Controllo dell'accesso con IAM

Questo argomento descrive come utilizzare Identity and Access Management per controllare il modo in cui Config Connector può creare e gestire le risorse Google Cloud .

Per installare Config Connector, esegui l'autenticazione creando un service account IAM e poi utilizzando Workload Identity Federation for GKE per GKE per associare i service account IAM agli account di servizio Kubernetes. IAM consente a Config Connector di intervenire su risorse specifiche. Limitando le autorizzazioni assegnate ai tuoi service account, hai un maggiore controllo sui tipi di risorse che Config Connector può creare.

Puoi scegliere di gestire le risorse con un singolo account di servizio o più service account.

Nota: l'amministratore della tua organizzazione potrebbe disattivare la creazione di service account. Se questa impostazione è applicata, coordina l'installazione di Config Connector con l'amministratore della tua organizzazione.

Un solo account di servizio

Quando installi Config Connector con il componente aggiuntivo GKE o l'installazione manuale, puoi impostare la modalità cluster nel tuo ConfigConnector CustomResource. Con la modalità cluster, puoi utilizzare un singolo account di servizio IAM per creare e gestire le risorse, anche se utilizzi Config Connector per gestire più progetti.

Il seguente diagramma mostra come funziona questa modalità, in cui lo stesso account di servizio gestisce due progetti:

Più service account

Puoi utilizzare più service account impostando la modalità con spazio dei nomi nel tuo ConfigConnector CustomResource. La modalità con spazio dei nomi consente di dividere le autorizzazioni in base ai rispettivi interessi di diversi account di servizio IAM e di isolare le autorizzazioni tra diversi spazi dei nomi Kubernetes, poiché puoi associare un account di servizio diverso per ogni spazio dei nomi.

Scegli la modalità con spazio dei nomi se:

• Vuoi isolare le autorizzazioni IAM a livello di spazio dei nomi Kubernetes.
• Prevedi di gestire un numero elevato di Google Cloud risorse da più Google Cloud progetti su un singolo cluster.

Ad esempio, crei un account di servizio IAM per ogni progetto, organizzi le risorse di ogni progetto nello stesso spazio dei nomi Kubernetes e poi associ l'account di servizio IAM corrispondente allo spazio dei nomi Kubernetes. In questo modo puoi separare le autorizzazioni IAM per ogni progetto, in modo che ogni progetto abbia un insieme di autorizzazioni distinto e non correlato.

Il seguente diagramma mostra una panoramica del funzionamento della modalità con spazio dei nomi, in cui ogni progetto è gestito da un account di servizio diverso:

Nella modalità con spazio dei nomi, ogni account di servizio IAM è associato a uno spazio dei nomi per impostazione predefinita. Quando crei risorse all'interno di questo spazio dei nomi, Config Connector utilizza questo account di servizio per creare risorse Google Cloud. Esiste un pod Config Connector cnrm-controller-manager dedicato per ogni spazio dei nomi che simula il account di servizio IAM associato allo spazio dei nomi.

Per scoprire come configurare la modalità con spazio dei nomi, consulta Installazione di Config Connector utilizzando una modalità con spazio dei nomi.

Modificare le autorizzazioni dopo l'installazione

Durante l'installazione di Config Connector, potresti aver selezionato un ruolo di base temporaneo e averlo assegnato al service account per cui hai configurato Config Connector. Se hai configurato Config Connector in modalità con spazio dei nomi, potresti avere più di un account di servizio IAM.

Dopo aver completato l'installazione, potresti dover rimuovere o aggiornare le autorizzazioni generiche per allinearle alle considerazioni sulla sicurezza e alle best practice.

Uno dei vantaggi principali di Config Connector è l'insieme di strumenti unificato. Ciò significa che puoi utilizzare Config Connector stesso per perfezionare i ruoli e le autorizzazioni IAM. Puoi utilizzare le risorse IAMPolicyMember o IAMPartialPolicy in Config Connector per configurare le autorizzazioni IAM. Questa operazione richiede unaccount di serviziot IAM con autorizzazioni di amministratore nei tuoi progetti, nelle tue cartelle o nella tua organizzazione. Questo account di servizio deve essere configurato per il binding all'installazione di Config Connector tramite la modalità cluster o la modalità con spazi dei nomi.

Le sezioni seguenti elencano diversi esempi di policy che utilizzano Config Connector per gestire le autorizzazioni IAM.

Autorizzazione proprietario organizzazione

Per espandere le autorizzazioni di Config Connector in modo che possa gestire tutti i progetti e tutte le cartelle di una determinata organizzazione, completa i seguenti passaggi:

1. Crea il seguente manifest YAML:

   apiVersion: iam.cnrm.cloud.google.com/v1beta1
   kind: IAMPolicyMember
   metadata:
    name: iampolicymember-orglevel-permission
    namespace: NAMESPACE
   spec:
    member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com
    role: roles/owner
    resourceRef:
      kind: Organization
      external: ORGANIZATION_ID
   

   Sostituisci quanto segue:

   • NAMESPACE con il nome del tuo spazio dei nomi
   • SERVICE_ACCOUNT_NAME con il nome del account di servizio
   • HOST_PROJECT_ID: l'ID progetto host del tuo account di servizio
   • roles/owner con il ruolo appropriato
   • ORGANIZATION_ID con l'ID organizzazione

2. Applica il manifest YAML al cluster utilizzando kubectl o qualsiasi strumento di gestione della configurazione di tua scelta.

Autorizzazione proprietario della cartella

Per espandere le autorizzazioni di Config Connector in modo che possa gestire tutti i progetti e le cartelle in una determinata cartella, completa i seguenti passaggi:

1. Crea il seguente manifest YAML:

   apiVersion: iam.cnrm.cloud.google.com/v1beta1
   kind: IAMPolicyMember
   metadata:
    name: iampolicymember-orglevel-permission
    namespace: NAMESPACE
   spec:
    member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com
    role: roles/owner
    resourceRef:
      kind: Folder
      external: folders/FOLDER_ID
   

   Sostituisci quanto segue:

   • NAMESPACE con il nome del tuo spazio dei nomi
   • SERVICE_ACCOUNT_NAME con il nome del account di servizio
   • HOST_PROJECT_ID: l'ID progetto host del tuo account di servizio
   • roles/owner con il ruolo appropriato
   • FOLDER_ID con l'ID cartella

2. Applica il manifest YAML al cluster utilizzando kubectl o qualsiasi strumento di gestione della configurazione di tua scelta.

Autorizzazioni del proprietario del progetto

Per consentire a Config Connector di gestire le risorse di un progetto specifico, completa i seguenti passaggi:

1. Crea il seguente manifest YAML:

   apiVersion: iam.cnrm.cloud.google.com/v1beta1
   kind: IAMPolicyMember
   metadata:
    name: iampolicymember-orglevel-permission
    namespace: NAMESPACE
   spec:
    member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com
    role: roles/owner
    resourceRef:
      kind: Project
      external: projects/PROJECT_ID
   

   Sostituisci quanto segue:

   • NAMESPACE con il nome del tuo spazio dei nomi
   • SERVICE_ACCOUNT_NAME con il nome del account di servizio
   • HOST_PROJECT_ID: l'ID progetto host del tuo account di servizio
   • roles/owner con il ruolo appropriato
   • PROJECT_ID con l'ID progetto di destinazione

2. Applica il manifest YAML al cluster utilizzando kubectl o qualsiasi strumento di gestione della configurazione di tua scelta.

Ruoli predefiniti

Se preferisci concedere autorizzazioni più limitate a Config Connector, puoi assegnare uno o più ruoli IAM all'installazione di Config Connector creando alcune risorse IAMPolicyMember o una risorsa IAMPartialPolicy combinata. I seguenti ruoli vengono comunemente assegnati all'account di servizio Config Connector:

• Editor: la concessione del ruolo editor consente la maggior parte delle funzionalità di Config Connector, ad eccezione delle configurazioni a livello di progetto o organizzazione, come le modifiche IAM.

• Ruolo Amministratore service account IAM: la concessione delle autorizzazioni roles/iam.serviceAccountAdmin consente a Config Connector di configurare i service account IAM.

• Resource Manager: la concessione di un ruolo Resource Manager come roles/resourcemanager.folderCreator consente a Config Connector di gestire cartelle e organizzazioni.

Ruoli personalizzati

Se i ruoli predefiniti non soddisfano le tue esigenze, puoi creare ruoli personalizzati con le autorizzazioni che definisci.

Per scoprire come creare e assegnare ruoli personalizzati, consulta Creazione e gestione di ruoli personalizzati.

Passaggi successivi

• Scopri come organizzare le risorse per cartella, progetto o organizzazione.