Preparar permisos de gestión de identidades y accesos

En este documento se explica cómo preparar los permisos de gestión de identidades y accesos (IAM) para gestionar de forma eficaz las subredes en Google Distributed Cloud (GDC) air-gapped.

GDC usa la gestión de identidades y accesos para conceder acceso granular a recursos específicos. Este modelo ayuda a evitar el acceso no autorizado a otros recursos.

Un rol es un conjunto de permisos que te permiten realizar acciones específicas en los recursos. Los roles se asignan a sujetos, como usuarios, grupos o cuentas de servicio. Para gestionar subredes en GDC, debes tener los roles de gestión de identidades y accesos necesarios.

Este documento está dirigido a los administradores de redes del grupo de administradores de la plataforma que se encargan de gestionar los requisitos de red de su organización. Para obtener más información, consulta Audiencias de la documentación aislada de GDC.

Roles de gestión de identidades y accesos para subredes

GDC admite los siguientes roles de gestión de identidades y accesos para gestionar subredes:

  • Administrador de la organización de subredes (subnet-global-org-admin): gestiona varias subredes de zonas de la organización. Se trata de un permiso global.
  • Administrador de la organización de subredes (subnet-org-admin): gestiona las subredes zonales de la organización. Se trata de un permiso zonal.
  • Administrador de proyectos de subredes (subnet-global-project-admin): gestiona varias subredes de zonas en un proyecto. Se trata de un permiso global.
  • Administrador de proyectos de subred (subnet-project-admin): gestiona las subredes zonales de un proyecto. Se trata de un permiso zonal.
    • Este rol incluye el permiso para leer todas las subredes del espacio de nombres del proyecto, así como para crear, actualizar o eliminar la mayoría de las subredes del espacio de nombres del proyecto.
    • Este rol no concede permiso para crear, actualizar ni eliminar subredes de tipo raíz (subnet.Spec.Type == Root).
  • Operador de proyecto de subred (subnet-project-operator): gestiona las subredes asignadas automáticamente de tipo hoja en los proyectos.
    • Este rol tiene permiso para leer todas las subredes del proyecto y para crear, actualizar o eliminar solo las subredes hoja asignadas automáticamente en los espacios de nombres del proyecto.
    • Este rol no concede permiso para crear, actualizar ni eliminar las siguientes subredes:
      • Subredes de tipo raíz o rama (subnet.Spec.Type == Root o subnet.Spec.Type == Branch)
      • Subredes de red (subnet.Spec.NetworkSpec != nil)
      • Subredes con bloques CIDR dedicados (subnet.Spec.Ipv4Request.CIDR != nil o subnet.Spec.Ipv6Request.CIDR != nil)
  • Visor de plataforma de subred (subnet-platform-viewer): muestra las subredes del espacio de nombres platform.
  • Usuario de subred compartida (shared-subnet-user): usa una subred compartida en el espacio de nombres platform como elemento superior para asignar una subred dentro del proyecto.
  • SUBNET_NAME Usuario (SUBNET_NAME-user): usa subredes específicas en el espacio de nombres platform.
    • Para conceder una subred dedicada en el espacio de nombres platform para que se use como elemento principal y asignar una subred dentro del proyecto, el administrador de la organización de la subred debe crear o actualizar una subred y definir la anotación "ipam.gdc.goog/subnet-delegation-role": auto.
    • Para habilitar un grupo de subredes en el espacio de nombres platform para la asignación de subredes internas del proyecto, el administrador de la organización de subredes debe definir la anotación "ipam.gdc.goog/subnet-delegation-role": auto en todas las subredes del grupo.

Siguientes pasos