הכנת הרשאות IAM

במאמר הזה מוסבר איך להכין את ההרשאות של ניהול הזהויות והרשאות הגישה (IAM) כדי לנהל ביעילות רשתות משנה ב-Google Distributed Cloud (GDC) עם בידוד פיזי.

‫GDC משתמש ב-IAM כדי לתת גישה פרטנית למשאבים ספציפיים. המודל הזה עוזר למנוע גישה לא מורשית למשאבים אחרים.

תפקיד הוא אוסף של הרשאות שמאפשרות לבצע פעולות ספציפיות במשאבים. מקצים תפקידים לסובייקטים, כמו משתמשים, קבוצות או חשבונות שירות. כדי לנהל רשתות משנה ב-GDC, צריך לקבל את תפקידי ה-IAM הנדרשים.

המסמך הזה מיועד לאדמינים של רשתות שנכללים בקבוצת האדמינים של הפלטפורמה, ואחראים לניהול הדרישות של הרשת בארגון שלהם. מידע נוסף מופיע במאמרי העזרה בנושא קהלים ב-GDC עם פער אבטחה.

תפקידי IAM לרשתות משנה

‫GDC תומך בתפקידי ה-IAM הבאים לניהול רשתות משנה:

  • אדמין ארגוני של תת-רשת (subnet-global-org-admin): מנהל כמה תת-רשתות של אזורים בארגון. זו הרשאה גלובלית.
  • אדמין ארגוני של רשת משנה (subnet-org-admin): מנהל רשתות משנה אזוריות בארגון. זו הרשאה אזורית.
  • אדמין פרויקט של רשת משנה (subnet-global-project-admin): ניהול של כמה רשתות משנה באזורים שונים בפרויקט. זו הרשאה גלובלית.
  • אדמין של פרויקט תת-רשת (subnet-project-admin): ניהול של תת-רשתות אזוריות בפרויקט. זו הרשאה אזורית.
    • התפקיד הזה כולל הרשאה לקרוא את כל רשתות המשנה במרחב השמות של הפרויקט, וליצור, לעדכן או למחוק את רוב רשתות המשנה במרחב השמות של הפרויקט.
    • התפקיד הזה לא מעניק הרשאה ליצור, לעדכן או למחוק רשתות משנה מסוג root (subnet.Spec.Type == Root).
  • מפעיל פרויקט של תת-רשת (subnet-project-operator): ניהול של תת-רשתות מסוג עלה שהוקצו אוטומטית בפרויקטים.
    • לתפקיד הזה יש הרשאה לקרוא את כל רשתות המשנה בפרויקט וליצור, לעדכן או למחוק רק את רשתות המשנה של העלים שהוקצו אוטומטית במרחבי השמות של הפרויקט.
    • התפקיד הזה לא מעניק הרשאה ליצור, לעדכן או למחוק את רשתות המשנה הבאות:
      • רשתות משנה מסוג root או branch‏ (subnet.Spec.Type == Root או subnet.Spec.Type == Branch)
      • רשתות משנה (subnet.Spec.NetworkSpec != nil)
      • תת-רשתות עם בלוקים ייעודיים של CIDR (subnet.Spec.Ipv4Request.CIDR != nil או subnet.Spec.Ipv6Request.CIDR != nil)
  • ‫Subnet Platform Viewer (subnet-platform-viewer): מציג רשימה של תת-רשתות במרחב השמות platform.
  • משתמש בתת-רשת משותפת (shared-subnet-user): משתמש בתת-רשת משותפת במרחב השמות platform כרשת אב להקצאת תת-רשת בתוך הפרויקט.
  • ‫SUBNET_NAME User (SUBNET_NAME-user): משתמש בתת-רשתות ספציפיות במרחב השמות platform.
    • כדי להקצות רשת משנה ייעודית במרחב השמות platform לשימוש כרשת משנה ראשית להקצאת רשת משנה בתוך הפרויקט, אדמין רשת המשנה בארגון צריך ליצור או לעדכן רשת משנה ולהגדיר עבורה את ההערה "ipam.gdc.goog/subnet-delegation-role": auto.
    • כדי להפעיל קבוצת רשתות משנה במרחב השמות platform להקצאת רשתות משנה פנימיות לפרויקט, מנהל הרשתות המשנה בארגון צריך להגדיר את ההערה "ipam.gdc.goog/subnet-delegation-role": auto בכל רשתות המשנה בקבוצה.

המאמרים הבאים