Autorizzazioni IAM per Config Controller

Questo documento descrive come concedere le autorizzazioni di Config Controller per gestire le tue Google Cloud risorse.

Privilegio minimo

Per utilizzare Identity and Access Management in modo sicuro, Google Cloud ti consigliamo di seguire la best practice del privilegio minimo. Negli ambienti di produzione, concedi agli account utente o ai processi solo i privilegi essenziali per svolgere le funzioni previste.

Autorizzazioni IAM per Config Connector

IAM autorizza Config Connector a eseguire azioni sulle Google Cloud risorse.

Per seguire la best practice del privilegio minimo, concedi i ruoli predefiniti o personalizzati più limitati in base alle tue esigenze. Ad esempio, se hai bisogno che Config Connector gestisca la creazione del cluster GKE, concedi il ruolo Amministratore cluster Kubernetes Engine (roles/container.clusterAdmin).

Puoi utilizzare i suggerimenti sui ruoli per determinare quali ruoli concedere. Puoi anche utilizzare il Policy Simulator per assicurarti che la modifica del ruolo non influisca sull'accesso dell'entità.

Ruoli di base

È consigliabile avere le stesse autorizzazioni in un ambiente non di produzione e in un ambiente di produzione, seguendo la best practice del privilegio minimo. Avere le stesse autorizzazioni offre il vantaggio di testare le configurazioni di produzione in ambienti non di produzione e di rilevare i problemi in anticipo.

Detto questo, in alcune situazioni potresti voler velocizzare la sperimentazione con Config Connector. Per gli ambienti non di produzione, puoi utilizzare uno dei ruoli di base come esperimento, prima di decidere le autorizzazioni più limitate.

Il ruolo Proprietario (roles/owner) consente a Config Connector di gestire la maggior parte delle Google Cloud risorse nel progetto, incluse le risorse IAM.

Il ruolo Editor (roles/editor) consente la maggior parte delle funzionalità di Config Connector, ad eccezione delle configurazioni a livello di progetto o organizzazione, come le modifiche IAM.

Per saperne di più sulle autorizzazioni IAM per Config Connector: