Membuat kebijakan akses tercakup

Halaman ini menjelaskan cara membuat dan mendelegasikan kebijakan akses yang tercakup.

Sebelum memulai

  • Baca tentang kebijakan tercakup.

  • Baca cara memberikan akses ke Kontrol Layanan VPC.

  • Pastikan administrator yang didelegasikan yang diberi kebijakan akses tercakup memiliki izin cloudasset.assets.searchAllResources pada folder atau project tempat kebijakan tercakup tersebut diterapkan. Izin ini diperlukan oleh administrator yang didelegasikan untuk menelusuri semua resource Google Cloud .

  • Baca tentang mengonfigurasi perimeter layanan.

Membuat kebijakan akses tercakup

Buat kebijakan akses tercakup dan delegasikan administrasi ke folder dan project dalam organisasi. Setelah membuat kebijakan akses tercakup, Anda tidak dapat mengubah cakupan kebijakan. Untuk mengubah cakupan kebijakan yang ada, hapus kebijakan, lalu buat ulang kebijakan dengan cakupan baru.

Konsol

  1. Di menu navigasi konsol Google Cloud , klik Security, lalu klik VPC Service Controls.

    Buka VPC Service Controls

  2. Jika diminta, pilih organisasi, folder, atau project Anda.

  3. Di halaman VPC Service Controls, pilih kebijakan akses yang merupakan induk dari kebijakan tercakup. Misalnya, Anda dapat memilih kebijakan organisasi default policy.

  4. Klik Manage policies.

  5. Di halaman Manage VPC Service Controls, klik Create.

  6. Di halaman Create access policy, di kotak Access policy name, ketik nama untuk kebijakan akses tercakup.

    Nama kebijakan akses tercakup dapat memiliki panjang maksimum 50 karakter, harus diawali dengan huruf, dan hanya boleh berisi huruf Latin ASCII (a-z, A-Z), angka (0-9), atau garis bawah (_). Nama kebijakan akses tercakup peka huruf besar/kecil dan harus unik dalam kebijakan akses organisasi.

  7. Untuk menentukan cakupan kebijakan akses, klik Scopes.

  8. Tentukan project atau folder sebagai cakupan kebijakan akses.

    • Untuk memilih project yang ingin Anda tambahkan ke cakupan kebijakan akses, lakukan hal berikut:

      1. Di panel Scopes, klik Add project.

      2. Pada dialog Add project, pilih kotak centang project tersebut.

      3. Klik Done. Project yang ditambahkan akan muncul di bagian Scopes.

    • Untuk memilih folder yang ingin Anda tambahkan ke cakupan kebijakan akses, lakukan tindakan berikut:

      1. Di panel Scopes, klik Add folder.

      2. Di dialog Add folder, centang kotak folder tersebut.

      3. Klik Done. Folder yang ditambahkan akan muncul di bagian Scopes.

  9. Untuk mendelegasikan administrasi kebijakan akses tercakup, klik Principals.

  10. Untuk menentukan principal dan peran yang ingin Anda ikat ke kebijakan akses, lakukan hal berikut:

    1. Di panel Principals, klik Add principals.

    2. Pada dialog Add principals, pilih akun utama, seperti nama pengguna atau akun layanan.

    3. Pilih peran yang ingin Anda kaitkan dengan principal, seperti peran editor dan baca.

    4. Klik Save. Principal dan peran yang ditambahkan akan muncul di bagian Principals.

  11. Di halaman Create access policy, klik Create access policy.

gcloud

Untuk membuat kebijakan akses tercakup, gunakan perintah gcloud access-context-manager policies create.

gcloud access-context-manager policies create \
--organization ORGANIZATION_ID [--scopes=SCOPE] --title POLICY_TITLE

Dengan:

  • ORGANIZATION_ID adalah ID numerik organisasi Anda.

  • POLICY_TITLE adalah judul kebijakan yang dapat dibaca manusia. Judul kebijakan dapat memiliki panjang maksimum 50 karakter, harus diawali dengan huruf, dan hanya boleh berisi huruf Latin ASCII (a-z, A-Z), angka (0-9), atau garis bawah (_). Judul kebijakan peka huruf besar/kecil dan harus unik dalam kebijakan akses organisasi.

  • SCOPE adalah folder atau project tempat kebijakan ini berlaku. Anda dapat menentukan hanya satu folder atau project sebagai cakupan, dan cakupan harus ada dalam organisasi yang ditentukan. Jika Anda tidak menentukan cakupan, kebijakan akan berlaku untuk seluruh organisasi.

Output berikut akan muncul (dengan POLICY_NAME adalah ID numerik unik untuk kebijakan yang ditetapkan oleh Google Cloud):

Create request issued
Waiting for operation [accessPolicies/POLICY_NAME/create/1521580097614100] to complete...done.
Created.

Untuk mendelegasikan administrasi dengan mengikat principal dan peran dengan kebijakan akses yang tercakup, gunakan perintah add-iam-policy-binding.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

Dengan:

  • POLICY adalah ID kebijakan atau ID yang sepenuhnya memenuhi syarat untuk kebijakan.

  • PRINCIPAL adalah akun utama yang akan ditambahkan binding-nya. Tentukan dalam format berikut: user|group|serviceAccount:email atau domain:domain.

  • ROLE adalah nama peran yang akan ditetapkan ke principal. Nama peran adalah jalur lengkap peran bawaan, seperti roles/accesscontextmanager.policyEditor, atau ID peran untuk peran khusus, seperti organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyEditor.

API

Untuk membuat kebijakan akses tercakup, lakukan hal berikut:

  1. Buat isi permintaan.

    {
 "parent": "ORGANIZATION_ID",
 "scope": "SCOPE"
 "title": "POLICY_TITLE"
}

    Dengan:

    • ORGANIZATION_ID adalah ID numerik organisasi Anda.

    • SCOPE adalah folder atau project tempat kebijakan ini berlaku.

    • POLICY_TITLE adalah judul kebijakan yang dapat dibaca manusia. Judul kebijakan dapat memiliki panjang maksimum 50 karakter, harus diawali dengan huruf, dan hanya boleh berisi huruf Latin ASCII (a-z, A-Z), angka (0-9), atau garis bawah (_). Judul kebijakan peka huruf besar/kecil dan harus unik dalam kebijakan akses organisasi.

  2. Buat kebijakan akses dengan memanggil accessPolicies.create.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Isi respons

Jika berhasil, isi respons untuk panggilan berisi resource Operation yang memberikan detail tentang operasi POST.

Untuk mendelegasikan administrasi kebijakan akses tercakup, lakukan hal berikut:

  1. Buat isi permintaan.

    {
 "policy": "IAM_POLICY",
}

    Dengan:

    • IAM_POLICY adalah kumpulan binding. Binding mengikat satu atau beberapa anggota, atau principal, ke satu peran. Principal dapat berupa akun pengguna, akun layanan, grup Google, dan domain. Peran adalah daftar izin yang diberi nama; setiap peran dapat berupa peran bawaan IAM atau peran khusus yang dibuat pengguna.

  2. Delegasikan kebijakan akses dengan memanggil accessPolicies.setIamPolicy.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Isi respons

Jika berhasil, isi respons akan memuat instance policy.

Langkah berikutnya