Contrôle des accès avec IAM
Cet article explique comment utiliser Identity and Access Management pour contrôler la manière dont Config Connector peut créer et gérer des ressources Google Cloud.
Pour installer Config Connector, vous devez vous authentifier en créant un compte de service IAM, puis en utilisant Workload Identity pour GKE afin de lier les comptes de service IAM aux comptes de service Kubernetes. IAM permet à Config Connector d'effectuer des actions sur des ressources spécifiques. En limitant les autorisations attribuées à vos comptes de service, vous pouvez mieux contrôler les types de ressources que Config Connector peut créer.
Vous pouvez choisir de gérer les ressources avec un ou plusieurs comptes de service.
Compte de service unique
Lorsque vous installez Config Connector avec le module complémentaire GKE ou une installation manuelle, vous pouvez définir le mode cluster dans votre CustomResource ConfigConnector
.
En mode cluster, vous pouvez utiliser un seul compte de service IAM pour créer et gérer des ressources, même si vous utilisez Config Connector pour gérer plusieurs projets.
Le schéma suivant vous montre le fonctionnement de ce mode, dans lequel le même compte de service gère deux projets:
Plusieurs comptes de service
Vous pouvez utiliser plusieurs comptes de service en définissant le mode d'espace de noms dans la ressource CustomResource ConfigConnector
.
Le mode en espace de noms vous permet de répartir les autorisations en fonction des préoccupations respectives des différents comptes de service IAM et d'isoler les autorisations entre différents espaces de noms Kubernetes, car vous pouvez associer un compte de service différent à chaque espace de noms.
Choisissez le mode espace de noms si :
- Vous souhaitez isoler les autorisations IAM au niveau de l'espace de noms Kubernetes.
- Attendez-vous à gérer un grand nombre de ressources Google Cloud à partir de plusieurs projets Google Cloud sur un seul cluster.
Par exemple, vous pouvez créer un compte de service IAM pour chaque projet, organiser les ressources de chaque projet dans le même espace de noms Kubernetes, puis lier le compte de service IAM correspondant à l'espace de noms Kubernetes. Cela vous permet de séparer les autorisations IAM pour chaque projet, afin que chaque projet dispose d'un ensemble d'autorisations distinct et non lié.
Le schéma suivant présente le fonctionnement du mode Espace de noms, dans lequel chaque projet est géré par un compte de service différent:
En mode Espace de noms, chaque compte de service IAM est lié par défaut à un espace de noms. Lorsque vous créez des ressources dans cet espace de noms, Config Connector utilise ce compte de service pour créer des ressources Google Cloud. Il existe un pod Config Connector cnrm-controller-manager
dédié pour chaque espace de noms qui imite le compte de service IAM associé à l'espace de noms.
Pour savoir comment configurer le mode espace de noms, consultez la section Installer Config Connector à l'aide d'un mode d'espace de noms.
Modifier les autorisations après l'installation
Lors de l'installation de Config Connector, vous avez peut-être sélectionné un rôle de base temporaire et attribué ce rôle au compte de service pour lequel vous avez configuré Config Connector. Si vous avez configuré Config Connector en mode Espace de noms, vous disposez peut-être de plusieurs comptes de service IAM.
Une fois l'installation terminée, vous devrez peut-être supprimer ou mettre à jour les autorisations étendues pour respecter les considérations et les bonnes pratiques de sécurité.
L'un des principaux avantages de Config Connector est l'unification des outils. Cela signifie que vous pouvez utiliser Config Connector lui-même pour ajuster les rôles et les autorisations IAM. Vous pouvez utiliser les ressources IAMPolicyMember ou IAMPartialPolicy dans Config Connector pour configurer les autorisations IAM. Cela nécessite un compte de service IAM avec des autorisations d'administrateur sur vos projets, dossiers ou organisation. Ce compte de service doit être configuré pour être lié à l'installation de Config Connector via le mode cluster ou le mode espace de noms.
Les sections suivantes répertorient différents exemples de stratégies qui utilisent Config Connector pour gérer les autorisations IAM.
Autorisation de propriétaire de l'organisation
Pour développer les autorisations de Config Connector afin qu'il puisse gérer tous les projets et dossiers d'une organisation donnée, procédez comme suit:
Créez le fichier manifeste YAML suivant:
apiVersion: iam.cnrm.cloud.google.com/v1beta1 kind: IAMPolicyMember metadata: name: iampolicymember-orglevel-permission namespace: NAMESPACE spec: member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com role: roles/owner resourceRef: kind: Organization external: ORGANIZATION_ID
Remplacez les éléments suivants :
NAMESPACE
par le nom de votre espace de noms ;SERVICE_ACCOUNT_NAME
par le nom de votre compte de service ;HOST_PROJECT_ID
par l'ID de projet hôte de votre compte de service ;roles/owner
par le rôle approprié.ORGANIZATION_ID
par l'ID de votre organisation ;
Appliquez le fichier manifeste YAML à votre cluster à l'aide de
kubectl
ou de tout outil de gestion de configuration de votre choix.
Autorisation de propriétaire d'un dossier
Pour développer les autorisations de Config Connector afin qu'il puisse gérer tous les projets et dossiers d'un dossier donné, procédez comme suit:
Créez le fichier manifeste YAML suivant:
apiVersion: iam.cnrm.cloud.google.com/v1beta1 kind: IAMPolicyMember metadata: name: iampolicymember-orglevel-permission namespace: NAMESPACE spec: member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com role: roles/owner resourceRef: kind: Folder external: folders/FOLDER_ID
Remplacez les éléments suivants :
NAMESPACE
par le nom de votre espace de noms ;SERVICE_ACCOUNT_NAME
par le nom de votre compte de service ;HOST_PROJECT_ID
par l'ID de projet hôte de votre compte de service ;roles/owner
par le rôle approprié.FOLDER_ID
par l'ID de votre dossier ;
Appliquez le fichier manifeste YAML à votre cluster à l'aide de
kubectl
ou de tout outil de gestion de configuration de votre choix.
Autorisations de propriétaire de projet
Pour autoriser Config Connector à gérer les ressources d'un projet spécifique, procédez comme suit:
Créez le fichier manifeste YAML suivant:
apiVersion: iam.cnrm.cloud.google.com/v1beta1 kind: IAMPolicyMember metadata: name: iampolicymember-orglevel-permission namespace: NAMESPACE spec: member: serviceAccount:SERVICE_ACCOUNT_NAME@HOST_PROJECT_ID.iam.gserviceaccount.com role: roles/owner resourceRef: kind: Project external: projects/PROJECT_ID
Remplacez les éléments suivants :
NAMESPACE
par le nom de votre espace de noms ;SERVICE_ACCOUNT_NAME
par le nom de votre compte de service ;HOST_PROJECT_ID
par l'ID de projet hôte de votre compte de service ;roles/owner
par le rôle approprié.PROJECT_ID
par l'ID de votre projet cible ;
Appliquez le fichier manifeste YAML à votre cluster à l'aide de
kubectl
ou de tout outil de gestion de configuration de votre choix.
Rôles prédéfinis
Si vous préférez accorder des autorisations plus limitées à Config Connector, vous pouvez attribuer un ou plusieurs rôles IAM à votre installation de Config Connector en créant quelques ressources IAMPolicyMember ou une ressource IAMPartialPolicy combinée. Les rôles suivants sont généralement attribués au compte de service Config Connector:
Éditeur: l'attribution du rôle Éditeur autorise la plupart des fonctionnalités de Config Connector, à l'exception des configurations à l'échelle du projet ou de l'organisation, telles que les modifications IAM.
Rôle d'administrateur de compte de service IAM: l'attribution des autorisations
roles/iam.serviceAccountAdmin
permet à Config Connector de configurer les comptes de service IAM.Gestionnaire de ressources: l'attribution d'un rôle Resource Manager tel que
roles/resourcemanager.folderCreator
permet à Config Connector de gérer les dossiers et les organisations.
Rôles personnalisés
Si les rôles prédéfinis ne répondent pas à vos besoins, vous pouvez créer des rôles personnalisés avec les autorisations que vous définissez.
Pour apprendre à créer et à attribuer des rôles personnalisés, consultez la page Créer et gérer des rôles personnalisés.
Étapes suivantes
- Découvrez comment organiser vos ressources par dossier, projet ou organisation.