使用 IAM 进行访问权限控制

本页介绍了 Certificate Authority Service 的 IAM 角色。

CA 服务使用 Identity and Access Management (IAM) 角色进行访问权限控制。借助 IAM，您可以通过定义谁（身份）对哪些资源具有哪种访问权限（角色）来控制访问权限。IAM 角色包含一组权限，可让用户对 Google Cloud 资源执行特定操作。在授予 IAM 角色时遵循最小权限原则，您可以保护 Certificate Authority Service 资源的完整性，并管理 CA 池以及整个公共密钥基础架构 (PKI) 的安全性。

如需了解如何向用户或服务账号分配 IAM 角色，请阅读 IAM 文档中的授予、更改和撤消对资源的访问权限。

预定义角色

下表列出了预定义的 IAM 角色以及与每个角色关联的权限：

角色	权限	说明
CA Service Auditor roles/privateca.auditor	privateca.caPools.get privateca.caPools.getIamPolicy privateca.caPools.list privateca.certificateAuthorities.list privateca.certificateAuthorities.get privateca.certificateTemplates.get privateca.certificateTemplates.getIamPolicy privateca.certificateTemplates.list privateca.certificates.list privateca.certificates.get privateca.locations.get privateca.locations.list privateca.operations.get privateca.operations.list privateca.certificateRevocationLists.list privateca.certificateRevocationLists.get privateca.certificateRevocationLists.getIamPolicy resourcemanager.projects.get resourcemanager.projects.list	CA Service 审核员角色对所有 CA Service 资源都有只读权限，并且可以检索和列出 CA 池、CA、证书、撤消列表、IAM 政策和项目的属性。我们建议您将此角色分配给负责验证 CA 池的安全性和运维，并且没有任何日常服务管理职责的个人。
CA Service Certificate Requester roles/privateca.certificateRequester	privateca.certificates.create	CA Service Certificate Requester 角色可以向 CA 池提交证书请求。我们建议您将此角色授予有权请求证书的可信个人。 具有此角色的用户可以根据签发政策请求任意证书。 与 CA Service 证书管理器角色不同，此角色不允许用户获取或列出新颁发的证书，也不允许获取有关 CA 池的任何信息。
CA Service Workload Certificate Requester roles/privateca.workloadCertificateRequester	privateca.certificates.createForSelf	CA Service Workload Certificate Requester 可以使用调用方的身份从 CA Service 请求证书。
CA Service Certificate Manager roles/privateca.certificateManager	roles/privateca.auditor 的所有权限，加上： privateca.certificates.create	CA Service Certificate Manager 可以向 CA 池提交证书颁发请求，就像 CA Service Certificate Requester 一样。此外，此角色还会继承 CA 服务审核员角色的权限。我们建议您将此角色分配给负责在 CA 池中创建、跟踪和审核证书请求的个人，例如经理或首席工程师。
CA Service Certificate Template User roles/privateca.templateUser	privateca.certificateTemplates.get privateca.certificateTemplates.list privateca.certificateTemplates.use	CA Service Certificate Template User 可以读取、列出和使用证书模板。
CA Service Operation Manager roles/privateca.caManager	roles/privateca.auditor 的所有权限，以及以下权限： privateca.certificates.update privateca.caPools.create privateca.caPools.delete privateca.caPools.update privateca.certificateAuthorities.create privateca.certificateAuthorities.delete privateca.certificateAuthorities.update privateca.certificateRevocationLists.update privateca.certificateTemplates.create privateca.certificateTemplates.delete privateca.certificateTemplates.update privateca.certificates.update privateca.operations.cancel privateca.operations.delete resourcemanager.projects.get resourcemanager.projects.list storage.buckets.create	CA Service 运营经理可以创建、更新和删除 CA 池和 CA。此角色还可以撤消证书和创建 Cloud Storage 存储分区。它还具有与 CA 服务审核员相同的功能。在此角色中，用户负责在组织中配置和部署 CA 池，以及配置 CA 池的颁发政策。 此角色不允许创建证书。为此，请使用 CA Service Certificate Requester、CA Service Certificate Manager 或 CA Service Admin 角色。
CA Service Admin roles/privateca.admin	roles/privateca.certificateManager 和 roles/privateca.caManager 的所有权限，以及： privateca.*.setIamPolicy privateca.caPools.use privateca.operations.cancel privateca.operations.delete privateca.resourcemanager.projects.get privateca.resourcemanager.projects.list storage.buckets.create	CA Service Admin 角色会继承 CA Service Operation Manager 和 CA Service Certificate Manager 角色的权限。此角色可以在 CA 服务中执行所有操作。CA 服务管理员可以为 CA 池设置 IAM 政策并创建 Cloud Storage 存储分区。我们建议您在服务建立后，尽量不要再分配此角色。拥有此角色的用户可以执行所有管理方面的操作，包括向其他用户分配权限以及在 CA Service 中管理证书请求。我们建议您对此角色账号实施特殊控制和访问权限，以防止未经授权的访问或使用。

CA Service Service Agent 角色

在创建 CA 期间提供现有 Cloud KMS 签名密钥或 Cloud Storage 存储分区时，必须向 CA 服务代理服务账号 (service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com) 授予相应资源的访问权限。

对于 Cloud KMS，roles/cloudkms.signerVerifier 必须使用签名密钥并读取公钥。必须使用 roles/viewer 来监控 Cloud Monitoring 集成的密钥。

对于 Cloud Storage，roles/storage.objectAdmin 必须将 CA 证书和 CRL 写入存储桶。必须使用 roles/storage.legacyBucketReader 监控存储桶，以实现 Cloud Monitoring 集成。如需了解详情，请参阅适用于 Cloud Storage 的 IAM 角色。

通过 API 访问服务时，请执行以下命令。

1. 创建具有服务代理角色的服务账号。

   gcloud

   gcloud beta services identity create --service=privateca.googleapis.com --project=PROJECT_ID
   

   其中：

   • PROJECT_ID 是创建 CA 池的项目的唯一标识符。

2. 使用以下 gcloud 命令向您的服务账号授予 roles/cloudkms.signerVerifier 和 roles/viewer 角色。

   如果提供现有的 Cloud KMS 签名密钥：

   gcloud

   gcloud kms keys add-iam-policy-binding 'CRYPTOKEY_NAME' \
     --keyring='KEYRING_NAME' \
     --location='LOCATION' \
     --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com' \
     --role='roles/cloudkms.signerVerifier'
   

   其中：

   • “CRYPTOKEY_NAME”是您的密钥名称。
   • “KEYRING_NAME”是您的密钥环的名称。
   • “LOCATION”是您创建密钥环的 Cloud KMS 位置。
   • “PROJECT_NUMBER”是您的服务账号的名称。

   gcloud kms keys add-iam-policy-binding 'CRYPTOKEY_NAME' \
     --keyring='KEYRING_NAME' \
     --location='LOCATION' \
     --member='serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com' \
     --role='roles/viewer'
   

3. 使用以下 gcloud 命令向您的服务账号授予 roles/storage.objectAdmin 和 roles/storage.legacyBucketReader 角色。

   如果提供了现有的 Cloud Storage 存储分区：

   gcloud

   gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
     --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com \
     --role=roles/storage.objectAdmin
   

   其中：

   • BUCKET_NAME 是 Cloud Storage 存储分区的名称。
   • PROJECT_NUMBER 是您的服务账号的唯一标识符。

   gcloud storage buckets add-iam-policy-binding gs://BUCKET_NAME \
     --member=serviceAccount:service-PROJECT_NUMBER@gcp-sa-privateca.iam.gserviceaccount.com \
     --role=roles/storage.legacyBucketReader
   

API 权限

下表列出了调用方在调用 CA Service API 中的每个方法时必须具有的权限：

权限	说明
privateca.caPools.create	创建证书授权机构 (CA) 池。
privateca.caPools.update	更新 CA 池。
privateca.caPools.list	列出项目中的 CA 池。
privateca.caPools.get	检索 CA 池。
privateca.caPools.delete	删除 CA 池。
privateca.caPools.use	使用 CA 池。
privateca.caPools.getIamPolicy	检索 CA 池的 IAM 政策。
privateca.caPools.setIamPolicy	为 CA 池设置 IAM 政策。
privateca.certificateAuthorities.create	创建 CA。
privateca.certificateAuthorities.delete	将 CA 的状态设为“已计划进行删除”。
privateca.certificateAuthorities.get	获取 CA 或 CA 证书签名请求。
privateca.certificateAuthorities.list	列出项目中的 CA。
privateca.certificateAuthorities.update	更新 CA，包括激活、启用、停用和恢复 CA。
privateca.certificates.create	从 CA 服务请求证书。
privateca.certificates.createForSelf	以调用方的身份从 CA Service 请求证书。
privateca.certificates.get	获取证书及其元数据。
privateca.certificates.list	列出 CA 中的所有证书。
privateca.certificates.update	更新证书的元数据，包括吊销。
privateca.certificateRevocationLists.get	在 CA 中获取证书吊销列表 (CRL)。
privateca.certificateRevocationLists.getIamPolicy	获取 CRL 的 IAM 政策。
privateca.certificateRevocationLists.list	列出 CA 中的所有 CRL。
privateca.certificateRevocationLists.setIamPolicy	为 CRL 设置 IAM 政策。
privateca.certificateRevocationLists.update	更新 CRL。
privateca.certificateTemplates.create	创建证书模板。
privateca.certificateTemplates.get	检索证书模板。
privateca.certificateTemplates.list	列出所有证书模板。
privateca.certificateTemplates.update	更新证书模板。
privateca.certificateTemplates.delete	删除证书模板。
privateca.certificateTemplates.getIamPolicy	获取证书模板的 IAM 政策。
privateca.certificateTemplates.setIamPolicy	为证书模板设置 IAM 政策。
privateca.certificateTemplates.use	使用证书模板。
privateca.operations.cancel	取消长时间运行的操作。
privateca.operations.delete	删除长时间运行的操作。
privateca.operations.get	获取长时间运行的操作。
privateca.operations.list	列出项目中长时间运行的操作。

后续步骤

• 了解 IAM 如何集中管理 Google Cloud 资源的权限和访问权限范围。
• 了解如何配置 IAM 政策。