IAM-Berechtigungen vorbereiten

In diesem Dokument wird erläutert, wie Sie Ihre IAM-Berechtigungen (Identity and Access Management) vorbereiten, um Subnetze in Google Distributed Cloud (GDC) mit Air Gap effektiv zu verwalten.

GDC verwendet IAM für den detaillierten Zugriff auf bestimmte Ressourcen. Dieses Modell trägt dazu bei, unbefugten Zugriff auf andere Ressourcen zu verhindern.

Eine Rolle ist eine Sammlung von Berechtigungen, mit denen Sie bestimmte Aktionen für Ressourcen ausführen können. Sie weisen Rollen Subjekten wie Nutzern, Gruppen oder Dienstkonten zu. Zum Verwalten von Subnetzen in GDC benötigen Sie die erforderlichen IAM-Rollen.

Dieses Dokument richtet sich an Netzwerkadministratoren in der Gruppe der Plattformadministratoren, die für die Verwaltung der Netzwerkanforderungen in ihrer Organisation verantwortlich sind. Weitere Informationen finden Sie unter Zielgruppen für die Dokumentation zu GDC mit Air Gap.

IAM-Rollen für Subnetze

GDC unterstützt die folgenden IAM-Rollen für die Verwaltung von Subnetzen:

  • Administrator der Subnetzorganisation (subnet-global-org-admin): Verwaltet mehrere zonale Subnetze in der Organisation. Dies ist eine globale Berechtigung.
  • Administrator der Subnetzorganisation (subnet-org-admin): Verwaltet zonale Subnetze in der Organisation. Dies ist eine zonale Berechtigung.
  • Administrator des Subnetzprojekts (subnet-global-project-admin): Verwaltet mehrere zonale Subnetze in einem Projekt. Dies ist eine globale Berechtigung.
  • Administrator des Subnetzprojekts (subnet-project-admin): Verwaltet zonale Subnetze in einem Projekt. Dies ist eine zonale Berechtigung.
    • Diese Rolle umfasst die Berechtigung, alle Subnetze im Projektnamespace zu lesen und die meisten Subnetze im Projektnamespace zu erstellen, zu aktualisieren oder zu löschen.
    • Diese Rolle gewährt keine Berechtigung zum Erstellen, Aktualisieren oder Löschen von Subnetzen des Stammtyps (subnet.Spec.Type == Root).
  • Operator des Subnetzprojekts (subnet-project-operator): Verwaltet automatisch zugewiesene Subnetze des Blatttyps in Projekten.
    • Diese Rolle hat die Berechtigung, alle Subnetze im Projekt zu lesen und nur die automatisch zugewiesenen Blatt-Subnetze in den Projektnamespaces zu erstellen, zu aktualisieren oder zu löschen.
    • Diese Rolle gewährt keine Berechtigung zum Erstellen, Aktualisieren oder Löschen der folgenden Subnetze:
      • Subnetze des Stamm- oder Zweigtyps (subnet.Spec.Type == Root oder subnet.Spec.Type == Branch)
      • Netzwerk-Subnetze (subnet.Spec.NetworkSpec != nil)
      • Subnetze mit dedizierten CIDR-Blöcken (subnet.Spec.Ipv4Request.CIDR != nil oder subnet.Spec.Ipv6Request.CIDR != nil)
  • Betrachter der Subnetzplattform (subnet-platform-viewer): Listet Subnetze im platform Namespace auf.
  • Nutzer des freigegebenen Subnetzes (shared-subnet-user): Verwendet ein freigegebenes Subnetz im platform-Namespace als übergeordnetes Element, um ein Subnetz im Projekt zuzuweisen.
  • Nutzer von SUBNET_NAME (SUBNET_NAME-user): Verwendet bestimmte Subnetze im platform-Namespace.
    • Wenn ein dediziertes Subnetz im platform Namespace als übergeordnetes Element verwendet werden soll, um ein Subnetz im Projekt zuzuweisen, muss der Administrator der Subnetzorganisation ein Subnetz erstellen oder aktualisieren und die "ipam.gdc.goog/subnet-delegation-role": auto Annotation dafür festlegen.
    • Wenn eine Subnetzgruppe im platform Namespace für die projektinterne Subnetzzuweisung aktiviert werden soll, muss der Administrator der Subnetzorganisation die "ipam.gdc.goog/subnet-delegation-role": auto Annotation für alle Subnetze in der Gruppe festlegen.

Nächste Schritte