Prepara le autorizzazioni IAM

Questo documento spiega come preparare le autorizzazioni di Identity and Access Management (IAM) per gestire in modo efficace le subnet in Google Distributed Cloud (GDC) air-gapped.

GDC utilizza IAM per l'accesso granulare a risorse specifiche. Questo modello contribuisce a impedire l'accesso non autorizzato ad altre risorse.

Un ruolo è un insieme di autorizzazioni che consentono di eseguire azioni specifiche sulle risorse. Assegni i ruoli ai soggetti, come utenti, gruppi o account di servizio. Per gestire le subnet in GDC, devi disporre dei ruoli IAM richiesti.

Questo documento è rivolto agli amministratori di rete all'interno del gruppo di amministratori della piattaforma che sono responsabili della gestione dei requisiti di rete all'interno della propria organizzazione. Per saperne di più, consulta la sezione Pubblico della documentazione di GDC con air gap.

Ruoli IAM per le subnet

GDC supporta i seguenti ruoli IAM per la gestione delle subnet:

  • Amministratore dell'organizzazione della subnet (subnet-global-org-admin): gestisce più subnet di zona all'interno dell'organizzazione. Si tratta di un'autorizzazione globale.
  • Amministratore dell'organizzazione della subnet (subnet-org-admin): gestisce le subnet zonali all'interno dell'organizzazione. Si tratta di un'autorizzazione zonale.
  • Amministratore del progetto della subnet (subnet-global-project-admin): gestisce più subnet di zona all'interno di un progetto. Si tratta di un'autorizzazione globale.
  • Amministratore del progetto della subnet (subnet-project-admin): gestisce le subnet zonali all'interno di un progetto. Si tratta di un'autorizzazione zonale.
    • Questo ruolo include l'autorizzazione a leggere tutte le subnet nello spazio dei nomi del progetto e a creare, aggiornare o eliminare la maggior parte delle subnet nello spazio dei nomi del progetto.
    • Questo ruolo non concede l'autorizzazione a creare, aggiornare o eliminare le subnet di tipo root (subnet.Spec.Type == Root).
  • Operatore del progetto della subnet (subnet-project-operator): gestisce le subnet con allocazione automatica di tipo foglia all'interno dei progetti.
    • Questo ruolo ha l'autorizzazione a leggere tutte le subnet nel progetto e a creare, aggiornare o eliminare solo le subnet foglia con allocazione automatica negli spazi dei nomi del progetto.
    • Questo ruolo non concede l'autorizzazione a creare, aggiornare o eliminare le seguenti subnet:
      • Subnet di tipo root o ramo (subnet.Spec.Type == Root o subnet.Spec.Type == Branch)
      • Subnet di rete (subnet.Spec.NetworkSpec != nil)
      • Subnet con blocchi CIDR dedicati (subnet.Spec.Ipv4Request.CIDR != nil o subnet.Spec.Ipv6Request.CIDR != nil)
  • Visualizzatore della piattaforma della subnet (subnet-platform-viewer): elenca le subnet nello spazio dei nomi platform.
  • Utente della subnet condivisa (shared-subnet-user): utilizza una subnet condivisa nello spazio dei nomi platform come parent per allocare una subnet all'interno del progetto.
  • SUBNET_NAME Utente (SUBNET_NAME-user): utilizza subnet specifiche nello spazio dei nomi platform.
    • Per concedere una subnet dedicata nello spazio dei nomi platform da utilizzare come parent per allocare una subnet all'interno del progetto, l'amministratore dell'organizzazione della subnet deve creare o aggiornare una subnet e impostare l' "ipam.gdc.goog/subnet-delegation-role": auto annotazione per essa.
    • Per abilitare un gruppo di subnet nello spazio dei nomi platform per l'allocazione di subnet interne al progetto, l'amministratore dell'organizzazione della subnet deve impostare l'annotazione "ipam.gdc.goog/subnet-delegation-role": auto su tutte le subnet del gruppo.

Passaggi successivi