Gestisci l'accesso con IAM

Questo documento spiega come utilizzare Identity and Access Management (IAM) per gestire controllo dell'accesso per le risorse di Knowledge Catalog (precedentemente Dataplex Universal Catalog). IAM controlla l'accesso alle risorse di Knowledge Catalog a livello di risorsa Google Cloud . Ti consente di controllare quali entità possono gestire risorse specifiche, come gruppi di voci e voci, utilizzando la console Google Cloud , Google Cloud CLI, le librerie client o le API.

Per saperne di più su IAM, consulta la documentazione di IAM.

Panoramica di IAM

Quando crei un nuovo progetto Google Cloud , al creatore del progetto originale viene concesso il ruolo Proprietario (roles/owner). Potrebbero esistere o essere creati altri service account gestiti da Google quando abiliti un'API per eseguire attività specifiche. Tuttavia, nessun altro singolo utente ha accesso al progetto e alle sue risorse, incluse quelle di Knowledge Catalog. Concedi questo accesso solo quando aggiungi esplicitamente gli utenti come membri del progetto o concedi loro ruoli su risorse specifiche.

IAM ti consente di concedere un accesso granulare a determinate risorse Google Cloude impedisce l'accesso indesiderato ad altre risorse. IAM ti consente di adottare il principio di sicurezza del privilegio minimo concedendo solo l'accesso necessario alle tue risorse.

IAM ti consente di controllare chi (entità) ha quale accesso (ruoli) a quali risorse.

Entità

Un'entità può essere un Account Google (per gli utenti finali), un account di servizio (per le app e le macchine virtuali), un gruppo Google o un dominio Google Workspace o Cloud Identity. Queste entità possono accedere a una risorsa. Quando concedi i ruoli, identifichi l'entità utilizzando un identificatore, come descritto in Riferimento per l'associazione delle policy.

Per saperne di più, consulta Panoramica di IAM: entità.

Il service agent

Knowledge Catalog utilizza account di servizio gestito da Google Cloud , un agente di servizio, per accedere alle tue risorse. Gli agenti di servizio sono service account gestiti da Google che consentono ai servizi Google Cloud di accedere alle risorse nel tuo progetto. Questo è diverso dai service account gestiti dall'utente, che crei e utilizzi per rappresentare le tue applicazioni o i tuoi workload.

L'agente di servizio viene creato quando abiliti l'API Dataplex. Puoi identificare l'agente di servizio tramite il suo ID email:

service-CUSTOMER_PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com

In questo caso, CUSTOMER_PROJECT_NUMBER è il numero di progetto in cui hai abilitato l'API Dataplex.

L'agente di servizio richiede il ruolo Agente di servizio Dataplex (roles/dataplex.serviceAgent) nel progetto per gestire le risorse di Knowledge Catalog. Quando abiliti l'API, il sistema concede automaticamente questo ruolo. Se revochi questo ruolo, Knowledge Catalog potrebbe non funzionare correttamente.

Se Knowledge Catalog deve accedere alle risorse di altri progetti (ad esempio bucket Cloud Storage o set di dati BigQuery che vuoi collegare come asset o scansionare per i profili dati), devi concedere a questo agente di servizio le autorizzazioni necessarie nei progetti contenenti queste risorse.

Per saperne di più sulla concessione delle autorizzazioni all'agente di servizio per il collegamento degli asset, consulta Gestisci gli asset di dati.

Per ulteriori informazioni sulla concessione delle autorizzazioni all'agente di servizio per la profilazione dei dati, consulta Crea e utilizza le scansioni di profilazione dei dati.

Identità di esecuzione per le scansioni dei dati

Per impostazione predefinita, Knowledge Catalog utilizza l'agente di servizio per eseguire le scansioni della qualità e del profilo dei dati. Tuttavia, puoi scegliere di eseguire l'override di questo comportamento ed eseguire le scansioni utilizzando un account di servizio personalizzato o le tue credenziali utente finale (EUC).

Se specifichi un service account personalizzato per l'identità di esecuzione dell'analisi, l'agente di servizio richiede il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator) (o l'autorizzazione iam.serviceAccounts.getAccessToken) sul service account di destinazione per impersonarlo ed eseguire il job. Per maggiori dettagli, consulta la documentazione sull'identità di esecuzione per la qualità dei dati e la profilazione dei dati.

Risorsa

Le risorse a cui puoi concedere l'accesso in Knowledge Catalog includono progetti, gruppi di voci, voci, link alle voci, tipi di aspetti, tipi di voci e tipi di link alle voci.

Alcuni metodi API richiedono autorizzazioni per più risorse. Ad esempio, per collegare un aspetto a una voce sono necessarie autorizzazioni sia per la voce sia per il tipo di aspetto.

Ruolo

Un ruolo è una raccolta di autorizzazioni che determina quali operazioni un'entità può eseguire su una risorsa. Se concedi un ruolo a un'entità, concedi tutte le autorizzazioni incluse nel ruolo.

Puoi concedere uno o più ruoli a un'entità.

Come altri prodotti Google Cloud , Knowledge Catalog supporta tre tipi di ruoli:

  • Ruoli di base: ruoli altamente permissivi (Proprietario, Editor, Visualizzatore) che esistevano prima dell'introduzione di IAM. Per saperne di più sui ruoli di base, consulta Ruoli di base.

  • Ruoli predefiniti: forniscono un accesso granulare a risorse Google Cloud specifiche. Per saperne di più sui ruoli predefiniti, consulta Ruoli predefiniti. La documentazione sui ruoli IAM di Knowledge Catalog descrive i ruoli predefiniti di Knowledge Catalog.

  • Ruoli personalizzati: ti aiutano ad applicare il principio del privilegio minimo concedendo solo le autorizzazioni specifiche necessarie. Per ulteriori informazioni sui ruoli personalizzati, consulta Ruoli personalizzati.

Ad esempio, il ruolo predefinito Dataplex Viewer (roles/dataplex.viewer) fornisce l'accesso di sola lettura alle risorse di Knowledge Catalog. Un'entità con questo ruolo può visualizzare gruppi di voci, voci, link di voci, tipi di aspetti, tipi di voci e tipi di link di voci, ma non può crearli, aggiornarli o eliminarli. Al contrario, il ruolo Amministratore Dataplex (roles/dataplex.admin) concede un accesso ampio per gestire le risorse di Knowledge Catalog.

Per saperne di più sull'assegnazione dei ruoli, consulta Concessione, modifica e revoca dell'accesso.

Per determinare le autorizzazioni necessarie per un'attività specifica, consulta le pagine di riferimento per i ruoli di Knowledge Catalog e le autorizzazioni di Knowledge Catalog.

Ad esempio, per una risorsa di progetto, puoi assegnare il ruolo Dataplex Administrator (roles/dataplex.admin) a un Account Google. Questo account può quindi gestire le risorse di Knowledge Catalog nel progetto, ma non può gestire altre risorse. Puoi anche utilizzare IAM per gestire i ruoli di base concessi ai membri del team di progetto.

Policy IAM per le risorse

Una policy IAM ti consente di gestire i ruoli IAM su queste risorse anziché, o in aggiunta a, gestire i ruoli a livello di progetto. In questo modo, hai la flessibilità di applicare il principio del privilegio minimo concedendo l'accesso solo alle risorse specifiche di cui i collaboratori hanno bisogno per svolgere il proprio lavoro.

Le risorse ereditano le policy delle risorse padre. Se imposti una policy a livello di progetto, questa viene ereditata da tutte le risorse figlio. La policy applicata a una risorsa è data dall'unione della policy impostata per quella risorsa più la policy ereditata dal livello superiore della gerarchia. Per saperne di più, consulta la gerarchia delle policy IAM.

Puoi ottenere e impostare le policy IAM utilizzando la console Google Cloud , l'API Identity and Access Management o gcloud CLI.

Passaggi successivi