Preparazione delle autorizzazioni IAM

Questo documento descrive i ruoli e le autorizzazioni di Identity and Access Management (IAM) necessari per richiedere l'accesso alle risorse all'amministratore del progetto IAM. Devi disporre dei ruoli e delle autorizzazioni IAM necessari per eseguire attività sulle macchine virtuali (VM) in Google Distributed Cloud (GDC) con air gap.

Questo documento è rivolto agli sviluppatori dei gruppi di amministratori della piattaforma o di operatori delle applicazioni che creano e gestiscono VM in un ambiente GDC. Per saperne di più, consulta la documentazione relativa ai segmenti di pubblico per GDC con air gap.

Informazioni su IAM

Distributed Cloud offre Identity and Access Management (IAM) per l'accesso granulare a risorse Distributed Cloud specifiche e impedisce l'accesso indesiderato ad altre risorse. IAM opera in base al principio di sicurezza del privilegio minimo e fornisce il controllo su chi dispone dell'autorizzazione per determinate risorse utilizzando i ruoli e le autorizzazioni IAM.

Prima di iniziare

Per utilizzare i comandi dell'interfaccia a riga di comando gdcloud, completa i passaggi richiesti nelle sezioni Interfaccia a riga di comando (CLI) gdcloud. Tutti i comandi per Google Distributed Cloud con air gap utilizzano l'interfaccia a riga di comando gdcloud o kubectl e richiedono un ambiente del sistema operativo (OS).

Ottieni il percorso del file kubeconfig

Per eseguire i comandi sul server dell'API di gestione, assicurati di disporre delle seguenti risorse:

  1. Accedi e genera il file kubeconfig per il server API di gestione, se non ne hai uno.

  2. Utilizza il percorso del file kubeconfig del server API di gestione per sostituire MANAGEMENT_API_SERVER in queste istruzioni.

Richiedi ruoli IAM

Contatta l'amministratore del progetto IAM per richiedere i seguenti ruoli nel tuo progetto:

  • Virtual Machine Project Admin (project-vm-admin): crea, modifica, elenca ed elimina le VM nello spazio dei nomi del progetto.

  • Virtual Machine Image Project Admin (project-vm-image-admin): crea, elenca ed elimina le immagini VM nello spazio dei nomi del progetto.

Tutti i ruoli delle VM devono essere associati allo spazio dei nomi del progetto in cui si trova la VM.

Per un elenco di tutti i ruoli predefiniti per gli operatori di applicazioni (AO), consulta Descrizioni dei ruoli.

Per concedere o ricevere l'accesso alle risorse VM, consulta Concedi l'accesso alle risorse del progetto.

Verifica l'accesso degli utenti alle risorse VM

Segui i passaggi per accedere alla console GDC o alla CLI gdcloud per verificare l'accesso alle risorse e ai workload delle VM:

Console

  1. Accedi alla console GDC come utente che richiede o verifica le autorizzazioni.
  2. Verifica di essere nel progetto corretto controllando i nomi dell'organizzazione e del progetto nella schermata Home della console GDC.
  3. Nel menu di navigazione, fai clic su Macchine virtuali > Istanze.
  4. Per verificare se hai accesso alla creazione di VM nel progetto, fai clic su Crea istanza.
    • Se puoi procedere con la creazione delle VM, significa che disponi delle autorizzazioni per crearle.
    • Se il pulsante Crea istanza non è disponibile o se viene visualizzato un messaggio di errore che indica la mancanza di autorizzazioni, contatta l'amministratore del progetto IAM e richiedi il ruolo Virtual Machine Project Admin (project-vm-admin) nello spazio dei nomi del progetto in cui si trova la VM.
  5. Per determinare se puoi visualizzare e creare immagini, fai clic su Macchine virtuali > Importa > Crea immagine.
    • Se puoi procedere con l'importazione delle immagini, disponi delle autorizzazioni per creare risorse VirtualMachineImageImport.
    • Se le opzioni Importa o Crea immagine non sono disponibili o se riscontri un errore di autorizzazione, contatta l'amministratore del progetto IAM e richiedi il ruolo Virtual Machine Image Project Admin (project-vm-image-admin) nello spazio dei nomi del progetto in cui si trova la VM.

Interfaccia a riga di comando

  1. Accedi con le credenziali del tuo account o con quelle dell'utente che richiede o verifica le autorizzazioni.

  2. Utilizza il comando kubectl per verificare se tu o l'utente potete creare macchine virtuali:

    kubectl --kubeconfig MANAGEMENT_API_SERVER \
  -n PROJECT \
  auth can-i create virtualmachines.virtualmachine.gdc.goog

    Sostituisci le variabili utilizzando le seguenti definizioni:

    Variabile Sostituzione
    MANAGEMENT_API_SERVER Il file kubeconfig di sistema di gdcloud auth login.
    PROJECT Il nome del progetto in cui crei le immagini VM
    • Se l'output è yes, disponi delle autorizzazioni per creare una VM nel progetto PROJECT.
    • Se l'output è no, non disponi delle autorizzazioni. Contatta l'amministratore del progetto IAM e richiedi il ruolo Amministratore progetto macchina virtuale (project-vm-admin) nello spazio dei nomi del progetto in cui si trova la VM.

  3. Verifica se hai accesso alle immagini VM a livello di progetto. Esegui i comandi kubectl per verificare se puoi creare e utilizzare le risorse VirtualMachineImage a livello di progetto:

    kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i get virtualmachineimages.virtualmachine.gdc.goog -n PROJECT \
kubectl --kubeconfig MANAGEMENT_API_SERVER auth can-i create virtualmachineimageimports.virtualmachine.gdc.goog -n PROJECT

    Sostituisci le variabili utilizzando le seguenti definizioni.

    Variabile Sostituzione
    MANAGEMENT_API_SERVER Il percorso kubeconfig del server dell'API di gestione
    PROJECT Il nome del progetto in cui crei le immagini VM
    • Se l'output è yes, disponi delle autorizzazioni per accedere alle immagini VM personalizzate nel progetto PROJECT.
    • Se l'output è no, non disponi delle autorizzazioni. Contatta l'amministratore del progetto IAM e richiedi il ruolo Amministratore progetto immagini di macchine virtuali (project-vm-image-admin) nello spazio dei nomi del progetto in cui risiede la VM.

Passaggi successivi