Gerenciar o Login do SO em uma organização

Este documento descreve como usar o Login do SO para gerenciar o acesso a instâncias de VM em toda a organização.

Neste tópico, abordamos as seguintes tarefas:

• Ativar o Login do SO em uma organização usando uma política dela: use uma política da organização para garantir que todas as instâncias de VM da organização tenham o Login do SO ativado.
• Conceder acesso à instância para usuários de fora da organização: permita que contas de usuário de fora da sua organização usem o SSH para conexão com as instâncias.
• Gerenciar a API Login do SO: permita ou negue o acesso de usuários para usar a API Login do SO. Também ative ou desative os recursos da API Login do SO.
• Fazer auditoria de eventos de login do SO: rastreie eventos e atividades relacionados ao login do SO, como adição, exclusão ou atualização de uma chave SSH ou exclusão de informações POSIX.
• Modificar contas de usuário usando a API Directory: atualize as propriedades do usuário, como nome de usuário e informações da conta POSIX, por meio da API Directory.
• Usar grupos do Linux com o Login do SO: gerencie as permissões de usuário nas VMs usando grupos do Linux com o Login do SO.
• Usar o Login do SO com a federação de identidade de colaboradores (pré-lançamento): conecte-se a VMs que tenham o Login do SO ativado quando a organização usar um provedor de identidade externo (IdP).

Antes de começar

• Configure a autenticação, caso ainda não tenha feito isso. A autenticação é o processo de verificação da sua identidade para acesso a serviços e APIs do Google Cloud. Para executar códigos ou amostras de um ambiente de desenvolvimento local, autentique-se no Compute Engine da seguinte maneira.
  

  Select the tab for how you plan to use the samples on this page:

  Console

  When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.

  gcloud

  1. Install the Google Cloud CLI, then initialize it by running the following command:

     gcloud init

  2. Set a default region and zone.

  REST

  Para usar as amostras da API REST nesta página em um ambiente de desenvolvimento local, use as credenciais fornecidas para gcloud CLI.

  Install the Google Cloud CLI, then initialize it by running the following command:

  gcloud init

  Para mais informações, consulte Autenticar para usar REST na documentação de autenticação do Google Cloud.

Política da organização de login do SO

Configure uma restrição de Login do SO na organização para garantir que todos os novos projetos e as instâncias de VM criadas neles tenham esse recurso ativado.

Quando essa restrição é configurada, as seguintes condições são aplicadas:

• enable-oslogin=true está incluído nos metadados do projeto para todos os novos projetos.
• As solicitações que definem enable-oslogin como false nos metadados da instância ou do projeto são rejeitadas para VMs e projetos novos e atuais.

Limitações

• Cloud Data Fusion versões 6.1.4 e anteriores
• Cloud Composer
• Clusters públicos do Google Kubernetes Engine (GKE) que executam versões anteriores à 1.23.5
• Clusters particulares do GKE que executam versões do pool de nós anteriores à 1.20.5
• Dataproc sem servidor
• VMs do SQL Server e do Windows Server
• VMs do Fedora CoreOS. Para gerenciar o acesso das instâncias às VMs criadas usando essas imagens, use o sistema de ignição do Fedora CoreOS.

Soluções alternativas para o Cloud Data Fusion, Cloud Composer e GKE

Para usar o Login do SO em organizações que usam o Cloud Data Fusion, o Cloud Composer e o GKE, ative a restrição de login do SO no nível da organização e desative seletivamente a restrição em projetos ou pastas dos projetos afetados.

Para mais informações sobre como editar políticas da organização, consulte Como criar e editar políticas.

Ativar a política da organização

Para ativar a política de Login do SO, é possível definir a restrição desse recurso em projetos e pastas específicos usando a CLI do Google Cloud. Também é possível definir a restrição de Login do SO em toda a organização usando o Console do Google Cloud ou a CLI do Google Cloud.

gcloud beta resource-manager org-policies enable-enforce compute.requireOsLogin \
    --folder=folder-id

gcloud beta resource-manager org-policies enable-enforce compute.requireOsLogin \
    --project=project-id

Conceda acesso à instância a usuários fora da sua organização.

Por padrão, os usuários de fora da organização não podem definir chaves SSH para instâncias da organização nem receber acesso a elas. Em algumas situações, talvez seja necessário conceder acesso a instâncias para usuários que façam parte de uma organização diferente ou que tenham uma conta gmail.com do Google de uso doméstico.

O papel do IAM roles/compute.osLoginExternalUser permite que contas do Google externas interajam com os outros papéis do Login do SO para que configurem informações da conta POSIX.

Para conceder roles/compute.osLoginExternalUser e outros papéis com acesso a instâncias de Login do SO necessárias para usuários de fora da sua organização, conclua as seguintes etapas:

1. No Console do Google Cloud, acesse a página de seleção do projeto e da organização.

   Acessar a página de seleção do projeto e da organização

2. No menu suspenso Organização, selecione sua organização.
   1. Clique em Tudo para ver todas as organizações.
   2. Clique no nome da organização.
3. Clique em Adicionar para acrescentar um novo papel a um usuário.
4. Especifique o nome de usuário para quem você quer configurar o acesso à instância.
5. Clique em Selecionar um papel para especificar os papéis que você quer conceder aos usuários.
6. Na lista de papéis do Compute Engine, selecione Usuário externo do login do SO do Compute.
7. Clique em Adicionar para confirmar a concessão do papel selecionado ao usuário.
8. Conceda os outros papéis de acesso à instância do Login do SO ao usuário no nível do projeto ou da organização, se ainda não tiver feito isso.

Agora o usuário pode conectar-se a instâncias do projeto que tenham o Login do SO ativado.

Gerenciar a API OS Login

No nível da organização, é possível restringir o acesso à API OS Login ao configurar os controles de administrador do Google Workspace. Para fazer isso ou visualizar as opções de configuração, consulte Controlar quem usa o Google Cloud na sua organização. Como um administrador do Google Workspace, também é possível ativar ou desativar determinados recursos da API OS Login. Isso inclui as seguintes opções:

• Escolher se quer incluir o sufixo de domínio nos nomes de usuário gerados pela API Login do SO. Por exemplo, no domínio example.com, o usuário user@example.com terá o nome de usuário user se a configuração para incluir o sufixo de domínio não estiver marcada.
• Decidir se os membros da sua organização podem gerenciar chaves SSH usando a API Login do SO.
• Restringir ou permitir o acesso à VM aos usuários que não fazem parte da sua organização.

Para mais informações sobre como ativar ou desativar as configurações da API Login do SO, consulte Escolher configurações para o Google Cloud Platform.

Auditar eventos de login do SO

Como um administrador do Google Workspace, é possível usar o SDK Admin do Google Workspace para fazer a auditoria das ações realizadas com a API OS Login. Ao analisar esses eventos, é possível rastrear quando um usuário adiciona, exclui ou atualiza uma chave SSH ou exclui informações da conta POSIX.

É possível recuperar os eventos de atividade de auditoria da API OS Login usando o SDK Admin do Google Workspace, basta chamar Activities.list() com applicationName=gcp. Para mais informações, consulte Eventos de atividade do Google Cloud na documentação das APIs de relatórios relacionadas ao SDK Admin do Google Workspace.

Modifique as contas de usuários usando a API Directory.

O Login do SO usa as configurações de usuário do Cloud Identity ou do Google Workspace para se conectar a uma instância. Se você é administrador de uma organização, poderá usar a API Directory para concluir as seguintes tarefas nas contas de usuário do Google Workspace ou do Cloud Identity:

• Modificar as configurações de login da instância
• Tornar o usuário um administrador
• Modificar as propriedades do usuário, como nome da conta e e-mail
• Adicionar e remover chaves SSH de um usuário
• Modificar informações da conta POSIX
• Alterar o nome de usuário com que ele se conecta à instância

Os exemplos a seguir mostram como modificar ou remover contas de usuário usando a API Directory. Para mais informações sobre as propriedades da conta que podem ser editadas, consulte a referência da API Directory.

PUT https://admin.googleapis.com/admin/directory/v1/users/USER_KEY

{
 "posixAccounts": [
  {
    "username": "USERNAME",
    "uid": "UID",
    "gid": "GID",
    "homeDirectory": "USER_HOME_PATH",
    "shell": "SHELL_PATH"
   }
  ],
 "sshPublicKeys": [
  {
    "key": "KEY_VALUE",
    "expirationTimeUsec": EXPIRATION_TIME
   }
  ],
}

PUT https://admin.googleapis.com/admin/directory/v1/users/USER_KEY

{
 "posixAccounts": null,
 "sshPublicKeys": null
}

Usar grupos do Linux com o Login do SO

Os administradores da organização podem usar a API Cloud Identity Groups para configurar grupos complementares do Linux para usuários do Login do SO, criando e gerenciando grupos POSIX. O Login do SO vincula grupos POSIX a grupos Linux complementares nas VMs da sua organização para que você possa gerenciar as permissões que os usuários têm nas VMs.

Gerenciar a associação de usuários em grupos do Linux

Para criar um grupo POSIX, consulte Como criar e atualizar grupos POSIX.

Para adicionar usuários a um grupo, consulte Adicionar ou convidar usuários para um grupo.

Elas são atualizadas em até 10 minutos. As alterações em grupo são refletidas em todas as VMs recém-criadas. As atualizações do grupo POSIX podem levar até seis horas para serem propagadas para todas as VMs em execução. Os usuários talvez precisem sair ou usar o comando newgrp para observar as mudanças no grupo.

Limites de taxa para grupos do Linux com Login do SO

Grupos do Linux com Login do SO usam cota oslogin.googleapis.com/metadata_server_groups_requests. Por padrão, o limite de cota é de 60 solicitações/minuto por projeto para uma determinada região.

Se você precisar de uma limitação de taxa mais alta, solicite uma cota maior no Console do Google Cloud da página "Cotas".

Acessar "Cotas"

Usar a federação de identidade de colaboradores com o Login do SO

As organizações que usam a federação de identidade de colaboradores podem usar o Login do SO para gerenciar o acesso às VMs. Quando a federação de identidade de colaboradores está ativada em uma organização, o Login do SO usa a autenticação com base no certificado no lugar daquela com base em chave para verificar as identidades dos usuários.

Antes de começar

• Crie um pool de identidades de colaboradores.
• Configure mapeamentos de atributos google.posix_username.

• Configure a VM para que use o Login do SO com a federação de identidade de colaboradores conforme a seguir:

  1. Para confirmar se a VM tem o OpenSSH 7.4 ou posterior instalado, execute o seguinte comando na VM:

     ssh -V
     

  2. Atualize o ambiente de convidado.

Limitações

• A VM a que você está se conectando precisa ter o OpenSSH versão 7.4 ou mais recente para usar a federação de identidade da força de trabalho com o Login do SO.

• Os usuários em organizações que usam a federação de identidade de colaboradores não podem acessar as portas seriais da VM.

Conectar-se a VMs que usam o Login do SO e a federação de identidade de colaboradores

Conecte-se a VMs que usam o Login do SO com a federação de identidade de colaboradores usando o console do Google Cloud, a gcloud CLI ou outros clientes SSH.

A seguir

• Saiba como configurar o login do SO.
• Saiba como configurar o login do SO com a verificação em duas etapas.
• Leia uma visão geral do recurso de Login do SO.
• Resolva problemas do Login do SO.