Preparação das permissões do IAM

Este documento descreve os papéis e as permissões do Identity and Access Management (IAM) necessários para solicitar acesso a recursos do administrador de IAM do projeto. Você precisa ter os papéis e as permissões do IAM necessários para realizar tarefas em máquinas virtuais (VMs) no dispositivo isolado do Google Distributed Cloud (GDC).

Este documento é destinado a desenvolvedores em grupos de administradores de plataforma ou operadores de aplicativos que criam e gerenciam VMs em um ambiente do GDC.

Sobre o IAM

O dispositivo isolado do GDC oferece Identity and Access Management (IAM) para acesso granular a recursos específicos do dispositivo isolado do GDC e impede o acesso indesejado a outros recursos. O IAM opera com base no princípio de segurança de privilégio mínimo e oferece controle sobre quem tem permissão para determinados recursos usando papéis e permissões do IAM.

Antes de começar

Para usar os comandos da CLI gdcloud, siga as etapas necessárias nas seções da interface de linha de comando (CLI) gdcloud. Todos os comandos para o Google Distributed Cloud com isolamento físico usam a CLI gdcloud ou kubectl e exigem um ambiente de sistema operacional (SO).

Extrair os caminhos dos arquivos kubeconfig

  1. Execute gdcloud auth login no servidor da API Management.

    1. Registre o caminho para o arquivo gerado. Confira um exemplo do caminho para gravar:
      /tmp/admin-kubeconfig-with-user-identity.yaml.

    2. Use o caminho para substituir MANAGEMENT_API_SERVER nestas instruções.

Solicitar papéis do IAM

Entre em contato com o administrador do IAM do projeto para solicitar as seguintes funções no projeto:

  • Administrador de máquinas virtuais do projeto (project-vm-admin): cria, modifica, lista e exclui VMs no namespace do projeto.

  • Administrador de imagens de máquina virtual do projeto (project-vm-image-admin): cria, lista e exclui imagens de VM no namespace do projeto.

Todas as funções de VM precisam ser vinculadas ao namespace do projeto em que a VM reside.

Para uma lista de todos os papéis predefinidos para operadores de aplicativos (AO), consulte Descrições de papéis.

Para conceder ou receber acesso a recursos de VM, consulte Conceder acesso a recursos do projeto.

Verificar o acesso do usuário aos recursos da VM

Siga as etapas para fazer login no console do GDC ou na CLI gdcloud para verificar o acesso a recursos de VM e cargas de trabalho:

Console

  1. Faça login no console do GDC como o usuário que está solicitando ou verificando permissões.
  2. Confirme se você está no projeto correto verificando os nomes da organização e do projeto na tela inicial do console do GDC.
  3. No menu de navegação, clique em Máquinas virtuais > Instâncias.
  4. Para verificar se você tem acesso para criar VMs no projeto, clique em Criar instância.
    • Se você puder continuar com a criação da VM, significa que tem permissões para isso.
    • Se o botão Criar instância não estiver disponível ou se você encontrar uma mensagem de erro indicando falta de permissões, entre em contato com o administrador do IAM do projeto e peça o papel de administrador de máquina virtual do projeto (project-vm-admin) no namespace do projeto em que a VM reside.
  5. Para determinar se você pode ver e criar imagens, clique em Máquinas virtuais > Importar > Criar imagem.
    • Se você puder importar imagens, terá permissões para criar recursos VirtualMachineImageImport.
    • Se as opções Importar ou Criar imagem não estiverem disponíveis ou se você encontrar um erro de permissões, entre em contato com o administrador do IAM do projeto e peça a função de administrador de imagens de máquina virtual do projeto (project-vm-image-admin) no namespace do projeto em que a VM reside.

CLI

  1. Faça login como o usuário que está solicitando ou verificando permissões.

  2. Verifique se você ou o usuário podem criar máquinas virtuais:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachines.virtualmachine.gdc.goog -n PROJECT

    Substitua as variáveis usando as seguintes definições:

    Variável Substituição
    MANAGEMENT_API_SERVER O caminho kubeconfig do servidor da API Management
    PROJECT O nome do projeto em que você cria imagens de VM
    • Se o resultado for yes, você terá permissões para criar uma VM no projeto PROJECT.
    • Se a saída for no, você não terá permissões. Entre em contato com o administrador do IAM do projeto e peça a função de administrador de máquina virtual do projeto (project-vm-admin) no namespace do projeto em que a VM está localizada.

  3. Verifique se você tem acesso a imagens de VM para envolvidos no projeto. Execute os comandos kubectl para verificar se é possível criar e usar recursos VirtualMachineImage no nível do projeto:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Substitua as variáveis usando as seguintes definições.

    Variável Substituição
    MANAGEMENT_API_SERVER O caminho kubeconfig do servidor da API Management
    PROJECT O nome do projeto em que você cria imagens de VM
    • Se a saída for yes, o usuário terá permissões para acessar imagens de VM personalizadas no projeto PROJECT.
    • Se a saída for no, você não terá permissões. Entre em contato com o administrador do IAM do projeto e peça a função de administrador de imagens de máquinas virtuais do projeto (project-vm-image-admin) no namespace do projeto em que a VM está localizada.

A seguir