Grenzenloses Lakehouse: Zugriffssteuerung mit IAM

Um die Zugriffssteuerung für das grenzenlose Lakehouse zu verwalten, müssen Sie Nutzer einem Google Cloud Projekt hinzufügen und entsprechende Rollen zuweisen. Standardmäßig wird der Zugriff auf Projekte nur dem ursprünglichen Ersteller gewährt. Zusätzliche Nutzer können erst auf Ressourcen zugreifen, wenn sie als Projektmitglieder hinzugefügt oder an bestimmte Ressourcen gebunden werden.

Was ist IAM?

Google Cloud bietet Identity and Access Management (IAM), mit dem sich der Zugriff auf einzelne Ressourcen von Google Cloud präzise steuern und unerwünschter Zugriff auf andere Ressourcen verhindern lässt. Mit IAM können Sie das Sicherheitsprinzip der geringsten Berechtigung anwenden und so nur den notwendigen Zugriff auf Ihre Ressourcen in Lakehouse gewähren.

Mit IAM können Sie auch steuern, wer (eine Identität) welche Berechtigungen (Rollen) für welche Ressourcen hat, indem Sie IAM-Richtlinien festlegen. IAM-Richtlinien weisen einem Projektmitglied bestimmte Rollen zu, die der Identität bestimmte Berechtigungen gewähren. Für eine bestimmte Ressource, z. B. ein Projekt, können Sie einem Google-Konto die Rolle roles/biglake.admin zuweisen. Dieses Konto kann Lakehouse-Ressourcen im Projekt steuern, aber keine anderen Ressourcen verwalten. Mit IAM können Sie auch die einfachen Rollen verwalten, die Projektteammitgliedern gewährt wurden.

Zugriffssteuerungsoptionen für Nutzer

Damit Nutzer Ihre Lakehouse-Ressourcen erstellen und verwalten können, können Sie sie als Teammitglieder zu Ihrem Projekt oder zu bestimmten Ressourcen hinzufügen und ihnen Berechtigungen mithilfe von IAM-Rollen erteilen.

Teammitglieder können einzelne Nutzer mit gültigem Google-Konto sowie Google-Gruppen, Dienstkonten oder Google Workspace-Domains sein. Wenn Sie einem Projekt oder einer Ressource ein Teammitglied hinzufügen, geben Sie an, welche Rollen Sie dem Mitglied zuweisen möchten. IAM bietet drei Arten von Rollen: vordefinierte Rollen, einfache Rollen und benutzerdefinierte Rollen.

Eine Liste der Funktionen der einzelnen Lakehouse-Rollen und der API-Methoden, für die eine bestimmte Rolle Berechtigungen gewährt, finden Sie unter IAM-Rollen für grenzenloses Lakehouse.

Informationen zu anderen Mitgliedstypen wie Dienstkonten und Gruppen finden Sie in der Referenz zum Binden von Richtlinien.

Dienstkonten

Wenn Sie Lakehouse APIs aufrufen, um bestimmte Aktionen in einem Projekt auszuführen, in dem sich Ihr Dienst befindet, führt Lakehouse diese Aktionen in Ihrem Namen mit einem Service-Agent-Dienstkonto pro Katalog aus. Beispiele hierfür sind der Zugriff auf Cloud Storage-Buckets für Credential Vending und das Abrufen geheimer Daten aus Secret Manager für den cloudübergreifenden Datenzugriff.

IAM-Richtlinien für Ressourcen

Sie können Zugriff auf Lakehouse-Ressourcen gewähren, indem Sie IAM-Richtlinien direkt an diese Ressourcen anhängen, z. B. an einen Lakehouse-Dienst. Mit einer IAM-Richtlinie können Sie IAM-Rollen für diese Ressourcen verwalten, anstatt oder zusätzlich zu Rollen auf Projektebene. So können Sie das Prinzip der geringsten Berechtigung flexibel anwenden. Das bedeutet, dass Sie nur Zugriff auf die spezifischen Ressourcen gewähren, die Mitbearbeiter für ihre Arbeit benötigen.

Ressourcen erben auch die Richtlinien der ihnen übergeordneten Ressourcen. Wenn Sie auf Projektebene eine Richtlinie festlegen, wird sie von allen untergeordneten Ressourcen übernommen. Die geltende Richtlinie für eine Ressource ist die Kombination aus der für diese Ressource festgelegten Richtlinie und der Richtlinie, die von weiter oben in der Hierarchie übernommen wird. Weitere Informationen finden Sie unter IAM-Richtlinienhierarchie.

Sie können IAM-Richtlinien mithilfe der Google Cloud Console, der Identity and Access Management API oder der Google Cloud CLI abrufen und festlegen.

Nächste Schritte