Kontrol akses dengan IAM

Beta

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

AI Platform Pipelines bergantung pada peran Identity and Access Management (IAM) untuk memberikan otorisasi kepada pengguna, grup, dan layanan saat pipeline machine learning (ML) mengakses resource Google Cloud.

Dokumen ini menjelaskan peran yang diperlukan untuk:

• Menyiapkan Pipeline AI Platform.
• Menjalankan AI Platform Pipelines dengan akun layanan yang dikelola pengguna.
• Mengakses AI Platform Pipelines sebagai pengguna.

Pelajari lebih lanjut konsep IAM dan cara kerja IAM.

Peran yang diperlukan untuk menyiapkan AI Platform Pipelines

Untuk men-deploy AI Platform Pipelines, Anda harus diberi peran Viewer (roles/viewer) dan Kubernetes Engine Admin (roles/container.admin) di project. Peran Viewer memberikan akses baca ke semua resource dalam project. Peran Admin Kubernetes Engine memberikan akses penuh ke cluster Kubernetes dan objek Kubernetes API.

Untuk mengikuti prinsip hak istimewa terendah, siapkan cluster AI Platform Pipelines untuk menggunakan akses terperinci. Untuk menyiapkan cluster dengan akses terperinci, Anda juga harus diberi peran Service Account Admin (roles/iam.serviceAccountAdmin) di project. Peran Admin Akun Layanan memberikan akses untuk membuat dan mengonfigurasi akun layanan IAM.

Pelajari lebih lanjut cara memberikan akses ke peran IAM.

Peran	Izin
Viewer (roles/viewer)	Izin untuk tindakan hanya-baca yang tidak memengaruhi status, seperti melihat (tetapi tidak mengubah) resource atau data yang sudah ada dalam project.
Kubernetes Engine Admin (roles/container.admin) Memberi akses untuk pengelolaan penuh cluster dan objek Kubernetes API-nya. Untuk menetapkan akun layanan di node, Anda juga harus memiliki peran Pengguna Akun Layanan (roles/iam.serviceAccountUser) di akun layanan yang dikelola pengguna yang akan digunakan node Anda. Resource level terendah tempat Anda dapat memberikan peran ini: Project	container.* container.apiServices.create container.apiServices.delete container.apiServices.get container.apiServices.getStatus container.apiServices.list container.apiServices.update container.apiServices.updateStatus container.auditSinks.create container.auditSinks.delete container.auditSinks.get container.auditSinks.list container.auditSinks.update container.backendConfigs.create container.backendConfigs.delete container.backendConfigs.get container.backendConfigs.list container.backendConfigs.update container.bindings.create container.bindings.delete container.bindings.get container.bindings.list container.bindings.update container.certificateSigningRequests.approve container.certificateSigningRequests.create container.certificateSigningRequests.delete container.certificateSigningRequests.get container.certificateSigningRequests.getStatus container.certificateSigningRequests.list container.certificateSigningRequests.update container.certificateSigningRequests.updateStatus container.clusterRoleBindings.create container.clusterRoleBindings.delete container.clusterRoleBindings.get container.clusterRoleBindings.list container.clusterRoleBindings.update container.clusterRoles.bind container.clusterRoles.create container.clusterRoles.delete container.clusterRoles.escalate container.clusterRoles.get container.clusterRoles.list container.clusterRoles.update container.clusters.connect container.clusters.create container.clusters.createTagBinding container.clusters.delete container.clusters.deleteTagBinding container.clusters.get container.clusters.getCredentials container.clusters.impersonate container.clusters.list container.clusters.listEffectiveTags container.clusters.listTagBindings container.clusters.update container.componentStatuses.get container.componentStatuses.list container.configMaps.create container.configMaps.delete container.configMaps.get container.configMaps.list container.configMaps.update container.controllerRevisions.create container.controllerRevisions.delete container.controllerRevisions.get container.controllerRevisions.list container.controllerRevisions.update container.cronJobs.create container.cronJobs.delete container.cronJobs.get container.cronJobs.getStatus container.cronJobs.list container.cronJobs.update container.cronJobs.updateStatus container.csiDrivers.create container.csiDrivers.delete container.csiDrivers.get container.csiDrivers.list container.csiDrivers.update container.csiNodeInfos.create container.csiNodeInfos.delete container.csiNodeInfos.get container.csiNodeInfos.list container.csiNodeInfos.update container.csiNodes.create container.csiNodes.delete container.csiNodes.get container.csiNodes.list container.csiNodes.update container.customResourceDefinitions.create container.customResourceDefinitions.delete container.customResourceDefinitions.get container.customResourceDefinitions.getStatus container.customResourceDefinitions.list container.customResourceDefinitions.update container.customResourceDefinitions.updateStatus container.daemonSets.create container.daemonSets.delete container.daemonSets.get container.daemonSets.getStatus container.daemonSets.list container.daemonSets.update container.daemonSets.updateStatus container.deployments.create container.deployments.delete container.deployments.get container.deployments.getScale container.deployments.getStatus container.deployments.list container.deployments.rollback container.deployments.update container.deployments.updateScale container.deployments.updateStatus container.endpointSlices.create container.endpointSlices.delete container.endpointSlices.get container.endpointSlices.list container.endpointSlices.update container.endpoints.create container.endpoints.delete container.endpoints.get container.endpoints.list container.endpoints.update container.events.create container.events.delete container.events.get container.events.list container.events.update container.frontendConfigs.create container.frontendConfigs.delete container.frontendConfigs.get container.frontendConfigs.list container.frontendConfigs.update container.horizontalPodAutoscalers.create container.horizontalPodAutoscalers.delete container.horizontalPodAutoscalers.get container.horizontalPodAutoscalers.getStatus container.horizontalPodAutoscalers.list container.horizontalPodAutoscalers.update container.horizontalPodAutoscalers.updateStatus container.hostServiceAgent.use container.ingresses.create container.ingresses.delete container.ingresses.get container.ingresses.getStatus container.ingresses.list container.ingresses.update container.ingresses.updateStatus container.initializerConfigurations.create container.initializerConfigurations.delete container.initializerConfigurations.get container.initializerConfigurations.list container.initializerConfigurations.update container.jobs.create container.jobs.delete container.jobs.get container.jobs.getStatus container.jobs.list container.jobs.update container.jobs.updateStatus container.leases.create container.leases.delete container.leases.get container.leases.list container.leases.update container.limitRanges.create container.limitRanges.delete container.limitRanges.get container.limitRanges.list container.limitRanges.update container.localSubjectAccessReviews.create container.localSubjectAccessReviews.list container.managedCertificates.create container.managedCertificates.delete container.managedCertificates.get container.managedCertificates.list container.managedCertificates.update container.mutatingWebhookConfigurations.create container.mutatingWebhookConfigurations.delete container.mutatingWebhookConfigurations.get container.mutatingWebhookConfigurations.list container.mutatingWebhookConfigurations.update container.namespaces.create container.namespaces.delete container.namespaces.finalize container.namespaces.get container.namespaces.getStatus container.namespaces.list container.namespaces.update container.namespaces.updateStatus container.networkPolicies.create container.networkPolicies.delete container.networkPolicies.get container.networkPolicies.list container.networkPolicies.update container.nodes.create container.nodes.delete container.nodes.get container.nodes.getStatus container.nodes.list container.nodes.proxy container.nodes.update container.nodes.updateStatus container.operations.get container.operations.list container.persistentVolumeClaims.create container.persistentVolumeClaims.delete container.persistentVolumeClaims.get container.persistentVolumeClaims.getStatus container.persistentVolumeClaims.list container.persistentVolumeClaims.update container.persistentVolumeClaims.updateStatus container.persistentVolumes.create container.persistentVolumes.delete container.persistentVolumes.get container.persistentVolumes.getStatus container.persistentVolumes.list container.persistentVolumes.update container.persistentVolumes.updateStatus container.petSets.create container.petSets.delete container.petSets.get container.petSets.list container.petSets.update container.petSets.updateStatus container.podDisruptionBudgets.create container.podDisruptionBudgets.delete container.podDisruptionBudgets.get container.podDisruptionBudgets.getStatus container.podDisruptionBudgets.list container.podDisruptionBudgets.update container.podDisruptionBudgets.updateStatus container.podPresets.create container.podPresets.delete container.podPresets.get container.podPresets.list container.podPresets.update container.podSecurityPolicies.create container.podSecurityPolicies.delete container.podSecurityPolicies.get container.podSecurityPolicies.list container.podSecurityPolicies.update container.podSecurityPolicies.use container.podTemplates.create container.podTemplates.delete container.podTemplates.get container.podTemplates.list container.podTemplates.update container.pods.attach container.pods.create container.pods.delete container.pods.evict container.pods.exec container.pods.get container.pods.getLogs container.pods.getStatus container.pods.initialize container.pods.list container.pods.portForward container.pods.proxy container.pods.update container.pods.updateStatus container.priorityClasses.create container.priorityClasses.delete container.priorityClasses.get container.priorityClasses.list container.priorityClasses.update container.replicaSets.create container.replicaSets.delete container.replicaSets.get container.replicaSets.getScale container.replicaSets.getStatus container.replicaSets.list container.replicaSets.update container.replicaSets.updateScale container.replicaSets.updateStatus container.replicationControllers.create container.replicationControllers.delete container.replicationControllers.get container.replicationControllers.getScale container.replicationControllers.getStatus container.replicationControllers.list container.replicationControllers.update container.replicationControllers.updateScale container.replicationControllers.updateStatus container.resourceQuotas.create container.resourceQuotas.delete container.resourceQuotas.get container.resourceQuotas.getStatus container.resourceQuotas.list container.resourceQuotas.update container.resourceQuotas.updateStatus container.roleBindings.create container.roleBindings.delete container.roleBindings.get container.roleBindings.list container.roleBindings.update container.roles.bind container.roles.create container.roles.delete container.roles.escalate container.roles.get container.roles.list container.roles.update container.runtimeClasses.create container.runtimeClasses.delete container.runtimeClasses.get container.runtimeClasses.list container.runtimeClasses.update container.scheduledJobs.create container.scheduledJobs.delete container.scheduledJobs.get container.scheduledJobs.list container.scheduledJobs.update container.scheduledJobs.updateStatus container.secrets.create container.secrets.delete container.secrets.get container.secrets.list container.secrets.update container.selfSubjectAccessReviews.create container.selfSubjectAccessReviews.list container.selfSubjectRulesReviews.create container.serviceAccounts.create container.serviceAccounts.createToken container.serviceAccounts.delete container.serviceAccounts.get container.serviceAccounts.list container.serviceAccounts.update container.services.create container.services.delete container.services.get container.services.getStatus container.services.list container.services.proxy container.services.update container.services.updateStatus container.statefulSets.create container.statefulSets.delete container.statefulSets.get container.statefulSets.getScale container.statefulSets.getStatus container.statefulSets.list container.statefulSets.update container.statefulSets.updateScale container.statefulSets.updateStatus container.storageClasses.create container.storageClasses.delete container.storageClasses.get container.storageClasses.list container.storageClasses.update container.storageStates.create container.storageStates.delete container.storageStates.get container.storageStates.getStatus container.storageStates.list container.storageStates.update container.storageStates.updateStatus container.storageVersionMigrations.create container.storageVersionMigrations.delete container.storageVersionMigrations.get container.storageVersionMigrations.getStatus container.storageVersionMigrations.list container.storageVersionMigrations.update container.storageVersionMigrations.updateStatus container.subjectAccessReviews.create container.subjectAccessReviews.list container.thirdPartyObjects.create container.thirdPartyObjects.delete container.thirdPartyObjects.get container.thirdPartyObjects.list container.thirdPartyObjects.update container.thirdPartyResources.create container.thirdPartyResources.delete container.thirdPartyResources.get container.thirdPartyResources.list container.thirdPartyResources.update container.tokenReviews.create container.updateInfos.create container.updateInfos.delete container.updateInfos.get container.updateInfos.list container.updateInfos.update container.validatingWebhookConfigurations.create container.validatingWebhookConfigurations.delete container.validatingWebhookConfigurations.get container.validatingWebhookConfigurations.list container.validatingWebhookConfigurations.update container.volumeAttachments.create container.volumeAttachments.delete container.volumeAttachments.get container.volumeAttachments.getStatus container.volumeAttachments.list container.volumeAttachments.update container.volumeAttachments.updateStatus container.volumeSnapshotClasses.create container.volumeSnapshotClasses.delete container.volumeSnapshotClasses.get container.volumeSnapshotClasses.list container.volumeSnapshotClasses.update container.volumeSnapshotContents.create container.volumeSnapshotContents.delete container.volumeSnapshotContents.get container.volumeSnapshotContents.getStatus container.volumeSnapshotContents.list container.volumeSnapshotContents.update container.volumeSnapshotContents.updateStatus container.volumeSnapshots.create container.volumeSnapshots.delete container.volumeSnapshots.get container.volumeSnapshots.getStatus container.volumeSnapshots.list container.volumeSnapshots.update container.volumeSnapshots.updateStatus recommender.containerDiagnosisInsights.* recommender.containerDiagnosisInsights.get recommender.containerDiagnosisInsights.list recommender.containerDiagnosisInsights.update recommender.containerDiagnosisRecommendations.* recommender.containerDiagnosisRecommendations.get recommender.containerDiagnosisRecommendations.list recommender.containerDiagnosisRecommendations.update recommender.locations.* recommender.locations.get recommender.locations.list recommender.networkAnalyzerGkeConnectivityInsights.* recommender.networkAnalyzerGkeConnectivityInsights.get recommender.networkAnalyzerGkeConnectivityInsights.list recommender.networkAnalyzerGkeConnectivityInsights.update recommender.networkAnalyzerGkeIpAddressInsights.* recommender.networkAnalyzerGkeIpAddressInsights.get recommender.networkAnalyzerGkeIpAddressInsights.list recommender.networkAnalyzerGkeIpAddressInsights.update resourcemanager.projects.get resourcemanager.projects.list
Service Account Admin (roles/iam.serviceAccountAdmin) Membuat dan mengelola akun layanan. Resource level terendah tempat Anda dapat memberikan peran ini: Akun Layanan	iam.serviceAccounts.create iam.serviceAccounts.createTagBinding iam.serviceAccounts.delete iam.serviceAccounts.deleteTagBinding iam.serviceAccounts.disable iam.serviceAccounts.enable iam.serviceAccounts.get iam.serviceAccounts.getIamPolicy iam.serviceAccounts.list iam.serviceAccounts.listEffectiveTags iam.serviceAccounts.listTagBindings iam.serviceAccounts.setIamPolicy iam.serviceAccounts.undelete iam.serviceAccounts.update resourcemanager.projects.get resourcemanager.projects.list

Peran yang diperlukan untuk menjalankan AI Platform Pipelines dengan akun layanan yang dikelola pengguna

Pod di cluster Google Kubernetes Engine (GKE) melakukan autentikasi ke Google Cloud menggunakan akun layanan cluster GKE. Agar AI Platform Pipelines lebih mudah disiapkan dan digunakan, cluster GKE yang dibuat oleh AI Platform Pipelines menggunakan akun layanan Compute Engine default dengan cakupan akses https://www.googleapis.com/auth/cloud-platform. Cakupan akses ini memberikan akses penuh ke resource dan API Google Cloud yang telah Anda aktifkan di project, yang dapat memberikan akses berlebihan ke Google Cloud untuk workload di cluster Anda.

Untuk menetapkan izin terperinci ke workload yang berjalan di cluster AI Platform Pipelines, buat akun layanan untuk cluster Anda dan berikan akses akun layanan ini ke peran berikut pada project:

• Monitoring Viewer: Peran Monitoring Viewer (roles/monitoring.viewer) memberikan akses baca ke data dan konfigurasi pemantauan.
• Monitoring Metric Writer: Peran Monitoring Metric Writer (roles/monitoring.metricWriter) memberikan akses tulis sehingga cluster Anda dapat menulis metrik.
• Logs Writer: Peran Logs Writer (roles/logging.logWriter) memungkinkan cluster Anda menulis entri log.
• Storage Object Viewer: Jika Anda berencana membuat image container kustom untuk pipeline yang disimpan di Container Registry, berikan akses cluster AI Platform Pipelines Anda ke peran Storage Object Viewer (roles/storage.objectViewer) di project.

Anda juga harus memberikan akses ke akun layanan Anda ke resource atau API Google Cloud apa pun yang digunakan pipeline ML Anda.

• Konfigurasikan cluster GKE Anda untuk menggunakan akun layanan yang dikelola pengguna.
• Pelajari peran IAM dan cara mengelola akun layanan lebih lanjut.

Peran	Judul	Deskripsi	Izin
Penampil Pemantauan (roles/monitoring.viewer) Memberikan akses hanya baca untuk mendapatkan dan mencantumkan informasi tentang semua data dan konfigurasi pemantauan. Resource level terendah tempat Anda dapat memberikan peran ini: Project	cloudnotifications.activities.list monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.dashboards.get monitoring.dashboards.list monitoring.groups.get monitoring.groups.list monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list monitoring.snoozes.get monitoring.snoozes.list monitoring.timeSeries.list monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list opsconfigmonitoring.resourceMetadata.list resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get stackdriver.resourceMetadata.list
Penulis Metrik Pemantauan (roles/monitoring.metricWriter) Memberikan akses tulis saja ke metrik. Akses ini menyediakan izin yang diperlukan oleh agen Cloud Monitoring dan sistem lainnya yang mengirimkan metrik. Resource level terendah tempat Anda dapat memberikan peran ini: Project	monitoring.metricDescriptors.create monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.create
Penulis Log (roles/logging.logWriter) Memberikan izin untuk menulis entri log. Resource level terendah tempat Anda dapat memberikan peran ini: Project	logging.logEntries.create logging.logEntries.route
Storage Object Viewer (roles/storage.objectViewer) Memberikan akses untuk melihat objek dan metadatanya, tidak termasuk ACL. Juga dapat mencantumkan objek dalam bucket. Resource level terendah tempat Anda dapat memberikan peran ini: Bucket	resourcemanager.projects.get resourcemanager.projects.list storage.folders.get storage.folders.list storage.managedFolders.get storage.managedFolders.list storage.objects.get storage.objects.list

Peran yang diperlukan untuk mengakses AI Platform Pipelines sebagai pengguna

Untuk mengakses cluster AI Platform Pipelines, setiap pengguna harus diberi peran Kubernetes Engine Cluster Viewer (roles/container.clusterViewer) dan Peran Pengguna Akun Layanan untuk akun layanan cluster Google Kubernetes Engine.

Peran	Judul	Deskripsi	Izin
Kubernetes Engine Cluster Viewer (roles/container.clusterViewer) Memberikan akses untuk mendapatkan dan mencantumkan cluster GKE.	container.clusters.get container.clusters.list resourcemanager.projects.get resourcemanager.projects.list

Lanjutkan ke bagian berikutnya untuk mempelajari cara memberi pengguna akses ke peran Kubernetes Engine Cluster Viewer dan Peran Pengguna Akun Layanan.

Memberikan akses ke AI Platform Pipelines kepada pengguna

Gunakan petunjuk berikut untuk memberi akun pengguna akses ke cluster AI Platform Pipelines Anda.

1. Buka AI Platform Pipelines di konsol Google Cloud.

   Buka AI Platform Pipelines

2. Temukan cluster AI Platform Pipelines Anda. Catat Cluster dan Zone untuk digunakan di langkah berikutnya.

   

3. Buka sesi Cloud Shell.

   Buka Cloud Shell

   Cloud Shell akan terbuka dalam bingkai di bagian bawah konsol Google Cloud. Gunakan Cloud Shell untuk menyelesaikan proses ini.

4. Jalankan perintah berikut untuk menetapkan project Google Cloud default untuk sesi Cloud Shell ini.

   gcloud config set project PROJECT_ID
   

   Ganti PROJECT_ID dengan ID project Google Cloud Anda.

5. Jalankan perintah berikut untuk menemukan akun layanan yang digunakan cluster GKE Anda.

   gcloud container clusters describe CLUSTER_NAME --zone ZONE \
   --format="flattened(nodePools[].config.serviceAccount)"
   

   Ganti kode berikut:

   • CLUSTER_NAME: Nama cluster GKE Anda.
   • ZONE: Zona tempat cluster Anda dibuat.

   Respons mungkin menunjukkan bahwa cluster Anda menggunakan akun layanan bernama default. Nilai ini mengacu pada akun layanan default untuk Compute Engine. Jalankan perintah berikut untuk menemukan nama lengkap akun layanan ini.

   gcloud iam service-accounts list \
   --filter "compute@"
   

   Pelajari akun layanan default Compute Engine lebih lanjut.

6. Berikan peran Service Account User ke akun pengguna Anda di akun layanan cluster GKE.

   gcloud iam service-accounts add-iam-policy-binding \
   SERVICE_ACCOUNT_NAME \
   --member=user:USERNAME \
   --role=roles/iam.serviceAccountUser
   

   Ganti kode berikut:

   • SERVICE_ACCOUNT_NAME: Nama akun layanan cluster GKE Anda, yang Anda temukan di langkah sebelumnya. Nama akun layanan diformat seperti *@*..
   • USERNAME: Nama pengguna Anda di Google Cloud.

7. Berikan akses akun pengguna Anda ke peran GKE Cluster Viewer pada project.

   gcloud projects add-iam-policy-binding PROJECT_ID \
   --member user:USERNAME --role roles/container.clusterViewer
   

   Ganti kode berikut:

   • PROJECT_ID: ID project Google Cloud Anda.
   • USERNAME: Nama pengguna Anda di Google Cloud.