ניהול גישה באמצעות IAM

במאמר הזה מוסבר איך משתמשים בניהול זהויות והרשאות גישה (IAM) כדי לנהל את בקרת הגישה למשאבים של Knowledge Catalog (לשעבר Dataplex Universal Catalog). ב-IAM אפשר לשלוט בגישה למשאבים של Knowledge Catalog ברמת המשאב Google Cloud . הוא מאפשר לכם לקבוע אילו חשבונות משתמשים יכולים לנהל משאבים ספציפיים, כמו קבוצות של רשומות ורשומות, באמצעות מסוף Google Cloud , ‏Google Cloud CLI, ספריות לקוח או ממשקי API.

למידע נוסף על IAM, קראו את מאמרי העזרה בנושא IAM.

סקירה כללית על IAM

כשיוצרים פרויקט חדש ב- Google Cloud , מי שיצר את הפרויקט המקורי מקבל את התפקיד בעלים (roles/owner). יכול להיות שקיימים חשבונות שירות אחרים שמנוהלים על ידי Google, או שהם נוצרים כשמפעילים API כדי לבצע משימות ספציפיות. עם זאת, למשתמשים פרטיים אחרים אין גישה לפרויקט ולמשאבים שלו, כולל למשאבים של Knowledge Catalog. הגישה הזו ניתנת רק כשמוסיפים משתמשים באופן מפורש כחברים בפרויקט, או כשמקצים להם תפקידים במשאבים ספציפיים.

בעזרת IAM תוכלו לתת גישה פרטנית למשאבים ב- Google Cloud, ולמנוע גישה לא רצויה למשאבים אחרים. בעזרת IAM תוכלו לשמור על העקרון של הרשאות מינימליות, וכך לתת למי שצריך רק את רמת הגישה הדרושה למשאבים השונים.

באמצעות IAM אתם יכולים לקבוע למי (חשבונות משתמשים) יש גישה (תפקידים) למשאבים מסוימים.

חשבון משתמש

חשבון משתמש יכול להיות חשבון Google (למשתמשי קצה), חשבון שירות (לאפליקציות ולמכונות וירטואליות), קבוצה ב-Google, או דומיין ב-Google Workspace או ב-Cloud Identity. לחשבונות המשתמשים האלה יש גישה למשאב. כשמקצים תפקידים, מזהים את חשבון המשתמש באמצעות מזהה, כמו שמתואר בקטע חומר עזר בנושא קישור למדיניות.

מידע נוסף זמין במאמר סקירה כללית על IAM: חשבונות משתמשים.

סוכן השירות

כדי לגשת למשאבים שלכם, ב-Knowledge Catalog נעשה שימוש בחשבון שירות מנוהל, שהוא סוכן שירות. Google Cloud סוכני שירות הם חשבונות שירות שמנוהלים על ידי Google, ומאפשרים לשירותי Google Cloud לגשת למשאבים בפרויקט שלכם. הם שונים מחשבונות שירות בניהול המשתמשים, שאתם יוצרים ומשתמשים בהם כדי לייצג את האפליקציות או את עומסי העבודה שלכם.

סוכן השירות נוצר כשמפעילים את Dataplex API. אפשר לזהות את סוכן השירות לפי מזהה האימייל שלו:

service-CUSTOMER_PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com

‫CUSTOMER_PROJECT_NUMBER הוא מספר הפרויקט שבו הפעלתם את Dataplex API.

כדי לנהל את המשאבים של Knowledge Catalog, לסוכן השירות נדרש התפקיד סוכן שירות של Dataplex (roles/dataplex.serviceAgent) בפרויקט. כשמפעילים את ה-API, המערכת מקצה את התפקיד הזה באופן אוטומטי. אם תבטלו את התפקיד הזה, יכול להיות ש-Knowledge Catalog לא יפעל כמו שצריך.

אם צריך לגשת ממשאבים בפרויקטים אחרים ל-Knowledge Catalog (לדוגמה, קטגוריות של Cloud Storage או מערכי נתונים ב-BigQuery שרוצים לצרף כנכסים או לסרוק כדי ליצור פרופילי נתונים), צריך לתת לסוכן השירות הזה את ההרשאות הנדרשות בפרויקטים שמכילים את המשאבים האלה.

מידע נוסף על מתן הרשאות לסוכן השירות לצירוף נכסים זמין במאמר ניהול נכסי נתונים.

מידע נוסף על מתן הרשאות לסוכן השירות לצורך יצירת פרופילים של נתונים זמין במאמר יצירה ושימוש בסריקות של פרופילי נתונים.

זהות הביצוע לסריקות נתונים

כברירת מחדל, ב-Knowledge Catalog נעשה שימוש בסוכן השירות כדי להריץ את הסריקות של איכות הנתונים ופרופיל הנתונים. עם זאת, אתם יכולים לשנות את ההתנהגות הזו ולהריץ סריקות באמצעות חשבון שירות בהתאמה אישית או באמצעות פרטי הכניסה של משתמש הקצה (EUC).

אם אתם מציינים חשבון שירות בהתאמה אישית לזהות של הסריקה, סוכן השירות צריך את התפקיד יצירת אסימונים בחשבון שירות (roles/iam.serviceAccountTokenCreator) (או את ההרשאה iam.serviceAccounts.getAccessToken) בחשבון השירות המיועד כדי להתחזות אליו ולהריץ את המשימה. לפרטים נוספים, קראו את מסמכי התיעוד בנושא זהות הביצוע של איכות הנתונים ויצירת פרופיל נתונים.

משאב

המשאבים שאפשר לתת אליהם גישה ב-Knowledge Catalog כוללים פרויקטים, קבוצות של רשומות, רשומות, קישורים לרשומות, סוגי היבטים, סוגי רשומות וסוגי קישורים לרשומות.

חלק מהשיטות של ה-API דורשות הרשאות למספר משאבים. לדוגמה, כדי לצרף היבט לרשומה, צריך הרשאות גם ברשומה וגם בסוג ההיבט.

תפקיד

תפקיד הוא אוסף של הרשאות שקובעות אילו פעולות חשבון המשתמש יכול לבצע במשאב. כשאתם נותנים לחשבון משתמש תפקיד, אתם נותנים לו את כל ההרשאות שהתפקיד כולל.

אתם יכולים להקצות תפקיד אחד או יותר לחשבון משתמש.

בדומה למוצרים אחרים של Google Cloud , ב-Knowledge Catalog יש תמיכה בשלושה סוגי תפקידים:

לדוגמה, התפקיד המוגדר מראש צפייה ב-Dataplex (roles/dataplex.viewer) נותן הרשאת קריאה בלבד למשאבים של Knowledge Catalog. חשבון משתמש עם התפקיד הזה יכול לראות קבוצות של רשומות, רשומות, קישורים לרשומות, סוגי היבטים, סוגי רשומות וסוגי קישורים לרשומות, אבל לא יכול ליצור, לעדכן או למחוק אותם. לעומת זאת, התפקיד אדמין ב-Dataplex (roles/dataplex.admin) נותן גישה רחבה לניהול המשאבים של Knowledge Catalog.

מידע נוסף על הקצאת תפקידים זמין במאמר הענקת גישה, שינוי גישה וביטול גישה.

כדי לדעת אילו הרשאות אתם צריכים למשימה ספציפית, עיינו בדפי העזר בנושא תפקידים ב-Knowledge Catalog והרשאות ב-Knowledge Catalog.

לדוגמה, תוכלו להקצות לחשבון Google את התפקיד אדמין Dataplex (roles/dataplex.admin) במשאב של פרויקט. החשבון הזה יכול לנהל את המשאבים של Knowledge Catalog בפרויקט, אבל לא יכול לנהל משאבים אחרים. אתם יכולים גם להשתמש ב-IAM כדי לנהל את התפקידים הבסיסיים שמוקצים לחברי הצוות בפרויקט.

מדיניות IAM למשאבים

מדיניות IAM מאפשרת לכם לנהל תפקידי IAM במשאבים במקום, או בנוסף, לניהול תפקידים ברמת הפרויקט. כך אפשר ליישם את העיקרון של הרשאות מינימליות, ולתת לשותפי העריכה גישה רק למשאבים הספציפיים שהם צריכים בשביל העבודה שלהם.

המשאבים יורשים את המדיניות של משאבי ההורה שלהם. אם מגדירים מדיניות ברמת הפרויקט, כל המשאבים הצאצאים יורשים אותה. בפועל, המדיניות של המשאב מורכבת מהמדיניות שהוגדרה לאותו משאב ומהמדיניות שהוא יורש מרמות גבוהות יותר בהיררכיה. למידע נוסף, קראו את המאמר היררכיית המדיניות של IAM.

אפשר לקבל ולהגדיר מדיניות IAM באמצעות מסוף Google Cloud , ה-API של ניהול זהויות והרשאות גישה או ה-CLI של gcloud.

המאמרים הבאים