Zugriff mit IAM verwalten

In diesem Dokument wird erläutert, wie Sie mit Identity and Access Management (IAM) die Zugriffssteuerung für Knowledge Catalog-Ressourcen (früher Dataplex Universal Catalog) verwalten. IAM steuert den Zugriff auf Ihre Knowledge Catalog-Ressourcen auf der Google Cloud -Ressourcenebene. Damit können Sie steuern, welche Hauptkonten bestimmte Ressourcen wie Eintraggruppen und Einträge über die Google Cloud Console, die Google Cloud CLI, Clientbibliotheken oder APIs verwalten können.

Weitere Informationen zu IAM finden Sie in der IAM-Dokumentation.

IAM-Übersicht

Wenn Sie ein neues Google Cloud -Projekt erstellen, wird dem ursprünglichen Ersteller des Projekts die Rolle Inhaber (roles/owner) zugewiesen. Andere von Google verwaltete Dienstkonten können vorhanden sein oder erstellt werden, wenn Sie eine API aktivieren, um bestimmte Aufgaben auszuführen. Andere einzelne Nutzer haben jedoch keinen Zugriff auf das Projekt und seine Ressourcen, einschließlich Knowledge Catalog-Ressourcen. Sie gewähren diesen Zugriff nur, wenn Sie Nutzer explizit als Projektmitglieder hinzufügen oder ihnen Rollen für bestimmte Ressourcen zuweisen.

Mit IAM können Sie detaillierte Zugriffsberechtigungen auf bestimmte Ressourcen von Google Cloudgewähren und unerwünschten Zugriff auf andere Ressourcen verhindern. Mit IAM können Sie das Prinzip der geringsten Berechtigung anwenden und somit nur den notwendigen Zugriff auf Ihre Ressourcen gewähren.

Mit IAM können Sie steuern, wer (Hauptkonten) welchen Zugriff (Rollen) auf welche Ressourcen hat.

Hauptkonto

Ein Hauptkonto kann ein Google-Konto (für Endnutzer), ein Dienstkonto (für Anwendungen und virtuelle Maschinen), eine Google-Gruppe oder eine Google Workspace- oder Cloud Identity-Domain sein. Diese Hauptkonten können auf eine Ressource zugreifen. Wenn Sie Rollen zuweisen, identifizieren Sie das Hauptkonto mithilfe einer Kennung, wie in der Referenz zur Richtlinienbindung beschrieben.

Weitere Informationen finden Sie unter IAM-Übersicht: Hauptkonten.

Der Dienst-Agent

Knowledge Catalog verwendet ein von Google Cloud verwaltetes Dienstkonto, einen Dienst-Agent, um auf Ihre Ressourcen zuzugreifen. Dienst-Agents sind von Google verwaltete Dienstkonten, mit denen Google Cloud -Dienste auf Ressourcen in Ihrem Projekt zugreifen können. Diese unterscheiden sich von nutzerverwalteten Dienstkonten, die Sie erstellen und verwenden, um Ihre Anwendungen oder Arbeitslasten darzustellen.

Der Dienst-Agent wird erstellt, wenn Sie die Dataplex API aktivieren. Sie können den Dienst-Agent anhand seiner E-Mail-ID identifizieren:

service-CUSTOMER_PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com

Dabei ist CUSTOMER_PROJECT_NUMBER die Projektnummer des Projekts, in dem Sie die Dataplex API aktiviert haben.

Der Dienst-Agent benötigt die Rolle Dataplex-Dienst-Agent (roles/dataplex.serviceAgent) für das Projekt, um Knowledge Catalog-Ressourcen zu verwalten. Wenn Sie die API aktivieren, wird diese Rolle automatisch zugewiesen. Wenn Sie diese Rolle widerrufen, funktioniert Knowledge Catalog möglicherweise nicht richtig.

Wenn Knowledge Catalog auf Ressourcen in anderen Projekten zugreifen muss (z. B. Cloud Storage-Buckets oder BigQuery-Datasets, die Sie als Assets anhängen oder auf Datenprofile scannen möchten), müssen Sie diesem Dienst-Agent die erforderlichen Berechtigungen in den Projekten erteilen, die diese Ressourcen enthalten.

Weitere Informationen zum Gewähren von Berechtigungen für den Dienst-Agent zum Anhängen von Assets finden Sie unter Daten-Assets verwalten.

Weitere Informationen zum Erteilen von Berechtigungen für den Dienst-Agent für die Datenprofilerstellung finden Sie unter Datenprofilscans erstellen und verwenden.

Ausführungsidentität für Datenscans

Standardmäßig verwendet Knowledge Catalog den Dienst-Agent, um Ihre Datenqualitäts- und Datenprofilscans auszuführen. Sie können dieses Verhalten jedoch überschreiben und Scans mit einem benutzerdefinierten Dienstkonto oder Ihren eigenen Endnutzer-Anmeldedaten (EUC) ausführen.

Wenn Sie ein benutzerdefiniertes Dienstkonto für die Ausführungsidentität Ihres Scans angeben, benötigt der Dienst-Agent die Rolle Ersteller von Dienstkonto-Tokens (roles/iam.serviceAccountTokenCreator) oder die Berechtigung iam.serviceAccounts.getAccessToken für das Zieldienstkonto, um die Identität des Dienstkontos zu übernehmen und den Job auszuführen. Weitere Informationen finden Sie in der Dokumentation zur Ausführungsidentität für Datenqualität und Datenprofilerstellung.

Ressource

Zu den Ressourcen, auf die Sie in Knowledge Catalog Zugriff gewähren können, gehören Projekte, Eintragsgruppen, Einträge, Eintragslinks, Aspekttypen, Eintragstypen und Eintragslinktypen.

Für einige API-Methoden sind Berechtigungen für mehrere Ressourcen erforderlich. Wenn Sie beispielsweise einen Aspekt an einen Eintrag anhängen möchten, benötigen Sie Berechtigungen sowohl für den Eintrag als auch für den Aspekttyp.

Rolle

Eine Rolle ist eine Sammlung von Berechtigungen, die festlegen, welche Vorgänge ein Hauptkonto für eine Ressource ausführen kann. Weisen Sie einem Hauptkonto eine Rolle zu, gewähren Sie alle zugehörigen Berechtigungen.

Sie können einem Hauptkonto eine oder mehrere Rollen zuweisen.

Ähnlich wie bei anderen Google Cloud -Produkten werden in Knowledge Catalog drei Arten von Rollen unterstützt:

  • Einfache Rollen: Rollen mit vielen Berechtigungen (Inhaber, Bearbeiter, Betrachter), die es schon vor der Einführung von IAM gab. Weitere Informationen zu einfachen Rollen finden Sie unter Einfache Rollen.

  • Vordefinierte Rollen: bieten detaillierten Zugriff auf bestimmte Google Cloud-Ressourcen. Weitere Informationen zu vordefinierten Rollen finden Sie unter Vordefinierte Rollen. In der Dokumentation zu IAM-Rollen für Knowledge Catalog werden die vordefinierten Rollen für Knowledge Catalog beschrieben.

  • Benutzerdefinierte Rollen: Mit diesen Rollen können Sie das Prinzip der geringsten Berechtigung erzwingen, indem Sie nur die erforderlichen Berechtigungen gewähren. Weitere Informationen zu benutzerdefinierten Rollen finden Sie unter Benutzerdefinierte Rollen.

Die vordefinierte Rolle Dataplex Viewer (roles/dataplex.viewer) bietet beispielsweise Lesezugriff auf Knowledge Catalog-Ressourcen. Ein Hauptkonto mit dieser Rolle kann Eintragsgruppen, Einträge, Eintragslinks, Aspekttypen, Eintragstypen und Eintragslinktypen ansehen, aber nicht erstellen, aktualisieren oder löschen. Im Gegensatz dazu gewährt die Rolle Dataplex-Administrator (roles/dataplex.admin) umfassenden Zugriff zum Verwalten von Knowledge Catalog-Ressourcen.

Weitere Informationen zum Zuweisen von Rollen finden Sie unter Zugriff gewähren, ändern und entziehen.

Informationen dazu, welche Berechtigungen Sie für eine bestimmte Aufgabe benötigen, finden Sie auf den Referenzseiten für Knowledge Catalog-Rollen und Knowledge Catalog-Berechtigungen.

Beispielsweise können Sie einem Google-Konto für eine Projektressource die Rolle Dataplex-Administrator (roles/dataplex.admin) zuweisen. Dieses Konto kann dann Knowledge Catalog-Ressourcen im Projekt verwalten, aber keine anderen Ressourcen. Mit IAM können Sie auch die einfachen Rollen verwalten, die Projektteammitgliedern gewährt wurden.

IAM-Richtlinien für Ressourcen

Mit einer IAM-Richtlinie können Sie IAM-Rollen für Ressourcen verwalten, anstatt Rollen auf Projektebene zu verwalten oder zusätzlich dazu. So können Sie das Prinzip der geringsten Berechtigung flexibel anwenden, indem Sie nur Zugriff auf die spezifischen Ressourcen gewähren, die Mitbearbeiter für ihre Arbeit benötigen.

Ressourcen übernehmen die Richtlinien ihrer übergeordneten Ressourcen. Wenn Sie eine Richtlinie auf Projektebene festlegen, wird sie von allen untergeordneten Ressourcen übernommen. Die geltende Richtlinie für eine Ressource ist die Kombination aus der für diese Ressource festgelegten Richtlinie und der von einer höheren Ebene in der Hierarchie übernommenen Richtlinie. Weitere Informationen finden Sie unter IAM-Richtlinienhierarchie.

Sie können IAM-Richtlinien mithilfe der Google Cloud Console, der Identity and Access Management API oder der gcloud CLI abrufen und festlegen.

Nächste Schritte