IAM으로 액세스 제어

베타

이 제품 또는 기능에는 서비스별 약관의 일반 서비스 약관 섹션에 있는 'GA 이전 제공 서비스 약관'이 적용됩니다. GA 이전 제품 및 기능은 '있는 그대로' 제공되며 지원이 제한될 수 있습니다. 자세한 내용은 출시 단계 설명을 참조하세요.

AI Platform 파이프라인은 머신러닝(ML) 파이프라인이 Google Cloud 리소스에 액세스할 때 ID 및 액세스 관리(IAM) 역할을 사용하여 사용자, 그룹, 서비스를 승인합니다.

이 문서에서는 다음에 필요한 역할을 설명합니다.

• AI Platform 파이프라인 설정
• 사용자 관리 서비스 계정으로 AI Platform 파이프라인을 실행합니다.
• 사용자로 AI Platform 파이프라인에 액세스합니다.

IAM 개념 및 IAM 작동 방식에 대해 자세히 알아보세요.

AI Platform 파이프라인 설정에 필요한 역할

AI Platform 파이프라인을 배포하려면 프로젝트에 대한 뷰어(roles/viewer) 및 Kubernetes Engine 관리자(roles/container.admin) 역할을 부여받아야 합니다. 뷰어 역할은 프로젝트 내의 모든 리소스에 대한 읽기 액세스 권한을 제공합니다. Kubernetes Engine 관리자 역할은 Kubernetes 클러스터 및 Kubernetes API 객체에 대한 전체 액세스 권한을 제공합니다.

최소 권한 원칙을 따르려면 세분화된 액세스 권한을 사용하도록 AI Platform 파이프라인 클러스터를 설정하세요. 세분화된 액세스 권한으로 클러스터를 설정하려면 프로젝트에 대한 서비스 계정 관리자(roles/iam.serviceAccountAdmin) 역할도 부여받아야 합니다. 서비스 계정 관리자 역할은 IAM 서비스 계정을 만들고 구성할 수 있는 액세스 권한을 제공합니다.

IAM 역할에 액세스 권한 부여에 대해 자세히 알아보세요.

역할	권한
뷰어(roles/viewer)	프로젝트 내의 기존 리소스 또는 데이터 보기(수정이 아님)와 같이 상태에 영향을 주지 않는 읽기 전용 작업에 대한 권한입니다.
Kubernetes Engine 관리자 (roles/container.admin) 클러스터 및 관련 Kubernetes API 객체를 전체 관리할 수 있는 액세스 권한을 제공합니다. 노드에 서비스 계정을 설정하려면 노드에서 사용하는 사용자 관리 서비스 계정에 대한 서비스 계정 사용자 역할(roles/iam.serviceAccountUser)도 있어야 합니다. 이 역할을 부여할 수 있는 최하위 수준 리소스: 프로젝트	container.* container.apiServices.create container.apiServices.delete container.apiServices.get container.apiServices.getStatus container.apiServices.list container.apiServices.update container.apiServices.updateStatus container.auditSinks.create container.auditSinks.delete container.auditSinks.get container.auditSinks.list container.auditSinks.update container.backendConfigs.create container.backendConfigs.delete container.backendConfigs.get container.backendConfigs.list container.backendConfigs.update container.bindings.create container.bindings.delete container.bindings.get container.bindings.list container.bindings.update container.certificateSigningRequests.approve container.certificateSigningRequests.create container.certificateSigningRequests.delete container.certificateSigningRequests.get container.certificateSigningRequests.getStatus container.certificateSigningRequests.list container.certificateSigningRequests.update container.certificateSigningRequests.updateStatus container.clusterRoleBindings.create container.clusterRoleBindings.delete container.clusterRoleBindings.get container.clusterRoleBindings.list container.clusterRoleBindings.update container.clusterRoles.bind container.clusterRoles.create container.clusterRoles.delete container.clusterRoles.escalate container.clusterRoles.get container.clusterRoles.list container.clusterRoles.update container.clusters.create container.clusters.createTagBinding container.clusters.delete container.clusters.deleteTagBinding container.clusters.get container.clusters.getCredentials container.clusters.impersonate container.clusters.list container.clusters.listEffectiveTags container.clusters.listTagBindings container.clusters.update container.componentStatuses.get container.componentStatuses.list container.configMaps.create container.configMaps.delete container.configMaps.get container.configMaps.list container.configMaps.update container.controllerRevisions.create container.controllerRevisions.delete container.controllerRevisions.get container.controllerRevisions.list container.controllerRevisions.update container.cronJobs.create container.cronJobs.delete container.cronJobs.get container.cronJobs.getStatus container.cronJobs.list container.cronJobs.update container.cronJobs.updateStatus container.csiDrivers.create container.csiDrivers.delete container.csiDrivers.get container.csiDrivers.list container.csiDrivers.update container.csiNodeInfos.create container.csiNodeInfos.delete container.csiNodeInfos.get container.csiNodeInfos.list container.csiNodeInfos.update container.csiNodes.create container.csiNodes.delete container.csiNodes.get container.csiNodes.list container.csiNodes.update container.customResourceDefinitions.create container.customResourceDefinitions.delete container.customResourceDefinitions.get container.customResourceDefinitions.getStatus container.customResourceDefinitions.list container.customResourceDefinitions.update container.customResourceDefinitions.updateStatus container.daemonSets.create container.daemonSets.delete container.daemonSets.get container.daemonSets.getStatus container.daemonSets.list container.daemonSets.update container.daemonSets.updateStatus container.deployments.create container.deployments.delete container.deployments.get container.deployments.getScale container.deployments.getStatus container.deployments.list container.deployments.rollback container.deployments.update container.deployments.updateScale container.deployments.updateStatus container.endpointSlices.create container.endpointSlices.delete container.endpointSlices.get container.endpointSlices.list container.endpointSlices.update container.endpoints.create container.endpoints.delete container.endpoints.get container.endpoints.list container.endpoints.update container.events.create container.events.delete container.events.get container.events.list container.events.update container.frontendConfigs.create container.frontendConfigs.delete container.frontendConfigs.get container.frontendConfigs.list container.frontendConfigs.update container.horizontalPodAutoscalers.create container.horizontalPodAutoscalers.delete container.horizontalPodAutoscalers.get container.horizontalPodAutoscalers.getStatus container.horizontalPodAutoscalers.list container.horizontalPodAutoscalers.update container.horizontalPodAutoscalers.updateStatus container.hostServiceAgent.use container.ingresses.create container.ingresses.delete container.ingresses.get container.ingresses.getStatus container.ingresses.list container.ingresses.update container.ingresses.updateStatus container.initializerConfigurations.create container.initializerConfigurations.delete container.initializerConfigurations.get container.initializerConfigurations.list container.initializerConfigurations.update container.jobs.create container.jobs.delete container.jobs.get container.jobs.getStatus container.jobs.list container.jobs.update container.jobs.updateStatus container.leases.create container.leases.delete container.leases.get container.leases.list container.leases.update container.limitRanges.create container.limitRanges.delete container.limitRanges.get container.limitRanges.list container.limitRanges.update container.localSubjectAccessReviews.create container.localSubjectAccessReviews.list container.managedCertificates.create container.managedCertificates.delete container.managedCertificates.get container.managedCertificates.list container.managedCertificates.update container.mutatingWebhookConfigurations.create container.mutatingWebhookConfigurations.delete container.mutatingWebhookConfigurations.get container.mutatingWebhookConfigurations.list container.mutatingWebhookConfigurations.update container.namespaces.create container.namespaces.delete container.namespaces.finalize container.namespaces.get container.namespaces.getStatus container.namespaces.list container.namespaces.update container.namespaces.updateStatus container.networkPolicies.create container.networkPolicies.delete container.networkPolicies.get container.networkPolicies.list container.networkPolicies.update container.nodes.create container.nodes.delete container.nodes.get container.nodes.getStatus container.nodes.list container.nodes.proxy container.nodes.update container.nodes.updateStatus container.operations.get container.operations.list container.persistentVolumeClaims.create container.persistentVolumeClaims.delete container.persistentVolumeClaims.get container.persistentVolumeClaims.getStatus container.persistentVolumeClaims.list container.persistentVolumeClaims.update container.persistentVolumeClaims.updateStatus container.persistentVolumes.create container.persistentVolumes.delete container.persistentVolumes.get container.persistentVolumes.getStatus container.persistentVolumes.list container.persistentVolumes.update container.persistentVolumes.updateStatus container.petSets.create container.petSets.delete container.petSets.get container.petSets.list container.petSets.update container.petSets.updateStatus container.podDisruptionBudgets.create container.podDisruptionBudgets.delete container.podDisruptionBudgets.get container.podDisruptionBudgets.getStatus container.podDisruptionBudgets.list container.podDisruptionBudgets.update container.podDisruptionBudgets.updateStatus container.podPresets.create container.podPresets.delete container.podPresets.get container.podPresets.list container.podPresets.update container.podSecurityPolicies.create container.podSecurityPolicies.delete container.podSecurityPolicies.get container.podSecurityPolicies.list container.podSecurityPolicies.update container.podSecurityPolicies.use container.podTemplates.create container.podTemplates.delete container.podTemplates.get container.podTemplates.list container.podTemplates.update container.pods.attach container.pods.create container.pods.delete container.pods.evict container.pods.exec container.pods.get container.pods.getLogs container.pods.getStatus container.pods.initialize container.pods.list container.pods.portForward container.pods.proxy container.pods.update container.pods.updateStatus container.priorityClasses.create container.priorityClasses.delete container.priorityClasses.get container.priorityClasses.list container.priorityClasses.update container.replicaSets.create container.replicaSets.delete container.replicaSets.get container.replicaSets.getScale container.replicaSets.getStatus container.replicaSets.list container.replicaSets.update container.replicaSets.updateScale container.replicaSets.updateStatus container.replicationControllers.create container.replicationControllers.delete container.replicationControllers.get container.replicationControllers.getScale container.replicationControllers.getStatus container.replicationControllers.list container.replicationControllers.update container.replicationControllers.updateScale container.replicationControllers.updateStatus container.resourceQuotas.create container.resourceQuotas.delete container.resourceQuotas.get container.resourceQuotas.getStatus container.resourceQuotas.list container.resourceQuotas.update container.resourceQuotas.updateStatus container.roleBindings.create container.roleBindings.delete container.roleBindings.get container.roleBindings.list container.roleBindings.update container.roles.bind container.roles.create container.roles.delete container.roles.escalate container.roles.get container.roles.list container.roles.update container.runtimeClasses.create container.runtimeClasses.delete container.runtimeClasses.get container.runtimeClasses.list container.runtimeClasses.update container.scheduledJobs.create container.scheduledJobs.delete container.scheduledJobs.get container.scheduledJobs.list container.scheduledJobs.update container.scheduledJobs.updateStatus container.secrets.create container.secrets.delete container.secrets.get container.secrets.list container.secrets.update container.selfSubjectAccessReviews.create container.selfSubjectAccessReviews.list container.selfSubjectRulesReviews.create container.serviceAccounts.create container.serviceAccounts.createToken container.serviceAccounts.delete container.serviceAccounts.get container.serviceAccounts.list container.serviceAccounts.update container.services.create container.services.delete container.services.get container.services.getStatus container.services.list container.services.proxy container.services.update container.services.updateStatus container.statefulSets.create container.statefulSets.delete container.statefulSets.get container.statefulSets.getScale container.statefulSets.getStatus container.statefulSets.list container.statefulSets.update container.statefulSets.updateScale container.statefulSets.updateStatus container.storageClasses.create container.storageClasses.delete container.storageClasses.get container.storageClasses.list container.storageClasses.update container.storageStates.create container.storageStates.delete container.storageStates.get container.storageStates.getStatus container.storageStates.list container.storageStates.update container.storageStates.updateStatus container.storageVersionMigrations.create container.storageVersionMigrations.delete container.storageVersionMigrations.get container.storageVersionMigrations.getStatus container.storageVersionMigrations.list container.storageVersionMigrations.update container.storageVersionMigrations.updateStatus container.subjectAccessReviews.create container.subjectAccessReviews.list container.thirdPartyObjects.create container.thirdPartyObjects.delete container.thirdPartyObjects.get container.thirdPartyObjects.list container.thirdPartyObjects.update container.thirdPartyResources.create container.thirdPartyResources.delete container.thirdPartyResources.get container.thirdPartyResources.list container.thirdPartyResources.update container.tokenReviews.create container.updateInfos.create container.updateInfos.delete container.updateInfos.get container.updateInfos.list container.updateInfos.update container.validatingWebhookConfigurations.create container.validatingWebhookConfigurations.delete container.validatingWebhookConfigurations.get container.validatingWebhookConfigurations.list container.validatingWebhookConfigurations.update container.volumeAttachments.create container.volumeAttachments.delete container.volumeAttachments.get container.volumeAttachments.getStatus container.volumeAttachments.list container.volumeAttachments.update container.volumeAttachments.updateStatus container.volumeSnapshotClasses.create container.volumeSnapshotClasses.delete container.volumeSnapshotClasses.get container.volumeSnapshotClasses.list container.volumeSnapshotClasses.update container.volumeSnapshotContents.create container.volumeSnapshotContents.delete container.volumeSnapshotContents.get container.volumeSnapshotContents.getStatus container.volumeSnapshotContents.list container.volumeSnapshotContents.update container.volumeSnapshotContents.updateStatus container.volumeSnapshots.create container.volumeSnapshots.delete container.volumeSnapshots.get container.volumeSnapshots.getStatus container.volumeSnapshots.list container.volumeSnapshots.update container.volumeSnapshots.updateStatus recommender.containerDiagnosisInsights.* recommender.containerDiagnosisInsights.get recommender.containerDiagnosisInsights.list recommender.containerDiagnosisInsights.update recommender.containerDiagnosisRecommendations.* recommender.containerDiagnosisRecommendations.get recommender.containerDiagnosisRecommendations.list recommender.containerDiagnosisRecommendations.update recommender.locations.* recommender.locations.get recommender.locations.list recommender.networkAnalyzerGkeConnectivityInsights.* recommender.networkAnalyzerGkeConnectivityInsights.get recommender.networkAnalyzerGkeConnectivityInsights.list recommender.networkAnalyzerGkeConnectivityInsights.update recommender.networkAnalyzerGkeIpAddressInsights.* recommender.networkAnalyzerGkeIpAddressInsights.get recommender.networkAnalyzerGkeIpAddressInsights.list recommender.networkAnalyzerGkeIpAddressInsights.update resourcemanager.projects.get resourcemanager.projects.list
서비스 계정 관리자 (roles/iam.serviceAccountAdmin) 서비스 계정을 만들고 관리합니다. 이 역할을 부여할 수 있는 최하위 수준 리소스: 서비스 계정	iam.serviceAccounts.create iam.serviceAccounts.delete iam.serviceAccounts.disable iam.serviceAccounts.enable iam.serviceAccounts.get iam.serviceAccounts.getIamPolicy iam.serviceAccounts.list iam.serviceAccounts.setIamPolicy iam.serviceAccounts.undelete iam.serviceAccounts.update resourcemanager.projects.get resourcemanager.projects.list

사용자 관리 서비스 계정으로 AI Platform 파이프라인을 실행하는 데 필요한 역할

Google Kubernetes Engine(GKE) 클러스터의 pod는 GKE 클러스터의 서비스 계정을 사용하여 Google Cloud에 인증합니다. AI Platform 파이프라인을 더 쉽게 설정하고 사용할 수 있도록 AI Platform 파이프라인에서 만든 GKE 클러스터는 액세스 범위가 https://www.googleapis.com/auth/cloud-platform인 기본 Compute Engine 서비스 계정을 사용합니다. 이 액세스 범위는 프로젝트에서 사용 설정한 Google Cloud 리소스 및 API에 대한 전체 액세스 권한을 제공하므로 Google Cloud에 대한 과도한 액세스 권한을 클러스터의 워크로드에 제공할 수 있습니다.

AI Platform 파이프라인 클러스터에서 실행되는 워크로드에 세분화된 권한을 할당하려면 클러스터의 서비스 계정을 만들고 이 서비스 계정에 프로젝트의 다음 역할에 대한 액세스 권한을 부여하세요.

• 모니터링 뷰어: 모니터링 뷰어(roles/monitoring.viewer) 역할은 모니터링 데이터 및 구성에 대한 읽기 액세스 권한을 제공합니다.
• 모니터링 측정항목 작성자: 모니터링 측정항목 작성자(roles/monitoring.metricWriter) 역할은 클러스터가 측정항목을 쓸 수 있도록 쓰기 액세스 권한을 제공합니다.
• 로그 작성자: 클러스터는 로그 작성자(roles/logging.logWriter) 역할을 통해 로그 항목을 쓸 수 있습니다.
• 스토리지 객체 뷰어: Container Registry에 저장된 파이프라인의 커스텀 컨테이너 이미지를 만들려면 AI Platform 파이프라인 클러스터에 프로젝트의 스토리지 객체 뷰어(roles/storage.objectViewer) 역할에 대한 액세스 권한을 부여합니다.

또한 ML 파이프라인이 사용하는 모든 Google Cloud 리소스 또는 API에 대한 액세스 권한을 서비스 계정에 부여해야 합니다.

• 사용자 관리 서비스 계정을 사용하도록 GKE 클러스터를 구성합니다.
• IAM 역할 및 서비스 계정 관리에 대해 자세히 알아보세요.

역할	직책	설명	권한
모니터링 뷰어 (roles/monitoring.viewer) 모니터링 데이터와 구성의 모든 정보를 가져와 나열할 수 있는 읽기 전용 액세스 권한을 제공합니다. 이 역할을 부여할 수 있는 최하위 수준 리소스: 프로젝트	cloudnotifications.activities.list monitoring.alertPolicies.get monitoring.alertPolicies.list monitoring.dashboards.get monitoring.dashboards.list monitoring.groups.get monitoring.groups.list monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.notificationChannelDescriptors.* monitoring.notificationChannelDescriptors.get monitoring.notificationChannelDescriptors.list monitoring.notificationChannels.get monitoring.notificationChannels.list monitoring.publicWidgets.get monitoring.publicWidgets.list monitoring.services.get monitoring.services.list monitoring.slos.get monitoring.slos.list monitoring.snoozes.get monitoring.snoozes.list monitoring.timeSeries.list monitoring.uptimeCheckConfigs.get monitoring.uptimeCheckConfigs.list opsconfigmonitoring.resourceMetadata.list resourcemanager.projects.get resourcemanager.projects.list stackdriver.projects.get stackdriver.resourceMetadata.list
모니터링 측정항목 작성자 (roles/monitoring.metricWriter) 측정항목에 대한 쓰기 전용 액세스 권한을 제공합니다. 이는 Cloud Monitoring 에이전트 및 측정항목을 전송하는 기타 시스템에 필요한 권한을 정확히 제공합니다. 이 역할을 부여할 수 있는 최하위 수준 리소스: 프로젝트	monitoring.metricDescriptors.create monitoring.metricDescriptors.get monitoring.metricDescriptors.list monitoring.monitoredResourceDescriptors.* monitoring.monitoredResourceDescriptors.get monitoring.monitoredResourceDescriptors.list monitoring.timeSeries.create
로그 작성자 (roles/logging.logWriter) 로그 항목을 쓸 수 있는 권한을 제공합니다. 이 역할을 부여할 수 있는 최하위 수준 리소스: 프로젝트	logging.logEntries.create logging.logEntries.route
스토리지 객체 뷰어 (roles/storage.objectViewer) 객체와 메타데이터(ACL 제외)를 볼 수 있는 액세스 권한을 부여합니다. 버킷의 객체도 나열할 수 있습니다. 이 역할을 부여할 수 있는 최하위 수준 리소스: 버킷	resourcemanager.projects.get resourcemanager.projects.list storage.managedFolders.get storage.managedFolders.list storage.objects.get storage.objects.list

사용자로 AI Platform 파이프라인에 액세스하는 데 필요한 역할

AI Platform 파이프라인 클러스터에 액세스하려면 각 사용자에게 Google Kubernetes Engine 클러스터의 서비스 계정에 대한 Kubernetes Engine 클러스터 뷰어(roles/container.clusterViewer) 역할과 서비스 계정 사용자 역할을 부여해야 합니다.

역할	직책	설명	권한
Kubernetes Engine 클러스터 뷰어 (roles/container.clusterViewer) GKE 클러스터를 가져오고 나열할 수 있는 액세스 권한을 제공합니다.	container.clusters.get container.clusters.list resourcemanager.projects.get resourcemanager.projects.list

다음 섹션으로 이동하여 사용자에게 Kubernetes Engine 클러스터 뷰어 역할 및 서비스 계정 사용자 역할에 대한 액세스 권한을 부여하는 방법을 알아봅니다.

사용자에게 AI Platform 파이프라인에 대한 액세스 권한 부여

다음 안내에 따라 사용자 계정에 AI Platform 파이프라인 클러스터에 대한 액세스 권한을 부여합니다.

1. Google Cloud Console에서 AI Platform 파이프라인을 엽니다.

   AI Platform Pipelines로 이동

2. AI Platform Pipelines 클러스터를 찾습니다. 후속 단계에서 사용하기 위해 클러스터 및 영역을 기록해 둡니다.

   

3. Cloud Shell 세션을 엽니다.

   Cloud Shell 열기

   Cloud Shell이 Google Cloud Console 하단의 프레임에 열립니다. Cloud Shell을 사용하여 이 프로세스의 나머지를 완료합니다.

4. 이 Cloud Shell 세션의 기본 Google Cloud 프로젝트를 설정하려면 다음 명령어를 실행합니다.

   gcloud config set project PROJECT_ID
   

   PROJECT_ID를 Google Cloud 프로젝트 ID로 바꿉니다.

5. 다음 명령어를 실행하여 GKE 클러스터에서 사용하는 서비스 계정을 찾습니다.

   gcloud container clusters describe CLUSTER_NAME --zone ZONE \
   --format="flattened(nodePools[].config.serviceAccount)"
   

   다음을 바꿉니다.

   • CLUSTER_NAME: GKE 클러스터의 이름입니다.
   • ZONE: 클러스터가 생성된 영역입니다.

   응답에 클러스터가 default라는 서비스 계정을 사용하는 것이 나타날 수 있습니다. 이 값은 Compute Engine의 기본 서비스 계정을 나타냅니다. 다음 명령어를 실행하여 이 서비스 계정의 전체 이름을 찾습니다.

   gcloud iam service-accounts list \
   --filter "[e-mail]"
   

   Compute Engine 기본 서비스 계정에 대해 자세히 알아보세요.

6. 사용자 계정에 GKE 클러스터 서비스 계정의 서비스 계정 사용자 역할을 부여합니다.

   gcloud iam service-accounts add-iam-policy-binding \
   SERVICE_ACCOUNT_NAME \
   --member=user:USERNAME \
   --role=roles/iam.serviceAccountUser
   

   다음을 바꿉니다.

   • SERVICE_ACCOUNT_NAME: 이전 단계에서 찾은 GKE 클러스터의 서비스 계정 이름입니다. 서비스 계정 이름 형식은 *@*.gserviceaccount.com과 같습니다.
   • USERNAME: Google Cloud에서의 사용자 이름입니다.

7. 사용자 계정에 프로젝트의 GKE 클러스터 뷰어 역할에 대한 액세스 권한을 부여합니다.

   gcloud projects add-iam-policy-binding PROJECT_ID \
   --member user:USERNAME --role roles/container.clusterViewer
   

   다음을 바꿉니다.

   • PROJECT_ID: Google Cloud 프로젝트의 ID입니다.
   • USERNAME: Google Cloud에서의 사용자 이름입니다.