Acerca del Acceso al SO

En esta página, se describe el servicio Acceso al SO y cómo funciona. Para obtener información sobre cómo configurar Acceso al SO, consulta Configura Acceso al SO.

Usa el acceso al SO para administrar el acceso SSH a tus instancias con la IAM sin tener que crear y administrar Claves SSH individuales. El Acceso al SO mantiene una identidad de usuario de Linux coherente en todas las instancias de VM y es la forma recomendada para administrar muchos usuarios en múltiples VMs o proyectos.

Beneficios del Acceso al SO

El Acceso al SO vincula tu cuenta de usuario de Linux con tu identidad de Google para simplificar la administración del acceso SSH. Los administradores pueden administrar con facilidad el acceso a las instancias, ya sea a nivel de instancia o de proyecto, mediante la configuración de los permisos de IAM.

El Acceso al SO ofrece los siguientes beneficios:

  • Administración automática del ciclo de vida de la cuenta de Linux: puedes vincular directamente una cuenta de usuario de Linux con la identidad de Google de un usuario para que se use la misma información de cuenta de Linux en todas las instancias del mismo proyecto o de la misma organización.

  • Autorización detallada con Google IAM: los administradores a nivel de proyecto y de instancia pueden usar IAM para otorgar acceso SSH a la identidad de Google de un usuario sin otorgar un conjunto más amplio de privilegios. Por ejemplo, puedes concederle a un usuario permisos para acceder al sistema, pero no la capacidad de ejecutar comandos como sudo. Google verifica estos permisos para determinar si un usuario puede acceder a una instancia de VM.

  • Actualizaciones automáticas de permisos: con el Acceso al SO, los permisos se actualizan de forma automática cuando un administrador cambia los permisos de IAM. Por ejemplo, si quitas los permisos de IAM de una identidad de Google, se revocará el acceso a las instancias de VM. Google verifica los permisos para cada intento de acceso a fin de evitar el acceso no deseado.

  • Capacidad para importar cuentas existentes de Linux: los administradores pueden optar por sincronizar la información de la cuenta de Linux desde Active Directory (AD) y Lightweight Directory Access Protocol (LDAP) que se configuran de forma local. Por ejemplo, puedes asegurarte de que los usuarios tengan el mismo ID de usuario (UID) en los entornos locales y de Cloud.

  • Integración en la verificación en dos pasos de la Cuenta de Google: de forma opcional, puedes exigir que los usuarios de Acceso al SO validen su identidad mediante uno de los siguientes métodos de verificación en dos pasos o tipos de verificación cuando se conectan a las VMs:

  • Integración en el registro de auditoría: Acceso al SO proporciona registros de auditoría que puedes usar para supervisar las conexiones a las VMs de los usuarios de Acceso al SO.

Cómo funciona Acceso al SO

Cuando el acceso a SO está habilitado, Compute Engine realiza configuraciones en las VM y las cuentas de Google de los usuarios de acceso a SO.

Configuración de VM

Las imágenes públicas que proporciona Google incluyen utilidades y componentes para administrar el acceso de VM. Cuando habilitas el Acceso al SO, los siguientes componentes y parámetros de configuración se establecen en la VM:

  • Borra los archivos authorized_keys de la VM.

  • Configura un servidor OpenSSH con la opción AuthorizedKeysCommand. Mediante este comando, se recuperan las llaves SSH asociadas con la cuenta de usuario de Linux para autenticar el intento de acceso.

  • Configura la funcionalidad NSS (Name Service Switch) a fin de proporcionar la información de usuario de acceso al SO para el sistema operativo.

  • Agrega un conjunto de opciones de configuración de Pluggable Authentication Modules (PAM) para autorizar el acceso del usuario. A través de las configuraciones de PAM, se realizan verificaciones de permisos de IAM para el acceso tradicional y el acceso de administrador. Mediante estas configuraciones de PAM, también se realizan otras tareas, como configurar el directorio principal de la cuenta de usuario de Linux.

Para obtener más información sobre los componentes de Acceso al SO, consulta la página sobre acceso a SO de GitHub.

Configuración de la cuenta de usuario

El Acceso al SO configura tu Cuenta de Google con información POSIX, incluido un nombre de usuario, cuando realizas alguna de las siguientes acciones:

  • Conéctate a una VM habilitada para el acceso a SO mediante la consola de Google Cloud
  • Conéctate a una VM habilitada para Acceso al SO mediante la CLI de gcloud
  • Importa una llave SSH pública con la CLI de gcloud
  • Importa una Llave SSH pública con la API de Acceso al SO

El Acceso a SO configura las cuentas POSIX con los siguientes valores:

  • Nombre de usuario: Un nombre de usuario en el formato USERNAME_DOMAIN_SUFFIX Si el usuario es de una organización de Google Workspace diferente a la que aloja las VMs habilitadas para Acceso al SO, el nombre de usuario tendrá el prefijo ext_. Si el usuario es una cuenta de servicio, el nombre de usuario tiene el prefijo sa_.

    Los administradores de Cloud Identity pueden modificar los nombres de usuario y los administradores avanzados de Google Workspace pueden cambiar el formato del nombre de usuario para quitar el sufijo de dominio.

  • UID: un ID de usuario único, que cumple con POSIX y generado de forma aleatoria.

  • GID: Es un ID de grupo que cumple con POSIX y que es el mismo que el UID.

  • Directorio principal:es la ruta de acceso al directorio principal del usuario.

Los administradores de la organización pueden configurar y actualizar la información de la cuenta POSIX de un usuario. Para obtener más información, consulta Modifica las cuentas de usuario mediante la API de Directory.

¿Qué sigue?