Kontrol akses dengan IAM

Halaman ini menjelaskan peran Identity and Access Management (IAM) yang diperlukan untuk dikonfigurasi ke Access Context Manager.

Peran yang diperlukan

Catatan: Administrator super secara default diberi izin yang diberikan oleh peran Pengelola Konteks Akses. Namun, jika Anda ingin admin super dapat mengelola Access Context Manager menggunakan Konsol Google Cloud, Anda tetap harus menetapkan peran Resource Manager Organization Viewer.

Tabel berikut mencantumkan izin dan peran yang diperlukan untuk membuat dan mencantumkan kebijakan akses:

Tindakan	Izin dan peran yang diperlukan
Membuat kebijakan akses tingkat organisasi atau kebijakan cakupan	Izin: accesscontextmanager.policies.create Peran yang memberikan izin: Peran Access Context Manager Editor (roles/accesscontextmanager.policyEditor)
Cantumkan kebijakan akses tingkat organisasi atau kebijakan cakupan	Izin: accesscontextmanager.policies.list Peran yang memberikan izin: Peran Access Context Manager Editor (roles/accesscontextmanager.policyEditor) Peran Reader Access Context Manager (roles/accesscontextmanager.policyReader)

Anda hanya dapat membuat, mencantumkan, atau mendelegasikan kebijakan cakupan jika memiliki izin tersebut di tingkat organisasi. Setelah membuat kebijakan cakupan, Anda dapat memberikan izin untuk mengelola kebijakan dengan menambahkan binding IAM pada kebijakan cakupan.

Izin yang diberikan pada tingkat organisasi berlaku untuk semua kebijakan akses, termasuk kebijakan tingkat organisasi dan kebijakan cakupan apa pun.

Catatan: Izin Access Context Manager yang diberikan pada folder atau project tidak memengaruhi kebijakan cakupan karena izin hanya dapat diberikan pada tingkat organisasi atau pada masing-masing kebijakan. Kontrol akses untuk kebijakan yang dicakup tidak bergantung pada project atau folder dalam cakupannya.

Peran IAM yang diseleksi berikut memberikan izin yang diperlukan untuk melihat atau mengonfigurasi tingkat akses atau memberikan izin kepada administrator yang didelegasikan terkait kebijakan cakupan menggunakan alat command line gcloud:

• Admin Access Context Manager: roles/accesscontextmanager.policyAdmin
• Editor Access Context Manager: roles/accesscontextmanager.policyEditor
• Pembaca Access Context Manager: roles/accesscontextmanager.policyReader

Selain itu, untuk mengizinkan pengguna mengelola Access Context Manager menggunakan Konsol Google Cloud, peran Resource Manager Organization Viewer (roles/resourcemanager.organizationViewer) diperlukan.

Catatan: Pengguna yang memiliki resource di organisasi dapat mempelajari nama tingkat akses bahkan tanpa izin yang diperlukan. Misalnya, Identity-Aware Proxy menghasilkan JWT dengan klaim google.accessLevels yang berisi nama level akses yang dipenuhi oleh permintaan.

Untuk memberikan salah satu peran ini, gunakan Konsol Google Cloud atau gunakan alat command line gcloud:

Admin mengizinkan akses baca-tulis

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyAdmin"

Editor memungkinkan akses baca-tulis

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyEditor"

Pembaca memungkinkan akses hanya baca

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/accesscontextmanager.policyReader"

Organization Viewer mengizinkan akses ke Kontrol Layanan VPC menggunakan Google Cloud Console

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member="user:[e-mail]" \
  --role="roles/resourcemanager.organizationViewer"

Langkah selanjutnya

• Ringkasan Access Context Manager
• Membuat kebijakan akses