Controllo dell'accesso con IAM

Concedi l'accesso alle operazioni di Google Cloud Managed Lustre concedendo i ruoli Identity and Access Management (IAM) agli utenti.

Le autorizzazioni IAM controllano solo l'accesso alle operazioni di Google Cloud Managed Lustre, ad esempio la creazione di un'istanza di Google Cloud Managed Lustre. Per controllare l'accesso alle operazioni del file system sull'istanza, ad esempio la lettura o la scrittura di un file, utilizza le autorizzazioni dei file POSIX.

Autorizzazioni e ruoli

Managed Lustre utilizza le seguenti autorizzazioni:

Autorizzazione Descrizione
lustre.instances.create Crea nuove istanze
lustre.instances.delete Elimina le istanze
lustre.instances.update Aggiorna le istanze. Non consente l'eliminazione
lustre.instances.get Descrivi le istanze
lustre.instances.list Elenca tutte le istanze
lustre.instances.exportData Esporta i dati da Managed Lustre a Cloud Storage
lustre.instances.importData Importa i dati da Cloud Storage a Managed Lustre
lustre.locations.get Ottieni una località
lustre.locations.list Elenca tutte le località supportate
lustre.operations.list Elenca operazioni
lustre.operations.get Ottieni un'operazione
lustre.operations.cancel Annulla un'operazione
lustre.operations.delete Elimina un'operazione

Google Cloud non supporta la concessione diretta di singole autorizzazioni; devi concedere un ruolo che contenga le autorizzazioni. I ruoli predefiniti di Managed Lustre sono:

  • Amministratore di Managed Lustre (roles/lustre.admin)
  • Visualizzatore di Managed Lustre (roles/lustre.viewer)

La tabella seguente elenca le autorizzazioni concesse dai ruoli predefiniti per Managed Lustre, nonché il ruolo Editor di base:

Capacità Editor (roles/editor) Managed Lustre (roles/lustre.*)
admin viewer
Creare istanze
Eliminare le istanze
Aggiornare le istanze
Ottenere le istanze
Elencare le istanze
Importare/esportare dati da/su Cloud Storage
Ottenere una località
Elencare le località supportate
Elencare le operazioni a lunga esecuzione
Ottenere un'operazione
Annullare un'operazione
Eliminare un'operazione

Ruoli personalizzati

Se i ruoli predefiniti disponibili non soddisfano i requisiti di accesso della tua organizzazione, puoi creare e applicare ruoli IAM personalizzati.

Quando crei ruoli personalizzati, ti consigliamo di utilizzare una combinazione di ruoli predefiniti per assicurarti che le autorizzazioni corrette siano incluse insieme.

Service agent Managed Lustre

Managed Lustre utilizza un service agent per accedere ad altre Google Cloud risorse ed eseguire azioni per tuo conto. Un service agent è un account di servizio gestito da Google che viene creato automaticamente la prima volta che crei un'istanza di Managed Lustre in un progetto. Può anche essere creato manualmente.

La concessione delle autorizzazioni al service agent è necessaria solo se utilizzi determinate funzionalità facoltative. Per la creazione di istanze standard e le operazioni del file system senza queste funzionalità, non è necessaria alcuna configurazione del service agent.

Funzionalità che richiedono le autorizzazioni del service agent

Le seguenti funzionalità richiedono la concessione di ruoli IAM al service agent:

Funzionalità Ruolo richiesto Risorsa target Descrizione
Chiavi di crittografia gestite dal cliente (CMEK) roles/cloudkms.cryptoKeyEncrypterDecrypter Chiave Cloud KMS Consente al service agent di crittografare e decrittografare i dati a riposo utilizzando la tua chiave.
Trasferisci i dati da Cloud Storage roles/storage.objectViewer Bucket Cloud Storage Consente al service agent di leggere e importare oggetti dal bucket nell'istanza.
Trasferisci i dati da e verso Cloud Storage roles/storage.objectUser Bucket Cloud Storage Consente al service agent di leggere e scrivere oggetti durante le operazioni di importazione ed esportazione.

Se non utilizzi nessuna di queste funzionalità, puoi saltare i passaggi rimanenti in questa sezione.

Creare o recuperare l'identità del service agent

Per concedere le autorizzazioni al service agent, devi ottenere la sua identità. Il service agent utilizza il seguente formato:

service-PROJECT_NUMBER@gcp-sa-lustre.iam.gserviceaccount.com

Utilizza una delle seguenti opzioni per creare o determinare l'identità del service agent:

  • Se non hai creato un'istanza di Managed Lustre: crea manualmente il service agent eseguendo il services identity create comando:

    gcloud beta services identity create \
  --service=lustre.googleapis.com \
  --project=PROJECT_NUMBER_OR_ID

    Sostituisci PROJECT_NUMBER_OR_ID con il numero o l'ID del progetto in cui vuoi creare l'istanza di Managed Lustre. Il comando restituisce un output simile al seguente:

    Service identity created: service-1234567890@gcp-sa-lustre.iam.gserviceaccount.com

  • Se hai già creato un'istanza di Managed Lustre: per creare l'identità del service agent, recupera il numero di progetto utilizzando il comando gcloud projects describe:

    gcloud projects describe PROJECT_ID --format="value(projectNumber)"

    Sostituisci PROJECT_ID con l'ID progetto. Poi, sostituisci PROJECT_NUMBER nell'indirizzo email del service agent:

    service-PROJECT_NUMBER@gcp-sa-lustre.iam.gserviceaccount.com

Concedere le autorizzazioni al service agent

Dopo aver ottenuto l'identità del service agent, consulta la seguente documentazione per concedere il ruolo richiesto per la tua funzionalità:

Autorizzazioni aggiuntive richieste Google Cloud

Oltre alle autorizzazioni lustre, potresti aver bisogno di autorizzazioni in altri Google Cloud servizi per eseguire attività specifiche:

Attività Autorizzazione
Crea una rete VPC Consulta la sezione Autorizzazioni richieste di Configurare una rete VPC
Crea VM Compute Engine Amministratore istanze Compute (v1). (roles/compute.instanceAdmin.v1) Per ulteriori informazioni, consulta la documentazione di Compute Engine.
Crea e gestisci cluster Google Kubernetes Engine Amministratore container. (roles/container.admin) Per ulteriori informazioni, consulta la documentazione di Google Kubernetes Engine.