Para manter o acesso a recursos que abrangem várias zonas em um universo do Google Distributed Cloud (GDC) com isolamento físico, é necessário implementar um esquema de permissões globais consistente. O GDC oferece recursos do Identity and Access Management (IAM) para controlar suas permissões globais sem precisar rastrear e manter o acesso no nível da zona.
Este documento é destinado a administradores de TI no grupo de administradores da plataforma responsáveis por desenvolver e manter o controle de acesso a recursos que abrangem várias zonas em um universo do GDC.
Para mais informações, consulte Públicos-alvo da documentação do GDC com isolamento físico.
Acesso que abrange um universo
O GDC oferece vários recursos importantes do IAM para ajudar a controlar o acesso às suas zonas e aos recursos em cada uma delas:
- Gerenciamento de papéis globais: controle os papéis nas suas zonas com papéis globais.
- Controle de permissões de usuário globais: faça login uma vez e propague sua autenticação em todas as zonas.
- Controle de permissões globais de carga de trabalho e serviço: autentique suas cargas de trabalho e serviços uma vez e propague a autenticação deles em todas as zonas.
Gerenciamento de papéis globais
O GDC oferece controle de permissões globais integrado que permite aplicar e gerenciar papéis do IAM que abrangem todas as zonas automaticamente. O controle global sobre suas permissões remove casos de uso segmentados em que é necessário aplicar papéis manualmente em cada zona. O controle de acesso baseado em papéis (RBAC) é global por padrão, mas oferece alocação de permissão zonal ajustada, quando necessário.
Por exemplo, considere que você tem um novo desenvolvedor que precisa acessar os recursos do seu projeto. Como um projeto é global por padrão, ele abrange todas as zonas do seu universo. Em vez de aplicar e manter manualmente os papéis necessários para acessar o projeto em cada zona, você aplica um papel de acesso global para o projeto, que se aplica automaticamente a todas as zonas em que o projeto reside. O acesso ao projeto do novo desenvolvedor agora evolui com seu universo e é propagado automaticamente para novas zonas se o universo crescer.
Para mais informações sobre vinculações de papéis no GDC, consulte Conceder e revogar acesso.
Controle de permissões de usuário globais
O GDC oferece provedores de identidade (IdP) para simplificar a autenticação de usuários no seu universo, sem a necessidade de fazer login em cada zona separadamente. Um IdP é um sistema que gerencia e protege identidades de usuários de maneira centralizada, fornecendo serviços de autenticação. A conexão a um IdP permite que os usuários acessem o GDC usando as credenciais da organização, sem precisar criar ou gerenciar contas separadas no GDC. Como um IdP é um recurso global configurado para abranger várias zonas por padrão, é possível acessar o GDC pelo mesmo IdP, independente da zona em que você trabalha.
Para mais informações sobre IdPs no GDC, consulte Conectar-se a um provedor de identidade.
Controle de permissões globais de carga de trabalho e serviço
Assim como os usuários humanos se beneficiam dos IdPs para simplificar a autenticação em todas as zonas, suas cargas de trabalho e serviços também podem se beneficiar da autenticação global no seu universo com contas de serviço. As contas de serviço são as contas que cargas de trabalho e serviços usam para consumir recursos de maneira programática e acessar microsserviços com segurança. Como uma conta de serviço é um recurso global configurado para abranger várias zonas por padrão, suas cargas de trabalho e serviços podem acessar recursos que abrangem um universo de maneira uniforme com um único conjunto de permissões globais.
Por exemplo, considere que você tem uma VM com um volume de armazenamento anexado. Como um volume pode abranger duas zonas, se você quiser permitir que a VM acesse o volume, ela precisará ter permissões de acesso em todas as zonas em que o volume reside. Com contas de serviço globais, é possível fornecer acesso à VM ao volume de armazenamento uma vez, que é propagado para todas as zonas em que o volume reside. Esse recurso permite configurar o acesso em uma escala universal, sem gerenciar o acesso específico da zona.
Para mais informações sobre contas de serviço no GDC, consulte Autenticar com contas de serviço.