Identitas yang didukung untuk aturan ingress dan egress

Kontrol Layanan VPC menggunakan aturan ingress dan egress untuk mengontrol akses ke dan dari resource serta klien dalam perimeter layanan. Untuk meningkatkan ketepatan akses, Anda dapat menentukan identitas yang didukung dalam aturan ingress dan egress.

Halaman ini mencantumkan identitas yang didukung oleh Kontrol Layanan VPC dan format ID-nya.

Catatan: Anda hanya dapat menentukan workforce identity pool, workload identity pool, Workload Identity Federation for GKE (Pratinjau), identitas agen, dan agen layanan dalam aturan ingress dan egress perimeter layanan. Jenis identitas ini tidak didukung di tingkat akses Access Context Manager.

Identitas yang didukung

Kontrol Layanan VPC mendukung identitas berikut dari ID principal untuk kebijakan izin, yang menggunakan IAM v1 API:

Jenis identitas	Jenis principal	ID
Principal tunggal	Akun pengguna	user:USER_EMAIL_ADDRESS
	Akun layanan	serviceAccount:SA_EMAIL_ADDRESS
Grup identitas dan identitas pihak ketiga	Grup	group:GROUP_EMAIL_ADDRESS
	Identitas tunggal dalam workforce identity pool	principal://iam.googleapis.com/locations/global/workforcePools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
	Semua workforce identity dalam sebuah grup	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/group/GROUP_ID
	Semua workforce identity dengan nilai atribut tertentu	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
	Semua identitas dalam workforce identity pool	principalSet://iam.googleapis.com/locations/global/workforcePools/POOL_ID/*
	Identitas tunggal dalam workload identity pool	principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/subject/SUBJECT_ATTRIBUTE_VALUE
	Grup workload identity pool	principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/group/GROUP_ID
	Semua identitas dalam workload identity pool dengan atribut tertentu	principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
	Semua identitas dalam workload identity pool	principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/POOL_ID/*
Workload Identity Federation for GKE (Pratinjau)	Semua Pod GKE yang menggunakan akun layanan Kubernetes berdasarkan nama	principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT
	Semua Pod GKE yang menggunakan akun layanan Kubernetes berdasarkan ID	principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/kubernetes.serviceaccount.uid/SERVICEACCOUNT_ID
	Semua Pod GKE dalam namespace Kubernetes, terlepas dari akun layanan atau cluster	principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/namespace/NAMESPACE
	Semua Pod GKE dalam cluster	principalSet://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/kubernetes.cluster/https://container.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/clusters/CLUSTER_NAME
Identitas agen	Identitas agen	principal://TRUST_DOMAIN/AGENT_UNIQUE_IDENTIFIER
	Semua identitas agen dalam domain tepercaya dengan atribut tertentu	principalSet://TRUST_DOMAIN/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
	Semua identitas agen dalam domain tepercaya	principalSet://TRUST_DOMAIN/*

Untuk mengetahui informasi selengkapnya tentang identitas ini, lihat ID principal untuk kebijakan izin.

Kontrol Layanan VPC juga mendukung format SPIFFE berikut untuk identitas tenaga kerja dan Workload Identity pihak ketiga:

Jenis identitas	Jenis principal	ID
Workforce identity dalam format SPIFFE	Identitas tunggal dalam workforce identity pool	principal://POOL_ID.global.workforce.id.goog/SUBJECT_ATTRIBUTE_VALUE
	Semua identitas dalam workforce identity pool sebagai domain tepercaya dengan atribut tertentu	principalSet://POOL_ID.global.workforce.id.goog/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
	Semua identitas dalam workforce identity pool sebagai domain tepercaya	principalSet://POOL_ID.global.workforce.id.goog/*
Workload identity dalam format SPIFFE	Identitas tunggal dalam workload identity pool	principal://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/SUBJECT_ATTRIBUTE_VALUE
	Semua identitas dalam workload identity pool sebagai domain tepercaya dengan atribut tertentu	principalSet://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/attribute.ATTRIBUTE_NAME/ATTRIBUTE_VALUE
	Semua identitas dalam workload identity pool sebagai domain tepercaya	principalSet://POOL_ID.global.ORGANIZATION_ID.workload.id.goog/*

Pertimbangan Workload Identity Federation for GKE

Pratinjau

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

• Batas 1.000 principal Workload Identity Federation for GKE per kebijakan akses berlaku. Untuk mengetahui informasi selengkapnya, baca Kuota dan batas.
• Principal Workload Identity Federation for GKE tidak mendukung sintaksis principal yang dihapus .
• Anda dapat menentukan principal Workload Identity Federation for GKE menggunakan salah satu dari format ID principal IAM lengkap (misalnya, principal://iam.googleapis.com/projects/PROJECT_NUMBER/locations/global/workloadIdentityPools/PROJECT_ID.svc.id.goog/subject/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT) atau format SPIFFE yang setara (misalnya, principal://PROJECT_ID.svc.id.goog/ns/NAMESPACE/sa/KUBERNETES_SERVICE_ACCOUNT). Saat Anda menjelaskan atau mengambil perimeter layanan yang berisi aturan yang dibuat dengan sintaksis SPIFFE, Kontrol Layanan VPC akan menampilkan identitas dalam format SPIFFE.

Principal IAM yang dihapus

Pratinjau

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Untuk membantu Anda mengelola perimeter layanan yang mereferensikan akun yang dihapus, Kontrol Layanan VPC memungkinkan Anda mengaktifkan dukungan untuk ID principal IAM yang dihapus. Secara default, upaya untuk memperbarui atau mencantumkan perimeter yang berisi principal yang dihapus akan gagal dengan error The email address is invalid or non-existent. Untuk mengetahui informasi selengkapnya, lihat Memecahkan masalah umum.

Untuk mengambil atau memperbarui perimeter yang berisi principal yang dihapus, gunakan Access Context Manager API. Tetapkan parameter deletedPrincipalSyntax (REST) atau kolom deleted_principal_syntax (gRPC) ke DELETED_PRINCIPAL_SYNTAX_SUPPORT_ENABLED dalam permintaan, seperti metode get, list, atau patch.

Untuk mengetahui informasi selengkapnya, lihat halaman referensi REST atau gRPC.

Misalnya, Anda dapat menggunakan perintah curl berikut untuk mendapatkan perimeter:

curl -X GET \
  -H "Authorization: Bearer $(gcloud auth print-access-token)" \
  "https://accesscontextmanager.googleapis.com/v1/accessPolicies/\
POLICY_NAME/servicePerimeters/PERIMETER_NAME?\
deletedPrincipalSyntax=DELETED_PRINCIPAL_SYNTAX_SUPPORT_ENABLED"

Catatan: Anda tidak dapat menggunakan Google Cloud konsol atau alat command line gclouduntuk mengelola perimeter yang berisi entitas yang dihapus. Upaya untuk melakukannya akan gagal dengan error The email address is invalid or non-existent.

Untuk mengetahui daftar jenis principal IAM yang mendukung sintaksis yang dihapus, lihat ID principal untuk kebijakan izin.

Batasan

Batasan berikut berlaku untuk principal IAM yang dihapus di perimeter Kontrol Layanan VPC:

• Kontrol Layanan VPC hanya mendukung principal IAM yang dihapus yang menggunakan IAM v1 API. Kontrol Layanan VPC tidak mendukung principal yang dihapus yang menggunakan IAM v2 atau v3 API.
• Principal IAM yang dihapus di tingkat akses tidak didukung.
• Principal yang tidak mendukung sintaksis awalan deleted: di IAM juga tidak didukung dalam aturan perimeter layanan Kontrol Layanan VPC.
• Anda dapat menentukan maksimum 500 identitas yang dihapus dalam kebijakan akses.

Langkah berikutnya

• Mengonfigurasi grup identitas dan identitas pihak ketiga dalam aturan ingress dan egress