Informazioni su OS Login

In questa pagina viene descritto il servizio OS Login e il suo funzionamento. Per scoprire come configurare OS Login, vedi Configura OS Login.

Usa OS Login per gestire l'accesso SSH alle istanze con IAM senza dover per creare e gestire singole chiavi SSH. OS Login mantiene un ambiente Linux coerente dell'identità utente tra più istanze VM ed è il metodo consigliato per gestire su più VM o progetti.

Vantaggi di OS Login

OS Login semplifica la gestione dell'accesso SSH collegando il tuo account utente Linux a la tua identità Google. Gli amministratori possono gestire facilmente l'accesso alle istanze a livello di istanza o di progetto impostando le autorizzazioni IAM.

OS Login offre i seguenti vantaggi:

  • Gestione automatica del ciclo di vita degli account Linux: puoi collegare direttamente un account utente Linux all'identità Google di un utente in modo che le stesse informazioni dell'account Linux vengano utilizzate in tutte le istanze dello stesso progetto o della stessa organizzazione.

  • Autorizzazione granulare con Google IAM - Progetto sia a livello di istanza che a livello di istanza possono usare IAM per concedere l'accesso SSH Identità Google senza concedere un insieme più ampio di privilegi. Ad esempio: puoi concedere a un utente le autorizzazioni per accedere al sistema, ma non possibilità di eseguire comandi come sudo. Google controlla queste autorizzazioni per determinare se un utente può accedere a un'istanza VM.

  • Aggiornamenti automatici delle autorizzazioni. Con OS Login, le autorizzazioni vengono aggiornate. automaticamente quando un amministratore modifica IAM autorizzazioni aggiuntive. Ad esempio, se rimuovi le autorizzazioni IAM da un'identità Google, e l'accesso alle istanze VM viene revocato. Google controlla le autorizzazioni per a ogni tentativo di accesso per impedire accessi indesiderati.

  • Possibilità di importare account Linux esistenti: gli amministratori possono scegliere di sincronizzare facoltativamente i dati degli account Linux da Active Directory (AD) e Lightweight Directory Access Protocol (LDAP) configurati on-premise. Ad esempio, puoi assicurarti che gli utenti abbiano lo stesso ID utente (UID) in ambienti cloud e on-premise.

  • Integrazione con la verifica in due passaggi dell'Account Google: puoi scegliere richiede agli utenti di OS Login di convalidare la propria identità utilizzando uno dei seguenti metodi: Metodi di verifica in due passaggi (2FA) o tipi di verifica per la connessione alle VM:

  • Integrazione con il logging di controllo: OS Login fornisce log di controllo che puoi utilizzare e monitorare le connessioni alle VM per gli utenti di OS Login.

Come funziona OS Login

Quando OS Login è attivato, Compute Engine esegue le configurazioni sulle VM e sugli Account Google degli utenti di OS Login.

Configurazione della VM

Le immagini pubbliche fornite da Google includono utilità e componenti per gestire la VM l'accesso. Quando attivi l'accesso OS, sulla VM vengono configurati i seguenti componenti e configurazioni:

  • Elimina i file authorized_keys della VM.

  • Configura un server OpenSSH con l'AuthorizedKeysCommand . Questo comando recupera le chiavi SSH associate l'account utente Linux per autenticare il tentativo di accesso.

  • Configura la funzionalità NSS (Name Service Switch) per fornire il OS Login le informazioni utente al sistema operativo.

  • Aggiunge un insieme di moduli di autenticazione collegabili (PAM) per aiutare ad autorizzare l'accesso utente, come l'impostazione del Home directory dell'account utente Linux o gestione delle verifiche 2FA se questa funzionalità è abilitata.

Per ulteriori informazioni sui componenti di OS Login, consulta la Pagina GitHub di OS Login.

Configurazione account utente

OS Login configura il tuo Account Google con informazioni POSIX, tra cui un quando esegui una delle seguenti operazioni:

  • Connettiti a una VM abilitata per OS Login utilizzando la console Google Cloud
  • Connettiti a una VM abilitata per OS Login utilizzando gcloud CLI
  • Importa una chiave SSH pubblica utilizzando gcloud CLI
  • Importa una chiave SSH pubblica utilizzando l'API OS Login

OS Login configura gli account POSIX con i seguenti valori:

  • Nome utente: un nome utente nel formatoUSERNAME_DOMAIN_SUFFIX. Se l'utente appartiene a un'organizzazione Google Workspace diversa da quella che ospita le VM con accesso al sistema operativo abilitato, il nome utente è preceduto da ext_. Se l'utente è un account di servizio, il suo nome utente è preceduto dal prefisso sa_.

    Gli amministratori di Cloud Identity possono modificare i nomi utente e i super amministratori di Google Workspace possono cambiare il nome utente formatta in rimuovi il suffisso di dominio.

  • UID:un nome univoco generato in modo casuale POSIX-compliant ID utente.

  • GID:un ID gruppo compatibile con POSIX e uguale all'UID.

  • Home directory:il percorso della home directory dell'utente.

Gli amministratori dell'organizzazione possono configurare e aggiornare l'account POSIX di un utente informazioni. Per ulteriori informazioni, vedi Modificare gli account utente utilizzando l'API Directory.

Passaggi successivi