הכנה של הרשאות IAM

במאמר הזה מפורטים התפקידים וההרשאות של ניהול הזהויות והרשאות הגישה (IAM) שנדרשים כדי לבקש גישה למשאבים מהאדמין של הפרויקט ב-IAM. כדי לבצע משימות במכונות וירטואליות (VM) ב-Google Distributed Cloud (GDC)‎ עם air gap, צריך את התפקידים וההרשאות המתאימים ב-IAM.

המסמך הזה מיועד למפתחים בקבוצות של אדמינים בפלטפורמה או של מפעילי אפליקציות, שיוצרים ומנהלים מכונות וירטואליות בסביבת GDC. מידע נוסף זמין במאמר קהלי היעד של מסמכי התיעוד של GDC עם air gap.

מידע כללי על IAM

ב-Distributed Cloud יש ממשק לניהול זהויות והרשאות גישה (IAM), שמאפשר לתת גישה פרטנית יותר למשאבים ספציפיים ב-Distributed Cloud ולמנוע גישה לא רצויה למשאבים אחרים. ‫IAM פועל לפי העקרון של הרשאות מינימליות בתחום האבטחה, ומאפשר לשלוט במי שמקבל הרשאות למשאבים מסוימים באמצעות תפקידים והרשאות ב-IAM.

לפני שמתחילים

כדי להשתמש בפקודות של gdcloud CLI, צריך לבצע את השלבים הנדרשים בקטעים של ממשק שורת הפקודה (CLI) של gdcloud. כל הפקודות ב-Google Distributed Cloud במודל Air-gapped משתמשות ב-CLI של gdcloud או kubectl, ודורשות סביבה של מערכת הפעלה (OS).

קבלת נתיב הקובץ של kubeconfig

כדי להריץ פקודות בשרת Management API, צריך לוודא שיש לכם את המשאבים הבאים:

1. אם אין לכם קובץ kubeconfig לשרת Management API, נכנסים לחשבון ויוצרים אותו.

2. בהוראות הבאות, מחליפים את MANAGEMENT_API_SERVER בנתיב לקובץ kubeconfig של שרת Management API.

בקשת תפקידים ב-IAM

פנו לאדמין של הפרויקט ב-IAM ובקשו ממנו להקצות לכם את התפקידים הבאים בפרויקט:

• אדמין של פרויקט מכונות וירטואליות (project-vm-admin): יצירה, שינוי, הצגה ברשימה ומחיקה של מכונות וירטואליות במרחב השמות של הפרויקט.

• אדמין של פרויקט קובצי אימג' של מכונות וירטואליות (project-vm-image-admin): יצירה, הצגה ומחיקה של קובצי אימג' של מכונות וירטואליות במרחב השמות של הפרויקט.

כל התפקידים של המכונה הווירטואלית חייבים להיות מקושרים למרחב השמות של הפרויקט שבו נמצאת המכונה הווירטואלית.

בתיאורי התפקידים מופיעה רשימה של כל התפקידים המוגדרים מראש למפעילי אפליקציות (AO).

כדי לתת או לקבל גישה למשאבי VM, קראו את המאמר מתן גישה למשאבי פרויקט.

אימות הגישה של המשתמשים למשאבי VM

כדי לוודא שיש לכם גישה למשאבים ולעומסי העבודה של ה-VM, בצעו את השלבים לכניסה למסוף GDC או ל-gdcloud CLI:

המסוף

1. נכנסים למסוף GDC בתור המשתמש שמבקש או מאמת את ההרשאות.
2. מוודאים שאתם בפרויקט הנכון על ידי אימות שמות הארגון והפרויקט במסך הבית של מסוף GDC.
3. בתפריט הניווט, לוחצים על Virtual Machines > Instances.
4. כדי לבדוק אם יש לכם גישה ליצירת מכונות וירטואליות בפרויקט, לוחצים על Create Instance.
   • אם אתם יכולים להמשיך ביצירת המכונה הווירטואלית, יש לכם הרשאות ליצור מכונות וירטואליות.
   • אם הלחצן Create Instance לא זמין או שמופיעה הודעת שגיאה על כך שאין לכם הרשאות, אתם צריכים לפנות לאדמין ה-IAM של הפרויקט ולבקש את התפקיד "אדמין של פרויקט מכונה וירטואלית" (project-vm-admin) במרחב השמות של הפרויקט שבו נמצאת ה-VM.
5. כדי לבדוק אם אתם יכולים לראות וליצור קובצי אימג', לוחצים על Virtual Machines > Import > Create Image.
   • אם אתם יכולים להמשיך בייבוא התמונה, יש לכם הרשאות ליצור משאבי VirtualMachineImageImport.
   • אם האפשרויות Import או Create Image לא זמינות או שמופיעה שגיאת הרשאות, פנו לאדמין של הפרויקט ב-IAM ובקשו את התפקיד "אדמין של פרויקט תמונות של מכונות וירטואליות" (project-vm-image-admin) במרחב השמות של הפרויקט שבו נמצאת ה-VM.

CLI

1. נכנסים באמצעות פרטי הכניסה לחשבון שלכם או של המשתמש שמבקש או מאמת את ההרשאות.

2. משתמשים בפקודה kubectl כדי לבדוק אם אתם או המשתמש יכולים ליצור מכונות וירטואליות:

   kubectl --kubeconfig MANAGEMENT_API_SERVER \
     -n PROJECT \
     auth can-i create virtualmachines.virtualmachine.gdc.goog
   

   מחליפים את המשתנים לפי ההגדרות הבאות:

   משתנה	החלפה
   MANAGEMENT_API_SERVER	קובץ ה-kubeconfig של המערכת מ-gdcloud auth login.
   PROJECT	שם הפרויקט שבו יוצרים קובצי אימג' של מכונות וירטואליות

   • אם הפלט הוא yes, יש לכם הרשאות ליצור מכונה וירטואלית בפרויקט PROJECT.
   • אם הפלט הוא no, אין לכם הרשאות. פנו לאדמין של הפרויקט ב-IAM ובקשו את התפקיד "אדמין של פרויקט מכונה וירטואלית" (project-vm-admin) במרחב השמות של הפרויקט שבו נמצאת המכונה הווירטואלית.

3. בודקים אם יש לכם גישה לתמונות של מכונות וירטואליות ברמת הפרויקט. מריצים את הפקודות של kubectl כדי לבדוק אם אפשר ליצור משאבים של VirtualMachineImage ברמת הפרויקט ולהשתמש בהם:

   kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
   kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT
   

   מחליפים את המשתנים לפי ההגדרות הבאות.

   משתנה	החלפה
   MANAGEMENT_API_SERVER	הנתיב kubeconfig של שרת Management API
   PROJECT	שם הפרויקט שבו יוצרים קובצי אימג' של מכונות וירטואליות

   • אם הפלט הוא yes, יש לכם הרשאות גישה לתמונות של מכונות וירטואליות בהתאמה אישית בפרויקט PROJECT.
   • אם הפלט הוא no, אין לכם הרשאות. פונים לאדמין של הפרויקט ב-IAM ומבקשים את התפקיד "אדמין של פרויקט תמונות של מכונות וירטואליות" (project-vm-image-admin) במרחב השמות של הפרויקט שבו נמצאת ה-VM.

מה השלב הבא?

• ניהול הגישה לאשכולות רגילים
• איך יוצרים ומפעילים מכונות וירטואליות
• תמונות נתמכות של מכונות וירטואליות