Contrôle des accès avec IAM

Par défaut, tous les projets Google Cloud sont configurés avec un seul utilisateur : le créateur du projet d'origine. Aucun autre utilisateur n'a accès au projet et, par conséquent, aux ressources Dataplex, tant qu'un utilisateur n'est pas ajouté en tant que membre du projet ou lié à une ressource spécifique. Cette page explique comment ajouter des utilisateurs à votre projet et comment définir le contrôle des accès pour vos ressources Dataplex.

Qu'est-ce qu'IAM ?

Google Cloud propose Identity and Access Management (IAM), qui vous permet de définir de manière plus précise l'accès à des ressources spécifiques de Google Cloud et d'empêcher tout accès indésirable à d'autres ressources. IAM vous permet d'adopter le principe de sécurité du moindre privilège afin de n'accorder que l'accès nécessaire à vos ressources.

En définissant des stratégies IAM, vous pouvez contrôler qui (identité) dispose de quelles autorisations d'accès (rôles) à quelles ressources. Ces stratégies permettent d'attribuer un ou plusieurs rôles spécifiques à un membre du projet, et ainsi d'accorder à cette identité certaines autorisations. Par exemple, pour une ressource donnée telle qu'un projet, vous pouvez attribuer le rôle roles/dataplex.admin à un compte Google. Ce compte peut alors contrôler les ressources Dataplex du projet, mais ne peut pas en gérer les autres. IAM permet également de gérer les rôles Basic accordés aux membres de l'équipe de projet.

Options de contrôle des accès pour les utilisateurs

Pour permettre à des utilisateurs de créer et de gérer vos ressources Dataplex, vous pouvez les ajouter en tant que membres d'une équipe à votre projet ou à des ressources spécifiques, et leur accorder des autorisations à l'aide de rôles IAM.

Le terme "membre d'équipe" peut désigner un utilisateur spécifique disposant d'un compte Google valide, un groupe Google, un compte de service ou un domaine Google Workspace. Lorsque vous ajoutez un membre d'équipe à un projet ou à une ressource, vous spécifiez les rôles à lui attribuer. IAM propose trois types de rôles : les rôles prédéfinis, les rôles Basicet les rôles personnalisés.

Pour afficher la liste des fonctionnalités de chaque rôle Dataplex et des méthodes d'API auxquelles un rôle spécifique donne accès, consultez la documentation sur les rôles IAM Dataplex.

Pour les autres types de membres, tels que les comptes de service et les groupes, reportez-vous à la documentation de référence sur les liaisons de stratégie.

Comptes de service

Dataplex utilise un compte de service disposant des autorisations nécessaires pour accéder aux ressources gérées dans un lac. Ce compte de service se voit automatiquement accorder des autorisations dans le projet contenant une instance de lac. Vous devez lui accorder explicitement des autorisations sur les autres projets et ressources que vous souhaitez ajouter et gérer dans un lac.

  • service-CUSTOMER_PROJECT_NUMBER@gcp-sa-dataplex.iam.gserviceaccount.com.

    CUSTOMER_PROJECT_NUMBER est le projet dans lequel l'API Dataplex est activée.

Vous devez accorder à l'agent de service Dataplex (roles/dataplex.serviceAgent) l'accès aux éléments sous-jacents que vous ajoutez à un lac ou à une zone de données.

Stratégies IAM pour les ressources

Dataplex ajoute une hiérarchie virtuelle aux ressources de stockage de base telles que les buckets Cloud Storage et les ensembles de données BigQuery. Dataplex propage les stratégies IAM attribuées au lac vers les éléments de la zone de données, puis vers les ressources vers lesquelles ces éléments pointent. Les règles sont ajoutées à celles qui existent déjà dans la ressource de stockage de base (bucket Cloud Storage et ensemble de données BigQuery).

Une stratégie IAM vous permet de gérer des rôles IAM sur ces ressources à la place ou en plus de la gestion au niveau du projet. Vous disposez ainsi de la flexibilité nécessaire pour appliquer le principe du moindre privilège, qui consiste à n'accorder l'accès qu'aux ressources spécifiques dont les collaborateurs ont besoin pour effectuer leur travail.

Les ressources héritent également des stratégies de leurs ressources parentes. Si vous définissez une stratégie au niveau du projet, elle est héritée par toutes les ressources enfants. La stratégie applicable à une ressource combine la stratégie définie pour celle-ci et la stratégie héritée des niveaux supérieurs de la hiérarchie. Pour en savoir plus, consultez la section concernant la hiérarchie des stratégies IAM.

Vous pouvez obtenir et définir des stratégies IAM à l'aide de la console Google Cloud, de l'API IAM ou de Google Cloud CLI.

Étape suivante