Administrar el inicio de sesión del sistema operativo en una organización

Organízate con las colecciones Guarda y clasifica el contenido según tus preferencias.

Este documento describe cómo puede utilizar el inicio de sesión del sistema operativo para administrar el acceso a instancias de VM en toda su organización.

Este tema cubre las siguientes tareas:

• Habilite el inicio de sesión del sistema operativo para una organización mediante una política de la organización : use una política de la organización para garantizar que todas las instancias de VM nuevas en su organización tengan el inicio de sesión del sistema operativo habilitado.
• Conceder acceso a la instancia a usuarios fuera de su organización : permita que las cuentas de usuario fuera de su organización utilicen SSH para conectarse a sus instancias.
• Administrar la API de inicio de sesión del sistema operativo : permita o deniegue a los usuarios el acceso para utilizar la API de inicio de sesión del sistema operativo. También habilite o deshabilite las funciones de la API de inicio de sesión del sistema operativo.
• Auditar eventos de inicio de sesión del sistema operativo : realice un seguimiento de eventos y actividades relacionados con el inicio de sesión del sistema operativo, como agregar, eliminar o actualizar una clave SSH o eliminar información POSIX.
• Modificar cuentas de usuario mediante Directory API : actualice las propiedades del usuario, como el nombre de usuario y la información de la cuenta POSIX, mediante Directory API.
• Usar grupos de Linux con inicio de sesión en el sistema operativo (en desuso) : administre los permisos de usuario dentro de las máquinas virtuales mediante el uso de grupos de Linux con inicio de sesión en el sistema operativo.
• Utilice el inicio de sesión del sistema operativo con la federación de identidades de la fuerza laboral ( versión preliminar ): conéctese a máquinas virtuales que tengan el inicio de sesión del sistema operativo habilitado cuando su organización utilice un proveedor de identidad (IdP) externo.

Antes de comenzar

• Si aún no lo has hecho, configura la autenticación. La autenticación es el proceso mediante el cual se verifica su identidad para acceder a Google Cloud servicios y API. Para ejecutar código o muestras desde un entorno de desarrollo local, puedes autenticarte en Compute Engine seleccionando una de las siguientes opciones:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. After installing the Google Cloud CLI, initialize it by running the following command:

     gcloud init

     If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  2. Set a default region and zone.

  REST

  Para usar las muestras de la API de REST en esta página en un entorno de desarrollo local, debes usar las credenciales que proporcionas a la CLI de gcloud.

  After installing the Google Cloud CLI, initialize it by running the following command:

  gcloud init

  If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  Para obtener más información, consulta Autentica para usar REST en la documentación de autenticación de Google Cloud .

Política de organización de inicio de sesión del sistema operativo

Puede configurar una restricción de inicio de sesión en el sistema operativo en su organización para garantizar que todos los proyectos nuevos y las instancias de VM creadas en estos nuevos proyectos tengan habilitado el inicio de sesión en el sistema operativo.

Cuando se establece esta restricción, se aplican las siguientes condiciones:

• enable-oslogin=true se incluye en los metadatos del proyecto para todos los proyectos nuevos.
• Las solicitudes que configuran enable-oslogin en false en metadatos de instancia o proyecto se rechazan para máquinas virtuales y proyectos nuevos y existentes.

Limitaciones

• Versiones 6.1.4 y anteriores de Cloud Data Fusion
• Compositor de la nube 1
• Clústeres públicos de Google Kubernetes Engine (GKE) que ejecutan versiones anteriores a la 1.23.5
• Clústeres privados de GKE que ejecutan versiones del grupo de nodos anteriores a la 1.20.5
• Dataproc sin servidor
• Máquinas virtuales Windows Server y SQL Server
• Máquinas virtuales Fedora CoreOS. Para administrar el acceso de instancia a las máquinas virtuales creadas con estas imágenes, use el sistema de encendido Fedora CoreOS

Soluciones alternativas para Cloud Data Fusion, Cloud Composer y GKE

Para usar el inicio de sesión del sistema operativo en organizaciones que usan Cloud Data Fusion, Cloud Composer y GKE, puede habilitar la restricción de inicio de sesión del sistema operativo a nivel de organización y luego deshabilitar selectivamente la restricción en proyectos o carpetas para los proyectos afectados.

Para obtener más información sobre la edición de políticas de la organización, consulte creación y edición de políticas .

Habilitar la política de la organización

Para habilitar la política de inicio de sesión del sistema operativo, puede establecer la restricción de inicio de sesión del sistema operativo en proyectos y carpetas específicos mediante la CLI de Google Cloud. También puede establecer la restricción de inicio de sesión del sistema operativo en toda la organización mediante la consola de Google Cloud o la CLI de Google Cloud.

gcloud beta resource-manager org-policies enable-enforce compute.requireOsLogin \
    --folder=folder-id

gcloud beta resource-manager org-policies enable-enforce compute.requireOsLogin \
    --project=project-id

Conceder acceso a la instancia a usuarios fuera de su organización

De forma predeterminada, los usuarios fuera de su organización no pueden configurar claves SSH para instancias de su organización ni recibir acceso a instancias de su organización. En algunas situaciones, es posible que deba otorgar acceso a la instancia a usuarios que forman parte de una organización diferente o que tienen una cuenta de consumidor de Google gmail.com .

La función IAM roles/compute.osLoginExternalUser permite que las cuentas externas de Google interactúen con otras funciones de inicio de sesión del sistema operativo permitiéndoles configurar la información de la cuenta POSIX.

Para otorgar roles/compute.osLoginExternalUser y otros roles de acceso necesarios a la instancia de inicio de sesión del sistema operativo a usuarios fuera de su organización, complete los siguientes pasos:

1. En la consola de Google Cloud, vaya a la página IAM y administración .

   Ir a IAM y administración

2. Haga clic en el menú desplegable Seleccionar un proyecto . En el cuadro de diálogo Seleccionar un recurso que aparece, seleccione su organización haciendo lo siguiente:
   1. Haga clic en el menú desplegable de organizaciones para ver todas sus organizaciones.
   2. Seleccione su organización en el menú desplegable.
3. Haga clic en Conceder acceso para agregar una nueva función a un usuario.
4. En el campo Nuevos directores , agregue la dirección de correo electrónico del usuario para quien desea configurar el acceso a la instancia.
5. En el menú desplegable Función , seleccione la función Usuario externo de inicio de sesión de Compute OS .
6. Haga clic en Guardar .
7. Si aún no lo ha hecho, otorgue las otras funciones de acceso a la instancia de inicio de sesión del sistema operativo al usuario en el nivel de proyecto u organización.

El usuario ahora puede conectarse a instancias de su proyecto que tengan habilitado el inicio de sesión en el sistema operativo.

Administrar la API de inicio de sesión del sistema operativo

A nivel de organización, puede restringir el acceso a la API de inicio de sesión del sistema operativo configurando los controles administrativos de Google Workspace. Para configurar los controles de administración de Google Workspace o ver las opciones de configuración, consulte Controlar quién usa Google Cloud en su organización . Como administrador de Google Workspace, también puedes activar o desactivar determinadas funciones de la API de inicio de sesión del sistema operativo. Esto incluye las siguientes opciones:

• Elija si desea incluir el sufijo de dominio en los nombres de usuario generados por la API de inicio de sesión del sistema operativo. Por ejemplo, en el dominio example.com , el usuario user@example.com tendrá el nombre de usuario user si la configuración para incluir el sufijo del dominio no está marcada.
• Decida si los miembros de su organización pueden administrar claves SSH utilizando la API de inicio de sesión del sistema operativo.
• Restrinja o permita el acceso a VM a usuarios fuera de su organización.

Para obtener más información sobre cómo activar o desactivar la configuración de la API de inicio de sesión del sistema operativo, consulte Elegir configuración para Google Cloud Platform .

Auditar eventos de inicio de sesión del sistema operativo

Como administrador de Google Workspace, puede utilizar el SDK de administrador de Google Workspace para auditar las acciones realizadas con la API de inicio de sesión del sistema operativo. Al revisar estos eventos, puede realizar un seguimiento de cuándo un usuario agrega, elimina o actualiza una clave SSH, o elimina información de la cuenta POSIX.

Puedes recuperar eventos de actividad de auditoría de la API de inicio de sesión del sistema operativo desde el SDK de administración de Google Workspace llamando a Activities.list() con applicationName=gcp . Para obtener más información, consulte Google Cloud eventos de actividad en la documentación de la API de informes del SDK de administración de Google Workspace.

Modificar cuentas de usuario utilizando la API del directorio

El inicio de sesión del sistema operativo utiliza su configuración de usuario de Cloud Identity o Google Workspace cuando se conecta a una instancia. Si eres administrador de una organización, puedes usar la API de Directory para completar las siguientes tareas para tus cuentas de usuario de Google Workspace o Cloud Identity:

• Modifique la configuración de inicio de sesión de la instancia.
• Convertir a un usuario en administrador
• Modificar las propiedades del usuario, como el nombre de la cuenta y el correo electrónico.
• Agregar y eliminar claves SSH para un usuario
• Modificar la información de la cuenta POSIX
• Cambie el nombre de usuario al que se conectan los usuarios en la instancia.

Los siguientes ejemplos muestran cómo modificar o eliminar cuentas de usuario utilizando Directory API. Para obtener más información sobre las propiedades de la cuenta que puede editar, consulte la referencia de Directory API .

PUT https://admin.googleapis.com/admin/directory/v1/users/USER_KEY

{
 "posixAccounts": [
  {
    "username": "USERNAME",
    "uid": "UID",
    "gid": "GID",
    "homeDirectory": "USER_HOME_PATH",
    "shell": "SHELL_PATH"
   }
  ],
 "sshPublicKeys": [
  {
    "key": "KEY_VALUE",
    "expirationTimeUsec": EXPIRATION_TIME
   }
  ],
}

PUT https://admin.googleapis.com/admin/directory/v1/users/USER_KEY

{
 "posixAccounts": null,
 "sshPublicKeys": null
}

Utilice grupos de Linux con inicio de sesión en el sistema operativo (obsoleto)

Los administradores de la organización pueden usar la API de Cloud Identity Groups para configurar grupos de Linux complementarios para los usuarios de inicio de sesión del sistema operativo mediante la creación y administración de grupos POSIX. El inicio de sesión del sistema operativo vincula grupos POSIX con grupos de Linux complementarios en las máquinas virtuales de su organización para que pueda administrar los permisos que los usuarios tienen en sus máquinas virtuales.

Administrar la membresía de usuarios en grupos de Linux

Para crear un grupo POSIX, consulte Creación y actualización de grupos POSIX .

Para agregar usuarios a un grupo, consulte Agregar o invitar usuarios a un grupo .

Las actualizaciones de membresía entran en vigor en 10 minutos. Los cambios de grupo se reflejan en todas las máquinas virtuales recién creadas. Las actualizaciones del grupo POSIX pueden tardar hasta seis horas en propagarse a todas las máquinas virtuales en ejecución. Es posible que los usuarios tengan que cerrar sesión o usar el comando newgrp para observar los cambios del grupo.

Eliminar configuraciones de grupos POSIX

La compatibilidad con el grupo POSIX de inicio de sesión en el sistema operativo está obsoleta. Le recomendamos que elimine las configuraciones de los grupos POSIX de inicio de sesión del sistema operativo.

Debe ser administrador de la organización para eliminar las configuraciones del grupo POSIX de inicio de sesión del sistema operativo.

1. Si no conoce el ID de recurso de su organización, obtenga el ID de recurso de su organización .
2. Enumere todos los grupos POSIX de su organización. Anote la dirección de correo electrónico de cada grupo.
3. Para cada grupo POSIX de su organización, haga lo siguiente:
   1. Recuperar la información del grupo . Tenga en cuenta el posixGroups.gid .
   2. Eliminar el grupo POSIX .
4. Opcionalmente, verifique que todos los grupos se hayan eliminado enumerando todos los grupos POSIX de su organización. Si todos los grupos se han eliminado correctamente, la respuesta está vacía.

Límites de velocidad para grupos de Linux con sistema operativo

Los grupos de Linux con inicio de sesión en el sistema operativo utilizan la cuota oslogin.googleapis.com/metadata_server_groups_requests . De forma predeterminada, el límite de cuota es de 60 solicitudes/minuto por proyecto para una región en particular.

Si necesita un límite de tarifa más alto, puede solicitar una cuota adicional desde la página Cuotas en la consola de Google Cloud.

Ir a Cuotas

Utilice la federación de identidades de la fuerza laboral con el inicio de sesión del sistema operativo

Las organizaciones que utilizan la federación de identidades de la fuerza laboral pueden usar OS Login para administrar el acceso a sus máquinas virtuales. Cuando la federación de identidades de la fuerza laboral está habilitada para una organización, OS Login usa autenticación basada en certificados en lugar de autenticación basada en claves para verificar las identidades de los usuarios.

Antes de comenzar

• Cree un grupo de identidades de la fuerza laboral .
• Configure las asignaciones de atributos google.posix_username .

• Configure su máquina virtual para usar el inicio de sesión del sistema operativo con la federación de identidades de la fuerza laboral haciendo lo siguiente:

  1. Confirme que la VM tenga instalado OpenSSH 7.4 o posterior ejecutando el siguiente comando en la VM:

     ssh -V
     

  2. Actualizar el entorno de invitados .

Limitaciones

• La máquina virtual a la que se está conectando debe tener OpenSSH versión 7.4 o posterior para usar la federación de identidades de la fuerza laboral con el inicio de sesión en el sistema operativo.
• Si su organización utiliza la federación de identidades de la fuerza laboral, no podrá acceder a los puertos serie de la máquina virtual.
• Los certificados SSH solo se admiten para máquinas virtuales en las siguientes regiones:
  • asia-east1
  • asia-northeast1
  • asia-southeast1
  • australia-southeast1
  • europe-north1
  • europe-west1
  • europe-west4
  • northamerica-northeast1
  • southamerica-west1
  • us-central1
  • us-central2
  • us-east1
  • us-east4
  • us-east5
  • us-east7
  • us-south1
  • us-west1
  • us-west4
  • us-west8

Conéctese a máquinas virtuales que utilizan el inicio de sesión del sistema operativo y la federación de identidades de la fuerza laboral

Conéctese a máquinas virtuales que usan el inicio de sesión del sistema operativo con la federación de identidades de la fuerza laboral mediante la consola de Google Cloud, la CLI de gcloud u otros clientes SSH.

¿Qué sigue?

• Aprenda cómo configurar el inicio de sesión en el sistema operativo .
• Aprenda cómo configurar el inicio de sesión en el sistema operativo con verificación en dos pasos .
• Lea una descripción general de la función de inicio de sesión del sistema operativo .
• Solucionar problemas de inicio de sesión del sistema operativo.