Control de acceso con IAM

En este tema, se describe cómo usar Identity and Access Management para controlar la forma en que Config Connector puede crear y administrar recursos de Google Cloud .

Para instalar Config Connector, debes autenticarte creando una cuenta de servicio de IAM y, luego, usar la federación de identidades para cargas de trabajo para GKE para que GKE vincule las cuentas de servicio de IAM con las cuentas de servicio de Kubernetes. IAM permite que Config Connector realice acciones en recursos específicos. Si limitas los permisos asignados a tus cuentas de servicio, tendrás más control sobre los tipos de recursos que puede crear Config Connector.

Puedes elegir administrar recursos con una o con varias cuentas de servicio.

Nota: El administrador de la organización puede inhabilitar la creación de las cuentas de servicio. Si se aplica esta configuración, coordina con el administrador de la organización antes de instalar Config Connection.

Cuenta de servicio única

Cuando instalas Config Connector con el complemento de GKE o la instalación manual, puedes establecer el modo de clúster en tu CustomResource de ConfigConnector. Con el modo de clúster, puedes usar una sola cuenta de servicio de IAM para crear y administrar recursos, incluso si usas Config Connector para administrar varios proyectos.

En el siguiente diagrama, se muestra cómo funciona este modo, en el que la misma cuenta de servicio administra dos proyectos:

Varias cuentas de servicio

Puedes usar varias cuentas de servicio configurando el modo de espacio de nombres en tu CustomResource ConfigConnector. El modo de espacio de nombres te permite dividir los permisos según las preocupaciones respectivas de las diferentes cuentas de servicio de IAM y aislar los permisos entre los diferentes espacios de nombres de Kubernetes, ya que puedes asociar una cuenta de servicio diferente para cada espacio de nombres.

Elige el modo de espacio de nombres en los siguientes casos:

• Deseas aislar los permisos de IAM a nivel del espacio de nombres de Kubernetes.
• Se espera que administres una gran cantidad de recursos de varios proyectos Google Cloud en un solo clúster. Google Cloud

Por ejemplo, puedes crear una cuenta de servicio de IAM para cada proyecto, organizar los recursos de cada proyecto en el mismo espacio de nombres de Kubernetes y, luego, vincular la cuenta de servicio de IAM correspondiente al espacio de nombres de Kubernetes. Esto te permite separar los permisos de IAM para cada proyecto, de modo que cada uno tenga un conjunto de permisos distinto y no relacionado.

En el siguiente diagrama, se muestra una descripción general de cómo funciona el modo de espacio de nombres, en el que cada proyecto se administra con una cuenta de servicio diferente:

En el modo de espacio de nombres, cada cuenta de servicio de IAM está vinculada a un espacio de nombres de forma predeterminada. Cuando creas recursos dentro de ese espacio de nombres, Config Connector usa esta cuenta de servicio para crear recursos de Google Cloud. Hay un pod cnrm-controller-manager de Config Connector dedicado para cada espacio de nombres que suplanta la cuenta de servicio de IAM asociada al espacio de nombres.

Si deseas obtener información para configurar el modo de espacio de nombres, consulta Instala Config Connector con un modo de espacio de nombres.

Cómo ajustar los permisos después de la instalación

Durante la instalación de Config Connector, es posible que hayas seleccionado un rol básico temporal y se lo hayas asignado a la cuenta de servicio para la que configuraste Config Connector. Si configuraste Config Connector en el modo con espacios de nombres, es posible que tengas más de una cuenta de servicio de IAM.

Después de completar la instalación, es posible que debas quitar o actualizar los permisos generales para alinearlos con las consideraciones de seguridad y las prácticas recomendadas.

Una de las principales ventajas de Config Connector es la unificación de las herramientas. Esto significa que puedes usar Config Connector para ajustar los roles y permisos de IAM. Puedes usar los recursos IAMPolicyMember o IAMPartialPolicy en Config Connector para configurar los permisos de IAM. Esto requiere una cuenta de servicio de IAM con permisos de administrador en tus proyectos, carpetas o tu organización. Esta cuenta de servicio debe configurarse para vincularse a la instalación de Config Connector a través del modo de clúster o del modo de espacio de nombres.

En las siguientes secciones, se enumeran diferentes ejemplos de políticas que usan Config Connector para administrar permisos de IAM.

Permiso de propietario de la organización

Para expandir los permisos de Config Connector de modo que pueda administrar todos los proyectos y carpetas de una organización determinada, completa los siguientes pasos:

1. Crea el siguiente manifiesto YAML:

   apiVersion: iam.cnrm.cloud.google.com/v1beta1
   kind: IAMPolicyMember
   metadata:
    name: iampolicymember-orglevel-permission
    namespace: NAMESPACE
   spec:
    member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com
    role: roles/owner
    resourceRef:
      kind: Organization
      external: ORGANIZATION_ID
   

   Reemplaza lo siguiente:

   • NAMESPACE por el nombre de tu espacio de nombres
   • SERVICE_ACCOUNT_NAME por el nombre de tu cuenta de servicio
   • HOST_PROJECT_ID con el ID del proyecto host de tu cuenta de servicio
   • roles/owner por la función adecuada
   • ORGANIZATION_ID con el ID de tu organización

2. Aplica el manifiesto YAML a tu clúster con kubectl o cualquier herramienta de administración de la configuración que prefieras.

Permiso de propietario de la carpeta

Para expandir los permisos de Config Connector de modo que pueda administrar todos los proyectos y carpetas en una carpeta determinada, completa los siguientes pasos:

1. Crea el siguiente manifiesto YAML:

   apiVersion: iam.cnrm.cloud.google.com/v1beta1
   kind: IAMPolicyMember
   metadata:
    name: iampolicymember-orglevel-permission
    namespace: NAMESPACE
   spec:
    member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com
    role: roles/owner
    resourceRef:
      kind: Folder
      external: folders/FOLDER_ID
   

   Reemplaza lo siguiente:

   • NAMESPACE por el nombre de tu espacio de nombres
   • SERVICE_ACCOUNT_NAME por el nombre de tu cuenta de servicio
   • HOST_PROJECT_ID con el ID del proyecto host de tu cuenta de servicio
   • roles/owner por la función adecuada
   • FOLDER_ID por tu ID de carpeta

2. Aplica el manifiesto YAML a tu clúster con kubectl o cualquier herramienta de administración de la configuración que prefieras.

Permisos de propietario del proyecto

Para permitir que Config Connector administre los recursos de un proyecto específico, completa los siguientes pasos:

1. Crea el siguiente manifiesto YAML:

   apiVersion: iam.cnrm.cloud.google.com/v1beta1
   kind: IAMPolicyMember
   metadata:
    name: iampolicymember-orglevel-permission
    namespace: NAMESPACE
   spec:
    member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com
    role: roles/owner
    resourceRef:
      kind: Project
      external: projects/PROJECT_ID
   

   Reemplaza lo siguiente:

   • NAMESPACE por el nombre de tu espacio de nombres
   • SERVICE_ACCOUNT_NAME por el nombre de tu cuenta de servicio
   • HOST_PROJECT_ID con el ID del proyecto host de tu cuenta de servicio
   • roles/owner por la función adecuada
   • PROJECT_ID con el ID de tu proyecto de destino

2. Aplica el manifiesto YAML a tu clúster con kubectl o cualquier herramienta de administración de la configuración que prefieras.

Funciones predefinidas

Si prefieres otorgar permisos más limitados a Config Connector, puedes asignar uno o más roles de IAM a tu instalación de Config Connector creando algunos recursos de IAMPolicyMember o un recurso combinado de IAMPartialPolicy. Por lo general, las siguientes funciones se asignan a la cuenta de servicio de Config Connector:

• Editor: Otorgar el rol de editor permite la mayoría de las funciones de Config Connector, excepto las configuraciones de todo el proyecto o la organización, como las modificaciones de IAM.

• Rol de administrador de cuentas de servicio de IAM: Otorgar permisos roles/iam.serviceAccountAdmin permite que Config Connector configure las cuentas de servicio de IAM.

• Resource Manager: Otorgar un rol de Resource Manager, como roles/resourcemanager.folderCreator, permite que Config Connector administre carpetas y organizaciones.

Funciones personalizadas

Si las funciones predefinidas no satisfacen tus necesidades, puedes crear funciones personalizadas con los permisos que definas.

Para obtener más información sobre cómo crear y asignar funciones personalizadas, consulta Crea y administra funciones personalizadas.

¿Qué sigue?

• Obtén más información para organizar tus recursos por carpeta, proyecto u organización.