Utilizzare la modalità di emulazione rigorosa

La modalità di emulazione rigorosa attiva un controllo di sicurezza aggiuntivo per le seguenti azioni utente in Dataform:

  • Creazione o aggiornamento di un repository
  • Creazione o aggiornamento di una configurazione del workflow
  • Creazione di una chiamata del workflow
  • Aggiornamento di una configurazione della release

Questo controllo di sicurezza aggiuntivo richiede che l'utente che esegue queste azioni disponga dell'autorizzazione iam.serviceAccounts.actAs per l'account di servizio effettivo, ovvero l'account di servizio le cui credenziali vengono utilizzate per eseguire i workflow. Per saperne di più, consulta Collegare service account alle risorse.

Puoi attivare queste autorizzazioni nei seguenti modi:

  • Quando crei un repository
  • Quando aggiorni un repository esistente con il flag del repository strict_act_as_checks

Ruoli obbligatori

Per ottenere le autorizzazioni necessarie per completare le attività descritte in questo documento, chiedi all'amministratore di concederti i seguenti ruoli IAM:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Verificare le autorizzazioni act-as per il account di servizio effettivo

Per garantire che i flussi di lavoro Dataform vengano eseguiti in modo sicuro e senza interruzioni, è importante verificare le autorizzazioni di rappresentazione sugli account di servizio che utilizzano. Questa sezione spiega come identificare l'account di servizio effettivo per le tue risorse, utilizzare Cloud Logging per verificare la presenza di problemi di autorizzazione e quindi risolvere eventuali problemi riscontrati.

Determinare il account di servizio effettivo

Puoi determinare il account di servizio effettivo che esegue i flussi di lavoro in base al tipo di risorsa e alle seguenti condizioni:

Tipo di risorsa Service account effettivo
Repository

Se selezioni un account di servizio personalizzato quando crei il repository, viene utilizzato il account di servizio Repository.ServiceAccount.

In caso contrario, il valore predefinito è Service agent Dataform.
Configurazione del workflow

Puoi selezionare un account di servizio personalizzato quando crei la configurazione del flusso di lavoro.

In caso contrario, il valore predefinito è service agent Dataform del repository.
Chiamata workflow

Se il risultato della compilazione è WORKFLOW_CONFIG, viene utilizzato il account di servizio effettivo della configurazione del flusso di lavoro.

Se crei una chiamata del flusso di lavoro da un risultato di compilazione, viene utilizzato l'account di servizio WorkflowInvocation.InvocationConfig, se impostato.

In caso contrario, il valore predefinito è service agent Dataform del repository.

Controllare i problemi di autorizzazione in Cloud Logging

Per migliorare la sicurezza, Dataform controlla se l'autorizzazione iam.serviceAccounts.actAs non è presente nei service account utilizzati dalle risorse Dataform.

I risultati di questi controlli, inclusi eventuali problemi di autorizzazione, vengono registrati in Cloud Logging. Devi esaminare regolarmente questi log per identificare e concedere le autorizzazioni iam.serviceAccounts.actAs mancanti. Il controllo di questi log garantisce che i flussi di lavoro e le configurazioni di Dataform continuino a funzionare senza interruzioni.

Visualizza i log in Cloud Logging

  1. Nella console Google Cloud , vai alla pagina Esplora log.

    Vai a Esplora log

  2. Seleziona il progetto Google Cloud in cui vuoi controllare i log.

  3. Utilizza l'editor di query per filtrare i log di Dataform actAs con le seguenti opzioni:

    • Per elencare solo i controlli actAs non riusciti che richiedono un'azione, utilizza la seguente query:

      logName: "projects/PROJECT_ID/logs/dataform.googleapis.com%2Factas_dry_run_result"
jsonPayload.dryRunResult = false

    • Per elencare tutti i controlli actAs, utilizza la seguente query:

      logName: "projects/PROJECT_ID/logs/dataform.googleapis.com%2Factas_dry_run_result"

    Sostituisci PROJECT_ID con il tuo ID progettoGoogle Cloud .

  4. Fai clic su Esegui query.

Interpretare le voci di log

Espandi una voce di log nei risultati della query per visualizzare i seguenti campi jsonPayload:

Campo Tipo Descrizione
dryRunResult Booleano true: il controllo delle autorizzazioni è stato superato.

false: il controllo non è riuscito. L'entità chiamante non dispone dell'autorizzazione iam.serviceAccounts.actAs per il account di servizio.
caller Stringa L'indirizzo email dell'entità (utente o account di servizio) che ha avviato la chiamata API.
serviceAccount Stringa Il account di servizio che l'entità chiamante ha tentato di utilizzare. Questo campo è in genere presente quando il campo dryRunResult è false.
apiMethod Stringa Il metodo dell'API Dataform che ha attivato il controllo, ad esempio CreateWorkflowInvocation o UpdateRepository.
*_context Oggetto Un oggetto contenente i nomi delle risorse pertinenti al metodo API chiamato. Per saperne di più, consulta Oggetti di contesto.
Oggetti di contesto

La voce di log include un oggetto di contesto all'interno dei campi jsonPayload. I campi di questo oggetto contengono i nomi completi delle risorse Google Cloud delle entità Dataform coinvolte. Questi nomi seguono le strutture standard mostrate nel seguente elenco, consentendoti di identificare con precisione le risorse.

  • create_workflow_invocation_context: presente quando il metodo API è CreateWorkflowInvocation.

    • workflowInvocation: il nome della risorsa dell'invocazione del flusso di lavoro.
      • Il formato del nome della risorsa è il seguente: projects/PROJECT_ID/locations/LOCATION_ID/repositories/REPOSITORY_ID/workflowInvocations/WORKFLOW_INVOCATION_ID.
    • compilationResult o workflowConfig: il nome della risorsa dell'origine utilizzata per la chiamata.
      • Il formato del nome della risorsa per compilationResult è il seguente: projects/PROJECT_ID/locations/LOCATION_ID/repositories/REPOSITORY_ID/compilationResults/COMPILATION_RESULT_ID.
      • Il formato del nome della risorsa per workflowConfig è il seguente: projects/PROJECT_ID/locations/LOCATION_ID/repositories/REPOSITORY_ID/workflowConfigs/WORKFLOW_CONFIG_ID.

  • create_repository_context o update_repository_context: presenti quando il metodo API è CreateRepository o UpdateRepository.

    • repository: il nome della risorsa del repository Dataform.
      • Il formato del nome della risorsa è il seguente: projects/PROJECT_ID/locations/LOCATION_ID/repositories/REPOSITORY_ID

  • update_release_config_context: presente quando il metodo API è UpdateReleaseConfig.

    • releaseConfig: il nome della risorsa della configurazione di rilascio.
      • Il formato del nome della risorsa è il seguente: projects/PROJECT_ID/locations/LOCATION_ID/repositories/REPOSITORY_ID/releaseConfigs/RELEASE_CONFIG_ID.

  • create_workflow_config_context o update_workflow_config_context: presente quando il metodo API è CreateWorkflowConfig o UpdateWorkflowConfig.

    • workflowConfig: il nome della risorsa della configurazione del flusso di lavoro.
      • Il formato del nome della risorsa è il seguente: projects/PROJECT_ID/locations/LOCATION_ID/repositories/REPOSITORY_ID/workflowConfigs/WORKFLOW_CONFIG_ID.

Per confrontare i formati documentati con la voce di logging, sostituisci quanto segue:

  • PROJECT_ID: l'identificatore univoco del tuo progettoGoogle Cloud .
  • LOCATION_ID: la regione in cui si trova il repository Dataform.
  • REPOSITORY_ID: l'ID definito dall'utente del repository Dataform. Questo è il nome assegnato al repository al momento della creazione.
  • COMPILATION_RESULT_ID: l'identificatore univoco generato dal sistema per un risultato di compilazione di Dataform.
  • RELEASE_CONFIG_ID: l'ID definito dall'utente della configurazione release Dataform.
  • WORKFLOW_CONFIG_ID: l'ID definito dall'utente della configurazione del workflow Dataform.

Risolvere i problemi di autorizzazione

Se trovi voci di log in cui il campo dryRunResult è false, segui questi passaggi:

  1. Nei dettagli di jsonPayload, prendi nota dell'indirizzo email nel campo caller per identificare l'entità.

  2. Prendi nota dell'indirizzo email nel campo serviceAccount per identificare il account di servizio.

  3. Conferma che l'entità chiamante deve disporre dell'autorizzazione per agire come account di servizio. La concessione di questa autorizzazione consente al chiamante di utilizzare le autorizzazioni detenute dalaccount di serviziot.

  4. Se l'accesso è intenzionale, concedi il ruolo Utente service account (roles/iam.serviceAccountUser) all'entità chiamante nel service account di destinazione. Per ulteriori informazioni, vedi Concedi il ruolo IAM Utente service account.

Dopo aver concesso il ruolo, i log futuri per questa combinazione di chiamante e account di servizio dovrebbero mostrare dryRunResult: true.

Concedi il ruolo IAM Service Account User

Il ruolo Utente service account (roles/iam.serviceAccountUser) contiene l'autorizzazione iam.serviceAccounts.actAs, necessaria per la modalità act-as rigorosa. Quando utilizzi l'API Dataform, devi disporre del ruolo Utente service account concesso per il account di servizio effettivo in base al metodo projects.locations.repositories che stai chiamando:

  • create o patch
    • Se la proprietà Repository.ServiceAccount è impostata, devi disporre del ruolo Utente account di servizio concesso per quella proprietà.
    • Se chiami il metodo patch, devi disporre del ruolo Utente account di servizio concesso per tutti i service account effettivi in tutte le configurazioni del flusso di lavoro nel repository.
  • workflowConfigs.create o workflowConfigs.patch
    • Devi disporre del ruolo Utente account di servizio per l'account di servizio effettivo utilizzato nella configurazione del flusso di lavoro.
  • releaseConfigs.patch
    • Devi disporre del ruolo Utente account di servizio per tutti gli account di servizio effettivi utilizzati nelle configurazioni del flusso di lavoro utilizzando questa configurazione di rilascio.
  • workflowInvocations.create
    • Devi disporre del ruolo Utente account di servizio per l'account di servizio effettivo utilizzato nell'invocazione del workflow.

Per concedere il ruolo Utente service account a un account di servizio personalizzato, segui questi passaggi:

  1. Nella console Google Cloud , vai a IAM > Service accounts.

    Vai ad Account di servizio

  2. Seleziona un progetto.

  3. Nella pagina Service account per il progetto "PROJECT_NAME", seleziona il account di servizio personalizzato.

  4. Vai a Entità con accesso e poi fai clic su Concedi accesso.

  5. Nel campo Nuove entità, inserisci l'ID service agent Dataform predefinito.

    L'ID service agent Dataform predefinito ha il seguente formato:

    service-PROJECT_NUMBER@gcp-sa-dataform.iam.gserviceaccount.com

  6. Nell'elenco Seleziona un ruolo, seleziona il ruolo Utente account di servizio.

  7. Fai clic su Salva.

Per ulteriori informazioni, consulta i ruoli richiesti per creare una configurazione del workflow e i ruoli richiesti per creare una configurazione della release.

Effetti della modalità Agisci come in esecuzione e rilasci automatici

Quando la modalità actAs rigorosa è abilitata, influisce sulle release automatiche dei repository e sulle esecuzioni automatiche dei workflow nel seguente modo:

Per i repository non connessi a repository di terze parti:

  • Non puoi impostare una pianificazione Cron per le release automatiche nelle configurazioni di rilascio. Questa operazione viene applicata per impedire il deployment automatico delle modifiche al codice apportate da un utente che potrebbe non disporre delle autorizzazioni iam.serviceAccounts.actAs necessarie per i service account downstream.
  • Le esecuzioni del workflow pianificate che utilizzano una pianificazione cron nelle configurazioni del workflow rimangono attive. Affinché queste esecuzioni automatizzate vadano a buon fine, devi concedere all'agente di servizio Dataform predefinito l'autorizzazione iam.serviceAccounts.actAs per il service account effettivo specificato nella configurazione del flusso di lavoro.

Per i repository collegati a repository di terze parti:

  • Sono consentite le release pianificate e le esecuzioni del workflow pianificate.
  • Per attivare un rilascio automatico da una configurazione di rilascio o un'esecuzione automatica da una configurazione del flusso di lavoro, devi concedere all'agente di servizio Dataform predefinito l'autorizzazione iam.serviceAccounts.actAs sull'account di servizio effettivo pertinente:
    • Per una configurazione di rilascio automatico, concedi l'autorizzazione agli account di servizio effettivi di tutte le configurazioni del flusso di lavoro attivate da questa configurazione di rilascio.
    • Per una configurazione automatica del flusso di lavoro, concedi l'autorizzazione per il account di servizio effettivo utilizzato da quella configurazione del flusso di lavoro.

Passaggi successivi