Gerenciar a autenticação do IAM

Esta página mostra como preparar seus recursos do AlloyDB para PostgreSQL para permitir a autenticação do banco de dados pelo Identity and Access Management (IAM).

Esse método complementa a autenticação do banco de dados com papéis de usuário padrão do PostgreSQL, com suporte de todos os clusters do AlloyDB. Se você ativar a autenticação baseada no IAM no cluster, poderá usar as funções de usuário do IAM ou do PostgreSQL para fazer a autenticação com esse cluster.

Por padrão, uma instância do AlloyDB não tem a autenticação baseada no IAM ativada. É possível tomar medidas para ativar os logins do IAM e configurar usuários de banco de dados baseados no IAM:

Repita as etapas anteriores sempre que precisar adicionar mais usuários do IAM ao cluster do AlloyDB.

No restante desta página, explicamos essas etapas em mais detalhes.

Ativar ou desativar a autenticação do IAM

Para ativar a autenticação do IAM em uma instância, defina a flag alloydb.iam_authentication nessa instância como on.

Para desativar a autenticação do IAM em uma instância, defina alloydb.iam_authentication de volta para o valor padrão off.

Para mais informações sobre como definir flags em instâncias do AlloyDB, consulte Configurar flags do banco de dados de uma instância.

Conceder acesso a uma instância a um usuário do IAM ou a uma conta de serviço

Ativar o acesso autenticado pelo IAM a um novo usuário do banco de dados é um processo em duas etapas:

  1. Atualize as configurações do IAM do projeto para conceder acesso ao banco de dados do AlloyDB à conta de serviço ou ao usuário do IAM apropriado.

  2. Crie um novo usuário do banco de dados no cluster, definindo o nome de usuário como o endereço de e-mail do usuário ou da conta de serviço do IAM.

Repita a segunda etapa quantas vezes for necessário para conceder a uma conta definida pelo IAM acesso a outros clusters no projeto.

Atualizar uma conta do IAM com o papel apropriado

É possível conceder aos usuários do IAM ou às contas de serviço a capacidade de autenticação com instâncias do AlloyDB concedendo a eles os seguintes papéis do IAM:

  • alloydb.databaseUser
  • serviceusage.serviceUsageConsumer

Para fazer isso, siga as instruções em Conceder acesso a outros usuários. Na etapa em que você seleciona um papel para conceder ao principal do IAM, escolha alloydb.databaseUser.

Adicionar um usuário ou uma conta de serviço do IAM a um cluster

Console

  1. Acesse a página Clusters.

    Acessar Clusters

  2. Clique no nome do cluster em que você quer adicionar um usuário.

  3. Clique em Usuários.

  4. Clique em Adicionar conta de usuário.

  5. Selecione Cloud IAM.

  6. No campo Principal, insira o principal do IAM.

    Para uma conta de usuário do IAM, forneça o endereço de e-mail completo da conta de usuário. Por exemplo, kai@altostrat.com

    Para uma conta de serviço do IAM, forneça o endereço da conta de serviço sem o sufixo .gserviceaccount.com. Por exemplo, para especificar a conta de serviço my-service@my-project.iam.gserviceaccount.com, use o valor my-service@my-project.iam aqui.

  7. Clique em Adicionar.

gcloud

Para criar um usuário do banco de dados PostgreSQL com base em um usuário ou conta de serviço do IAM, use o comando gcloud alloydb users create:

gcloud alloydb users create USERNAME \
--cluster=CLUSTER \
--region=REGION \
--type=IAM_BASED

Substitua:

  • USERNAME: um identificador do usuário do IAM que você quer adicionar como um novo usuário do banco de dados.

    Para uma conta de usuário do IAM, forneça o endereço de e-mail completo da conta de usuário. Por exemplo, kai@altostrat.com

    Para uma conta de serviço do IAM, forneça o endereço da conta de serviço sem o sufixo .gserviceaccount.com. Por exemplo, para especificar a conta de serviço my-service@my-project.iam.gserviceaccount.com, use o valor my-service@my-project.iam aqui.

  • CLUSTER: o ID do cluster para criar a conta de usuário desse banco de dados.

  • REGION: o ID da região em que o cluster está localizado. Por exemplo, us-central1.

Conceder as permissões de banco de dados adequadas aos usuários do IAM

Por padrão, quando um usuário do IAM é adicionado a uma instância de banco de dados, esse novo usuário não recebe privilégios em nenhum banco de dados.

Quando um usuário ou conta de serviço se conecta a um banco de dados, ele pode executar consultas em qualquer objeto do banco de dados que tenha o acesso concedido como PUBLIC.

Se forem necessários acesso adicional, mais privilégios poderão ser concedidos usando a instrução GRANT do PostgreSQL:

GRANT SELECT ON TABLE_NAME TO "USERNAME";

Substitua:

  • USERNAME: o endereço de e-mail do usuário. É necessário incluir aspas duplas em torno do endereço.

  • TABLE_NAME: o nome da tabela a que você quer conceder acesso ao usuário.

Remover um usuário ou uma conta de serviço do IAM de um cluster

Console

  1. Acesse a página Clusters.

    Acessar Clusters

  2. Clique no nome do cluster em que você quer remover o usuário.

  3. Clique em Usuários.

  4. Na linha que representa o usuário que você quer remover, clique em Abrir ações para este usuário.

  5. Selecione Remover.

  6. Na caixa de diálogo Remover conta de usuário?, clique em Remover.

gcloud

Use o comando gcloud alloydb users delete:

gcloud alloydb users delete USERNAME \
--cluster=CLUSTER \
--region=REGION

Substitua:

  • USERNAME: o identificador do usuário do IAM que você quer remover do cluster.

    Para uma conta de usuário do IAM, forneça o endereço de e-mail completo da conta de usuário. Por exemplo, kai@altostrat.com

    Para uma conta de serviço do IAM, forneça o endereço da conta de serviço sem o sufixo .gserviceaccount.com. Por exemplo, para especificar a conta de serviço my-service@my-project.iam.gserviceaccount.com, use o valor my-service@my-project.iam aqui.

  • CLUSTER: o ID do cluster de que o usuário será removido.

  • REGION: o ID da região em que o cluster está localizado. Por exemplo, us-central1.

A seguir