Kontrol akses dengan IAM

Beta

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

AI Platform Pipelines bergantung pada peran Identity and Access Management (IAM) untuk memberikan otorisasi kepada pengguna, grup, dan layanan saat pipeline machine learning (ML) mengakses resource Google Cloud.

Dokumen ini menjelaskan peran-peran yang diperlukan untuk:

• Menyiapkan Pipeline AI Platform.
• Jalankan Pipeline AI Platform dengan akun layanan yang dikelola pengguna.
• Mengakses Pipeline AI Platform sebagai pengguna.

Pelajari konsep IAM dan cara kerja IAM lebih lanjut.

Peran yang diperlukan untuk menyiapkan AI Platform Pipelines

Untuk men-deploy Pipeline AI Platform, Anda harus diberi peran Viewer (roles/viewer) dan Admin Kubernetes Engine (roles/container.admin) pada project. Peran Viewer memberikan akses baca ke semua resource dalam suatu project. Peran Kubernetes Engine Admin memberikan akses penuh ke cluster Kubernetes dan objek Kubernetes API.

Untuk mengikuti prinsip hak istimewa terendah, siapkan cluster Pipeline AI Platform untuk menggunakan akses terperinci. Untuk menyiapkan cluster dengan akses terperinci, Anda juga harus diberi peran Admin Akun Layanan (roles/iam.serviceAccountAdmin) pada project tersebut. Peran Admin Akun Layanan memberikan akses untuk membuat dan mengonfigurasi akun layanan IAM.

Pelajari lebih lanjut cara memberikan akses ke peran IAM.

Peran	Izin
Viewer (roles/viewer)	Izin untuk tindakan hanya-baca yang tidak memengaruhi status, seperti melihat (tetapi tidak memodifikasi) resource atau data yang sudah ada dalam sebuah project.
Kubernetes Engine Admin (roles/container.admin) Menyediakan akses ke pengelolaan cluster secara penuh dan objek Kubernetes API-nya. Untuk menetapkan akun layanan pada node, Anda juga harus memiliki peran Service Account User (roles/iam.serviceAccountUser) di akun layanan yang dikelola pengguna yang akan digunakan node Anda. Resource tingkat terendah yang dapat Anda beri peran ini: Project	container.* container.apiServices.create container.apiServices.delete container.apiServices.get container.apiServices.getStatus container.apiServices.list container.apiServices.update container.apiServices.updateStatus container.auditSinks.create container.auditSinks.delete container.auditSinks.get container.auditSinks.list container.auditSinks.update container.backendConfigs.create container.backendConfigs.delete container.backendConfigs.get container.backendConfigs.list container.backendConfigs.update container.bindings.create container.bindings.delete container.bindings.get container.bindings.list container.bindings.update container.certificateSigningRequests.approve container.certificateSigningRequests.create container.certificateSigningRequests.delete container.certificateSigningRequests.get container.certificateSigningRequests.getStatus container.certificateSigningRequests.list container.certificateSigningRequests.update container.certificateSigningRequests.updateStatus container.clusterRoleBindings.create container.clusterRoleBindings.delete container.clusterRoleBindings.get container.clusterRoleBindings.list container.clusterRoleBindings.update container.clusterRoles.bind container.clusterRoles.create container.clusterRoles.delete container.clusterRoles.escalate container.clusterRoles.get container.clusterRoles.list container.clusterRoles.update container.clusters.create container.clusters.createTagBinding container.clusters.delete container.clusters.deleteTagBinding container.clusters.get container.clusters.getCredentials container.clusters.impersonate container.clusters.list container.clusters.listEffectiveTags container.clusters.listTagBindings container.clusters.update container.componentStatuses.get container.componentStatuses.list container.configMaps.create container.configMaps.delete container.configMaps.get container.configMaps.list container.configMaps.update container.controllerRevisions.create container.controllerRevisions.delete container.controllerRevisions.get container.controllerRevisions.list container.controllerRevisions.update container.cronJobs.create container.cronJobs.delete container.cronJobs.get container.cronJobs.getStatus container.cronJobs.list container.cronJobs.update container.cronJobs.updateStatus container.csiDrivers.create container.csiDrivers.delete container.csiDrivers.get container.csiDrivers.list container.csiDrivers.update container.csiNodeInfos.create container.csiNodeInfos.delete container.csiNodeInfos.get container.csiNodeInfos.list container.csiNodeInfos.update container.csiNodes.create container.csiNodes.delete container.csiNodes.get container.csiNodes.list container.csiNodes.update container.customResourceDefinitions.create container.customResourceDefinitions.delete container.customResourceDefinitions.get container.customResourceDefinitions.getStatus container.customResourceDefinitions.list container.customResourceDefinitions.update container.customResourceDefinitions.updateStatus container.daemonSets.create container.daemonSets.delete container.daemonSets.get container.daemonSets.getStatus container.daemonSets.list container.daemonSets.update container.daemonSets.updateStatus container.deployments.create container.deployments.delete container.deployments.get container.deployments.getScale container.deployments.getStatus container.deployments.list container.deployments.rollback container.deployments.update container.deployments.updateScale container.deployments.updateStatus container.endpointSlices.create container.endpointSlices.delete container.endpointSlices.get container.endpointSlices.list container.endpointSlices.update container.endpoints.create container.endpoints.delete container.endpoints.get container.endpoints.list container.endpoints.update container.events.create container.events.delete container.events.get container.events.list container.events.update container.frontendConfigs.create container.frontendConfigs.delete container.frontendConfigs.get container.frontendConfigs.list container.frontendConfigs.update container.horizontalPodAutoscalers.create container.horizontalPodAutoscalers.delete container.horizontalPodAutoscalers.get container.horizontalPodAutoscalers.getStatus container.horizontalPodAutoscalers.list container.horizontalPodAutoscalers.update container.horizontalPodAutoscalers.updateStatus container.hostServiceAgent.use container.ingresses.create container.ingresses.delete container.ingresses.get container.ingresses.getStatus container.ingresses.list container.ingresses.update container.ingresses.updateStatus container.initializerConfigurations.create container.initializerConfigurations.delete container.initializerConfigurations.get container.initializerConfigurations.list container.initializerConfigurations.update container.jobs.create container.jobs.delete container.jobs.get container.jobs.getStatus container.jobs.list container.jobs.update container.jobs.updateStatus container.leases.create container.leases.delete container.leases.get container.leases.list container.leases.update container.limitRanges.create container.limitRanges.delete container.limitRanges.get container.limitRanges.list container.limitRanges.update container.localSubjectAccessReviews.create container.localSubjectAccessReviews.list container.managedCertificates.create container.managedCertificates.delete container.managedCertificates.get container.managedCertificates.list container.managedCertificates.update container.mutatingWebhookConfigurations.create container.mutatingWebhookConfigurations.delete container.mutatingWebhookConfigurations.get container.mutatingWebhookConfigurations.list container.mutatingWebhookConfigurations.update container.namespaces.create container.namespaces.delete container.namespaces.finalize container.namespaces.get container.namespaces.getStatus container.namespaces.list container.namespaces.update container.namespaces.updateStatus container.networkPolicies.create container.networkPolicies.delete container.networkPolicies.get container.networkPolicies.list container.networkPolicies.update container.nodes.create container.nodes.delete container.nodes.get container.nodes.getStatus container.nodes.list container.nodes.proxy container.nodes.update container.nodes.updateStatus container.operations.get container.operations.list container.persistentVolumeClaims.create container.persistentVolumeClaims.delete container.persistentVolumeClaims.get container.persistentVolumeClaims.getStatus container.persistentVolumeClaims.list container.persistentVolumeClaims.update container.persistentVolumeClaims.updateStatus container.persistentVolumes.create container.persistentVolumes.delete container.persistentVolumes.get container.persistentVolumes.getStatus container.persistentVolumes.list container.persistentVolumes.update container.persistentVolumes.updateStatus container.petSets.create container.petSets.delete container.petSets.get container.petSets.list container.petSets.update container.petSets.updateStatus container.podDisruptionBudgets.create container.podDisruptionBudgets.delete container.podDisruptionBudgets.get container.podDisruptionBudgets.getStatus container.podDisruptionBudgets.list container.podDisruptionBudgets.update container.podDisruptionBudgets.updateStatus container.podPresets.create container.podPresets.delete container.podPresets.get container.podPresets.list container.podPresets.update container.podSecurityPolicies.create container.podSecurityPolicies.delete container.podSecurityPolicies.get container.podSecurityPolicies.list container.podSecurityPolicies.update container.podSecurityPolicies.use container.podTemplates.create container.podTemplates.delete container.podTemplates.get container.podTemplates.list container.podTemplates.update container.pods.attach container.pods.create container.pods.delete container.pods.evict container.pods.exec container.pods.get container.pods.getLogs container.pods.getStatus container.pods.initialize container.pods.list container.pods.portForward container.pods.proxy container.pods.update container.pods.updateStatus container.priorityClasses.create container.priorityClasses.delete container.priorityClasses.get container.priorityClasses.list container.priorityClasses.update container.replicaSets.create container.replicaSets.delete container.replicaSets.get container.replicaSets.getScale container.replicaSets.getStatus container.replicaSets.list container.replicaSets.update container.replicaSets.updateScale container.replicaSets.updateStatus container.replicationControllers.create container.replicationControllers.delete container.replicationControllers.get container.replicationControllers.getScale container.replicationControllers.getStatus container.replicationControllers.list container.replicationControllers.update container.replicationControllers.updateScale container.replicationControllers.updateStatus container.resourceQuotas.create container.resourceQuotas.delete container.resourceQuotas.get container.resourceQuotas.getStatus container.resourceQuotas.list container.resourceQuotas.update container.resourceQuotas.updateStatus container.roleBindings.create container.roleBindings.delete container.roleBindings.get container.roleBindings.list container.roleBindings.update container.roles.bind container.roles.create container.roles.delete container.roles.escalate container.roles.get container.roles.list container.roles.update container.runtimeClasses.create container.runtimeClasses.delete container.runtimeClasses.get container.runtimeClasses.list container.runtimeClasses.update container.scheduledJobs.create container.scheduledJobs.delete container.scheduledJobs.get container.scheduledJobs.list container.scheduledJobs.update container.scheduledJobs.updateStatus container.secrets.create container.secrets.delete container.secrets.get container.secrets.list container.secrets.update container.selfSubjectAccessReviews.create container.selfSubjectAccessReviews.list container.selfSubjectRulesReviews.create container.serviceAccounts.create container.serviceAccounts.createToken container.serviceAccounts.delete container.serviceAccounts.get container.serviceAccounts.list container.serviceAccounts.update container.services.create container.services.delete container.services.get container.services.getStatus container.services.list container.services.proxy container.services.update container.services.updateStatus container.statefulSets.create container.statefulSets.delete container.statefulSets.get container.statefulSets.getScale container.statefulSets.getStatus container.statefulSets.list container.statefulSets.update container.statefulSets.updateScale container.statefulSets.updateStatus container.storageClasses.create container.storageClasses.delete container.storageClasses.get container.storageClasses.list container.storageClasses.update container.storageStates.create container.storageStates.delete container.storageStates.get container.storageStates.getStatus container.storageStates.list container.storageStates.update container.storageStates.updateStatus container.storageVersionMigrations.create container.storageVersionMigrations.delete container.storageVersionMigrations.get container.storageVersionMigrations.getStatus container.storageVersionMigrations.list container.storageVersionMigrations.update container.storageVersionMigrations.updateStatus container.subjectAccessReviews.create container.subjectAccessReviews.list container.thirdPartyObjects.create container.thirdPartyObjects.delete container.thirdPartyObjects.get container.thirdPartyObjects.list container.thirdPartyObjects.update container.thirdPartyResources.create container.thirdPartyResources.delete container.thirdPartyResources.get container.thirdPartyResources.list container.thirdPartyResources.update container.tokenReviews.create container.updateInfos.create container.updateInfos.delete container.updateInfos.get container.updateInfos.list container.updateInfos.update container.validatingWebhookConfigurations.create container.validatingWebhookConfigurations.delete container.validatingWebhookConfigurations.get container.validatingWebhookConfigurations.list container.validatingWebhookConfigurations.update container.volumeAttachments.create container.volumeAttachments.delete container.volumeAttachments.get container.volumeAttachments.getStatus container.volumeAttachments.list container.volumeAttachments.update container.volumeAttachments.updateStatus container.volumeSnapshotClasses.create container.volumeSnapshotClasses.delete container.volumeSnapshotClasses.get container.volumeSnapshotClasses.list container.volumeSnapshotClasses.update container.volumeSnapshotContents.create container.volumeSnapshotContents.delete container.volumeSnapshotContents.get container.volumeSnapshotContents.getStatus container.volumeSnapshotContents.list container.volumeSnapshotContents.update container.volumeSnapshotContents.updateStatus container.volumeSnapshots.create container.volumeSnapshots.delete container.volumeSnapshots.get container.volumeSnapshots.getStatus container.volumeSnapshots.list container.volumeSnapshots.update container.volumeSnapshots.updateStatus recommender.containerDiagnosisInsights.* recommender.containerDiagnosisInsights.get recommender.containerDiagnosisInsights.list recommender.containerDiagnosisInsights.update recommender.containerDiagnosisRecommendations.* recommender.containerDiagnosisRecommendations.get recommender.containerDiagnosisRecommendations.list recommender.containerDiagnosisRecommendations.update recommender.locations.* recommender.locations.get recommender.locations.list recommender.networkAnalyzerGkeConnectivityInsights.* recommender.networkAnalyzerGkeConnectivityInsights.get recommender.networkAnalyzerGkeConnectivityInsights.list recommender.networkAnalyzerGkeConnectivityInsights.update recommender.networkAnalyzerGkeIpAddressInsights.* recommender.networkAnalyzerGkeIpAddressInsights.get recommender.networkAnalyzerGkeIpAddressInsights.list recommender.networkAnalyzerGkeIpAddressInsights.update resourcemanager.projects.get resourcemanager.projects.list
Service Account Admin (roles/iam.serviceAccountAdmin) Membuat dan mengelola akun layanan. Resource tingkat terendah yang dapat Anda beri peran ini: Akun Layanan	iam.serviceAccounts.create iam.serviceAccounts.delete iam.serviceAccounts.disable iam.serviceAccounts.enable iam.serviceAccounts.get iam.serviceAccounts.getIamPolicy iam.serviceAccounts.list iam.serviceAccounts.setIamPolicy iam.serviceAccounts.undelete iam.serviceAccounts.update resourcemanager.projects.get resourcemanager.projects.list

Peran yang diperlukan untuk menjalankan AI Platform Pipelines dengan akun layanan yang dikelola pengguna

Pod di cluster Google Kubernetes Engine (GKE) melakukan autentikasi ke Google Cloud menggunakan akun layanan cluster GKE. Untuk mempermudah penyiapan dan penggunaan Pipeline AI Platform, cluster GKE yang dibuat oleh Pipeline AI Platform menggunakan akun layanan Compute Engine default dengan cakupan akses https://www.googleapis.com/auth/cloud-platform. Cakupan akses ini menyediakan akses penuh ke resource dan API Google Cloud yang telah Anda aktifkan dalam project Anda, yang dapat menyebabkan beban kerja di cluster Anda memiliki akses berlebihan ke Google Cloud.

Untuk menetapkan izin terperinci pada beban kerja yang berjalan di cluster AI Platform Pipelines, buat akun layanan untuk cluster Anda dan beri akun layanan ini akses ke peran berikut pada project:

• Monitoring Viewer: Peran Monitoring Viewer (roles/monitoring.viewer) memberikan akses baca ke data dan konfigurasi pemantauan.
• Monitoring Metric Writer: Peran Monitoring Metric Writer (roles/monitoring.metricWriter) menyediakan akses tulis sehingga cluster Anda dapat menulis metrik.
• Logs Writer: Peran Logs Writer (roles/logging.logWriter) memungkinkan Anda untuk menulis entri log cluster.
• Storage Object Viewer: Jika Anda berencana membuat image container kustom untuk pipeline Anda yang disimpan di Container Registry, berikan akses cluster Pipeline AI Platform ke peran Storage Object Viewer (roles/storage.objectViewer) pada project.

Anda juga harus memberi akun layanan Anda akses ke resource atau API Google Cloud apa pun yang digunakan pipeline ML Anda.

• Konfigurasikan cluster GKE Anda untuk menggunakan akun layanan yang dikelola pengguna.
• Pelajari peran IAM dan cara mengelola akun layanan lebih lanjut.

Peran	Judul	Deskripsi	Izin
Monitoring Viewer (roles/monitoring.viewer) Menyediakan akses hanya baca untuk mendapatkan dan mencantumkan informasi tentang semua data dan konfigurasi pemantauan. Resource tingkat terendah yang dapat Anda beri peran ini: Project	cloudnotifications.activities.list monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.dashboards.get monitoring.dashboards.list monitoring.groups.get monitoring.groups.list monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.publicWidgets.get monitoring.publicWidgets.list monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list monitoring.snoozes.get monitoring.snoozes.list monitoring.timeSeries.list monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list opsconfigmonitoring.resourceMetadata.list resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get stackdriver.resourceMetadata.list
Monitoring Metric Writer (roles/monitoring.metricWriter) Menyediakan akses hanya tulis ke metrik. API ini menyediakan izin yang diperlukan oleh agen Cloud Monitoring dan sistem lain yang mengirim metrik. Resource tingkat terendah yang dapat Anda beri peran ini: Project	monitoring.metricDescriptors.create monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.create
Logs Writer (roles/logging.logWriter) Memberikan izin untuk menulis entri log. Resource tingkat terendah yang dapat Anda beri peran ini: Project	logging.logEntries.create logging.logEntries.route
Storage Object Viewer (roles/storage.objectViewer) Memberikan akses untuk melihat objek dan metadatanya, tidak termasuk ACL. Juga dapat mencantumkan objek dalam bucket. Resource tingkat terendah yang dapat Anda beri peran ini: Bucket	resourcemanager.projects.get resourcemanager.projects.list storage.managedFolders.get storage.managedFolders.list storage.objects.get storage.objects.list

Peran yang diperlukan untuk mengakses AI Platform Pipelines sebagai pengguna

Untuk mengakses cluster Pipeline AI Platform, setiap pengguna harus diberi peran Kubernetes Engine Cluster Viewer (roles/container.clusterViewer) dan Service Account User Role untuk akun layanan cluster Google Kubernetes Engine.

Peran	Judul	Deskripsi	Izin
Kubernetes Engine Cluster Viewer (roles/container.clusterViewer) Menyediakan akses untuk mendapatkan dan membuat daftar cluster GKE.	container.clusters.get container.clusters.list resourcemanager.projects.get resourcemanager.projects.list

Lanjutkan ke bagian berikutnya untuk mempelajari cara memberi pengguna akses ke peran Kubernetes Engine Cluster Viewer dan Service Account User Role.

Memberi pengguna akses ke AI Platform Pipelines

Gunakan petunjuk berikut untuk memberi akun pengguna akses ke cluster AI Platform Pipelines Anda.

1. Buka Pipeline AI Platform di Konsol Google Cloud.

   Buka AI Platform Pipelines

2. Temukan cluster AI Platform Pipelines Anda. Catat Cluster dan Zona untuk digunakan di langkah berikutnya.

   

3. Buka sesi Cloud Shell.

   Buka Cloud Shell

   Cloud Shell akan terbuka dalam frame di bagian bawah Konsol Google Cloud. Gunakan Cloud Shell untuk menyelesaikan proses ini.

4. Jalankan perintah berikut guna menetapkan project Google Cloud default untuk sesi Cloud Shell ini.

   gcloud config set project PROJECT_ID
   

   Ganti PROJECT_ID dengan ID project Google Cloud Anda.

5. Jalankan perintah berikut untuk menemukan akun layanan yang digunakan cluster GKE Anda.

   gcloud container clusters describe CLUSTER_NAME --zone ZONE \
   --format="flattened(nodePools[].config.serviceAccount)"
   

   Ganti kode berikut:

   • CLUSTER_NAME: Nama cluster GKE Anda.
   • ZONE: Zona tempat cluster Anda dibuat.

   Responsnya mungkin menunjukkan bahwa cluster Anda menggunakan akun layanan bernama default. Nilai ini merujuk ke akun layanan default untuk Compute Engine. Jalankan perintah berikut untuk menemukan nama lengkap akun layanan ini.

   gcloud iam service-accounts list \
   --filter "[e-mail]"
   

   Pelajari akun layanan default Compute Engine lebih lanjut.

6. Berikan peran Service Account User ke akun pengguna Anda di akun layanan cluster GKE Anda.

   gcloud iam service-accounts add-iam-policy-binding \
   SERVICE_ACCOUNT_NAME \
   --member=user:USERNAME \
   --role=roles/iam.serviceAccountUser
   

   Ganti kode berikut:

   • SERVICE_ACCOUNT_NAME: Nama akun layanan cluster GKE Anda, yang ditemukan pada langkah sebelumnya. Nama akun layanan memiliki format seperti *@*.gserviceaccount.com.
   • USERNAME: Nama pengguna Anda di Google Cloud.

7. Beri akun pengguna Anda akses ke peran GKE Cluster Viewer pada project.

   gcloud projects add-iam-policy-binding PROJECT_ID \
   --member user:USERNAME --role roles/container.clusterViewer
   

   Ganti kode berikut:

   • PROJECT_ID: ID project Google Cloud Anda.
   • USERNAME: Nama pengguna Anda di Google Cloud.