Preparación de permisos de IAM

En este documento, se describen los roles y permisos de Identity and Access Management (IAM) necesarios para solicitar acceso a los recursos del administrador de IAM de tu proyecto. Debes tener los roles y permisos de IAM necesarios para realizar tareas en máquinas virtuales (VMs) en el dispositivo aislado de Google Distributed Cloud (GDC).

Este documento está dirigido a los desarrolladores de grupos de administradores de plataformas o de operadores de aplicaciones que crean y administran VMs en un entorno de GDC.

Acerca de IAM

El dispositivo aislado de GDC ofrece Identity and Access Management (IAM) para el acceso detallado a recursos específicos del dispositivo aislado de GDC y evita el acceso no deseado a otros recursos. IAM opera según el principio de seguridad de privilegio mínimo y proporciona control sobre quién tiene permiso para los recursos determinados mediante roles y permisos de IAM.

Antes de comenzar

Para usar los comandos de la CLI de gdcloud, completa los pasos necesarios de las secciones de la interfaz de línea de comandos (CLI) de gdcloud. Todos los comandos del dispositivo aislado de Google Distributed Cloud usan la CLI de gdcloud o kubectl y requieren un entorno de sistema operativo (SO).

Obtén las rutas de acceso del archivo kubeconfig

  1. Ejecuta gdcloud auth login en el servidor de la API de Management.

    1. Registra la ruta de acceso al archivo generado. El siguiente es un ejemplo de la ruta de acceso que se debe registrar:
      /tmp/admin-kubeconfig-with-user-identity.yaml.

    2. Usa la ruta de acceso para reemplazar MANAGEMENT_API_SERVER en estas instrucciones.

Solicita roles de IAM

Comunícate con el administrador de IAM del proyecto para solicitar los siguientes roles en tu proyecto:

  • Administrador de VirtualMachine del proyecto (project-vm-admin): Crea, modifica, enumera y borra VMs en el espacio de nombres del proyecto.

  • Administrador de imágenes de VirtualMachine del proyecto (project-vm-image-admin): Crea, enumera y borra imágenes de VM en el espacio de nombres del proyecto.

Todos los roles de VM deben vincularse al espacio de nombres del proyecto en el que reside la VM.

Para obtener una lista de todos los roles predefinidos para los operadores de aplicaciones (AO), consulta Descripciones de roles.

Para otorgar o recibir acceso a los recursos de VM, consulta Otorga acceso a los recursos del proyecto.

Verifica el acceso del usuario a los recursos de VM

Sigue los pasos para acceder a la consola de GDC o a la CLI de gdcloud para verificar el acceso a los recursos de VM y las cargas de trabajo:

Console

  1. Accede a la consola de GDC como el usuario que solicita o verifica los permisos.
  2. Para confirmar que estás en el proyecto correcto, verifica los nombres de la organización y del proyecto en la pantalla principal de la consola de GDC.
  3. En el menú de navegación, haz clic en Máquinas virtuales > Instancias.
  4. Para verificar si tienes acceso para crear VMs en el proyecto, haz clic en Crear instancia.
    • Si puedes continuar con la creación de la VM, tienes permisos para crear VMs.
    • Si el botón Crear instancia no está disponible o si aparece un mensaje de error que indica que no tienes permisos, comunícate con el administrador de IAM del proyecto y solicita el rol de administrador de VirtualMachine del proyecto (project-vm-admin) en el espacio de nombres del proyecto en el que reside la VM.
  5. Para determinar si puedes ver y crear imágenes, haz clic en Máquinas virtuales > Importar > Crear imagen.
    • Si puedes continuar con la importación de imágenes, tienes permisos para crear recursos VirtualMachineImageImport.
    • Si las opciones Importar o Crear imagen no están disponibles o si aparece un error de permisos, comunícate con el administrador de IAM del proyecto y solicita el rol de administrador de imágenes de VirtualMachine del proyecto (project-vm-image-admin) en el espacio de nombres del proyecto en el que reside la VM.

CLI

  1. Accede como el usuario que solicita o verifica los permisos.

  2. Verifica si tú o el usuario pueden crear máquinas virtuales:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachines.virtualmachine.gdc.goog -n PROJECT

    Reemplaza las variables con las siguientes definiciones:

    Variable Reemplazo
    MANAGEMENT_API_SERVER La ruta de acceso kubeconfig del servidor de la API de Management
    PROJECT El nombre del proyecto en el que creas imágenes de VM
    • Si el resultado es yes, tienes permisos para crear una VM en el proyecto PROJECT.
    • Si el resultado es no, no tienes permisos. Comunícate con el administrador de IAM del proyecto y solicita el rol de administrador de VirtualMachine del proyecto (project-vm-admin) en el espacio de nombres del proyecto en el que reside la VM.

  3. Verifica si tienes acceso a las imágenes de VM a nivel del proyecto. Ejecuta los comandos kubectl para verificar si puedes crear y usar recursos VirtualMachineImage a nivel del proyecto:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Reemplaza las variables con las siguientes definiciones.

    Variable Reemplazo
    MANAGEMENT_API_SERVER La ruta de acceso kubeconfig del servidor de la API de Management
    PROJECT El nombre del proyecto en el que creas imágenes de VM
    • Si el resultado es yes, el usuario tiene permisos para acceder a imágenes de VM personalizadas en el proyecto PROJECT.
    • Si el resultado es no, no tienes permisos. Comunícate con el administrador de IAM del proyecto y solicita el rol de administrador de imágenes de VirtualMachine del proyecto (project-vm-image-admin) en el espacio de nombres del proyecto en el que reside la VM.

Próximos pasos