Preparación de permisos de IAM

En este documento, se describen los roles y permisos de Identity and Access Management (IAM) necesarios para solicitar acceso a los recursos de tu administrador de proyectos de IAM. Debes tener los roles y permisos de IAM necesarios para realizar tareas en máquinas virtuales (VMs) en Google Distributed Cloud (GDC) aislado.

Este documento está dirigido a los desarrolladores de los grupos de administradores de plataformas o de operadores de aplicaciones que crean y administran VMs en un entorno de GDC. Para obtener más información, consulta Públicos de la documentación de GDC aislado.

Acerca de IAM

Distributed Cloud ofrece Identity and Access Management (IAM) para el acceso detallado a recursos específicos de Distributed Cloud y evita el acceso no deseado a otros recursos. IAM opera según el principio de seguridad de privilegio mínimo y proporciona control sobre quién tiene permiso para acceder a determinados recursos con roles y permisos de IAM.

Antes de comenzar

Para usar los comandos de la CLI de gdcloud, completa los pasos obligatorios de las secciones de la interfaz de línea de comandos (CLI) de gdcloud. Todos los comandos de Google Distributed Cloud aislado usan la CLI de gdcloud o kubectl, y requieren un entorno de sistema operativo (SO).

Obtén la ruta de acceso del archivo kubeconfig

Para ejecutar comandos en el servidor de la API de Management, asegúrate de tener los siguientes recursos:

  1. Accede y genera el archivo kubeconfig para el servidor de la API de Management si no tienes uno.

  2. Usa la ruta de acceso al archivo kubeconfig del servidor de la API de Management para reemplazar MANAGEMENT_API_SERVER en estas instrucciones.

Solicita roles de IAM

Comunícate con el administrador de IAM de tu proyecto para solicitar los siguientes roles:

  • Administrador de proyectos de máquinas virtuales (project-vm-admin): Crea, modifica, enumera y borra VMs en el espacio de nombres del proyecto.

  • Administrador de proyectos de imágenes de máquinas virtuales (project-vm-image-admin): Crea, enumera y borra imágenes de VM en el espacio de nombres del proyecto.

Todos los roles de VM deben vincularse al espacio de nombres del proyecto en el que reside la VM.

Para obtener una lista de todos los roles predefinidos para los operadores de aplicaciones (AO), consulta Descripciones de roles.

Para otorgar o recibir acceso a los recursos de VM, consulta Otorga acceso a los recursos del proyecto.

Verifica el acceso de los usuarios a los recursos de VM

Sigue los pasos para acceder a la consola de GDC o a la gdcloud CLI para verificar el acceso a los recursos y las cargas de trabajo de la VM:

Console

  1. Accede a la consola de GDC como el usuario que solicita o verifica los permisos.
  2. Confirma que estás en el proyecto correcto verificando los nombres de la organización y del proyecto en la pantalla principal de la consola de GDC.
  3. En el menú de navegación, haz clic en Máquinas virtuales > Instancias.
  4. Para verificar si tienes acceso para crear VMs en el proyecto, haz clic en Crear instancia.
    • Si puedes continuar con la creación de la VM, significa que tienes permisos para crear VMs.
    • Si el botón Crear instancia no está disponible o aparece un mensaje de error que indica que no tienes permisos, comunícate con el administrador de proyectos de IAM y solicita el rol de administrador de proyectos de máquinas virtuales (project-vm-admin) en el espacio de nombres del proyecto en el que reside la VM.
  5. Para determinar si puedes ver y crear imágenes, haz clic en Máquinas virtuales > Importar > Crear imagen.
    • Si puedes continuar con la importación de imágenes, tienes permisos para crear recursos de VirtualMachineImageImport.
    • Si las opciones Importar o Crear imagen no están disponibles o si encuentras un error de permisos, comunícate con el administrador de proyectos de IAM y solicita el rol de administrador de proyectos de imágenes de máquinas virtuales (project-vm-image-admin) en el espacio de nombres del proyecto en el que reside la VM.

CLI

  1. Accede con las credenciales de tu cuenta o las credenciales del usuario que solicita o verifica los permisos.

  2. Usa el comando kubectl para verificar si tú o el usuario pueden crear máquinas virtuales:

    kubectl --kubeconfig MANAGEMENT_API_SERVER \
  -n PROJECT \
  auth can-i create virtualmachines.virtualmachine.gdc.goog

    Reemplaza las variables con las siguientes definiciones:

    Variable Reemplazo
    MANAGEMENT_API_SERVER El archivo kubeconfig del sistema de gdcloud auth login.
    PROJECT El nombre del proyecto en el que creas imágenes de VM
    • Si el resultado es yes, tienes permisos para crear una VM en el proyecto PROJECT.
    • Si el resultado es no, no tienes permisos. Comunícate con el administrador de proyectos de IAM y solicita el rol de administrador de proyectos de máquinas virtuales (project-vm-admin) en el espacio de nombres del proyecto en el que reside la VM.

  3. Verifica si tienes acceso a las imágenes de VM a nivel del proyecto. Ejecuta los comandos kubectl para verificar si puedes crear y usar recursos de VirtualMachineImage a nivel del proyecto:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Reemplaza las variables con las siguientes definiciones.

    Variable Reemplazo
    MANAGEMENT_API_SERVER La ruta de acceso kubeconfig del servidor de la API de Management
    PROJECT El nombre del proyecto en el que creas imágenes de VM
    • Si el resultado es yes, tienes permisos para acceder a las imágenes de VM personalizadas en el proyecto PROJECT.
    • Si el resultado es no, no tienes permisos. Comunícate con el administrador del proyecto de IAM y solicita el rol de administrador de proyectos de imágenes de máquinas virtuales (project-vm-image-admin) en el espacio de nombres del proyecto en el que reside la VM.

Próximos pasos