IAM 権限を準備する

このドキュメントでは、Google Distributed Cloud（GDC）エアギャップ環境でサブネットを効果的に管理するために、Identity and Access Management（IAM）権限を準備する方法について説明します。

GDC は、特定のリソースへのきめ細かいアクセスに IAM を使用します。このモデルは、他のリソースへの不正アクセスを防ぐのに役立ちます。

ロールは、リソースに対して特定の操作を実行できるようにする権限の集まりです。ロールは、ユーザー、グループ、サービス アカウントなどのサブジェクトに割り当てます。GDC でサブネットを管理するには、必要な IAM ロールが必要です。

このドキュメントは、組織内のネットワーク要件の管理を担当するプラットフォーム管理者グループ内のネットワーク管理者向けです。詳細については、 GDC エアギャップ環境のドキュメントの対象読者をご覧ください。

サブネットの IAM ロール

GDC では、サブネットの管理に次の IAM ロールがサポートされています。

  • サブネット組織管理者（subnet-global-org-admin）: 組織内の複数のゾーン サブネットを管理します。これはグローバル権限です。
  • サブネット組織管理者（subnet-org-admin）: 組織内のゾーン サブネットを管理します。これはゾーン権限です。
  • サブネット プロジェクト管理者（subnet-global-project-admin）: プロジェクト内の複数のゾーン サブネットを管理します。これはグローバル権限です。
  • サブネット プロジェクト管理者（subnet-project-admin）: プロジェクト内のゾーン サブネットを管理します。これはゾーン権限です。
    • このロールには、プロジェクト名前空間内のすべてのサブネットを読み取り、プロジェクト名前空間内のほとんどのサブネットを作成、更新、削除する権限が含まれています。
    • このロールでは、ルートタイプのサブネット（subnet.Spec.Type == Root）の作成、更新、削除はできません。
  • サブネット プロジェクト オペレーター（subnet-project-operator）: プロジェクト内のリーフタイプの自動割り当てサブネットを管理します。
    • このロールには、プロジェクト内のすべてのサブネットを読み取り、プロジェクト名前空間内の自動割り当てリーフ サブネットのみを作成、更新、削除する権限があります。
    • このロールでは、次のサブネットの作成、更新、削除はできません。
      • ルートタイプまたはブランチタイプのサブネット（subnet.Spec.Type == Root または subnet.Spec.Type == Branch）
      • ネットワーク サブネット（subnet.Spec.NetworkSpec != nil）
      • 専用の CIDR ブロックを持つサブネット（subnet.Spec.Ipv4Request.CIDR != nil または subnet.Spec.Ipv6Request.CIDR != nil）
  • サブネット プラットフォーム閲覧者（subnet-platform-viewer）: platform 名前空間内のサブネットを一覧表示します。
  • 共有サブネット ユーザー（shared-subnet-user）: platform 名前空間の共有サブネットを親として使用して、プロジェクト内にサブネットを割り当てます。
  • SUBNET_NAME ユーザー（SUBNET_NAME-user）: platform 名前空間内の特定のサブネットを使用します。
    • プロジェクト内にサブネットを割り当てるための親として使用する専用サブネットを platform 名前空間に付与するには、サブネット組織 管理者がサブネットを作成または更新し、そのサブネットに "ipam.gdc.goog/subnet-delegation-role": auto アノテーションを設定する必要があります。
    • platform 名前空間内のサブネット グループで プロジェクト内部のサブネット割り当てを有効にするには、サブネット組織管理者が グループ内のすべてのサブネットに "ipam.gdc.goog/subnet-delegation-role": auto アノテーションを設定する必要があります。

次のステップ