Preparação das autorizações de IAM

Este documento descreve as funções e as autorizações de gestão de identidade e de acesso (IAM) necessárias para pedir acesso a recursos ao administrador de IAM do seu projeto. Tem de ter as funções e as autorizações de IAM necessárias para realizar tarefas em máquinas virtuais (VMs) no Google Distributed Cloud (GDC) air-gapped.

Este documento destina-se a programadores em grupos de administradores da plataforma ou operadores de aplicações que criam e gerem VMs num ambiente do GDC. Para mais informações, consulte o artigo Públicos-alvo para a documentação isolada do GDC.

Acerca do IAM

O Distributed Cloud oferece gestão de identidade e de acesso (IAM) para acesso detalhado a recursos específicos do Distributed Cloud e impede o acesso indesejado a outros recursos. O IAM opera com base no princípio de segurança do menor privilégio e oferece controlo sobre quem tem autorização para determinados recursos através das funções e autorizações do IAM.

Antes de começar

Para usar os comandos da CLI gdcloud, conclua os passos necessários nas secções da interface de linhas de comando (CLI) gdcloud. Todos os comandos para a utilização isolada do Google Distributed Cloud usam a CLI gdcloud ou kubectl e requerem um ambiente de sistema operativo (SO).

Obtenha o caminho do ficheiro kubeconfig

Para executar comandos no servidor da API Management, certifique-se de que tem os seguintes recursos:

  1. Inicie sessão e gere o ficheiro kubeconfig para o servidor da API Management se não tiver um.

  2. Use o caminho para o ficheiro kubeconfig do servidor da API de gestão para substituir MANAGEMENT_API_SERVER nestas instruções.

Peça funções de IAM

Contacte o administrador da IAM do projeto para pedir as seguintes funções no seu projeto:

  • Administrador do projeto de máquinas virtuais (project-vm-admin): criar, modificar, listar e eliminar VMs no espaço de nomes do projeto.

  • Administrador do projeto de imagem de máquina virtual (project-vm-image-admin): criar, listar e eliminar imagens de VMs no espaço de nomes do projeto.

Todas as funções de VMs têm de ser associadas ao espaço de nomes do projeto onde a VM reside.

Para ver uma lista de todas as funções predefinidas para operadores de aplicações (AO), consulte as descrições das funções.

Para conceder ou receber acesso a recursos de VMs, consulte o artigo Conceda acesso a recursos do projeto.

Valide o acesso de utilizadores aos recursos de VM

Siga os passos para iniciar sessão na consola do GDC ou na CLI gdcloud para validar o acesso a recursos de VMs e cargas de trabalho:

Consola

  1. Inicie sessão na consola do GDC como o utilizador que pede ou valida autorizações.
  2. Confirme que está no projeto correto verificando os nomes da organização e do projeto no ecrã principal da consola do GDC.
  3. No menu de navegação, clique em Máquinas virtuais > Instâncias.
  4. Para verificar se tem acesso para criar VMs no projeto, clique em Criar instância.
    • Se puder avançar com a criação de VMs, tem autorizações para criar VMs.
    • Se o botão Criar instância não estiver disponível ou receber uma mensagem de erro a indicar uma falta de autorizações, contacte o administrador de IAM do projeto e peça a função de administrador do projeto de máquina virtual (project-vm-admin) no espaço de nomes do projeto onde reside a VM.
  5. Para determinar se pode ver e criar imagens, clique em Máquinas virtuais > Importar > Criar imagem.
    • Se puder avançar com a importação de imagens, tem autorizações para criar recursos VirtualMachineImageImport.
    • Se as opções Importar ou Criar imagem não estiverem disponíveis ou se ocorrer um erro de autorizações, contacte o administrador da IAM do projeto e peça a função de administrador do projeto de imagem da máquina virtual (project-vm-image-admin) no espaço de nomes do projeto onde reside a VM.

CLI

  1. Inicie sessão com as credenciais da sua conta ou as credenciais do utilizador que está a pedir ou validar autorizações.

  2. Use o comando kubectl para verificar se você ou o utilizador podem criar máquinas virtuais:

    kubectl --kubeconfig MANAGEMENT_API_SERVER \
  -n PROJECT \
  auth can-i create virtualmachines.virtualmachine.gdc.goog

    Substitua as variáveis usando as seguintes definições:

    Variável Substituição
    MANAGEMENT_API_SERVER O ficheiro kubeconfig do sistema de gdcloud auth login.
    PROJECT O nome do projeto onde cria imagens de VMs
    • Se o resultado for yes, tem autorizações para criar uma VM no projeto PROJECT.
    • Se o resultado for no, não tem autorizações. Contacte o administrador do IAM do projeto e peça a função de administrador do projeto de máquina virtual (project-vm-admin) no espaço de nomes do projeto onde reside a VM.

  3. Verifique se tem acesso a imagens de VMs ao nível do projeto. Execute os comandos kubectl para verificar se pode criar e usar recursos VirtualMachineImage ao nível do projeto:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Substitua as variáveis usando as seguintes definições.

    Variável Substituição
    MANAGEMENT_API_SERVER O caminho do servidor da API Management kubeconfig
    PROJECT O nome do projeto onde cria imagens de VMs
    • Se o resultado for yes, tem autorizações para aceder a imagens de VMs personalizadas no projeto PROJECT.
    • Se o resultado for no, não tem autorizações. Contacte o administrador do IAM do projeto e peça a função de administrador do projeto de imagem da máquina virtual (project-vm-image-admin) no espaço de nomes do projeto onde reside a VM.

O que se segue?