Preparação das permissões do IAM

Neste documento, descrevemos os papéis e as permissões do Identity and Access Management (IAM) necessários para solicitar acesso a recursos do administrador do projeto do IAM. Você precisa ter os papéis e as permissões do IAM necessários para realizar tarefas em máquinas virtuais (VMs) no Google Distributed Cloud (GDC) com isolamento físico.

Este documento é destinado a desenvolvedores em grupos de administradores de plataforma ou operadores de aplicativos que criam e gerenciam VMs em um ambiente do GDC. Para mais informações, consulte Públicos-alvo da documentação do GDC com isolamento físico.

Sobre o IAM

O Distributed Cloud oferece o Identity and Access Management (IAM) para acesso granular a recursos específicos do Distributed Cloud e impede o acesso indesejado a outros recursos. O IAM opera com base no princípio de segurança de privilégio mínimo e controla quem tem permissão para determinados recursos usando papéis e permissões do IAM.

Antes de começar

Para usar os comandos da CLI gdcloud, conclua as etapas necessárias nas seções da interface de linha de comando (CLI) gdcloud. Todos os comandos do Google Distributed Cloud com isolamento físico usam a CLI gdcloud ou kubectl e exigem um ambiente de sistema operacional (SO).

Acessar o caminho do arquivo kubeconfig

Para executar comandos no servidor de API Management, verifique se você tem os seguintes recursos:

  1. Faça login e gere o arquivo kubeconfig para o servidor da API Management, se você não tiver um.

  2. Use o caminho para o arquivo kubeconfig do servidor de API Management para substituir MANAGEMENT_API_SERVER nestas instruções.

Solicitar papéis do IAM

Entre em contato com o administrador do projeto do IAM para solicitar os seguintes papéis no projeto:

  • Administrador do projeto de máquina virtual (project-vm-admin): criar, modificar, listar e excluir VMs no namespace do projeto.

  • Administrador do projeto de imagem de máquina virtual (project-vm-image-admin): cria, lista e exclui imagens de VM no namespace do projeto.

Todos os papéis de VM precisam ser vinculados ao namespace do projeto em que a VM reside.

Para uma lista de todos os papéis predefinidos para operadores de aplicativos (AO), consulte Descrições de papéis.

Para conceder ou receber acesso aos recursos de VM, consulte Conceder acesso aos recursos do projeto.

Verificar o acesso do usuário aos recursos da VM

Siga as etapas para fazer login no console do GDC ou na CLI gdcloud para verificar o acesso aos recursos e às cargas de trabalho da VM:

Console

  1. Faça login no console do GDC como o usuário que está solicitando ou verificando as permissões.
  2. Confirme se você está no projeto correto verificando os nomes da organização e do projeto na tela inicial do console do GDC.
  3. No menu de navegação, clique em Máquinas virtuais > Instâncias.
  4. Para verificar se você tem acesso para criar VMs no projeto, clique em Criar instância.
    • Se você conseguir prosseguir com a criação da VM, isso significa que você tem as permissões necessárias.
    • Se o botão Criar instância não estiver disponível ou se você receber uma mensagem de erro indicando falta de permissões, entre em contato com o administrador do projeto do IAM e solicite o papel de administrador do projeto de máquina virtual (project-vm-admin) no namespace do projeto em que a VM reside.
  5. Para determinar se você pode visualizar e criar imagens, clique em Máquinas virtuais > Importar > Criar imagem.
    • Se você puder prosseguir com a importação de imagens, terá permissões para criar recursos VirtualMachineImageImport.
    • Se as opções Importar ou Criar imagem não estiverem disponíveis ou se você encontrar um erro de permissões, entre em contato com o administrador do projeto do IAM e solicite o papel de administrador do projeto de imagem de máquina virtual (project-vm-image-admin) no namespace do projeto em que a VM reside.

CLI

  1. Faça login com as credenciais da sua conta ou do usuário que está solicitando ou verificando as permissões.

  2. Use o comando kubectl para verificar se você ou o usuário pode criar máquinas virtuais:

    kubectl --kubeconfig MANAGEMENT_API_SERVER \
  -n PROJECT \
  auth can-i create virtualmachines.virtualmachine.gdc.goog

    Substitua as variáveis usando as seguintes definições:

    Variável Substituição
    MANAGEMENT_API_SERVER O arquivo kubeconfig do sistema de gdcloud auth login.
    PROJECT O nome do projeto em que você cria imagens de VM.
    • Se a saída for yes, você terá permissões para criar uma VM no projeto PROJECT.
    • Se a saída for no, você não tem permissões. Entre em contato com o administrador do projeto do IAM e solicite o papel de administrador do projeto de máquina virtual (project-vm-admin) no namespace do projeto em que a VM reside.

  3. Verifique se você tem acesso às imagens de VM para envolvidos no projeto. Execute os comandos kubectl para verificar se é possível criar e usar recursos VirtualMachineImage no nível do projeto:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Substitua as variáveis usando as definições a seguir.

    Variável Substituição
    MANAGEMENT_API_SERVER O caminho kubeconfig do servidor de API Management
    PROJECT O nome do projeto em que você cria imagens de VM.
    • Se a saída for yes, você terá permissões para acessar imagens de VM personalizadas no projeto PROJECT.
    • Se a saída for no, você não tem permissões. Entre em contato com o administrador do projeto do IAM e solicite o papel de administrador do projeto de imagem de máquina virtual (project-vm-image-admin) no namespace do projeto em que a VM reside.

A seguir