Configura roles de IAM en las reglas de entrada y salida

Organiza tus páginas con colecciones Guarda y categoriza el contenido según tus preferencias.

Console

Cuando actualizas una política de entrada de un perímetro de servicio o estableces una política de entrada durante la creación del perímetro con la consola de Google Cloud, puedes configurar la regla de entrada para usar roles de IAM:

1. Cuando crees o edites un perímetro en la consola de Google Cloud, selecciona Política de entrada.

2. En el panel Reglas de entrada, selecciona una regla de entrada existente o haz clic en Agregar una regla de entrada.

3. En la sección Para de tu política de entrada, selecciona Seleccionar roles de IAM (versión preliminar) en la lista Operaciones o roles de IAM.

4. Haz clic en Agregar roles de IAM.

5. En el panel Agregar roles de IAM, selecciona los roles de IAM que deseas permitir.

   Para obtener información sobre los servicios y roles compatibles, consulta Productos compatibles.

6. Haz clic en Agregar los roles de IAM seleccionados.

7. Haz clic en Listo.

Para obtener información sobre los otros atributos de reglas de entrada, consulta la Referencia de reglas de entrada.

gcloud

Puedes configurar una regla de entrada para usar roles de IAM con un archivo JSON o un archivo YAML. En el siguiente ejemplo, se usa el formato YAML:

- ingressFrom:
    identityType: ANY_IDENTITY | ANY_USER_ACCOUNT | ANY_SERVICE_ACCOUNT
    *OR*
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
      *OR*
    - accessLevel: ACCESS_LEVEL
  ingressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
    *OR*
    roles:
    - ROLE_NAME
    resources:
    - projects/PROJECT_NUMBER

Reemplaza ROLE_NAME por los roles de IAM que definen el permiso de acceso para los servicios especificados en la regla. Especifica un solo rol o una combinación de roles que incluyan todos los permisos necesarios para acceder a los servicios. Para especificar un rol, usa los formatos de nombre de rol que se mencionan en Componentes de roles, excepto el siguiente formato: projects/PROJECT_ID/roles/IDENTIFIER.

Para obtener información sobre los servicios y roles compatibles, consulta Productos compatibles.

Para obtener información sobre los otros atributos de reglas de entrada, consulta la Referencia de reglas de entrada.

Después de actualizar una regla de entrada existente para configurar roles de IAM, debes actualizar las políticas de reglas del perímetro de servicio:

gcloud access-context-manager perimeters update PERIMETER_ID --set-ingress-policies=RULE_POLICY.yaml

Reemplaza lo siguiente:

• PERIMETER_ID: El ID del perímetro de servicio que deseas actualizar.
• RULE_POLICY: Es la ruta de acceso al archivo de la regla de entrada modificada.

Para obtener más información, consulta Actualiza las políticas de entrada y salida para un perímetro de servicio.

Console

Cuando actualizas una política de salida de un perímetro de servicio o estableces una política de salida durante la creación del perímetro con la consola de Google Cloud, puedes configurar la regla de salida para usar roles de IAM:

1. Cuando crees o edites un perímetro en la consola de Google Cloud, selecciona Política de salida.

2. En el panel Reglas de salida, selecciona una regla de salida existente o haz clic en Agregar una regla de salida.

3. En la sección A de tu política de salida, selecciona Seleccionar roles de IAM (versión preliminar) en la lista Operaciones o roles de IAM.

4. Haz clic en Agregar roles de IAM.

5. En el panel Agregar roles de IAM, selecciona los roles de IAM que deseas permitir.

   Para obtener información sobre los servicios y roles compatibles, consulta Productos compatibles.

6. Haz clic en Agregar los roles de IAM seleccionados.

7. Haz clic en Listo.

Para obtener información sobre los otros atributos de las reglas de salida, consulta Referencia de reglas de salida.

gcloud

Puedes configurar una regla de salida para usar roles de IAM con un archivo JSON o un archivo YAML. En el siguiente ejemplo, se usa el formato YAML:

- egressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
    *OR*
    roles:
    - ROLE_NAME
    resources:
    - projects/PROJECT_NUMBER
  egressFrom:
    identityType: ANY_IDENTITY | ANY_USER_ACCOUNT | ANY_SERVICE_ACCOUNT
    *OR*
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
      *OR*
    - accessLevel: ACCESS_LEVEL
    sourceRestriction: RESTRICTION_STATUS

Reemplaza ROLE_NAME por los roles de IAM que definen el permiso de acceso para los servicios especificados en la regla. Especifica un solo rol o una combinación de roles que incluyan todos los permisos necesarios para acceder a los servicios. Para especificar un rol, usa los formatos de nombre de rol que se mencionan en Componentes de roles, excepto el siguiente formato: projects/PROJECT_ID/roles/IDENTIFIER.

Para obtener información sobre los servicios y roles compatibles, consulta Productos compatibles.

Para obtener información sobre los otros atributos de reglas de salida, consulta Referencia de reglas de salida.

Después de actualizar una regla de salida existente para configurar roles de IAM, debes actualizar las políticas de reglas del perímetro de servicio:

gcloud access-context-manager perimeters update PERIMETER_ID --set-egress-policies=RULE_POLICY.yaml

Reemplaza lo siguiente:

• PERIMETER_ID: El ID del perímetro de servicio que deseas actualizar.
• RULE_POLICY: Es la ruta de acceso del archivo de la regla de salida modificado.

Para obtener más información, consulta Actualiza las políticas de entrada y salida para un perímetro de servicio.