progressiverollout.googleapis.com

  # Create an OS config service agent
  gcloud beta services identity create --service=osconfig.googleapis.com  --project=PROJECT_NUMBER

  # Create a Progressive Rollout service agent
  gcloud beta services identity create --service=progressiverollout.googleapis.com  --project=PROJECT_NUMBER

  # Grant the required role to the OS config rollout service agent
  gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.rolloutServiceAgent"

  # Grant the required role to the OS config service agent
  gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.serviceAgent"

  # Grant the required role to the Progressive Rollout service agent
  gcloud projects add-iam-policy-binding PROJECT_ID \
  --member="serviceAccount:[e-mail]" \
  --role="roles/progressiverollout.serviceAgent"

Ganti kode berikut:

• PROJECT_ID: ID numerik project tempat Anda ingin membuat agen layanan.
• PROJECT_NUMBER: nomor resource project yang ditetapkan oleh Google saat Anda membuat project.

Untuk mengetahui informasi selengkapnya, lihat Resource project.

Folder

Perintah berikut menjalankan tugas yang diperlukan untuk membuat orkestrasi level folder:

• Menyiapkan project kuota.
• Aktifkan OS Config API untuk project tempat Anda membuat orchestrator kebijakan OS.
• Buat agen layanan yang diperlukan, jika belum dibuat.
• Memberikan peran IAM ke agen layanan.

  # Set up the quota project
  gcloud config set billing/quota_project QUOTA_PROJECT_ID

  # Enable OS Config API
  gcloud services enable osconfig.googleapis.com

  # Create an OS config service agent
  gcloud beta services identity create --service=osconfig.googleapis.com  --folder=FOLDER_NUMBER

  # Create a Progressive Rollout service agent
  gcloud beta services identity create --service=progressiverollout.googleapis.com  --folder=FOLDER_NUMBER

  # Grant the required role to the OS config rollout service agent
  gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.rolloutServiceAgent"

  # Grant the required role to the OS config service agent
  gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.serviceAgent"

  # Grant the required role to the Progressive Rollout service agent
  gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/progressiverollout.serviceAgent"
  

Ganti kode berikut:

• QUOTA_PROJECT_ID: project ID dari project kuota. Anda dapat memilih project apa pun yang mengaktifkan penagihan.
• FOLDER_NUMBER: ID numerik folder tempat Anda ingin membuat agen layanan.

Organisasi

Perintah berikut menjalankan tugas yang diperlukan untuk membuat orkestrasi tingkat organisasi:

• Menyiapkan project kuota.
• Aktifkan OS Config API untuk project tempat Anda membuat orchestrator kebijakan OS.
• Buat agen layanan yang diperlukan, jika belum dibuat.
• Memberikan peran IAM ke agen layanan.

  # Set up the quota project
  gcloud config set billing/quota_project QUOTA_PROJECT_ID

  # Enable OS Config API
  gcloud services enable osconfig.googleapis.com

  # Create an OS config service agent
  gcloud beta services identity create --service=osconfig.googleapis.com --organization=ORGANIZATION_NUMBER

  # Create a Progressive Rollout service agent
  gcloud beta services identity create --service=progressiverollout.googleapis.com  --organization=ORGANIZATION_NUMBER

  # Grant the required role to the OS config rollout service agent
  gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.rolloutServiceAgent"

  # Grant the required role to the OS config service agent
  gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/osconfig.serviceAgent"

  # Grant the required role to the Progressive Rollout service agent
  gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
  --member="serviceAccount:[e-mail]" \
  --role="roles/progressiverollout.serviceAgent"

Ganti kode berikut:

• QUOTA_PROJECT_ID: project ID dari project kuota. Anda dapat memilih project apa pun yang mengaktifkan penagihan.
• ORGANIZATION_NUMBER dengan ID numerik organisasi tempat Anda ingin membuat agen layanan.

Menyiapkan project kuota atau penagihan untuk orkestrasi organisasi dan folder

Saat menggunakan orchestrator kebijakan untuk mengelola resource kebijakan OS di organisasi atau folder, Anda membuat permintaan ke API berbasis klien. Project kuota diperlukan untuk API berbasis klien. Untuk mengetahui informasi selengkapnya tentang API berbasis klien dan menyiapkan project kuota, lihat Ringkasan project kuota.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan guna menggunakan project kuota untuk orkestrasi tingkat organisasi dan tingkat folder, minta administrator untuk memberi Anda peran IAM Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) di project kuota. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran yang telah ditetapkan ini berisi izin serviceusage.services.use, yang diperlukan untuk menggunakan project kuota untuk orkestrasi tingkat organisasi dan tingkat folder.

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Saat Anda menggunakan gcloud CLI atau REST API untuk memanggil metode orchestrator kebijakan, tentukan project kuota sebagai berikut:

Catatan: Untuk project kuota, Anda dapat menggunakan project apa pun yang penagihannya diaktifkan.

gcloud

Tetapkan project kuota di properti konfigurasi gcloud CLI:

gcloud config set billing/quota_project QUOTA_PROJECT_ID

Ganti QUOTA_PROJECT_ID dengan project ID project kuota.

Atau, tetapkan project kuota untuk perintah tertentu menggunakan flag --billing-project, yang lebih diutamakan daripada properti konfigurasi.

REST

Tambahkan header HTTP x-goog-user-project untuk menentukan project kuota di setiap permintaan. Untuk mengetahui detailnya, lihat Menetapkan project kuota dengan permintaan REST.

Mengaktifkan OS Config API

Untuk menggunakan fitur orchestrator kebijakan di VM Manager, aktifkan OS Config API di project berikut:

• Untuk orkestrasi level organisasi dan level folder, aktifkan OS Config API untuk project kuota.
• Untuk orkestrasi level project, aktifkan OS Config API di project tempat Anda membuat orchestrator kebijakan.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan guna mengaktifkan OS Config API, minta administrator untuk memberi Anda peran IAM Service Usage Admin (roles/serviceusage.serviceUsageAdmin) di project atau project kuota. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin serviceusage.services.enable, yang diperlukan untuk mengaktifkan OS Config API.

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Untuk mengetahui informasi selengkapnya, lihat Mengaktifkan OS Config API.

Mengaktifkan Progressive Rollout API untuk project

Catatan: Langkah ini hanya diperlukan untuk orkestrasi level project.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan guna mengaktifkan Progressive Rollout API, minta administrator untuk memberi Anda peran IAM Service Usage Admin (roles/serviceusage.serviceUsageAdmin) di project. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin serviceusage.services.enable, yang diperlukan untuk mengaktifkan Progressive Rollout API.

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Konsol

1. Di konsol Google Cloud , pilih project Google Cloud yang ingin Anda aktifkan API-nya, lalu buka halaman APIs & Services:

   Buka APIs & Services

2. Klik Enable APIs and Services.

3. Telusuri "Progressive Rollout".

4. Di hasil penelusuran, klik Progressive Rollout API.

5. Jika API belum diaktifkan, klik Enable.

gcloud

1. Untuk melihat apakah Progressive Rollout API diaktifkan, cantumkan layanan yang diaktifkan untuk project Anda:

    gcloud services list --project=PROJECT_ID
   

   Ganti PROJECT_ID dengan ID project yang ingin Anda aktifkan API-nya.

   Jika progressiverollout.googleapis.com muncul di output, berarti API telah diaktifkan.

2. Jika API belum diaktifkan, jalankan perintah berikut untuk mengaktifkannya:

    gcloud services enable progressiverollout.googleapis.com
   

   Untuk informasi selengkapnya, lihat gcloud services.

Menyiapkan agen layanan OS Config

Orchestrator kebijakan menggunakan agen layanan OS Config untuk melakukan tindakan dalam project Anda. Hal ini juga bergantung pada Progressive Rollout API, yang memiliki agen layanannya sendiri. Untuk mengetahui informasi selengkapnya, lihat Agen layanan.

Anda harus membuat agen layanan untuk setiap project, folder, atau organisasi tempat Anda membuat orchestrator kebijakan. Agar orchestrator kebijakan berfungsi dengan baik, berikan peran IAM yang diperlukan kepada agen layanan ini di resource induk orchestrator:

• Agen Layanan OSConfig (roles/osconfig.serviceAgent) untuk akun @gcp-sa-osconfig.iam.gserviceaccount.com
• Agen Layanan Peluncuran OSConfig (roles/osconfig.rolloutServiceAgent) untuk akun @gcp-sa-osconfig-rollout.iam.gserviceaccount.com
• Agen Layanan Progressiverollout (roles/progressiverollout.serviceAgent) untuk akun @gcp-sa-progrollout.iam.gserviceaccount.com

Untuk memberikan peran IAM kepada agen layanan, gunakan konsol Google Cloud atau perintah add-iam-policy-binding. Untuk mengetahui informasi selengkapnya, lihat Memberikan peran kepada agen layanan.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan untuk membuat agen layanan dan memberinya akses, minta administrator untuk memberi Anda peran IAM berikut pada project, folder, atau organisasi tempat Anda membuat orchestrator kebijakan:

• Membuat agen layanan: Service Usage Admin (roles/serviceusage.serviceUsageAdmin)
• Memberikan agen layanan akses ke project: Project IAM Admin (roles/resourcemanager.projectIamAdmin)
• Memberikan agen layanan akses ke folder: Folder IAM Admin (roles/resourcemanager.folderIamAdmin) atau Folder Admin (roles/resourcemanager.folderAdmin)
• Memberikan agen layanan akses ke project, folder, dan organisasi: Organization Admin (roles/resourcemanager.organizationAdmin)

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk membuat agen layanan dan memberinya akses. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk membuat agen layanan dan memberinya akses:

• Membuat agen layanan: serviceusage.services.generateServiceIdentity
• Memberikan agen layanan akses ke project:
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.projects.setIamPolicy
• Memberikan agen layanan akses ke folder:
  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.setIamPolicy
• Memberikan agen layanan akses ke organisasi:
  • resourcemanager.organizations.getIamPolicy
  • resourcemanager.organizations.setIamPolicy

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Untuk membuat agen layanan, lakukan hal berikut.

1. Tinjau format alamat email agen layanan untuk setiap resource:

   Project

   • [e-mail]
   • [e-mail]
   • [e-mail]

   Ganti PROJECT_NUMBER dengan ID numerik project tempat Anda membuat orchestrator kebijakan.

   Folder

   • [e-mail]
   • [e-mail]
   • [e-mail]

   Ganti FOLDER_NUMBER dengan ID numerik folder tempat Anda membuat orchestrator kebijakan.

   Organisasi

   • [e-mail]
   • [e-mail]
   • [e-mail]

   Ganti ORGANIZATION_NUMBER dengan ID numerik organisasi tempat Anda membuat orchestrator kebijakan.

2. Untuk membuat agen layanan bagi API dan resource yang ditentukan, gunakan perintah gcloud beta services identity create:

   Project

   # Create an OS config service agent
   gcloud beta services identity create --service=osconfig.googleapis.com  --project=PROJECT_NUMBER
   
   # Create a Progressive Rollout service agent
   gcloud beta services identity create --service=progressiverollout.googleapis.com  --project=PROJECT_NUMBER
   

   Ganti PROJECT_NUMBER dengan ID numerik project tempat Anda ingin membuat agen layanan.

   Folder

   # Create an OS config service agent
   gcloud beta services identity create --service=osconfig.googleapis.com  --folder=FOLDER_NUMBER
   
   # Create a Progressive Rollout service agent
   gcloud beta services identity create --service=progressiverollout.googleapis.com  --folder=FOLDER_NUMBER
   

   Ganti FOLDER_NUMBER dengan ID numerik folder tempat Anda ingin membuat agen layanan.

   Organisasi

   # Create an OS config service agent
   gcloud beta services identity create --service=osconfig.googleapis.com --organization=ORGANIZATION_NUMBER
   
   # Create a Progressive Rollout service agent
   gcloud beta services identity create --service=progressiverollout.googleapis.com  --organization=ORGANIZATION_NUMBER
   

   Ganti ORGANIZATION_NUMBER dengan ID numerik organisasi tempat Anda ingin membuat agen layanan.

Memberikan peran IAM ke agen layanan

Setelah Anda membuat agen layanan OS Config dan Progressive Rollout, berikan peran IAM yang diperlukan (roles/osconfig.serviceAgent, roles/osconfig.rolloutServiceAgent, dan roles/progressiverollout.serviceAgent) pada project, folder, atau organisasi tempat Anda membuat orchestrator kebijakan.

Peran yang diperlukan

Untuk mendapatkan izin yang diperlukan saat memberikan akses kepada agen layanan, minta administrator untuk memberi Anda peran IAM berikut pada project, folder, atau organisasi yang Anda berikan akses:

• Memberikan agen layanan akses ke project: Project IAM Admin (roles/resourcemanager.projectIamAdmin)
• Memberikan agen layanan akses ke folder: Folder IAM Admin (roles/resourcemanager.folderIamAdmin) atau Folder Admin (roles/resourcemanager.folderAdmin)
• Memberikan agen layanan akses ke project, folder, dan organisasi: Organization Admin (roles/resourcemanager.organizationAdmin)

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk memberikan akses kepada agen layanan. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk memberikan akses kepada agen layanan:

• Memberikan agen layanan akses ke project:
  • resourcemanager.projects.getIamPolicy
  • resourcemanager.projects.setIamPolicy
• Memberikan agen layanan akses ke folder:
  • resourcemanager.folders.getIamPolicy
  • resourcemanager.folders.setIamPolicy
• Memberikan agen layanan akses ke organisasi:
  • resourcemanager.organizations.getIamPolicy
  • resourcemanager.organizations.setIamPolicy

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Untuk memberikan peran agen layanan, jalankan gcloud add-iam-policy-binding sebagai berikut:

Project

# Grant the required role to the OS config rollout service agent
 gcloud projects add-iam-policy-binding PROJECT_ID \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.rolloutServiceAgent"

 # Grant the required role to the OS config service agent
 gcloud projects add-iam-policy-binding PROJECT_ID \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.serviceAgent"

 # Grant the required role to the Progressive Rollout service agent
 gcloud projects add-iam-policy-binding PROJECT_ID \
--member="serviceAccount:[e-mail]" \
--role="roles/progressiverollout.serviceAgent"

Ganti PROJECT_NUMBER dengan ID numerik project tempat binding kebijakan IAM ditambahkan.

Folder

# Grant the required role to the OS config rollout service agent
gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.rolloutServiceAgent"

# Grant the required role to the OS config service agent
gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.serviceAgent"

# Grant the required role to the Progressive Rollout service agent
gcloud resource-manager folders add-iam-policy-binding FOLDER_NUMBER \
--member="serviceAccount:[e-mail]" \
--role="roles/progressiverollout.serviceAgent"

Ganti FOLDER_NUMBER dengan ID numerik folder tempat binding kebijakan IAM ditambahkan.

Organisasi

# Grant the required role to the OS config rollout service agent
gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.rolloutServiceAgent"

 # Grant the required role to the OS config service agent
 gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
 --member="serviceAccount:[e-mail]" \
 --role="roles/osconfig.serviceAgent"

 # Grant the required role to the Progressive Rollout service agent
 gcloud organizations add-iam-policy-binding ORGANIZATION_NUMBER \
--member="serviceAccount:[e-mail]" \
--role="roles/progressiverollout.serviceAgent"

Ganti ORGANIZATION_NUMBER dengan ID numerik organisasi tempat binding kebijakan IAM ditambahkan.

Mengonfigurasi akses untuk project di perimeter Kontrol Layanan VPC

Jika Anda menggunakan orchestrator kebijakan level organisasi atau level folder dalam project yang dilindungi oleh Kontrol Layanan VPC, Anda harus memberi agen layanan OSConfig Rollout akses ke perimeter layanan Kontrol Layanan VPC. Jika Anda tidak memberikan akses ini, orchestrator kebijakan akan gagal membuat, mengupdate, atau menghapus penetapan kebijakan OS untuk project ini.

Peran yang diperlukan

Untuk mendapatkan izin yang Anda perlukan guna mengonfigurasi OS policy orchestrator untuk digunakan dalam perimeter Kontrol Layanan VPC, minta administrator untuk memberi Anda peran IAM Access Context Manager Editor (roles/accesscontextmanager.policyEditor) di organisasi. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk mengonfigurasi orchestrator kebijakan OS untuk digunakan dalam perimeter Kontrol Layanan VPC. Untuk melihat izin yang benar-benar diperlukan, perluas bagian Izin yang diperlukan:

Izin yang diperlukan

Izin berikut diperlukan untuk mengonfigurasi orchestrator kebijakan OS agar dapat digunakan dalam perimeter Kontrol Layanan VPC:

• accesscontextmanager.servicePerimeters.get
• accesscontextmanager.servicePerimeters.update

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Membuat aturan ingress

Agar agen layanan dapat mengakses resource yang dilindungi oleh Kontrol Layanan VPC, tambahkan aturan ingress ke perimeter layanan yang relevan.

Untuk mengetahui informasi selengkapnya tentang cara membuat aturan ingress, lihat Mengonfigurasi kebijakan ingress dan egress.

Folder

Konsol

1. Di konsol Google Cloud , buka halaman Kontrol Layanan VPC.

   Buka Kontrol Layanan VPC

2. Pilih organisasi Anda.
3. Di halaman Kontrol Layanan VPC, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda perbarui.
4. Klik nama perimeter layanan yang ingin Anda perbarui, lalu klik Edit.
5. Klik Ingress policy.
6. Klik Add an ingress rule.
7. Di bagian From, tentukan identitas untuk agen layanan:
   1. Untuk Identities > Identity, pilih Select identities & groups.
   2. Klik Add identities.
   3. Masukkan alamat email yang mengidentifikasi agen layanan peluncuran OSconfig berikut:

      [e-mail]

      Ganti FOLDER_NUMBER dengan ID numerik folder.

8. Di bagian To, tentukan operasi yang diizinkan:
   1. Untuk Resources > Projects, pilih All projects.
   2. Untuk Operations or IAM roles, pilih Select operations.
   3. Klik Add operations, lalu tambahkan operasi berikut:
      1. Tambahkan layanan osconfig.googleapis.com.
      2. Klik Semua metode.
9. Klik Done.
10. Klik Save.

gcloud

Untuk menambahkan aturan ingress, buat file YAML yang berisi aturan ingress dan gunakan perintah gcloud access-context-manager perimeters update dengan flag --set-ingress-policies.

1. Buat file YAML kebijakan ingress bernama ingress_policy.yaml dengan konten berikut:

    - ingressFrom:
        identities:
        - serviceAccount:[e-mail]
        sources:
        - accessLevel: '*'
      ingressTo:
        operations:
        - serviceName: osconfig.googleapis.com
          methodSelectors:
          - method: "*"
        resources:
        - "*"
   

   Ganti FOLDER_NUMBER dengan ID numerik folder.

2. Tambahkan kebijakan ingress ke perimeter:

   gcloud access-context-manager perimeters update PERIMETER_NAME \
      --set-ingress-policies=ingress_policy.yaml
   

   Ganti PERIMETER_NAME dengan nama perimeter layanan Anda. Contoh, accessPolicies/1234567890/servicePerimeters/example_perimeter.

Organisasi

Konsol

1. Di konsol Google Cloud , buka halaman Kontrol Layanan VPC.

   Buka Kontrol Layanan VPC

2. Pilih organisasi Anda.
3. Di halaman Kontrol Layanan VPC, pilih kebijakan akses yang berisi perimeter layanan yang ingin Anda perbarui.
4. Klik nama perimeter layanan yang ingin Anda perbarui, lalu klik Edit.
5. Klik Ingress policy.
6. Klik Add an ingress rule.
7. Di bagian From, tentukan identitas untuk agen layanan:
   1. Untuk Identities > Identity, pilih Select identities & groups.
   2. Klik Add identities.
   3. Masukkan alamat email yang mengidentifikasi agen layanan peluncuran OSconfig berikut:

      [e-mail]

      Ganti ORGANIZATION_NUMBER dengan ID numerik organisasi.

8. Di bagian To, tentukan operasi yang diizinkan:
   1. Untuk Resources > Projects, pilih All projects.
   2. Untuk Operations or IAM roles, pilih Select operations.
   3. Klik Add operations, lalu tambahkan operasi berikut:
      1. Tambahkan layanan osconfig.googleapis.com.
      2. Klik Semua metode.
9. Klik Done.
10. Klik Save.

gcloud

Untuk menambahkan aturan ingress, buat file YAML yang berisi aturan ingress dan gunakan perintah gcloud access-context-manager perimeters update dengan flag --set-ingress-policies.

1. Buat file YAML kebijakan ingress bernama ingress_policy.yaml dengan konten berikut:

    - ingressFrom:
        identities:
        - serviceAccount:[e-mail]
        sources:
        - accessLevel: '*'
      ingressTo:
        operations:
        - serviceName: osconfig.googleapis.com
          methodSelectors:
          - method: "*"
        resources:
        - "*"
   

   Ganti ORGANIZATION_NUMBER dengan ID numerik organisasi.

2. Tambahkan kebijakan ingress ke perimeter:

   gcloud access-context-manager perimeters update PERIMETER_NAME \
     --set-ingress-policies=ingress_policy.yaml
   

   Ganti PERIMETER_NAME dengan nama perimeter layanan Anda. Contoh, accessPolicies/1234567890/servicePerimeters/example_perimeter.

Apa langkah selanjutnya?

• Pelajari cara mengelola penetapan kebijakan OS menggunakan orchestrator kebijakan.
• Pelajari cara melihat dan mengedit orchestrator kebijakan.