Mengelola akses dengan IAM

Dokumen ini menjelaskan cara menggunakan Identity and Access Management (IAM) guna mengelola kontrol akses untuk resource Knowledge Catalog (sebelumnya Dataplex Universal Catalog). IAM mengontrol akses ke resource Knowledge Catalog Anda di level resource Google Cloud . Dengan IAM, Anda dapat mengontrol akun utama mana yang dapat mengelola resource tertentu, seperti grup entri dan entri, menggunakan konsol Google Cloud , Google Cloud CLI, library klien, atau API.

Untuk mengetahui informasi selengkapnya tentang IAM, lihat dokumentasi IAM.

Ringkasan IAM

Saat Anda membuat project Google Cloud baru, pembuat project asli akan diberi peran Pemilik (roles/owner). Akun layanan lain yang dikelola Google mungkin ada atau dibuat saat Anda mengaktifkan API untuk melakukan tugas tertentu. Namun, tidak ada pengguna individu lain yang memiliki akses ke project dan resource-nya, termasuk resource Knowledge Catalog. Anda memberikan akses ini hanya jika Anda secara eksplisit menambahkan pengguna sebagai anggota project atau memberi mereka peran pada resource tertentu.

IAM memungkinkan Anda memberikan akses terperinci ke resource Google Cloud tertentu dan mencegah akses yang tidak diinginkan ke resource lain. IAM memungkinkan Anda menerapkan prinsip keamanan dengan hak istimewa terendah dengan hanya memberikan akses yang diperlukan ke resource Anda.

IAM membantu Anda mengontrol siapa (akun utama) yang memiliki akses (peran) ke resource tertentu.

Utama

Akun utama dapat berupa Akun Google (untuk pengguna akhir), akun layanan (untuk aplikasi dan virtual machine), grup Google, atau domain Google Workspace atau Cloud Identity. Akun utama ini dapat mengakses resource. Saat memberikan peran, Anda mengidentifikasi akun utama menggunakan ID, seperti yang dijelaskan dalam Referensi binding kebijakan.

Untuk mengetahui informasi selengkapnya, lihat Ringkasan IAM: Akun utama.

Agen layanan

Knowledge Catalog menggunakan akun layanan terkelola Google Cloud , yaitu agen layanan, untuk mengakses resource Anda. Agen layanan adalah akun layanan yang dikelola oleh Google yang memungkinkan layanan Google Cloud mengakses resource di project Anda. Hal ini berbeda dengan akun layanan yang dikelola pengguna, yang Anda buat dan gunakan untuk mewakili aplikasi atau workload Anda.

Agen layanan dibuat saat Anda mengaktifkan Dataplex API. Anda dapat mengidentifikasi agen layanan berdasarkan ID emailnya:

service-CUSTOMER_PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com

Di sini, CUSTOMER_PROJECT_NUMBER adalah nomor project dari project tempat Anda mengaktifkan Dataplex API.

Agen layanan memerlukan peran Dataplex Service Agent (roles/dataplex.serviceAgent) pada project untuk mengelola resource Knowledge Catalog. Saat Anda mengaktifkan API, sistem akan otomatis memberikan peran ini. Jika Anda mencabut peran ini, Knowledge Catalog mungkin tidak berfungsi dengan benar.

Jika Knowledge Catalog perlu mengakses resource di project lain (misalnya, bucket Cloud Storage atau set data BigQuery yang ingin Anda lampirkan sebagai aset atau dipindai untuk profil data), Anda harus memberikan izin yang diperlukan kepada agen layanan ini di project yang berisi resource tersebut.

Untuk mengetahui informasi selengkapnya tentang cara memberikan izin kepada agen layanan untuk melampirkan aset, lihat Mengelola aset data.

Untuk mengetahui informasi selengkapnya tentang cara memberikan izin kepada agen layanan untuk pembuatan profil data, lihat Membuat dan menggunakan pemindaian profil data.

Identitas Eksekusi untuk pemindaian data

Secara default, Knowledge Catalog menggunakan agen layanan untuk menjalankan pemindaian kualitas data dan pemindaian profil data Anda. Namun, Anda dapat memilih untuk mengganti perilaku ini dan menjalankan pemindaian menggunakan akun layanan kustom atau Kredensial Pengguna Akhir (EUC) Anda sendiri.

Jika Anda menentukan akun layanan kustom untuk identitas eksekusi pemindaian, agen layanan memerlukan peran Service Account Token Creator (roles/iam.serviceAccountTokenCreator) (atau izin iam.serviceAccounts.getAccessToken) di akun layanan target untuk meniru identitasnya dan menjalankan tugas. Untuk mengetahui detail selengkapnya, lihat dokumentasi identitas eksekusi untuk kualitas data dan pembuatan profil data.

Resource

Resource yang dapat Anda beri akses di Knowledge Catalog mencakup project, grup entri, entri, link entri, jenis aspek, jenis entri, dan jenis link entri.

Beberapa metode API memerlukan izin untuk beberapa resource. Misalnya, melampirkan aspek ke entri memerlukan izin pada entri dan jenis aspek.

Peran

Peran adalah kumpulan izin yang menentukan operasi yang dapat dilakukan akun utama pada resource. Saat peran diberikan ke akun utama, semua izin pada peran tersebut juga diberikan.

Anda dapat memberikan satu atau beberapa peran kepada akun utama.

Serupa dengan produk Google Cloud lainnya, Knowledge Catalog mendukung tiga jenis peran:

  • Peran dasar: peran yang sangat permisif (Pemilik, Editor, Viewer) yang ada sebelum IAM diperkenalkan. Untuk mengetahui informasi selengkapnya tentang peran dasar, lihat Peran dasar.

  • Peran bawaan: memberikan akses terperinci ke resource Google Cloud tertentu. Untuk mengetahui informasi selengkapnya tentang peran yang telah ditetapkan, lihat Peran yang telah ditetapkan. Dokumentasi peran IAM Knowledge Catalog menjelaskan peran bawaan Knowledge Catalog.

  • Peran khusus: membantu Anda menerapkan prinsip hak istimewa terendah dengan hanya memberikan izin khusus yang diperlukan. Untuk mengetahui informasi selengkapnya tentang peran khusus, lihat Peran khusus.

Misalnya, peran bawaan Dataplex Viewer (roles/dataplex.viewer) memberikan akses hanya baca ke resource Knowledge Catalog. Akun utama dengan peran ini dapat melihat grup entri, entri, link entri, jenis aspek, jenis entri, dan jenis link entri, tetapi tidak dapat membuat, memperbarui, atau menghapusnya. Sebaliknya, Dataplex Administrator (roles/dataplex.admin) memberikan akses luas untuk mengelola resource Knowledge Catalog.

Untuk mengetahui informasi selengkapnya tentang cara menetapkan peran, lihat Memberikan, mengubah, dan mencabut akses.

Untuk menentukan izin yang Anda perlukan untuk tugas tertentu, lihat halaman referensi untuk peran Knowledge Catalog dan izin Knowledge Catalog.

Misalnya, untuk resource project, Anda dapat menetapkan peran Dataplex Administrator (roles/dataplex.admin) ke Akun Google. Akun tersebut kemudian dapat mengelola resource Knowledge Catalog dalam project, tetapi tidak dapat mengelola resource lain. Anda juga dapat menggunakan IAM untuk mengelola peran dasar yang diberikan kepada anggota tim project.

Kebijakan IAM untuk resource

Dengan kebijakan IAM, Anda dapat mengelola peran IAM pada resource, bukan mengelola peran di level project. Hal ini memberikan fleksibilitas untuk menerapkan prinsip hak istimewa terendah dengan memberikan akses hanya ke resource tertentu yang diperlukan kolaborator untuk pekerjaan mereka.

Resource mewarisi kebijakan resource induknya. Jika Anda menetapkan kebijakan di level project, semua resource turunannya akan mewarisi kebijakan tersebut. Kebijakan yang efektif untuk suatu resource adalah gabungan kebijakan yang ditetapkan pada resource tersebut dan kebijakan yang diwariskan dari posisi yang lebih tinggi dalam hierarki. Untuk mengetahui informasi selengkapnya, lihat hierarki kebijakan IAM.

Anda dapat memperoleh dan menetapkan kebijakan IAM menggunakan konsol Google Cloud , Identity and Access Management API, atau gcloud CLI.

Langkah berikutnya