Questa pagina descrive come applicare il principio del privilegio minimo concedendo l'accesso a risorse Compute Engine specifiche anziché a una risorsa principale come un progetto, una cartella o un'organizzazione.
Puoi concedere l'accesso a una risorsa impostando un criterio IAM (Identity and Access Management) sulla risorsa. Il criterio vincola uno o più membri, ad esempio un utente o un account di servizio, a uno o più ruoli. Ogni ruolo contiene un elenco di autorizzazioni che consentono al membro di interagire con la risorsa.
Se concedi l'accesso a una risorsa principale (ad esempio a un progetto), concedi implicitamente l'accesso a tutte le sue risorse figlie (ad esempio a tutte le VM del progetto). Per limitare l'accesso alle risorse, imposta i criteri IAM sulle risorse di livello inferiore, se possibile, anziché a livello di progetto o superiore.
Per informazioni generali su come concedere, modificare e revocare l'accesso alle risorse non correlate a Compute Engine, ad esempio per concedere l'accesso a un progetto Google Cloud, consulta la documentazione IAM relativa alla concessione, alla modifica e alla revoca dell'accesso alle risorse.
Prima di iniziare
- Consulta la panoramica di IAM.
- Leggi la panoramica del controllo dell'accesso di Compute Engine.
- Acquisisci familiarità con i ruoli IAM per Compute Engine .
-
Se non l'hai ancora fatto, configura l'autenticazione.
L'autenticazione è la procedura mediante la quale la tua identità viene verificata per l'accesso alle API e ai servizi Google Cloud.
Per eseguire codice o esempi da un ambiente di sviluppo locale, puoi autenticarti su Compute Engine selezionando una delle seguenti opzioni:
Select the tab for how you plan to use the samples on this page:
Console
When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
-
Install the Google Cloud CLI, then initialize it by running the following command:
gcloud init
- Set a default region and zone.
-
Per concedere o revocare l'accesso alle risorse:
-
compute.projects.get
sul progetto -
compute.RESOURCE_TYPE.get
nella risorsa -
compute.RESOURCE_TYPE.getIamPolicy
nella risorsa -
compute.RESOURCE_TYPE.setIamPolicy
nella risorsa
-
-
Per testare le autorizzazioni dell'utente che chiama:
compute.RESOURCE_TYPE.getIamPolicy
sulla risorsaSostituisci RESOURCE_TYPE con la risorsa a cui vuoi gestire l'accesso. Ad esempio
instances
,instanceTemplates
oimages
. - Nella console Google Cloud, vai alla pagina della rispettiva risorsa per la quale vuoi aggiungere le autorizzazioni.
- Per le istanze, vai alla pagina Istanze VM.
- Per i dischi zonali e regionali, vai alla pagina Dischi.
- Per gli snapshot, vai alla pagina Snapshot.
- Per le immagini, vai alla pagina Immagini.
- Per i modelli di istanza, vai alla pagina Modelli di istanza.
- Per le immagini macchina, vai alla pagina Immagini macchina.
- Per le prenotazioni, vai alla pagina Prenotazioni.
- Per i nodi single-tenant, vai alla pagina Nodi single-tenant.
- Seleziona le caselle di controllo accanto alle risorse da aggiornare.
- Completa i seguenti passaggi in base alla pagina della risorsa.
- Per le istanze VM, fai clic su Autorizzazioni.
- Per tutte le altre risorse, svolgi i seguenti passaggi:
- Controlla se il riquadro informazioni è visibile. Se non è visibile, fai clic su Mostra riquadro informazioni.
- Seleziona la scheda Autorizzazioni.
- Fai clic su Aggiungi entità.
- Aggiungi l'identità dell'entità e seleziona il ruolo richiesto.
- Per salvare le modifiche, fai clic su Salva.
RESOURCE_TYPE
: il tipo di risorsa. I valori validi includono:disks
images
instances
instance-templates
machine-images
reservations
sole-tenancy node-groups
sole-tenancy node-templates
snapshots
RESOURCE_NAME
: il nome della risorsa. Ad esempio,my_instance
.PRINCIPAL
: un'identità valida per l'entità a cui vuoi concedere il ruolo. Deve essere del tipouser|group|serviceAccount:EMAIL_ADDRESS
odomain:DOMAIN_ADDRESS
. Ad esempio:user:test-user@gmail.com
group:admins@example.com
serviceAccount:test123@example.domain.com
domain:example.domain.com
ROLE
: il ruolo da assegnare a questo principale.Leggi il criterio esistente con il rispettivo metodo
getIamPolicy
della risorsa. Ad esempio, la seguente richiesta HTTP legge il criterio IAM di una VM:POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME:getIamPolicy
Sostituisci quanto segue:
PROJECT_ID
: l'ID progetto a cui appartiene questa VM.ZONE
: la zona della VM. Per le risorse regionali o globali, sostituiscizones/ZONE
conregions/REGION
oglobal
.VM_NAME
: il nome dell'istanza VM.
Compute Engine restituisce il criterio corrente nella risposta.
Modifica il criterio con un editor di testo per aggiungere o rimuovere le entità e i relativi ruoli associati. Ad esempio, per concedere il ruolo
compute.admin
a email@example.com, aggiungi la seguente nuova associazione al criterio:{ "members": [ "user:email@example.com" ], "role":"roles/compute.admin" }
Scrivi le norme aggiornate con
setIamPolicy()
:POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME:setIamPolicy
Sostituisci quanto segue:
PROJECT_ID
: l'ID progetto a cui appartiene questa VM.ZONE
: la zona della VM. Per le risorse regionali o globali, sostituiscizones/ZONE
conregions/REGION
oglobal
.VM_NAME
: il nome dell'istanza VM.
Nel corpo della richiesta, fornisci il criterio IAM aggiornato del passaggio precedente.
- Nella console Google Cloud, vai alla pagina della rispettiva risorsa per la quale vuoi aggiungere le autorizzazioni.
- Per le istanze, vai alla pagina Istanze VM.
- Per i dischi zonali e regionali, vai alla pagina Dischi.
- Per gli snapshot, vai alla pagina Snapshot.
- Per le immagini, vai alla pagina Immagini.
- Per i gruppi di istanze, vai alla pagina Gruppi di istanze.
- Per i modelli di istanza, vai alla pagina Modelli di istanza.
- Per le immagini macchina, vai alla pagina Immagini macchina.
- Per le prenotazioni, vai alla pagina Prenotazioni.
- Per i nodi single-tenant, vai alla pagina Nodi single-tenant.
- Seleziona le caselle di controllo accanto alle risorse da aggiornare.
- Completa i seguenti passaggi in base alla pagina della risorsa.
- Per le istanze VM, fai clic su Autorizzazioni.
- Per tutte le altre risorse, svolgi i seguenti passaggi:
- Controlla se il riquadro informazioni è visibile. Se non è visibile, fai clic su Mostra riquadro informazioni.
- Seleziona la scheda Autorizzazioni.
- Fai clic sulla scheda del ruolo da cui vuoi rimuovere i principali. La scheda si espande e mostra gli utenti con quel ruolo per quella risorsa.
- Per rimuovere un principale da quel ruolo, fai clic su Elimina.
RESOURCE_TYPE
: tipo di risorsa. I valori validi includono:disks
images
instances
instance-templates
machine-images
reservations
sole-tenancy node-groups
sole-tenancy node-templates
snapshots
RESOURCE_NAME
: il nome della risorsa. Ad esempio,my_instance
.PRINCIPAL
: un'identità valida per il principale. Deve essere del tipouser|group|serviceAccount:EMAIL_ADDRESS
odomain:DOMAIN_ADDRESS
. Ad esempio:user:test-user@gmail.com
group:admins@example.com
serviceAccount:test123@example.domain.com
domain:example.domain.com
ROLE
: il ruolo da cui vuoi rimuovere l'entità.Leggi il criterio esistente con il rispettivo metodo
getIamPolicy
della risorsa. Ad esempio, la seguente richiesta HTTP legge il criterio IAM di una VM:POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME:getIamPolicy
Sostituisci quanto segue:
PROJECT_ID
: l'ID progetto a cui appartiene questa VM.ZONE
: la zona della VM. Per le risorse regionali o globali, sostituiscizones/ZONE
conregions/REGION
oglobal
.VM_NAME
: il nome dell'istanza VM.
Compute Engine restituisce il criterio corrente nella risposta.
Modifica il criterio con un editor di testo per rimuovere i membri dai ruoli associati. Ad esempio, rimuovi email@example.com dal ruolo
compute.admin
:{ "members": [ "user:owner@example.com" ], "role":"roles/compute.admin" }
Scrivi le norme aggiornate con
setIamPolicy()
:POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME:setIamPolicy
Sostituisci quanto segue:
PROJECT_ID
: l'ID progetto a cui appartiene questa VM.ZONE
: la zona della VM. Per le risorse regionali o globali, sostituiscizones/ZONE
conregions/REGION
oglobal
.VM_NAME
: il nome dell'istanza VM.
Nel corpo della richiesta, fornisci il criterio IAM aggiornato del passaggio precedente.
Invia una richiesta alla risorsa e includi nel corpo della richiesta un elenco di autorizzazioni da verificare.
Ad esempio, in un'istanza, potresti verificare la presenza di
compute.instances.start
,compute.instances.stop
ecompute.instances.delete
.POST https://compute.googleapis.com/compute/v1/projects/PROJECT_ID/zones/ZONE/instances/VM_NAME/testIamPermissions { "permissions": [ "compute.instances.start", "compute.instances.stop", "compute.instances.delete" ] }
La richiesta restituisce le autorizzazioni abilitate per il chiamante.
{ "permissions": [ "compute.instances.start", "compute.instances.stop" ] }
- Scopri come gestire l'accesso alle immagini personalizzate con IAM.
- Scopri di più sugli account di servizio.
- Scopri di più sui ruoli IAM di Compute Engine.
- Scopri di più sulle autorizzazioni incluse nei ruoli IAM predefiniti di Compute Engine.
- Scopri come creare e gestire i ruoli personalizzati.
REST
Per utilizzare gli esempi dell'API REST in questa pagina in un ambiente di sviluppo locale, utilizza le credenziali fornite a gcloud CLI.
Install the Google Cloud CLI, then initialize it by running the following command:
gcloud init
Per saperne di più, consulta Eseguire l'autenticazione per l'utilizzo di REST nella documentazione sull'autenticazione di Google Cloud.
Ruoli obbligatori
Per ottenere le autorizzazioni necessarie per gestire l'accesso alle risorse Compute Engine, chiedi all'amministratore di concederti il ruolo IAM Amministratore Compute (
roles/compute.admin
) per la risorsa. Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso a progetti, cartelle e organizzazioni.Questo ruolo predefinito contiene le autorizzazioni necessarie per gestire l'accesso alle risorse Compute Engine. Per visualizzare le autorizzazioni esatte richieste, espandi la sezione Autorizzazioni richieste:
Autorizzazioni obbligatorie
Per gestire l'accesso alle risorse Compute Engine sono necessarie le seguenti autorizzazioni:
Potresti anche ottenere queste autorizzazioni con ruoli personalizzati o altri ruoli predefiniti.
Risorse supportate
Per visualizzare un elenco delle risorse Compute Engine che supportano il controllo dell'accesso a livello di risorsa, consulta Tipi di risorse che accettano i criteri IAM e filtra per Compute Engine.
Per le altre risorse Compute Engine che non supportano il controllo dell'accesso a livello di risorsa, devi gestire l'accesso a queste risorse a livello di progetto, cartella o organizzazione. Per informazioni su organizzazioni, cartelle o progetti, consulta Gerarchia delle risorse.
Concessione dell'accesso alle risorse Compute Engine
Un'entità, ad esempio un utente o un account di servizio, può accedere alle risorse di Compute Engine. Un'identità è una proprietà di un principale. L'identità di un principale è in genere rappresentata da un indirizzo email associato all'account.
Prima di concedere un ruolo IAM a un'entità per una risorsa, controlla quali ruoli sono disponibili per una determinata risorsa. Per ulteriori informazioni, consulta Visualizzazione dei ruoli assegnabili sulle risorse.
Per concedere l'autorizzazione di accesso a risorse Compute Engine specifiche, imposta un criterio IAM sulla risorsa.
Console
gcloud
Per concedere un ruolo a un'entità in una risorsa, utilizza il comando secondario
add-iam-policy-binding
della risorsa con i flag--member
e--role
.gcloud compute RESOURCE_TYPE add-iam-policy-binding RESOURCE_NAME \ --member='PRINCIPAL' \ --role='ROLE'
Sostituisci quanto segue:
Se concedi l'accesso a una risorsa in anteprima, utilizza un comando
gcloud beta compute
.REST
Per modificare un criterio IAM tramite l'API, svolgi i seguenti passaggi:
Revocare l'accesso alle risorse
Come best practice, se i principali non hanno più bisogno di accedere alle tue risorse Compute Engine, revoca il loro accesso.
Console
gcloud
Per rimuovere un ruolo da un'entità per una risorsa, utilizza il comando secondario
remove-iam-policy-binding
della risorsa con i flag--member
e--role
.gcloud compute RESOURCE_TYPE remove-iam-policy-binding RESOURCE_NAME \ --member='MEMBER' \ --role='ROLE'
Sostituisci quanto segue:
Se stai revocando l'accesso a una risorsa in anteprima, utilizza un comando
gcloud beta compute
.REST
Per modificare un criterio IAM direttamente tramite l'API, segui questi passaggi:
Verificare se un chiamante dispone delle autorizzazioni
Se non sai quali autorizzazioni ha un'identità, utilizza il metodo API
testIamPermissions
per controllare quali autorizzazioni sono disponibili per un'identità.Il metodo prende un URL della risorsa e un insieme di autorizzazioni come parametri di input e restituisce l'insieme di autorizzazioni consentite all'utente chiamante. Puoi utilizzare questo metodo su qualsiasi risorsa supportata.
In genere,
testIamPermissions
è destinato all'integrazione con il tuo software proprietario, ad esempio un'interfaccia utente grafica personalizzata. Generalmente non chiamitestIamPermissions
se utilizzi direttamente Google Cloud per gestire le autorizzazioni.Ad esempio, se stai creando una GUI sull'API Compute Engine e la tua GUI ha un pulsante "Avvia" che avvia un'istanza, puoi chiamare
compute.instances.testIamPermissions()
per determinare se il pulsante deve essere attivato o disattivato.Per verificare se un chiamante dispone di autorizzazioni specifiche per una risorsa:
Modificare l'accesso alle risorse per più membri
Se vuoi modificare l'accesso alle risorse Compute Engine per più membri contemporaneamente, consulta i consigli su come modificare un criterio IAM tramite programmazione.
Passaggi successivi
Salvo quando diversamente specificato, i contenuti di questa pagina sono concessi in base alla licenza Creative Commons Attribution 4.0, mentre gli esempi di codice sono concessi in base alla licenza Apache 2.0. Per ulteriori dettagli, consulta le norme del sito di Google Developers. Java è un marchio registrato di Oracle e/o delle sue consociate.
Ultimo aggiornamento 2024-11-23 UTC.
-