Controle de acesso com o IAM

Beta

Este produto ou recurso está sujeito aos "Termos das ofertas pré-GA" na seção "Termos de Serviço gerais" dos Termos específicos do serviço. Os produtos e recursos pré-GA estão disponíveis "no estado em que se encontram" e podem ter suporte limitado. Para mais informações, consulte as descrições da fase de lançamento.

Os AI Platform Pipelines dependem dos papéis do Gerenciamento de identidade e acesso (IAM) para autorizar usuários, grupos e serviços quando os pipelines de machine learning (ML) acessam recursos do Google Cloud.

Este documento descreve os papéis necessários para:

• configurar o AI Platform Pipelines;
• executar o AI Platform Pipelines com uma conta de serviço gerenciada pelo usuário;
• acessar o AI Platform Pipelines como usuário.

Saiba mais sobre os conceitos do IAM e como ele funciona.

Papéis necessários para configurar o AI Platform Pipelines

Para implantar o AI Platform Pipelines, você precisa receber os papéis de leitor (roles/viewer) e administrador do Kubernetes Engine (roles/container.admin) no projeto. O papel de leitor fornece acesso de leitura a todos os recursos em um projeto. O papel de administrador do Kubernetes Engine fornece acesso total aos clusters do Kubernetes e aos objetos da API Kubernetes.

Para seguir o princípio do menor privilégio, configure o cluster do AI Platform Pipelines para usar o acesso granular. Para configurar o cluster com acesso granular, você também precisa receber o papel de administrador da conta de serviço (roles/iam.serviceAccountAdmin) no projeto. O papel de Administrador da conta de serviço fornece acesso para criar e configurar contas de serviço do IAM.

Saiba mais sobre como conceder acesso a papéis do IAM.

Papel	Permissões
Leitor (roles/viewer)	Permissões para ações somente leitura que não afetam o estado, como ver (mas não modificar) recursos ou dados em um projeto.
Administrador do Kubernetes Engine (roles/container.admin) Concede acesso ao gerenciamento total de clusters e dos respectivos objetos da API Kubernetes. Para definir uma conta de serviço em nós, você também precisa ter o papel de usuário da conta de serviço (roles/iam.serviceAccountUser) na conta de serviço gerenciada pelo usuário que seus nós usarão. Recursos de nível mais baixo em que você pode conceder esse papel: Projeto	container.* container.apiServices.create container.apiServices.delete container.apiServices.get container.apiServices.getStatus container.apiServices.list container.apiServices.update container.apiServices.updateStatus container.auditSinks.create container.auditSinks.delete container.auditSinks.get container.auditSinks.list container.auditSinks.update container.backendConfigs.create container.backendConfigs.delete container.backendConfigs.get container.backendConfigs.list container.backendConfigs.update container.bindings.create container.bindings.delete container.bindings.get container.bindings.list container.bindings.update container.certificateSigningRequests.approve container.certificateSigningRequests.create container.certificateSigningRequests.delete container.certificateSigningRequests.get container.certificateSigningRequests.getStatus container.certificateSigningRequests.list container.certificateSigningRequests.update container.certificateSigningRequests.updateStatus container.clusterRoleBindings.create container.clusterRoleBindings.delete container.clusterRoleBindings.get container.clusterRoleBindings.list container.clusterRoleBindings.update container.clusterRoles.bind container.clusterRoles.create container.clusterRoles.delete container.clusterRoles.escalate container.clusterRoles.get container.clusterRoles.list container.clusterRoles.update container.clusters.connect container.clusters.create container.clusters.createTagBinding container.clusters.delete container.clusters.deleteTagBinding container.clusters.get container.clusters.getCredentials container.clusters.impersonate container.clusters.list container.clusters.listEffectiveTags container.clusters.listTagBindings container.clusters.update container.componentStatuses.get container.componentStatuses.list container.configMaps.create container.configMaps.delete container.configMaps.get container.configMaps.list container.configMaps.update container.controllerRevisions.create container.controllerRevisions.delete container.controllerRevisions.get container.controllerRevisions.list container.controllerRevisions.update container.cronJobs.create container.cronJobs.delete container.cronJobs.get container.cronJobs.getStatus container.cronJobs.list container.cronJobs.update container.cronJobs.updateStatus container.csiDrivers.create container.csiDrivers.delete container.csiDrivers.get container.csiDrivers.list container.csiDrivers.update container.csiNodeInfos.create container.csiNodeInfos.delete container.csiNodeInfos.get container.csiNodeInfos.list container.csiNodeInfos.update container.csiNodes.create container.csiNodes.delete container.csiNodes.get container.csiNodes.list container.csiNodes.update container.customResourceDefinitions.create container.customResourceDefinitions.delete container.customResourceDefinitions.get container.customResourceDefinitions.getStatus container.customResourceDefinitions.list container.customResourceDefinitions.update container.customResourceDefinitions.updateStatus container.daemonSets.create container.daemonSets.delete container.daemonSets.get container.daemonSets.getStatus container.daemonSets.list container.daemonSets.update container.daemonSets.updateStatus container.deployments.create container.deployments.delete container.deployments.get container.deployments.getScale container.deployments.getStatus container.deployments.list container.deployments.rollback container.deployments.update container.deployments.updateScale container.deployments.updateStatus container.endpointSlices.create container.endpointSlices.delete container.endpointSlices.get container.endpointSlices.list container.endpointSlices.update container.endpoints.create container.endpoints.delete container.endpoints.get container.endpoints.list container.endpoints.update container.events.create container.events.delete container.events.get container.events.list container.events.update container.frontendConfigs.create container.frontendConfigs.delete container.frontendConfigs.get container.frontendConfigs.list container.frontendConfigs.update container.horizontalPodAutoscalers.create container.horizontalPodAutoscalers.delete container.horizontalPodAutoscalers.get container.horizontalPodAutoscalers.getStatus container.horizontalPodAutoscalers.list container.horizontalPodAutoscalers.update container.horizontalPodAutoscalers.updateStatus container.hostServiceAgent.use container.ingresses.create container.ingresses.delete container.ingresses.get container.ingresses.getStatus container.ingresses.list container.ingresses.update container.ingresses.updateStatus container.initializerConfigurations.create container.initializerConfigurations.delete container.initializerConfigurations.get container.initializerConfigurations.list container.initializerConfigurations.update container.jobs.create container.jobs.delete container.jobs.get container.jobs.getStatus container.jobs.list container.jobs.update container.jobs.updateStatus container.leases.create container.leases.delete container.leases.get container.leases.list container.leases.update container.limitRanges.create container.limitRanges.delete container.limitRanges.get container.limitRanges.list container.limitRanges.update container.localSubjectAccessReviews.create container.localSubjectAccessReviews.list container.managedCertificates.create container.managedCertificates.delete container.managedCertificates.get container.managedCertificates.list container.managedCertificates.update container.mutatingWebhookConfigurations.create container.mutatingWebhookConfigurations.delete container.mutatingWebhookConfigurations.get container.mutatingWebhookConfigurations.list container.mutatingWebhookConfigurations.update container.namespaces.create container.namespaces.delete container.namespaces.finalize container.namespaces.get container.namespaces.getStatus container.namespaces.list container.namespaces.update container.namespaces.updateStatus container.networkPolicies.create container.networkPolicies.delete container.networkPolicies.get container.networkPolicies.list container.networkPolicies.update container.nodes.create container.nodes.delete container.nodes.get container.nodes.getStatus container.nodes.list container.nodes.proxy container.nodes.update container.nodes.updateStatus container.operations.get container.operations.list container.persistentVolumeClaims.create container.persistentVolumeClaims.delete container.persistentVolumeClaims.get container.persistentVolumeClaims.getStatus container.persistentVolumeClaims.list container.persistentVolumeClaims.update container.persistentVolumeClaims.updateStatus container.persistentVolumes.create container.persistentVolumes.delete container.persistentVolumes.get container.persistentVolumes.getStatus container.persistentVolumes.list container.persistentVolumes.update container.persistentVolumes.updateStatus container.petSets.create container.petSets.delete container.petSets.get container.petSets.list container.petSets.update container.petSets.updateStatus container.podDisruptionBudgets.create container.podDisruptionBudgets.delete container.podDisruptionBudgets.get container.podDisruptionBudgets.getStatus container.podDisruptionBudgets.list container.podDisruptionBudgets.update container.podDisruptionBudgets.updateStatus container.podPresets.create container.podPresets.delete container.podPresets.get container.podPresets.list container.podPresets.update container.podSecurityPolicies.create container.podSecurityPolicies.delete container.podSecurityPolicies.get container.podSecurityPolicies.list container.podSecurityPolicies.update container.podSecurityPolicies.use container.podTemplates.create container.podTemplates.delete container.podTemplates.get container.podTemplates.list container.podTemplates.update container.pods.attach container.pods.create container.pods.delete container.pods.evict container.pods.exec container.pods.get container.pods.getLogs container.pods.getStatus container.pods.initialize container.pods.list container.pods.portForward container.pods.proxy container.pods.update container.pods.updateStatus container.priorityClasses.create container.priorityClasses.delete container.priorityClasses.get container.priorityClasses.list container.priorityClasses.update container.replicaSets.create container.replicaSets.delete container.replicaSets.get container.replicaSets.getScale container.replicaSets.getStatus container.replicaSets.list container.replicaSets.update container.replicaSets.updateScale container.replicaSets.updateStatus container.replicationControllers.create container.replicationControllers.delete container.replicationControllers.get container.replicationControllers.getScale container.replicationControllers.getStatus container.replicationControllers.list container.replicationControllers.update container.replicationControllers.updateScale container.replicationControllers.updateStatus container.resourceQuotas.create container.resourceQuotas.delete container.resourceQuotas.get container.resourceQuotas.getStatus container.resourceQuotas.list container.resourceQuotas.update container.resourceQuotas.updateStatus container.roleBindings.create container.roleBindings.delete container.roleBindings.get container.roleBindings.list container.roleBindings.update container.roles.bind container.roles.create container.roles.delete container.roles.escalate container.roles.get container.roles.list container.roles.update container.runtimeClasses.create container.runtimeClasses.delete container.runtimeClasses.get container.runtimeClasses.list container.runtimeClasses.update container.scheduledJobs.create container.scheduledJobs.delete container.scheduledJobs.get container.scheduledJobs.list container.scheduledJobs.update container.scheduledJobs.updateStatus container.secrets.create container.secrets.delete container.secrets.get container.secrets.list container.secrets.update container.selfSubjectAccessReviews.create container.selfSubjectAccessReviews.list container.selfSubjectRulesReviews.create container.serviceAccounts.create container.serviceAccounts.createToken container.serviceAccounts.delete container.serviceAccounts.get container.serviceAccounts.list container.serviceAccounts.update container.services.create container.services.delete container.services.get container.services.getStatus container.services.list container.services.proxy container.services.update container.services.updateStatus container.statefulSets.create container.statefulSets.delete container.statefulSets.get container.statefulSets.getScale container.statefulSets.getStatus container.statefulSets.list container.statefulSets.update container.statefulSets.updateScale container.statefulSets.updateStatus container.storageClasses.create container.storageClasses.delete container.storageClasses.get container.storageClasses.list container.storageClasses.update container.storageStates.create container.storageStates.delete container.storageStates.get container.storageStates.getStatus container.storageStates.list container.storageStates.update container.storageStates.updateStatus container.storageVersionMigrations.create container.storageVersionMigrations.delete container.storageVersionMigrations.get container.storageVersionMigrations.getStatus container.storageVersionMigrations.list container.storageVersionMigrations.update container.storageVersionMigrations.updateStatus container.subjectAccessReviews.create container.subjectAccessReviews.list container.thirdPartyObjects.create container.thirdPartyObjects.delete container.thirdPartyObjects.get container.thirdPartyObjects.list container.thirdPartyObjects.update container.thirdPartyResources.create container.thirdPartyResources.delete container.thirdPartyResources.get container.thirdPartyResources.list container.thirdPartyResources.update container.tokenReviews.create container.updateInfos.create container.updateInfos.delete container.updateInfos.get container.updateInfos.list container.updateInfos.update container.validatingWebhookConfigurations.create container.validatingWebhookConfigurations.delete container.validatingWebhookConfigurations.get container.validatingWebhookConfigurations.list container.validatingWebhookConfigurations.update container.volumeAttachments.create container.volumeAttachments.delete container.volumeAttachments.get container.volumeAttachments.getStatus container.volumeAttachments.list container.volumeAttachments.update container.volumeAttachments.updateStatus container.volumeSnapshotClasses.create container.volumeSnapshotClasses.delete container.volumeSnapshotClasses.get container.volumeSnapshotClasses.list container.volumeSnapshotClasses.update container.volumeSnapshotContents.create container.volumeSnapshotContents.delete container.volumeSnapshotContents.get container.volumeSnapshotContents.getStatus container.volumeSnapshotContents.list container.volumeSnapshotContents.update container.volumeSnapshotContents.updateStatus container.volumeSnapshots.create container.volumeSnapshots.delete container.volumeSnapshots.get container.volumeSnapshots.getStatus container.volumeSnapshots.list container.volumeSnapshots.update container.volumeSnapshots.updateStatus recommender.containerDiagnosisInsights.* recommender.containerDiagnosisInsights.get recommender.containerDiagnosisInsights.list recommender.containerDiagnosisInsights.update recommender.containerDiagnosisRecommendations.* recommender.containerDiagnosisRecommendations.get recommender.containerDiagnosisRecommendations.list recommender.containerDiagnosisRecommendations.update recommender.locations.* recommender.locations.get recommender.locations.list recommender.networkAnalyzerGkeConnectivityInsights.* recommender.networkAnalyzerGkeConnectivityInsights.get recommender.networkAnalyzerGkeConnectivityInsights.list recommender.networkAnalyzerGkeConnectivityInsights.update recommender.networkAnalyzerGkeIpAddressInsights.* recommender.networkAnalyzerGkeIpAddressInsights.get recommender.networkAnalyzerGkeIpAddressInsights.list recommender.networkAnalyzerGkeIpAddressInsights.update resourcemanager.projects.get resourcemanager.projects.list
Administrador da conta de serviço (roles/iam.serviceAccountAdmin) Criar e gerenciar contas de serviço Recursos de nível mais baixo em que você pode conceder esse papel: Conta de serviço	iam.serviceAccounts.create iam.serviceAccounts.delete iam.serviceAccounts.disable iam.serviceAccounts.enable iam.serviceAccounts.get iam.serviceAccounts.getIamPolicy iam.serviceAccounts.list iam.serviceAccounts.setIamPolicy iam.serviceAccounts.undelete iam.serviceAccounts.update resourcemanager.projects.get resourcemanager.projects.list

Papéis necessários para executar o AI Platform Pipelines com uma conta de serviço gerenciada pelo usuário

Os pods em um cluster do Google Kubernetes Engine (GKE) são autenticados no Google Cloud usando a conta de serviço do cluster do GKE. Para facilitar a configuração e o uso do AI Platform Pipelines, os clusters do GKE criados pelo AI Platform Pipelines usam a conta de serviço padrão do Compute Engine com o escopo de acesso https://www.googleapis.com/auth/cloud-platform. Esse escopo de acesso fornece acesso total aos recursos e APIs do Google Cloud que você ativou no projeto, o que pode fornecer às cargas de trabalho no cluster acesso excessivo ao Google Cloud.

Para atribuir permissões granulares às cargas de trabalho executadas no cluster do AI Platform Pipelines, crie uma conta de serviço para o cluster e conceda a ela acesso aos seguintes papéis no projeto:

• Leitor do Monitoring: o papel de leitor do Monitoring (roles/monitoring.viewer) fornece acesso de leitura a dados e configurações de monitoramento.
• Gravador de métricas do Monitoring: o papel de gravador de métricas do Monitoring (roles/monitoring.metricWriter) fornece acesso de gravação para que o cluster possa gravar métricas.
• Gravador de registros: o papel de gravador de registros (roles/logging.logWriter) permite que o cluster grave entradas de registro.
• Leitor de objetos do Storage: se você planeja criar imagens de contêiner personalizadas para os pipelines armazenados no Container Registry, conceda ao cluster do AI Platform Pipelines acesso ao papel de leitor de objetos do Storage (roles/storage.objectViewer) no projeto.

Você também precisa conceder à sua conta de serviço acesso a quaisquer recursos ou APIs do Google Cloud usados pelos pipelines de ML.

• Configure o cluster do GKE para usar uma conta de serviço gerenciada pelo usuário.
• Saiba mais sobre papéis do IAM e como gerenciar de contas de serviço.

Papel	Nome	Descrição	Permissões
Visualizador de monitoramento (roles/monitoring.viewer) Dá acesso somente leitura para consultar e listar informações sobre todos os dados e configurações de monitoramento. Recursos de nível mais baixo em que você pode conceder esse papel: Projeto	cloudnotifications.activities.list monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.dashboards.get monitoring.dashboards.list monitoring.groups.get monitoring.groups.list monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.publicWidgets.get monitoring.publicWidgets.list monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list monitoring.snoozes.get monitoring.snoozes.list monitoring.timeSeries.list monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list opsconfigmonitoring.resourceMetadata.list resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get stackdriver.resourceMetadata.list
Gravador de métricas do Monitoring (roles/monitoring.metricWriter) Dá acesso somente leitura a métricas. Concede exatamente as permissões necessárias para o agente do Cloud Monitoring e outros sistemas que enviam métricas. Recursos de nível mais baixo em que você pode conceder esse papel: Projeto	monitoring.metricDescriptors.create monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.create
Gravador de registros (roles/logging.logWriter) Concede permissões para gravar entradas de registro. Recursos de nível mais baixo em que você pode conceder esse papel: Projeto	logging.logEntries.create logging.logEntries.route
Leitor de objetos do Storage (roles/storage.objectViewer) Dá acesso para visualizar objetos e metadados, exceto ACLs. Também pode listar os objetos em um bucket. Recursos de nível mais baixo em que você pode conceder esse papel: Bucket	resourcemanager.projects.get resourcemanager.projects.list storage.managedFolders.get storage.managedFolders.list storage.objects.get storage.objects.list

Papéis necessários para acessar o AI Platform Pipelines como usuário

Para acessar um cluster do AI Platform Pipelines, cada usuário precisa receber o papel de leitor de cluster do Kubernetes Engine (roles/container.clusterViewer) e o papel de usuário da conta de serviço para a conta de serviço do cluster do Google Kubernetes Engine.

Papel	Nome	Descrição	Permissões
Leitor de cluster do Kubernetes Engine (roles/container.clusterViewer) Concede acesso para receber e listar clusters do GKE.	container.clusters.get container.clusters.list resourcemanager.projects.get resourcemanager.projects.list

Continue na próxima seção para saber como conceder aos usuários acesso ao papel de leitor de cluster do Kubernetes Engine e ao papel de usuário da conta de serviço.

Conceder acesso ao AI Platform Pipelines a um usuário

Use as instruções a seguir para conceder acesso ao cluster do AI Platform Pipelines a uma conta de usuário.

1. Abra o AI Platform Pipelines no console do Google Cloud.

   Acesse o AI Platform Pipelines

2. Encontre seu cluster do AI Platform Pipelines. Anote o cluster e a zona para usar nas próximas etapas.

   

3. Abra uma sessão do Cloud Shell.

   Abrir o Cloud Shell

   O Cloud Shell é aberto em um frame na parte inferior do Console do Google Cloud. Use o Cloud Shell para concluir o restante deste processo.

4. Execute o comando a seguir para definir o projeto padrão do Google Cloud para esta sessão do Cloud Shell.

   gcloud config set project PROJECT_ID
   

   Substitua PROJECT_ID pelo ID do projeto do Google Cloud.

5. Execute o seguinte comando para encontrar a conta de serviço que seu cluster do GKE usa.

   gcloud container clusters describe CLUSTER_NAME --zone ZONE \
   --format="flattened(nodePools[].config.serviceAccount)"
   

   Substitua:

   • CLUSTER_NAME: o nome do cluster do GKE;
   • ZONE: a zona em que o cluster foi criado.

   A resposta pode indicar que o cluster usa uma conta de serviço chamada default. Esse valor se refere à conta de serviço padrão do Compute Engine. Execute o comando a seguir para encontrar o nome completo dessa conta de serviço.

   gcloud iam service-accounts list \
   --filter "[e-mail]"
   

   Saiba mais sobre a conta de serviço padrão do Compute Engine.

6. Conceda à sua conta de usuário o papel de usuário da conta de serviço na conta de serviço do cluster do GKE.

   gcloud iam service-accounts add-iam-policy-binding \
   SERVICE_ACCOUNT_NAME \
   --member=user:USERNAME \
   --role=roles/iam.serviceAccountUser
   

   Substitua:

   • SERVICE_ACCOUNT_NAME: o nome da conta de serviço do cluster do GKE, que você encontrou na etapa anterior. Os nomes das contas de serviço são formatados como *@*.gserviceaccount.com;
   • USERNAME: seu nome de usuário no Google Cloud.

7. Conceda à sua conta de usuário acesso ao papel de leitor de cluster do GKE no projeto.

   gcloud projects add-iam-policy-binding PROJECT_ID \
   --member user:USERNAME --role roles/container.clusterViewer
   

   Substitua:

   • PROJECT_ID: o ID do seu projeto do Google Cloud;
   • USERNAME: seu nome de usuário no Google Cloud.