Preparar permissões do IAM

Este documento explica como preparar as permissões do Identity and Access Management (IAM, na sigla em inglês) para gerenciar sub-redes com eficiência no Google Distributed Cloud (GDC) com isolamento físico.

O GDC usa o IAM para acesso granular a recursos específicos. Esse modelo ajuda a evitar o acesso não autorizado a outros recursos.

Um papel é um conjunto de permissões que permite realizar ações específicas em recursos. Você atribui papéis a sujeitos, como usuários, grupos ou contas de serviço. Para gerenciar sub-redes no GDC, é necessário ter os papéis do IAM necessários.

Este documento é destinado a administradores de rede no grupo de administradores da plataforma responsáveis por gerenciar os requisitos de rede na organização. Para mais informações, consulte Públicos-alvo da documentação do GDC com isolamento físico.

Papéis do IAM para sub-redes

O GDC oferece suporte aos seguintes papéis do IAM para gerenciar sub-redes:

  • Admin. da organização da sub-rede (subnet-global-org-admin): gerencia várias sub-redes de zona na organização. Essa é uma permissão global.
  • Admin. da organização da sub-rede (subnet-org-admin): gerencia sub-redes zonais na organização. Essa é uma permissão zonal.
  • Admin. do projeto da sub-rede (subnet-global-project-admin): gerencia várias sub-redes de zona em um projeto. Essa é uma permissão global.
  • Admin. do projeto da sub-rede (subnet-project-admin): gerencia sub-redes zonais em um projeto. Essa é uma permissão zonal.
    • Esse papel inclui permissão para ler todas as sub-redes no namespace do projeto e para criar, atualizar ou excluir a maioria das sub-redes no namespace do projeto.
    • Esse papel não concede permissão para criar, atualizar ou excluir sub-redes do tipo raiz (subnet.Spec.Type == Root).
  • Operador do projeto da sub-rede (subnet-project-operator): gerencia sub-redes alocadas automaticamente do tipo folha em projetos.
    • Esse papel tem permissão para ler todas as sub-redes no projeto e para criar, atualizar ou excluir apenas as sub-redes de folha alocadas automaticamente nos namespaces do projeto.
    • Esse papel não concede permissão para criar, atualizar ou excluir as seguintes sub-redes:
      • Sub-redes do tipo raiz ou ramificação (subnet.Spec.Type == Root ou subnet.Spec.Type == Branch)
      • Sub-redes de rede (subnet.Spec.NetworkSpec != nil)
      • Sub-redes com blocos CIDR dedicados (subnet.Spec.Ipv4Request.CIDR != nil ou subnet.Spec.Ipv6Request.CIDR != nil)
  • Visualizador da plataforma de sub-rede (subnet-platform-viewer): lista sub-redes no platform namespace.
  • Usuário de sub-rede compartilhada (shared-subnet-user): usa uma sub-rede compartilhada no namespace platform como pai para alocar uma sub-rede dentro do projeto.
  • SUBNET_NAME Usuário (SUBNET_NAME-user): usa sub-redes específicas no namespace platform.
    • Para conceder uma sub-rede dedicada no namespace platform para uso como pai para alocar uma sub-rede dentro do projeto, o admin. da organização da sub-rede precisa criar ou atualizar uma sub-rede e definir a anotação "ipam.gdc.goog/subnet-delegation-role": auto para ela.
    • Para ativar um grupo de sub-redes no namespace platform para alocação de sub-rede interna do projeto, o admin. da organização da sub-rede precisa definir a anotação "ipam.gdc.goog/subnet-delegation-role": auto em todas as sub-redes do grupo.

A seguir