Prepare as autorizações de IAM

Este documento explica como preparar as autorizações da gestão de identidade e de acesso (IAM) para gerir eficazmente sub-redes no Google Distributed Cloud (GDC) isolado.

O GDC usa o IAM para o acesso detalhado a recursos específicos. Este modelo ajuda a impedir o acesso não autorizado a outros recursos.

Uma função é um conjunto de autorizações que lhe permite realizar ações específicas em recursos. Atribui funções a sujeitos, como utilizadores, grupos ou contas de serviço. Para gerir sub-redes no GDC, tem de ter as funções do IAM necessárias.

Este documento destina-se aos administradores de rede no grupo de administradores da plataforma que são responsáveis pela gestão dos requisitos de rede na respetiva organização. Para mais informações, consulte a documentação sobre públicos-alvo para GDC com isolamento de ar.

Funções de IAM para sub-redes

O GDC suporta as seguintes funções de IAM para gerir sub-redes:

  • Administrador organizacional da sub-rede (subnet-global-org-admin): gere várias sub-redes de zonas na organização. Esta é uma autorização global.
  • Administrador organizacional da sub-rede (subnet-org-admin): gere sub-redes zonais na organização. Esta é uma autorização zonal.
  • Administrador do projeto de sub-rede (subnet-global-project-admin): gere várias sub-redes de zonas num projeto. Esta é uma autorização global.
  • Administrador do projeto de sub-rede (subnet-project-admin): gere sub-redes zonais num projeto. Esta é uma autorização zonal.
    • Esta função inclui autorização para ler todas as sub-redes no espaço de nomes do projeto e para criar, atualizar ou eliminar a maioria das sub-redes no espaço de nomes do projeto.
    • Esta função não concede autorização para criar, atualizar nem eliminar sub-redes do tipo raiz (subnet.Spec.Type == Root).
  • Operador de projetos de sub-rede (subnet-project-operator): gere sub-redes atribuídas automaticamente do tipo folha em projetos.
    • Esta função tem autorização para ler todas as sub-redes no projeto e para criar, atualizar ou eliminar apenas as sub-redes folha atribuídas automaticamente nos espaços de nomes do projeto.
    • Esta função não concede autorização para criar, atualizar nem eliminar as seguintes sub-redes:
      • Sub-redes do tipo raiz ou ramificação (subnet.Spec.Type == Root ou subnet.Spec.Type == Branch)
      • Sub-redes (subnet.Spec.NetworkSpec != nil)
      • Sub-redes com blocos CIDR dedicados (subnet.Spec.Ipv4Request.CIDR != nil ou subnet.Spec.Ipv6Request.CIDR != nil)
  • Visualizador da plataforma de sub-redes (subnet-platform-viewer): lista as sub-redes no espaço de nomes platform.
  • Utilizador da sub-rede partilhada (shared-subnet-user): usa uma sub-rede partilhada no espaço de nomes platform como principal para atribuir uma sub-rede no projeto.
  • SUBNET_NAME Utilizador (SUBNET_NAME-user): Usa sub-redes específicas no espaço de nomes platform.
    • Para conceder uma sub-rede dedicada no espaço de nomes platform para utilização como principal para atribuir uma sub-rede no projeto, o administrador da organização da sub-rede tem de criar ou atualizar uma sub-rede e definir a anotação "ipam.gdc.goog/subnet-delegation-role": auto para a mesma.
    • Para ativar um grupo de sub-redes no espaço de nomes platform para a atribuição de sub-redes internas ao projeto, o administrador da organização de sub-redes tem de definir a anotação "ipam.gdc.goog/subnet-delegation-role": auto em todas as sub-redes do grupo.

O que se segue?