Secara default, semua project Google Cloud dilengkapi dengan satu pengguna: pembuat project asli. Tidak ada pengguna lain yang memiliki akses ke project, sehingga akses ke resource Compute Engine sampai pengguna ditambahkan sebagai anggota project atau terikat dengan resource tertentu. Halaman ini menjelaskan cara menambahkan pengguna baru ke project dan cara menetapkan kontrol akses untuk resource Compute Engine menggunakan Identity and Access Management (IAM).
Untuk mengetahui informasi tentang cara menyediakan akses ke aplikasi yang berjalan di instance Compute Engine, lihat Cara otorisasi ditentukan.
Opsi kontrol akses untuk pengguna
Untuk memberi pengguna kemampuan membuat dan mengelola resource Compute Engine, Anda dapat menambahkan pengguna sebagai anggota tim ke project Anda atau ke resource tertentu dan memberi mereka izin menggunakan peran IAM.
Anggota tim dapat berupa pengguna perorangan dengan Akun Google yang valid, Google Grup, akun layanan, atau domain Google Workspace. Saat menambahkan anggota tim ke project atau ke resource, Anda menentukan peran yang akan diberikan kepada mereka. IAM menyediakan tiga jenis peran: peran standar, peran dasar, dan peran khusus.
Resource mewarisi kebijakan resource induknya dalam hierarki resource Google Cloud. Kebijakan yang efektif untuk resource adalah gabungan kebijakan yang ditetapkan pada resource tersebut dan kebijakan yang diwarisi dari induknya.
Peran Compute Engine yang telah ditetapkan
Peran yang telah ditetapkan memberikan sekumpulan izin terkait. Compute Engine menawarkan peran yang telah ditetapkan berikut:
| Jabatan Peran | Kemampuan | Pengguna target |
|---|---|---|
| Pengguna image Compute Engine |
Izin untuk mencantumkan dan menggunakan image dari project lain. Beri anggota peran ini bersama dengan peran lain agar anggota tersebut dapat menggunakan image dari project lain untuk membuat resource baru. Misalnya, berikan peran ini dan peran Admin Instance agar anggota dapat menggunakan image dari project lain untuk membuat instance VM dan persistent disk. Jika Anda membuat grup instance terkelola atau jika menggunakan Deployment Manager untuk membuat instance VM, Anda mungkin perlu memberikan izin Layanan API mempertimbangkan peran ini sebelum Anda dapat menggunakan image dari project lain. |
|
| Admin instance Compute Engine (v1) |
Kontrol penuh atas instance Compute Engine, grup instance, disk, snapshot, dan image. Akses hanya baca ke semua resource jaringan Compute Engine. Jika anggota mengelola instance VM yang dikonfigurasi untuk dijalankan sebagai akun layanan, Anda juga harus memberikan peran |
|
| Peran admin Compute Engine |
Kontrol penuh dari semua resource Compute Engine. Jika pengguna mengelola instance VM yang dikonfigurasi untuk dijalankan sebagai akun layanan, Anda juga harus memberikan peran |
|
| Admin jaringan Compute Engine |
Izin untuk membuat, memodifikasi, dan menghapus resource jaringan, kecuali untuk aturan firewall dan sertifikat SSL. Peran admin jaringan memungkinkan akses hanya baca ke aturan firewall, sertifikat SSL, dan instance (untuk melihat alamat IP sementaranya). Peran admin jaringan tidak mengizinkan anggota untuk membuat, memulai, menghentikan, atau menghapus instance. |
Administrator jaringan |
| Admin keamanan Compute Engine |
Izin untuk membuat, mengubah, dan menghapus aturan firewall dan sertifikat SSL. |
Administrator keamanan |
| Admin load balancer Compute Enginebeta |
Izin untuk membuat, mengubah, dan menghapus load balancer dan resource terkait. |
Administrator load balancer |
| Pengguna akun layanan Compute Engine |
Izin untuk membuat instance yang menggunakan akun layanan, dan izin untuk memasang disk dan menetapkan metadata pada instance yang sudah dikonfigurasi untuk dijalankan sebagai akun layanan. Anda tidak boleh memberikan peran ini sendiri karena peran tersebut tidak memberikan izin ke Compute Engine API. Anda harus memberi anggota peran ini dan peran lain, seperti peran admin instance. |
|
| Peran pelihat Compute Engine |
Akses hanya baca untuk mendapatkan dan membuat daftar resource Compute Engine, tanpa dapat membaca data yang tersimpan di dalamnya. Misalnya, akun dengan peran ini dapat menginventarisasi semua disk dalam suatu project, tetapi akun tidak dapat membaca data apa pun di disk tersebut. |
Administrator sistem |
| Pengguna jaringan Compute Engine |
Izin untuk menggunakan jaringan VPC bersama. Secara khusus, berikan peran ini kepada pemilik layanan yang perlu menggunakan resource dalam project host. Setelah diberikan, pemilik layanan dapat menggunakan subnetwork dan jaringan yang termasuk dalam project host. Misalnya, pengguna jaringan dapat membuat instance VM yang termasuk dalam jaringan host VPC bersama, tetapi mereka tidak dapat menghapus atau membuat jaringan baru dalam project host. |
|
| Pelihat jaringan Compute Engine |
Akses baca saja ke semua resource jaringan. Misalnya, jika Anda memiliki software yang memeriksa konfigurasi jaringan, Anda dapat memberikan peran network pelihat kepada akun layanan software tersebut. |
|
| Admin penyimpanan Compute Enginebeta |
Izin untuk membuat, memodifikasi, dan menghapus disk, image, dan snapshot. Misalnya, jika perusahaan Anda memiliki seseorang yang mengelola image dan Anda tidak ingin orang tersebut memiliki peran editor di project, maka beri akun mereka peran ini. |
|
| Admin VPC bersama Compute Engine |
Izin untuk mengelola project host VPC bersama, khususnya mengaktifkan project host dan mengaitkan project layanan ke jaringan project host. Peran ini hanya dapat diberikan di tingkat organisasi. |
Pembuat project |
Untuk melihat daftar metode API yang diberi izin oleh peran tertentu, baca dokumentasi peran IAM Compute Engine.
Matriks peran yang telah ditetapkan
Tabel berikut memberikan perbandingan lengkap kemampuan setiap peran Compute Engine.
| Kemampuan | Admin instance (v1) | Pengguna image | Pengguna jaringan | Pelihat jaringan | Network Admin | Security Admin | Storage Admin | Admin VPC Bersama | Compute Admin | Compute Viewer | Admin load balancer |
|---|---|---|---|---|---|---|---|---|---|---|---|
| Membuat atau menghapus instance VM | * | ||||||||||
| SSH ke instance VM | * | * | |||||||||
| Mencantumkan atau mendapatkan instance VM | |||||||||||
| Membuat atau menghapus image, disk, dan snapshot | |||||||||||
| Menampilkan daftar atau mendapatkan image | |||||||||||
| Membuat atau menghapus grup instance | * | ||||||||||
| Mencantumkan atau mendapatkan grup instance | |||||||||||
| Membuat dan mengelola load balancer | |||||||||||
| Membuat dan mengelola VPN | |||||||||||
| Melihat resource jaringan/subnetwork | |||||||||||
| Melihat aturan firewall | |||||||||||
| Membuat dan mengelola firewall serta sertifikat SSL |
untuk firewall, untuk sertifikat SSL |
||||||||||
| Membuat dan mengelola project host VPC bersama | |||||||||||
| Menggunakan jaringan dan subnetwork dalam project host VPC bersama | |||||||||||
| Membuat dan mengelola jaringan dan subnetwork |
*Jika instance VM dapat dijalankan sebagai akun layanan, berikan juga peran pengguna akun layanan.
Untuk melihat daftar metode API yang diberi izin oleh peran tertentu, baca dokumentasi peran IAM Compute Engine.
Peran IAM dasar
Peran IAM dasar dipetakan langsung ke peran pemilik, editor, dan pelihat project lama. Umumnya, Anda harus menggunakan peran yang telah ditetapkan jika memungkinkan. Namun, dalam beberapa kasus, saat IAM belum didukung, Anda mungkin perlu menggunakan peran dasar untuk memberikan izin yang tepat.
| Jabatan Peran | Izin |
|---|---|
Owner |
Semua hak istimewa pelihat dan editor, ditambah kemampuan untuk mengubah setelan penagihan, mengelola kontrol akses, dan menghapus project. |
Editor |
Semua hak istimewa pelihat, ditambah kemampuan untuk membuat, memodifikasi, dan menghapus resource. |
Viewer |
Izin hanya baca ke semua resource; tidak memiliki izin untuk mengubah sumber daya. |
Untuk mempelajari peran dasar lebih lanjut, baca dokumentasi untuk peran dasar.
Jika peran dasar atau yang telah ditetapkan tidak memenuhi kebutuhan, Anda dapat membuat peran khusus.
Kebijakan IAM untuk resource Compute Engine
Anda dapat memberikan akses ke resource Compute Engine seperti instance VM, image, dan disk, dengan melampirkan kebijakan IAM langsung ke resource tersebut. Dengan kebijakan IAM, Anda dapat mengelola peran IAM pada resource tersebut, bukan mengelola peran di level project. Hal ini memberi Anda fleksibilitas untuk menerapkan prinsip hak istimewa terendah, yaitu memberikan akses hanya ke resource tertentu yang diperlukan kolaborator untuk melakukan pekerjaan mereka.
Dengan kebijakan IAM untuk resource Compute Engine, organisasi dapat:
- Beri pengguna akses ke subset resource tertentu. Misalkan Alice harus mengelola subset instance dalam sebuah project. Dengan kebijakan IAM level instance, Anda memberinya peran
compute.instanceAdmin.v1hanya pada instance tersebut. Jika Anda memberi Alice peran yang sama pada project, maka dia akan memiliki izin untuk mengubah semua instance dalam project tersebut. - Izinkan administrator memberikan akses. Administrator dapat memberi orang lain akses ke instance, disk, dan image tanpa harus menjadi pemilik project yang andal. Misalkan Bobi adalah developer yang telah diberi peran
compute.storageAdminpada image tertentu. Dia dapat membagikan image tersebut kepada rekan satu timnya dengan memberi mereka perancompute.imageUserpada image tersebut. Tanpa kebijakan IAM untuk resource Compute Engine, Bob tidak dapat membagikan image tersebut kepada rekan satu timnya, kecuali jika dia menjadi pemilik project karena dia perlu mengubah kebijakan IAM project.
Resource juga mewarisi kebijakan resource induknya. Jika Anda menetapkan kebijakan di level project, kebijakan tersebut akan diwarisi oleh semua resource turunannya. Kebijakan yang efektif untuk suatu resource adalah gabungan kebijakan yang ditetapkan pada resource tersebut dan kebijakan yang diwariskan dari posisi yang lebih tinggi dalam hierarki. Untuk mengetahui informasi selengkapnya, baca informasi tentang hierarki kebijakan IAM.
Kebijakan organisasi
Jika Anda adalah anggota Google Workspace, project Anda mungkin menjadi bagian dari Resource organisasi. Resource organisasi adalah supernode dalam hierarki resource Google Cloud yang terkait erat dengan akun Google Workspace. Setelah Resource organisasi dibuat untuk domain Google Workspace, semua project Google Cloud yang dibuat oleh anggota domain akan menjadi bagian dari Resource organisasi tersebut.
Organisasi dapat menerapkan kebijakan organisasi, yaitu kebijakan yang membatasi konfigurasi yang diizinkan di seluruh hierarki resource Google Cloud Anda. Untuk Compute Engine, Anda dapat menerapkan kebijakan berikut:
- Nonaktifkan akses interaktif ke konsol serial.
- Nonaktifkan alamat IP eksternal untuk instance VM.
- Batasi project image yang tersedia untuk anggota project Anda
Untuk menetapkan Kebijakan organisasi, Anda harus sudah diberi peran orgpolicy.policyAdmin di organisasi tersebut.
Anda juga dapat menetapkan penggantian khusus project jika ada pengecualian pada kebijakan.
Untuk mempelajari Organisasi lebih lanjut, baca dokumentasi Organisasi.
Untuk mempelajari Kebijakan organisasi lebih lanjut, baca dokumentasi Kebijakan organisasi.
Memberi pengguna akses SSH ke instance VM
Agar pengguna dapat terhubung ke instance VM menggunakan SSH tanpa memberi pengguna kemampuan untuk mengelola resource Compute Engine, tambahkan kunci publik pengguna ke project. atau menambahkan kunci publik pengguna ke instance tertentu. Dengan metode ini, Anda dapat menghindari penambahan pengguna sebagai anggota project, sambil tetap memberinya akses ke instance tertentu.
Untuk mempelajari SSH dan mengelola kunci SSH lebih lanjut, baca ringkasan kunci SSH.
Perhatikan bahwa jika Anda memberikan peran roles/compute.instanceAdmin.v1 kepada anggota project, mereka dapat otomatis terhubung ke instance menggunakan SSH, selama instance tidak disiapkan untuk dijalankan sebagai akun layanan. Jika instance disiapkan untuk dijalankan sebagai akun layanan, Anda juga harus memberikan peran roles/iam.serviceAccountUser kepada anggota sebelum dapat terhubung ke instance.
Jika Anda menambahkan anggota sebagai pemilik atau editor project, mereka juga akan otomatis memiliki akses SSH ke instance VM dalam project.
Kontrol akses untuk aplikasi yang berjalan pada instance VM
Jika Anda menjalankan kode aplikasi pada instance dan aplikasi perlu melakukan autentikasi ke Google Cloud API lainnya, Anda dapat membuat akun layanan dan memberikan peran IAM khusus pada akun layanan ini untuk melakukan autentikasi ke Google Cloud API lain di nama klien. Akun layanan adalah akun khusus yang tidak memiliki kredensial pengguna dan cocok untuk interaksi server ke server.
Untuk mempelajari akun layanan lebih lanjut, baca dokumentasi Akun layanan.
Identitas workload terkelola untuk workload Compute Engine
Anda dapat menyiapkan penyediaan otomatis dan pengelolaan siklus proses untuk sertifikat X.509 dari Certificate Authority Service (CA Service) menggunakan identitas beban kerja terkelola. Sertifikat identitas workload terkelola diterbitkan dari CA Service, yang merupakan layanan Google Cloud yang skalabel dan sangat tersedia untuk membantu Anda menyederhanakan dan mengotomatiskan deployment, pengelolaan, dan keamanan layanan CA sambil tetap mengontrol kunci pribadi Anda.
Dengan identitas workload terkelola, Anda dapat memanfaatkan mTLS per VM yang dikelola oleh Compute Engine. mTLS per VM menggunakan sertifikat X.509 yang diterbitkan saat Anda membuat VM. Sertifikat mTLS ini dirotasi secara otomatis, sehingga Anda tidak perlu khawatir lagi mengelola sertifikat.
Identitas workload terkelola memberikan fondasi untuk memungkinkan komunikasi yang dienkripsi dan dienkripsi bersama antara dua VM Compute Engine. Misalnya, saat Anda menggunakan identitas beban kerja terkelola, layanan A yang berjalan di satu VM berkomunikasi dengan layanan B yang berjalan di saluran yang berbeda melalui saluran terenkripsi yang dibuat menggunakan mTLS.
Untuk informasi tentang cara mengonfigurasi identitas beban kerja terkelola, lihat Mengautentikasi beban kerja ke beban kerja lain melalui mTLS.
Apa langkah selanjutnya?
- Tambahkan pengguna sebagai anggota tim.
- Pelajari Peran IAM lebih lanjut
- Pelajari lebih lanjut cara Menambahkan dan menghapus kunci SSH.
- Pelajari Akun layanan lebih lanjut