IAM-Berechtigungen vorbereiten

In diesem Dokument werden die IAM-Rollen (Identity and Access Management) und Berechtigungen beschrieben, die erforderlich sind, um von Ihrem IAM-Projektadministrator Zugriff auf Ressourcen anzufordern. Sie benötigen die erforderlichen IAM-Rollen und -Berechtigungen, um Aufgaben auf virtuellen Maschinen (VMs) in Google Distributed Cloud (GDC) mit Air Gap auszuführen.

Dieses Dokument richtet sich an Entwickler in Plattformadministrator- oder Anwendungsoperatorgruppen, die VMs in einer GDC-Umgebung erstellen und verwalten. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Informationen zu IAM

Distributed Cloud bietet Identity and Access Management (IAM) für den detaillierten Zugriff auf bestimmte Distributed Cloud-Ressourcen und verhindert unerwünschten Zugriff auf andere Ressourcen. IAM basiert auf dem Sicherheitsprinzip der geringsten Berechtigung und ermöglicht es, mithilfe von IAM-Rollen und -Berechtigungen zu steuern, wer Zugriff auf bestimmte Ressourcen hat.

Hinweis

Wenn Sie gdcloud CLI-Befehle verwenden möchten, führen Sie die erforderlichen Schritte aus den Abschnitten zur gdcloud-Befehlszeile (CLI) aus. Alle Befehle für Google Distributed Cloud mit Air Gap verwenden die Befehlszeile gdcloud oder kubectl und erfordern eine Betriebssystemumgebung.

Pfad der kubeconfig-Datei abrufen

Wenn Sie Befehle auf dem Management API-Server ausführen möchten, benötigen Sie die folgenden Ressourcen:

  1. Melden Sie sich an und generieren Sie die kubeconfig-Datei für den Management API-Server, falls Sie noch keine haben.

  2. Ersetzen Sie MANAGEMENT_API_SERVER in dieser Anleitung durch den Pfad zur kubeconfig-Datei des Management API-Servers.

IAM-Rollen anfordern

Bitten Sie Ihren IAM-Projektadministrator, Ihnen die folgenden Rollen für Ihr Projekt zuzuweisen:

  • Virtual Machine Project Admin (project-vm-admin): VMs im Projekt-Namespace erstellen, ändern, auflisten und löschen.

  • Virtual Machine Image Project Admin (project-vm-image-admin): VM-Images im Projekt-Namespace erstellen, auflisten und löschen.

Alle VM-Rollen müssen an den Namespace des Projekts gebunden sein, in dem sich die VM befindet.

Eine Liste aller vordefinierten Rollen für Application Operators (AO) finden Sie unter Rollenbeschreibungen.

Informationen zum Gewähren oder Erhalten von Zugriff auf VM-Ressourcen finden Sie unter Zugriff auf Projektressourcen gewähren.

Nutzerzugriff auf VM-Ressourcen prüfen

Folgen Sie der Anleitung zum Anmelden in der GDC-Konsole oder der gdcloud CLI, um den Zugriff auf VM-Ressourcen und Arbeitslasten zu prüfen:

Console

  1. Melden Sie sich in der GDC Console an, und zwar als der Nutzer, der Berechtigungen anfordert oder prüft.
  2. Prüfen Sie, ob Sie sich im richtigen Projekt befinden, indem Sie die Namen der Organisation und des Projekts auf dem Startbildschirm der GDC-Konsole prüfen.
  3. Klicken Sie im Navigationsmenü auf Virtuelle Maschinen > Instanzen.
  4. Klicken Sie auf Instanz erstellen, um zu prüfen, ob Sie Zugriff zum Erstellen von VMs im Projekt haben.
    • Wenn Sie mit der VM-Erstellung fortfahren können, haben Sie die Berechtigung zum Erstellen von VMs.
    • Wenn die Schaltfläche Instanz erstellen nicht verfügbar ist oder eine Fehlermeldung angezeigt wird, die auf fehlende Berechtigungen hinweist, wenden Sie sich an Ihren IAM-Projektadministrator und fordern Sie die Rolle „Virtual Machine Project Admin“ (project-vm-admin) im Namespace des Projekts an, in dem sich die VM befindet.
  5. Wenn Sie wissen möchten, ob Sie Images ansehen und erstellen können, klicken Sie auf Virtuelle Maschinen > Importieren > Image erstellen.
    • Wenn Sie mit dem Image-Import fortfahren können, haben Sie die Berechtigung, VirtualMachineImageImport-Ressourcen zu erstellen.
    • Wenn die Optionen Importieren oder Image erstellen nicht verfügbar sind oder ein Berechtigungsfehler auftritt, wenden Sie sich an Ihren IAM-Projektadministrator und fordern Sie die Rolle „Virtual Machine Image Project Admin“ (project-vm-image-admin) im Namespace des Projekts an, in dem sich die VM befindet.

Befehlszeile

  1. Melden Sie sich mit Ihren Kontoanmeldedaten an oder mit den Anmeldedaten des Nutzers, der Berechtigungen anfordert oder bestätigt.

  2. Prüfen Sie mit dem Befehl kubectl, ob Sie oder der Nutzer virtuelle Maschinen erstellen können:

    kubectl --kubeconfig MANAGEMENT_API_SERVER \
  -n PROJECT \
  auth can-i create virtualmachines.virtualmachine.gdc.goog

    Ersetzen Sie die Variablen durch die folgenden Definitionen:

    Variable Ersetzen
    MANAGEMENT_API_SERVER Die System-kubeconfig-Datei aus gdcloud auth login.
    PROJECT Der Name des Projekts, in dem Sie VM-Images erstellen
    • Wenn die Ausgabe yes lautet, haben Sie die Berechtigung, eine VM im Projekt PROJECT zu erstellen.
    • Wenn die Ausgabe no lautet, haben Sie keine Berechtigungen. Wenden Sie sich an Ihren IAM-Projektadministrator und fordern Sie die Rolle „Virtual Machine Project Admin“ (project-vm-admin) im Namespace des Projekts an, in dem sich die VM befindet.

  3. Prüfen Sie, ob Sie Zugriff auf VM-Images auf Projektebene haben. Führen Sie die kubectl-Befehle aus, um zu prüfen, ob Sie VirtualMachineImage-Ressourcen auf Projektebene erstellen und verwenden können:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Ersetzen Sie die Variablen durch die folgenden Definitionen.

    Variable Ersetzen
    MANAGEMENT_API_SERVER Der Pfad kubeconfig des Management API-Servers
    PROJECT Der Name des Projekts, in dem Sie VM-Images erstellen
    • Wenn die Ausgabe yes lautet, haben Sie Berechtigungen für den Zugriff auf benutzerdefinierte VM-Images im Projekt PROJECT.
    • Wenn die Ausgabe no lautet, haben Sie keine Berechtigungen. Wenden Sie sich an Ihren IAM-Projektadministrator und fordern Sie die Rolle „Virtual Machine Image Project Admin“ (project-vm-image-admin) im Namespace des Projekts an, in dem sich die VM befindet.

Nächste Schritte