Préparation des autorisations IAM

Ce document décrit les rôles et les autorisations IAM (Identity and Access Management) nécessaires pour demander l'accès aux ressources à l'administrateur de projet IAM. Vous devez disposer des rôles et autorisations IAM nécessaires pour effectuer des tâches sur des machines virtuelles (VM) dans Google Distributed Cloud (GDC) air-gapped.

Ce document est destiné aux développeurs des groupes d'administrateurs de plate-forme ou d'opérateurs d'applications qui créent et gèrent des VM dans un environnement GDC. Pour en savoir plus, consultez la documentation sur les audiences pour GDC sous air gap.

À propos de Cloud IAM

Distributed Cloud propose Identity and Access Management (IAM) pour un accès précis à des ressources Distributed Cloud spécifiques et empêche tout accès indésirable à d'autres ressources. IAM fonctionne selon le principe de sécurité du moindre privilège et permet de contrôler qui est autorisé à accéder à des ressources données à l'aide de rôles et d'autorisations IAM.

Avant de commencer

Pour utiliser les commandes gdcloud CLI, suivez les étapes requises dans les sections Interface de ligne de commande (CLI) gdcloud. Toutes les commandes pour Google Distributed Cloud sous air gap utilisent la CLI gdcloud ou kubectl et nécessitent un environnement de système d'exploitation (OS).

Obtenir le chemin d'accès au fichier kubeconfig

Pour exécuter des commandes sur le serveur d'API Management, assurez-vous de disposer des ressources suivantes :

  1. Connectez-vous et générez le fichier kubeconfig pour le serveur d'API Management si vous n'en avez pas.

  2. Utilisez le chemin d'accès au fichier kubeconfig du serveur d'API Management pour remplacer MANAGEMENT_API_SERVER dans ces instructions.

Demander des rôles IAM

Contactez l'administrateur de projet IAM pour demander les rôles suivants sur votre projet :

  • Administrateur de projet de machine virtuelle (project-vm-admin) : crée, modifie, liste et supprime des VM dans l'espace de noms du projet.

  • Administrateur de projet d'image de machine virtuelle (project-vm-image-admin) : crée, liste et supprime des images de VM dans l'espace de noms du projet.

Tous les rôles de VM doivent être liés à l'espace de noms du projet dans lequel réside la VM.

Pour obtenir la liste de tous les rôles prédéfinis pour les opérateurs d'application, consultez Descriptions des rôles.

Pour accorder ou recevoir l'accès aux ressources de VM, consultez Accorder l'accès aux ressources du projet.

Vérifier l'accès des utilisateurs aux ressources de VM

Suivez la procédure pour vous connecter à la console GDC ou à la CLI gdcloud afin de vérifier l'accès aux ressources et aux charges de travail des VM :

Console

  1. Connectez-vous à la console GDC en tant qu'utilisateur demandant ou vérifiant des autorisations.
  2. Confirmez que vous vous trouvez dans le bon projet en vérifiant les noms de l'organisation et du projet sur l'écran d'accueil de la console GDC.
  3. Dans le menu de navigation, cliquez sur Machines virtuelles > Instances.
  4. Pour vérifier si vous êtes autorisé à créer des VM dans le projet, cliquez sur Créer une instance.
    • Si vous pouvez procéder à la création de VM, cela signifie que vous disposez des autorisations nécessaires.
    • Si le bouton Créer une instance n'est pas disponible ou si un message d'erreur s'affiche pour indiquer un manque d'autorisations, contactez l'administrateur de projet IAM et demandez le rôle d'administrateur de projet de machine virtuelle (project-vm-admin) dans l'espace de noms du projet où réside la VM.
  5. Pour déterminer si vous pouvez afficher et créer des images, cliquez sur Machines virtuelles > Importer > Créer une image.
    • Si vous pouvez procéder à l'importation d'images, vous disposez des autorisations nécessaires pour créer des ressources VirtualMachineImageImport.
    • Si les options Importer ou Créer une image ne sont pas disponibles ou si vous rencontrez une erreur d'autorisation, contactez l'administrateur de votre projet IAM et demandez le rôle d'administrateur de projet d'image de machine virtuelle (project-vm-image-admin) dans l'espace de noms du projet où réside la VM.

CLI

  1. Connectez-vous avec les identifiants de votre compte ou ceux de l'utilisateur qui demande ou vérifie les autorisations.

  2. Utilisez la commande kubectl pour vérifier si vous ou l'utilisateur pouvez créer des machines virtuelles :

    kubectl --kubeconfig MANAGEMENT_API_SERVER \
  -n PROJECT \
  auth can-i create virtualmachines.virtualmachine.gdc.goog

    Remplacez les variables à l'aide des définitions suivantes :

    Variable Remplacement
    MANAGEMENT_API_SERVER Le fichier kubeconfig du système de gdcloud auth login.
    PROJECT Nom du projet dans lequel vous créez des images de VM
    • Si le résultat est yes, vous êtes autorisé à créer une VM dans le projet PROJECT.
    • Si le résultat est no, vous ne disposez pas des autorisations nécessaires. Contactez l'administrateur de projet IAM et demandez le rôle d'administrateur de projet de machine virtuelle (project-vm-admin) dans l'espace de noms du projet où réside la VM.

  3. Vérifiez si vous avez accès aux images de VM au niveau du projet. Exécutez les commandes kubectl pour vérifier si vous pouvez créer et utiliser des ressources VirtualMachineImage au niveau du projet :

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Remplacez les variables à l'aide des définitions suivantes.

    Variable Remplacement
    MANAGEMENT_API_SERVER Chemin d'accès kubeconfig du serveur d'API Management
    PROJECT Nom du projet dans lequel vous créez des images de VM
    • Si le résultat est yes, vous êtes autorisé à accéder aux images de VM personnalisées dans le projet PROJECT.
    • Si le résultat est no, vous ne disposez pas des autorisations nécessaires. Contactez l'administrateur de projet IAM et demandez le rôle d'administrateur de projet d'image de machine virtuelle (project-vm-image-admin) dans l'espace de noms du projet où réside la VM.

Étape suivante