Gestire OS Login in un'organizzazione

Questo documento descrive come utilizzare OS Login per gestire l'accesso alle istanze VM all'interno della tua organizzazione.

Questo argomento illustra le seguenti attività:

• Abilita OS Login per un'organizzazione utilizzando un criterio dell'organizzazione: utilizza un criterio dell'organizzazione per assicurarti che in tutte le nuove istanze VM della sua organizzazione sia abilitato OS Login.
• Concede l'accesso alle istanze a utenti esterni all'organizzazione: consente agli account utente esterni all'organizzazione di utilizzare SSH per connettersi alle istanze.
• Gestisci l'API OS Login: consenti o nega agli utenti l'accesso all'API OS Login. Inoltre, puoi attivare o disattivare le funzionalità dell'API OS Login.
• Controlla gli eventi di accesso al sistema operativo: monitora gli eventi e le attività relativi all'accesso al sistema operativo, come l'aggiunta, l'eliminazione o l'aggiornamento di una chiave SSH o l'eliminazione di informazioni POSIX.
• Modifica gli account utente utilizzando l'API Directory: aggiorna le proprietà utente, come il nome utente e i dati dell'account POSIX, utilizzando l'API Directory.
• Utilizza i gruppi Linux con OS Login (disponibile solo per i clienti Google Cloud con licenza legacy): gestisci le autorizzazioni utente all'interno delle VM utilizzando i gruppi Linux con OS Login.
• Utilizza OS Login con la federazione delle identità della forza lavoro (anteprima): connettiti alle VM in cui è abilitato OS Login quando la tua organizzazione utilizza un provider di identità (IdP) esterno.

Prima di iniziare

• Se non l'hai ancora fatto, configura l'autenticazione. L'autenticazione è la procedura mediante la quale la tua identità viene verificata per l'accesso alle API e ai servizi Google Cloud. Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti su Compute Engine selezionando una delle seguenti opzioni:
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  REST

  Per utilizzare gli esempi dell'API REST in questa pagina in un ambiente di sviluppo locale, utilizza le credenziali fornite a gcloud CLI.

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  Per ulteriori informazioni, consulta Eseguire l'autenticazione per l'utilizzo di REST nella documentazione sull'autenticazione di Google Cloud.

Criteri dell'organizzazione di OS Login

Puoi configurare un vincolo OS Login nella tua organizzazione per assicurarti che tutti i nuovi progetti e le istanze VM create in questi nuovi progetti abbiano OS Login abilitato.

Quando questo vincolo è configurato, vengono applicate le seguenti condizioni:

• enable-oslogin=true è incluso nei metadati del progetto per tutti i nuovi progetti.
• Le richieste che impostano enable-oslogin su false nei metadati di istanza o progetto vengono rifiutate per VM e progetti nuovi ed esistenti.

Limitazioni

• Versioni di Cloud Data Fusion 6.1.4 e precedenti
• Cloud Composer 1
• Cluster pubblici Google Kubernetes Engine (GKE) che eseguono versioni precedenti alla 1.23.5
• Cluster GKE privati che eseguono versioni del pool di nodi precedenti alla 1.20.5
• Dataproc Serverless
• VM Windows Server e SQL Server
• VM Fedora CoreOS. Per gestire l'accesso delle istanze alle VM create utilizzando queste immagini, utilizza il sistema di ignizione Fedora CoreOS

Soluzioni alternative per Cloud Data Fusion, Cloud Composer e GKE

Per utilizzare OS Login nelle organizzazioni che utilizzano Cloud Data Fusion, Cloud Composer e GKE, puoi attivare il vincolo OS Login a livello di organizzazione e poi disattivarlo in modo selettivo per i progetti o le cartelle interessati.

Per ulteriori informazioni sulla modifica dei criteri dell'organizzazione, consulta la sezione sulla creazione e modifica dei criteri.

Attiva il criterio dell'organizzazione

Per attivare il criterio OS Login, puoi impostare la limitazione OS Login su progetti e cartelle specifici utilizzando Google Cloud CLI. Puoi anche impostare il vincolo di OS Login per l'intera organizzazione utilizzando la console Google Cloud o Google Cloud CLI.

gcloud beta resource-manager org-policies enable-enforce compute.requireOsLogin \
    --folder=folder-id

gcloud beta resource-manager org-policies enable-enforce compute.requireOsLogin \
    --project=project-id

Concedi l'accesso alle istanze a utenti esterni all'organizzazione

Per impostazione predefinita, gli utenti esterni all'organizzazione non possono impostare chiavi SSH per le istanze all'interno dell'organizzazione né ricevere l'accesso alle istanze. In alcune situazioni, potresti dover concedere l'accesso all'istanza a utenti che fanno parte di un'altra organizzazione o che hanno un Account Google gmail.com consumer.

Il ruolo IAM roles/compute.osLoginExternalUser consente agli Account Google esterni di interagire con gli altri ruoli di OS Login consentendo loro di configurare i dati dell'account POSIX.

Per concedere agli utenti esterni all'organizzazione i ruoli di accesso alle istanze di accesso al OS Login roles/compute.osLoginExternalUser e ad altri ruoli necessari, completa i seguenti passaggi:

1. Nella console Google Cloud, vai alla pagina IAM e amministrazione.

   Vai a IAM e amministrazione

2. Fai clic sul menu a discesa Seleziona un progetto. Nella finestra di dialogo Seleziona una risorsa visualizzata, seleziona la tua organizzazione nel seguente modo:
   1. Fai clic sul menu a discesa dell'organizzazione per visualizzare tutte le tue organizzazioni.
   2. Seleziona la tua organizzazione dal menu a discesa.
3. Fai clic su Concedi l'accesso per aggiungere un nuovo ruolo a un utente.
4. Nel campo Nuove entità, aggiungi l'indirizzo email dell'utente per cui vuoi configurare l'accesso all'istanza.
5. Nel menu a discesa Ruolo, seleziona il ruolo Utente esterno OS Login Compute.
6. Fai clic su Salva.
7. Se non lo hai ancora fatto, concedi all'utente gli altri ruoli di accesso alle istanze OS Login a livello di progetto o organizzazione.

Ora l'utente può connettersi alle istanze nel tuo progetto in cui è abilitato l'accesso tramite OS Login operativo.

Gestire l'API OS Login

A livello di organizzazione, puoi limitare l'accesso all'API OS Login impostando i controlli amministrazione di Google Workspace. Per configurare i controlli amministrativi di Google Workspace o visualizzare le opzioni di configurazione, consulta Controllare chi utilizza Google Cloud nella tua organizzazione. In qualità di amministratore di Google Workspace, puoi anche attivare o disattivare determinate funzionalità dell'API OS Login. Sono incluse le seguenti opzioni:

• Scegli se includere il suffisso di dominio nei nomi utente generati dall'API OS Login. Ad esempio, nel dominio example.com, l'utenteuser@example.com avrà il nome utente user se l'impostazione per includere il suffisso del dominio non è selezionata.
• Decidi se i membri della tua organizzazione possono gestire le chiavi SSH utilizzando l'API OS Login.
• Limita o consenti l'accesso alle VM agli utenti esterni all'organizzazione.

Per saperne di più su come attivare o disattivare le impostazioni dell'API OS Login, consulta Scegliere le impostazioni per la piattaforma Google Cloud.

Controlla gli eventi di accesso al sistema operativo

In qualità di amministratore di Google Workspace, puoi utilizzare l'SDK Admin di Google Workspace per controllare le azioni eseguite con l'API OS Login. Esaminando questi eventi, puoi monitorare quando un utente aggiunge, elimina o aggiorna una chiave SSH o elimina i dati dell'account POSIX.

Puoi recuperare gli eventi di attività di controllo dell'API OS Login dall'SDK Admin di Google Workspace chiamando Activities.list() con applicationName=gcp. Per ulteriori informazioni, consulta Eventi di attività di Google Cloud nella documentazione dell'API Reports dell'SDK Admin di Google Workspace.

Modificare gli account utente utilizzando l'API Directory

L'OS Login utilizza le impostazioni utente di Cloud Identity o Google Workspace quando ti connetti a un'istanza. Se sei un amministratore dell'organizzazione, puoi utilizzare l'API Directory per completare le seguenti attività per i tuoi account utente Google Workspace o Cloud Identity:

• Modificare le impostazioni di accesso all'istanza.
• Impostare un utente come amministratore
• Modificare le proprietà utente, ad esempio il nome e l'email dell'account
• Aggiungere e rimuovere chiavi SSH per un utente
• Modificare i dati dell'account POSIX
• Modifica il nome utente a cui gli utenti si connettono nell'istanza.

Gli esempi seguenti mostrano come modificare o rimuovere gli account utente utilizzando l'API Directory. Per ulteriori informazioni sulle proprietà dell'account che puoi modificare, consulta il riferimento all'API Directory.

PUT https://admin.googleapis.com/admin/directory/v1/users/USER_KEY

{
 "posixAccounts": [
  {
    "username": "USERNAME",
    "uid": "UID",
    "gid": "GID",
    "homeDirectory": "USER_HOME_PATH",
    "shell": "SHELL_PATH"
   }
  ],
 "sshPublicKeys": [
  {
    "key": "KEY_VALUE",
    "expirationTimeUsec": EXPIRATION_TIME
   }
  ],
}

PUT https://admin.googleapis.com/admin/directory/v1/users/USER_KEY

{
 "posixAccounts": null,
 "sshPublicKeys": null
}

Utilizzare i gruppi Linux con OS Login (disponibile solo per i clienti Google Cloud con licenza legacy)

Gli amministratori dell'organizzazione possono utilizzare l'API Cloud Identity Groups per configurare gruppi Linux supplementari per gli utenti di OS Login creando e gestendo gruppi POSIX. L'OS Login collega i gruppi POSIX ai gruppi Linux supplementari nelle VM della tua organizzazione in modo da poter gestire le autorizzazioni degli utenti nelle VM.

Gestire l'appartenenza degli utenti ai gruppi Linux

Per creare un gruppo POSIX, consulta Creare e aggiornare i gruppi POSIX.

Per aggiungere utenti a un gruppo, vedi Aggiungere o invitare utenti in un gruppo.

Gli aggiornamenti dell'abbonamento vengono applicati entro 10 minuti. Le modifiche al gruppo vengono applicate a tutte le VM appena create. Gli aggiornamenti dei gruppi POSIX possono richiedere fino a sei ore per essere propagati a tutte le VM in esecuzione. Gli utenti potrebbero dover uscire o utilizzare il comando newgrp per osservare le modifiche al gruppo.

Eliminare le configurazioni dei gruppi POSIX

Il supporto del gruppo POSIX di accesso al sistema operativo è stato ritirato. Ti consigliamo di eliminare le configurazioni dei gruppi POSIX di accesso al sistema operativo.

Per eliminare le configurazioni dei gruppi POSIX di accesso al sistema operativo, devi essere un amministratore dell'organizzazione.

1. Se non conosci l'ID risorsa dell'organizzazione, recuperalo.
2. Elenca tutti i gruppi POSIX nella tua organizzazione. Prendi nota dell'indirizzo email di ciascun gruppo.
3. Per ogni gruppo POSIX della tua organizzazione:
   1. Recupero delle informazioni del gruppo. Nota il pulsanteposixGroups.gid.
   2. Elimina il gruppo POSIX.
4. Se vuoi, verifica che tutti i gruppi siano stati eliminati elencando tutti i gruppi POSIX della tua organizzazione. Se tutti i gruppi sono stati eliminati correttamente, la risposta è vuota.

Limiti di frequenza per i gruppi Linux con OS Login

I gruppi Linux con OS Login utilizzano la quota oslogin.googleapis.com/metadata_server_groups_requests. Per impostazione predefinita, il limite di quota è di 60 richieste/minuto per progetto per una determinata regione.

Se hai bisogno di un limite di frequenza superiore, puoi richiedere una quota aggiuntiva dalla pagina Quote della console Google Cloud.

Vai a Quote

Utilizzare la federazione delle identità per la forza lavoro con OS Login

Le organizzazioni che utilizzano la federazione delle identità della forza lavoro possono utilizzare Accesso OS Login per gestire l'accesso alle proprie VM. Quando la federazione delle identità della forza lavoro è attivata per un'organizzazione, OS Login utilizza l'autenticazione basata su certificato anziché l'autenticazione basata su chiavi per verificare le identità utente.

Prima di iniziare

• Crea un pool di identità per la forza lavoro.
• Configura le mappature degli attributi google.posix_username.

• Configura la VM in modo che utilizzi lOS Login con la federazione delle identità della forza lavoro come segue:

  1. Verifica che sulla VM sia installato OpenSSH 7.4 o versioni successive eseguendo il seguente comando sulla VM:

     ssh -V
     

  2. Aggiorna l'ambiente guest.

Limitazioni

• La VM a cui ti connetti deve avere OpenSSH versione 7.4 o successive per utilizzare la federazione delle identità del personale con OS Login.

• Gli utenti delle organizzazioni che utilizzano la federazione delle identità per la forza lavoro non possono accedere alle porte seriali della VM.

Connettiti alle VM che utilizzano OS Login e la federazione delle identità della forza lavoro

Connettiti alle VM che utilizzano lOS Login con la federazione delle identità per la forza lavoro utilizzando la console Google Cloud, l&#gcloud CLI o altri client SSH.

Passaggi successivi

• Scopri come configurare l'API OS Login.
• Scopri come configurare OS Login con la verifica in due passaggi.
• Leggi una panoramica della funzionalità OS Login.
• Risolvi i problemi relativi a OS Login.