OS Login in einer Organisation verwalten

In diesem Dokument wird beschrieben, wie Sie mit OS Login den Zugriff auf VM-Instanzen in Ihrem Unternehmen verwalten können.

In diesem Thema werden folgende Aufgaben behandelt:

• OS Login für eine Organisation mit einer Organisationsrichtlinie aktivieren: Mithilfe einer Organisationsrichtlinie können Sie festlegen, dass für alle neuen VM-Instanzen in Ihrer Organisation OS Login aktiviert ist.
• Nutzern außerhalb Ihrer Organisation Instanzzugriff gewähren: Sie können Nutzerkonten außerhalb Ihrer Organisation das Herstellen von SSH-Verbindungen zu Ihren Instanzen erlauben.
• Zugriff auf die OS Login API steuern: Sie können Nutzern den Zugriff auf die OS Login API gewähren oder verweigern. Außerdem können Sie Features der OS Login API aktivieren oder deaktivieren.
• OS Login-Ereignisse prüfen: Verfolgen Sie OS Login-bezogene Ereignisse und Aktivitäten wie Hinzufügen, Löschen oder Aktualisieren von SSH-Schlüsseln oder Löschen von POSIX-Informationen.
• Nutzerkonten mithilfe der Directory API bearbeiten: Mit der Directory API können Sie Nutzerattribute wie Nutzername und POSIX-Kontoinformationen aktualisieren.
• Linux-Gruppen mit OS Login verwenden: Verwalten Sie Nutzerberechtigungen innerhalb von VMs mithilfe von Linux-Gruppen mit OS Login.
• OS Login mit Mitarbeiteridentitätsföderation (Vorschau) verwenden: Stellen Sie eine Verbindung zu VMs her, für die OS Login aktiviert ist, wenn Ihre Organisation einen externen Identitätsanbieter (IdP) verwendet.

Hinweise

• Richten Sie die Authentifizierung ein, falls Sie dies noch nicht getan haben. Bei der Authentifizierung wird Ihre Identität für den Zugriff auf Google Cloud-Dienste und APIs überprüft. Zur Ausführung von Code oder Beispielen aus einer lokalen Entwicklungsumgebung können Sie sich so bei Compute Engine authentifizieren.
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  REST

  Verwenden Sie die von der gcloud CLI bereitgestellten Anmeldedaten, um die REST API-Beispiele auf dieser Seite in einer lokalen Entwicklungsumgebung zu verwenden.

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  Weitere Informationen finden Sie unter Für die Verwendung von REST authentifizieren in der Dokumentation zur Google Cloud-Authentifizierung.

Organisationsrichtlinie für OS Login

Richten Sie eine OS Login-Einschränkung ein, um dafür zu sorgen, dass OS Login in Ihrer Organisation für alle neuen Projekte und VM-Instanzen aktiviert ist, die in diesen neuen Projekten erstellt werden.

Wenn diese Einschränkung eingerichtet ist, gelten die folgenden Bedingungen:

• enable-oslogin=true ist in den Projektmetadaten für alle neuen Projekte enthalten.
• Anfragen, die enable-oslogin in Instanz- oder Projektmetadaten auf false setzen, werden für neue und vorhandene VMs und Projekte abgelehnt.

Beschränkungen

• Cloud Data Fusion Versionen 6.1.4 und niedriger.
• Cloud Composer 1
• Öffentliche Cluster in Google Kubernetes Engine (GKE), die Versionen vor 1.23.5 ausführen
• Private GKE-Cluster, die Knotenpoolversionen vor 1.20.5 ausführen
• Dataproc Serverless
• Windows Server- und SQL Server-VMs
• Fedora CoreOS-VMs. Verwenden Sie zum Verwalten des Instanzzugriffs auf VMs, die mit diesen Images erstellt wurden, das Ignition-System von Fedora CoreOS.

Problemumgehungen für Cloud Data Fusion, Cloud Composer und GKE

Zur Verwendung von OS Login in Organisationen, die Cloud Data Fusion, Cloud Composer und GKE verwenden, können Sie die OS Login-Einschränkung auf Organisationsebene aktivieren und dann für Projekte oder Ordner für die betroffenen Projekte selektiv deaktivieren.

Weitere Informationen zum Bearbeiten von Organisationsrichtlinien finden Sie unter Richtlinien erstellen und bearbeiten.

Organisationsrichtlinie aktivieren

Zum Aktivieren der OS Login-Richtlinie können Sie die OS Login-Einschränkung für bestimmte Projekte und Ordner über die Google Cloud CLI festlegen. Sie können die OS Login-Einschränkung für die gesamte Organisation auch über die Google Cloud Console oder die Google Cloud CLI festlegen.

gcloud beta resource-manager org-policies enable-enforce compute.requireOsLogin \
    --folder=folder-id

gcloud beta resource-manager org-policies enable-enforce compute.requireOsLogin \
    --project=project-id

Nutzer außerhalb Ihrer Organisation Instanzzugriff gewähren

Standardmäßig können Nutzer außerhalb Ihrer Organisation keine SSH-Schlüssel für Instanzen in Ihrer Organisation festlegen oder Zugriff auf Instanzen in Ihrer Organisation erhalten. In einigen Situationen kann es jedoch erforderlich sein, Nutzern Instanzzugriff zu gewähren, die zu einer anderen Organisation gehören oder ein privates gmail.com-Konto von Google haben.

Die IAM-Rolle roles/compute.osLoginExternalUser ermöglicht externen Google-Konten die Interaktion mit den anderen OS Login-Rollen, da sie die Möglichkeit erhalten, POSIX-Kontoinformationen zu konfigurieren.

So weisen Sie Nutzern außerhalb Ihrer Organisation die Rolle roles/compute.osLoginExternalUser und andere erforderliche Rollen für den Zugriff auf OS Login-Instanzen zu:

1. Rufen Sie in der Google Cloud Console die Seite für die Projekt- und Organisationsauswahl auf.

   Weiter zur Auswahlseite für Projekte und Organisationen

2. Wählen Sie im Drop-down-Menü Organisation Ihre Organisation aus.
   1. Klicken Sie auf Alle, um alle Organisationen aufzurufen.
   2. Klicken Sie auf den Namen der Organisation.
3. Klicken Sie auf Hinzufügen, um einem Nutzer eine neue Rolle zuzuweisen.
4. Geben Sie den Nutzernamen des Nutzers an, für den Sie den Instanzzugriff konfigurieren möchten.
5. Klicken Sie auf Rolle auswählen, um festzulegen, welche Rollen Sie dem Nutzer zuweisen möchten.
6. Wählen Sie in der Liste der Compute Engine-Rollen die Rolle Externer Nutzer von Compute OS-Log-in aus.
7. Klicken Sie auf Hinzufügen, um zu bestätigen, dass Sie dem Nutzer die ausgewählte Rolle zuweisen möchten.
8. Sofern noch nicht geschehen, müssen Sie dem Nutzer auf Projekt- oder Organisationsebene die anderen Rollen für den Zugriff auf Instanzen mit OS Login zuweisen.

Der Nutzer kann jetzt Verbindungen zu Instanzen in Ihrem Projekt herstellen, für die OS Login aktiviert ist.

OS Login API verwalten

Auf Organisationsebene können Sie den Zugriff auf die OS Login API einschränken. Legen Sie dazu die Google Workspace Administrator-Steuerelemente fest. Informationen zum Konfigurieren der Google Workspace Administrator-Steuerelemente oder zum Anzeigen der Konfigurationsoptionen finden Sie unter Steuern, wer Google Cloud in Ihrer Organisation verwenden darf. Als Google Workspace-Administrator können Sie auch bestimmte Features der OS Login API aktivieren oder deaktivieren. Dazu gehören folgende Optionen:

• Wählen Sie aus, ob das Domain-Suffix in Nutzernamen eingefügt werden soll, die von der OS Login API generiert wurden. Beispiel: In der Domain example.com hat der Nutzer user@example.com den Nutzernamen user, wenn die Einstellung zum Einbinden des Domain-Suffix nicht aktiviert ist.
• Entscheiden Sie, ob Mitglieder Ihrer Organisation SSH-Schlüssel mit der OS Login API verwalten können.
• Sie können den VM-Zugriff für Nutzer außerhalb Ihrer Organisation einschränken oder zulassen.

Weitere Informationen zum Aktivieren oder Deaktivieren der OS Login API-Einstellungen finden Sie unter Einstellungen für die Google Cloud Platform auswählen.

OS Login-Ereignisse prüfen

Als Google Workspace-Administrator können Sie mit dem Google Workspace Admin SDK Aktionen prüfen, die mit der OS Login API ausgeführt werden. Anhand dieser Ereignisse können Sie sehen, wenn Nutzer einen SSH-Schlüssel hinzufügen, löschen oder aktualisieren oder POSIX-Kontoinformationen löschen.

Durch Aufrufen von Activities.list() mit applicationName=gcp können Sie die Aktivitätsereignisse der OS Login API-Audits im Google Workspace Admin SDK abrufen. Weitere Informationen finden Sie unter Google Cloud-Aktivitätsereignisse in der Dokumentation zur Google Workspace Admin SDK Reports API.

Nutzerkonten mithilfe der Directory API bearbeiten

OS Login verwendet für die Verbindung zu einer Instanz entweder die Nutzereinstellungen für Cloud Identity oder für Google Workspace. Als Organisationsadministrator können Sie mithilfe der Directory API die folgenden Aufgaben für Ihre Google Workspace- oder Cloud Identity-Nutzerkonten ausführen:

• Anmeldeeinstellungen für Instanz ändern
• Nutzer als Administrator festlegen
• Nutzerattribute wie Kontoname und E-Mail bearbeiten
• SSH-Schlüssel für Nutzer hinzufügen und entfernen
• POSIX-Kontoinformationen bearbeiten
• Den Nutzernamen ändern, mit dem Nutzer auf der Instanz verbunden sind

In den folgenden Beispielen wird gezeigt, wie Sie Nutzerkonten mithilfe der Directory API ändern oder entfernen. Weitere Informationen zu den Kontoattributen, die Sie bearbeiten können, finden Sie in der Referenz zur Directory API.

PUT https://admin.googleapis.com/admin/directory/v1/users/USER_KEY

{
 "posixAccounts": [
  {
    "username": "USERNAME",
    "uid": "UID",
    "gid": "GID",
    "homeDirectory": "USER_HOME_PATH",
    "shell": "SHELL_PATH"
   }
  ],
 "sshPublicKeys": [
  {
    "key": "KEY_VALUE",
    "expirationTimeUsec": EXPIRATION_TIME
   }
  ],
}

PUT https://admin.googleapis.com/admin/directory/v1/users/USER_KEY

{
 "posixAccounts": null,
 "sshPublicKeys": null
}

Linux-Gruppen mit OS Login verwenden

Organisationsadministratoren können mit der Cloud Identity Groups API zusätzliche Linux-Gruppen für OS Login-Nutzer konfigurieren. Dazu erstellen und verwalten sie POSIX-Gruppen. OS Login verknüpft POSIX-Gruppen mit zusätzlichen Linux-Gruppen in den VMs Ihrer Organisation, sodass Sie die Berechtigungen verwalten können, die Nutzer in Ihren VMs haben.

Nutzermitgliedschaft in Linux-Gruppen verwalten

Informationen zum Erstellen einer POSIX-Gruppe finden Sie unter POSIX-Gruppen erstellen und aktualisieren.

Informationen zum Hinzufügen von Nutzern zu einer Gruppe finden Sie unter Nutzer zu einer Gruppe hinzufügen oder einladen.

Mitgliedschaftsaktualisierungen werden innerhalb von zehn Minuten wirksam. Gruppenänderungen werden in allen neu erstellten VMs übernommen. Es kann bis zu sechs Stunden dauern, bis Änderungen an POSIX-Gruppen an alle ausgeführten VMs verteilt werden. Nutzer müssen sich möglicherweise abmelden oder den Befehl newgrp verwenden, um Gruppenänderungen zu beobachten.

Ratenbegrenzungen für Linux-Gruppen mit OS Login

Linux-Gruppen mit OS Login verwenden das Kontingent oslogin.googleapis.com/metadata_server_groups_requests. Standardmäßig beträgt das Kontingentlimit 60 Anfragen/Minute pro Projekt für eine bestimmte Region.

Wenn Sie eine höhere Ratenbegrenzung benötigen, können Sie zusätzliche Kontingente anfordern. Rufen Sie dazu die Seite "Kontingente" in der Google Cloud Console auf.

Kontingente aufrufen

Mitarbeiteridentitätsföderation mit OS Login verwenden

Organisationen, die die Mitarbeiteridentitätsföderation verwenden, können mit OS Login den Zugriff auf ihre VMs verwalten. Wenn die Mitarbeiteridentitätsföderation für eine Organisation aktiviert ist, verwendet OS Login die zertifikatbasierte Authentifizierung anstelle der schlüsselbasierten Authentifizierung, um Nutzeridentitäten zu verifizieren.

Hinweise

• Erstellen Sie einen Mitarbeiteridentitätspool.
• Richten Sie google.posix_username-Attributzuordnungen ein.

• Konfigurieren Sie Ihre VM für die Verwendung von OS Login mit der Mitarbeiteridentitätsföderation. Gehen Sie dazu so vor:

  1. Prüfen Sie, ob durch Ausführen des folgenden Befehls in der VM OpenSSH 7.4 oder höher installiert ist. Führen Sie dazu den folgenden Befehl in der VM aus:

     ssh -V
     

  2. Gastumgebung aktualisieren.

Beschränkungen

• Die VM, zu der Sie eine Verbindung herstellen, muss OpenSSH Version 7.4 oder höher haben , um die Mitarbeiteridentitätsföderation mit OS Login zu verwenden.

• Nutzer in Organisationen, die die Mitarbeiteridentitätsföderation verwenden, haben keinen Zugriff auf serielle Ports der VM.

Verbindung zu VMs herstellen, die OS Login und die Mitarbeiteridentitätsföderation verwenden

Stellen Sie über die Cloud Console, die gcloud CLI oder andere SSH-Clients eine Verbindung zu VMs her, die OS Login mit der Mitarbeiteridentitätsföderation verwenden.

Nächste Schritte

• OS Login einrichten
• OS Login mit Bestätigung in zwei Schritten einrichten
• Übersicht über das Feature "OS Login"
• Fehlerbehebung bei OS Login