Kontrol akses dengan IAM

Topik ini menjelaskan cara menggunakan Identity and Access Management untuk mengontrol cara Config Connector dapat membuat dan mengelola resource. Google Cloud

Untuk menginstal Config Connector, Anda melakukan autentikasi dengan membuat akun layanan IAM, lalu menggunakan Workload Identity Federation untuk GKE agar GKE dapat mengikat akun layanan IAM dengan akun layanan Kubernetes. IAM memungkinkan Config Connector mengambil tindakan pada resource tertentu. Dengan membatasi izin yang ditetapkan ke akun layanan, Anda memiliki kontrol yang lebih besar atas jenis resource yang dapat dibuat oleh Config Connector.

Anda dapat memilih untuk mengelola resource dengan satu akun layanan atau beberapa akun layanan.

Akun layanan tunggal

Saat menginstal Config Connector dengan add-on GKE atau penginstalan manual, Anda dapat menyetel mode cluster di ConfigConnector CustomResource. Dengan mode cluster, Anda dapat menggunakan satu akun layanan IAM untuk membuat dan mengelola resource, meskipun Anda menggunakan Config Connector untuk mengelola beberapa project.

Diagram berikut menunjukkan cara kerja mode ini, dengan akun layanan yang sama mengelola dua project:

Diagram yang menunjukkan Config Connector mengelola beberapa Project menggunakan akun layanan yang sama

Beberapa akun layanan

Anda dapat menggunakan beberapa akun layanan dengan menyetel mode namespace di ConfigConnector CustomResource. Mode namespace memungkinkan Anda membagi izin berdasarkan masalah masing-masing akun layanan IAM yang berbeda dan mengisolasi izin di antara namespace Kubernetes yang berbeda karena Anda dapat mengaitkan akun layanan yang berbeda untuk setiap namespace.

Pilih mode namespace jika Anda:

  • Ingin mengisolasi izin IAM di tingkat namespace Kubernetes.
  • Anda akan mengelola sejumlah besar Google Cloud resource dari beberapa Google Cloud project pada satu cluster.

Sebagai contoh, Anda membuat satu akun layanan IAM untuk setiap project, mengatur resource dari setiap project dalam namespace Kubernetes yang sama, lalu mengikat akun layanan IAM yang sesuai ke namespace Kubernetes. Hal ini memungkinkan Anda memisahkan izin IAM untuk setiap project sehingga setiap project memiliki serangkaian izin yang berbeda dan tidak terkait.

Diagram berikut menunjukkan ringkasan cara kerja mode namespace, dengan setiap project dikelola oleh akun layanan yang berbeda:

Diagram yang menunjukkan Config Connector mengelola beberapa Project menggunakan dua akun layanan yang berbeda

Dalam mode namespace, setiap akun layanan IAM terikat ke namespace secara default. Saat Anda membuat resource dalam namespace tersebut, Config Connector menggunakan akun layanan ini untuk membuat resource Google Cloud. Ada pod cnrm-controller-manager Config Connector khusus untuk setiap namespace yang meniru akun layanan IAM yang terkait dengan namespace.

Untuk mempelajari cara mengonfigurasi mode namespace, lihat Menginstal Config Connector menggunakan mode namespace.

Menyesuaikan izin setelah penginstalan

Selama penginstalan Config Connector, Anda mungkin telah memilih peran dasar sementara dan menetapkan peran tersebut ke akun layanan yang Anda konfigurasi untuk Config Connector. Jika telah mengonfigurasi Config Connector dalam mode ber-namespace, Anda mungkin memiliki lebih dari satu akun layanan IAM.

Setelah menyelesaikan penginstalan, Anda mungkin perlu menghapus atau memperbarui izin luas agar sesuai dengan pertimbangan keamanan dan praktik terbaik.

Salah satu keunggulan utama Config Connector adalah alat terpadu. Artinya, Anda dapat menggunakan Config Connector itu sendiri untuk menyesuaikan peran dan izin IAM. Anda dapat menggunakan resource IAMPolicyMember atau IAMPartialPolicy di Config Connector untuk mengonfigurasi izin IAM. Tindakan ini memerlukan akun layanan IAM dengan izin administrator di seluruh project, folder, atau organisasi Anda. Akun layanan ini harus dikonfigurasi untuk terikat ke penginstalan Config Connector melalui mode cluster atau mode namespace.

Bagian berikut mencantumkan berbagai contoh kebijakan yang menggunakan Config Connector untuk mengelola izin IAM.

Izin pemilik organisasi

Untuk memperluas izin Config Connector sehingga dapat mengelola semua project dan folder untuk organisasi tertentu, selesaikan langkah-langkah berikut:

  1. Buat manifes YAML berikut:

    apiVersion: iam.cnrm.cloud.google.com/v1beta1
kind: IAMPolicyMember
metadata:
 name: iampolicymember-orglevel-permission
 namespace: NAMESPACE
spec:
 member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.
 role: roles/owner
 resourceRef:
   kind: Organization
   external: ORGANIZATION_ID

    Ganti kode berikut:

    • NAMESPACE dengan nama namespace Anda
    • SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda
    • HOST_PROJECT_ID dengan project ID host akun layanan Anda
    • roles/owner dengan peran yang sesuai
    • ORGANIZATION_ID dengan ID organisasi Anda

  2. Terapkan manifes YAML ke cluster Anda menggunakan kubectl atau alat pengelolaan konfigurasi pilihan Anda.

Izin pemilik folder

Untuk memperluas izin Config Connector agar dapat mengelola semua project dan folder dalam folder tertentu, selesaikan langkah-langkah berikut:

  1. Buat manifes YAML berikut:

    apiVersion: iam.cnrm.cloud.google.com/v1beta1
kind: IAMPolicyMember
metadata:
 name: iampolicymember-orglevel-permission
 namespace: NAMESPACE
spec:
 member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.
 role: roles/owner
 resourceRef:
   kind: Folder
   external: folders/FOLDER_ID

    Ganti kode berikut:

    • NAMESPACE dengan nama namespace Anda
    • SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda
    • HOST_PROJECT_ID dengan project ID host akun layanan Anda
    • roles/owner dengan peran yang sesuai
    • FOLDER_ID dengan ID folder Anda

  2. Terapkan manifes YAML ke cluster Anda menggunakan kubectl atau alat pengelolaan konfigurasi pilihan Anda.

Izin pemilik project

Untuk mengizinkan Config Connector mengelola resource project tertentu, selesaikan langkah-langkah berikut:

  1. Buat manifes YAML berikut:

    apiVersion: iam.cnrm.cloud.google.com/v1beta1
kind: IAMPolicyMember
metadata:
 name: iampolicymember-orglevel-permission
 namespace: NAMESPACE
spec:
 member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.
 role: roles/owner
 resourceRef:
   kind: Project
   external: projects/PROJECT_ID

    Ganti kode berikut:

    • NAMESPACE dengan nama namespace Anda
    • SERVICE_ACCOUNT_NAME dengan nama akun layanan Anda
    • HOST_PROJECT_ID dengan project ID host akun layanan Anda
    • roles/owner dengan peran yang sesuai
    • PROJECT_ID dengan project ID target Anda

  2. Terapkan manifes YAML ke cluster Anda menggunakan kubectl atau alat pengelolaan konfigurasi pilihan Anda.

Peran yang telah ditetapkan

Jika lebih memilih untuk memberikan izin yang lebih terbatas ke Config Connector, Anda dapat menetapkan satu atau beberapa peran IAM ke penginstalan Config Connector dengan membuat beberapa resource IAMPolicyMember atau resource IAMPartialPolicy gabungan. Peran berikut biasanya ditetapkan ke akun layanan Config Connector:

  • Editor: Memberikan peran editor memungkinkan sebagian besar fitur Config Connector, kecuali konfigurasi cakupan Project atau Organisasi seperti modifikasi IAM.

  • Peran Admin Akun Layanan IAM: Memberikan izin roles/iam.serviceAccountAdmin memungkinkan Config Connector mengonfigurasi akun layanan IAM.

  • Resource Manager: Memberikan peran Resource Manager seperti roles/resourcemanager.folderCreator memungkinkan Config Connector mengelola folder dan organisasi.

Peran khusus

Jika peran bawaan tidak memenuhi kebutuhan Anda, Anda dapat membuat peran khusus dengan izin yang Anda tentukan.

Untuk mempelajari cara membuat dan menetapkan peran khusus, baca artikel Membuat dan mengelola peran khusus.

Langkah berikutnya