Preparación de permisos de IAM

En este documento, se describen los roles y permisos de Identity and Access Management (IAM) necesarios para solicitar acceso a los recursos de tu administrador de IAM del proyecto. Debes tener los roles y permisos de IAM necesarios para realizar tareas en máquinas virtuales (VMs) en Google Distributed Cloud (GDC) aislado.

Este documento está dirigido a los desarrolladores de grupos de administradores de plataformas o operadores de aplicaciones que crean y administran VMs en un entorno de GDC. Para obtener más información, consulta Públicos de la documentación de Google Distributed Cloud aislado.

Acerca de IAM

Distributed Cloud ofrece Identity and Access Management (IAM) para el acceso detallado a recursos específicos de Distributed Cloud y evita el acceso no deseado a otros recursos. IAM opera según el principio de seguridad de privilegio mínimo y proporciona control sobre quién tiene permiso para los recursos determinados mediante roles y permisos de IAM.

Antes de comenzar

Para usar los comandos de la CLI de gdcloud, completa los pasos necesarios de las secciones de la interfaz de línea de comandos (CLI) de gdcloud. Todos los comandos para Google Distributed Cloud aislado usan la CLI de gdcloud o kubectl y requieren un entorno de sistema operativo (SO).

Obtén la ruta de acceso del archivo kubeconfig

Para ejecutar comandos en el servidor de la API de Management, asegúrate de tener los siguientes recursos:

  1. Accede y genera el archivo kubeconfig para el servidor de la API de Management si no tienes uno.

  2. Usa la ruta de acceso al archivo kubeconfig del servidor de la API de Management para reemplazar MANAGEMENT_API_SERVER en estas instrucciones.

Solicita roles de IAM

Comunícate con tu administrador de IAM del proyecto para solicitar los siguientes roles en tu proyecto:

  • Administrador de proyectos de máquinas virtuales (project-vm-admin): Crea, modifica, enumera y borra VMs en el espacio de nombres del proyecto.

  • Administrador de proyectos de imágenes de máquinas virtuales (project-vm-image-admin): Crea, enumera y borra imágenes de VM en el espacio de nombres del proyecto.

Todos los roles de VM deben vincularse al espacio de nombres del proyecto en el que reside la VM.

Para obtener una lista de todos los roles predefinidos para los operadores de aplicaciones (AO), consulta Descripciones de roles.

Para otorgar o recibir acceso a los recursos de VM, consulta Otorga acceso a los recursos del proyecto.

Verifica el acceso de los usuarios a los recursos de VM

Sigue los pasos para acceder a la consola de GDC o a la CLI de gdcloud para verificar el acceso a los recursos de VM y las cargas de trabajo:

Console

  1. Accede a la consola de GDC como el usuario que solicita o verifica permisos.
  2. Para confirmar que estás en el proyecto correcto, verifica los nombres de la organización y del proyecto en la pantalla principal de la consola de GDC.
  3. En el menú de navegación, haz clic en Máquinas virtuales > Instancias.
  4. Para verificar si tienes acceso para crear VMs en el proyecto, haz clic en Crear instancia.
    • Si puedes continuar con la creación de la VM, tienes permisos para crear VMs.
    • Si el botón Crear instancia no está disponible o si aparece un mensaje de error que indica que no tienes permisos, comunícate con tu administrador de IAM del proyecto y solicita el rol de administrador de proyectos de máquinas virtuales (project-vm-admin) en el espacio de nombres del proyecto en el que reside la VM.
  5. Para determinar si puedes ver y crear imágenes, haz clic en Máquinas virtuales > Importar > Crear imagen.
    • Si puedes continuar con la importación de imágenes, tienes permisos para crear recursos VirtualMachineImageImport.
    • Si las opciones Importar o Crear imagen no están disponibles o si aparece un error de permisos, comunícate con tu administrador de IAM del proyecto y solicita el rol de administrador de proyectos de imágenes de máquinas virtuales (project-vm-image-admin) en el espacio de nombres del proyecto en el que reside la VM.

CLI

  1. Accede con las credenciales de tu cuenta o las credenciales del usuario que solicita o verifica permisos.

  2. Usa el comando kubectl para verificar si tú o el usuario pueden crear máquinas virtuales:

    kubectl --kubeconfig MANAGEMENT_API_SERVER \
  -n PROJECT \
  auth can-i create virtualmachines.virtualmachine.gdc.goog

    Reemplaza las variables con las siguientes definiciones:

    Variable Reemplazo
    MANAGEMENT_API_SERVER El archivo kubeconfig del sistema de gdcloud auth login.
    PROJECT El nombre del proyecto en el que creas imágenes de VM
    • Si el resultado es yes, tienes permisos para crear una VM en el proyecto PROJECT.
    • Si el resultado es no, no tienes permisos. Comunícate con tu administrador de IAM del proyecto y solicita el rol de administrador de proyectos de máquinas virtuales (project-vm-admin) en el espacio de nombres del proyecto en el que reside la VM.

  3. Verifica si tienes acceso a las imágenes de VM a nivel del proyecto. Ejecuta los comandos kubectl para verificar si puedes crear y usar recursos VirtualMachineImage a nivel del proyecto:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Reemplaza las variables con las siguientes definiciones.

    Variable Reemplazo
    MANAGEMENT_API_SERVER La ruta de acceso kubeconfig del servidor de la API de Management
    PROJECT El nombre del proyecto en el que creas imágenes de VM
    • Si el resultado es yes, tienes permisos para acceder a imágenes de VM personalizadas en el proyecto PROJECT.
    • Si el resultado es no, no tienes permisos. Comunícate con tu administrador de IAM del proyecto y solicita el rol de administrador de proyectos de imágenes de máquinas virtuales (project-vm-image-admin) en el espacio de nombres del proyecto en el que reside la VM.

Próximos pasos