이 문서에서는 다중 영역 Google Distributed Cloud (GDC) 에어갭 유니버스에서 권한을 효과적으로 관리하는 방법을 설명합니다. 여러 영역에 걸쳐 있을 수 있는 리소스에 대한 액세스 권한을 유지하려면 리소스에 일관되게 적용되는 전역 권한을 구현해야 합니다. GDC는 영역 수준 액세스를 추적하고 유지관리하지 않고도 전역 권한 스키마를 제어할 수 있는 Identity and Access Management (IAM) 기능을 제공합니다.
이 문서는 GDC 유니버스에서 여러 영역에 걸쳐 있는 리소스의 액세스 제어를 개발하고 유지관리하는 플랫폼 관리자 그룹 내 IT 관리자를 대상으로 합니다.
GDC는 영역 및 각 영역 내 리소스에 대한 액세스를 제어하는 데 도움이 되는 여러 주요 IAM 기능을 제공합니다.
역할 관리 간소화
GDC는 모든 영역에 걸쳐 있는 IAM 역할을 자동으로 적용하고 관리할 수 있는 기본 제공 전역 권한 제어를 제공합니다. 권한을 전역으로 제어하면 각 영역에서 역할을 수동으로 적용해야 하는 분할된 사용 사례가 삭제됩니다. 역할 기반 액세스 제어(RBAC)는 기본적으로 전역이지만 필요한 경우 세부적인 영역별 권한 할당을 제공합니다.
예를 들어 프로젝트의 리소스에 액세스해야 하는 새 개발자가 있다고 가정해 보겠습니다. 프로젝트는 기본적으로 전역이므로 유니버스의 모든 영역에 걸쳐 있습니다. 각 영역에서 프로젝트에 액세스하는 데 필요한 역할을 수동으로 적용하고 유지관리하는 대신 프로젝트의 전역 액세스 역할을 적용합니다. 이 역할은 프로젝트가 있는 모든 영역에 자동으로 적용됩니다.
이제 새 개발자의 프로젝트 액세스가 유니버스와 함께 발전하며 유니버스가 성장하면 새 영역에 자동으로 전파됩니다.
GDC는 각 영역에 별도로 로그인하는 번거로움 없이 유니버스에서 사용자를 인증하는 작업을 간소화하는 ID 공급업체 (IdP)를 제공합니다. IdP는 사용자 ID를 중앙에서 관리하고 보호하여 인증 서비스를 제공하는 시스템입니다. 기존 IdP에 연결하면 사용자가 GDC 내에서 별도의 계정을 만들거나 관리할 필요 없이 조직의 사용자 인증 정보를 사용하여 GDC에 액세스할 수 있습니다. IdP는 기본적으로 여러 영역에 걸쳐 구성된 전역 리소스이므로 작업하는 영역과 관계없이 동일한 IdP를 통해 GDC에 액세스할 수 있습니다. GDC의 IDP에 대한 자세한 내용은 ID 공급업체에 연결을 참고하세요.
전역 워크로드 및 서비스 권한 제어
인간 사용자가 IdP를 사용하여 여러 영역에서 인증을 간소화하는 것과 마찬가지로 워크로드와 서비스도 서비스 계정을 사용하여 유니버스에서 전역 인증을 활용할 수 있습니다. 서비스 계정은 워크로드와 서비스가 리소스를 프로그래매틱 방식으로 사용하고 마이크로서비스에 안전하게 액세스하는 데 사용하는 계정입니다. 서비스 계정은 기본적으로 여러 영역에 걸쳐 있도록 구성된 전역 리소스이므로 워크로드와 서비스는 단일 전역 권한 집합으로 유니버스에 걸쳐 있는 리소스에 균일하게 액세스할 수 있습니다.
예를 들어 연결된 스토리지 볼륨이 있는 VM이 있다고 가정해 보겠습니다.
볼륨은 두 영역에 걸쳐 있을 수 있으므로 VM이 볼륨에 액세스하도록 허용하려면 볼륨이 있는 모든 영역에 액세스 권한이 있어야 합니다.
전역 서비스 계정을 사용하면 스토리지 볼륨에 대한 VM 액세스 권한을 한 번만 제공하면 되며, 이 권한은 볼륨이 있는 모든 영역으로 전파됩니다. 이 기능을 사용하면 영역별 액세스를 관리하지 않고도 범용 규모로 액세스를 구성할 수 있습니다.
[[["이해하기 쉬움","easyToUnderstand","thumb-up"],["문제가 해결됨","solvedMyProblem","thumb-up"],["기타","otherUp","thumb-up"]],[["이해하기 어려움","hardToUnderstand","thumb-down"],["잘못된 정보 또는 샘플 코드","incorrectInformationOrSampleCode","thumb-down"],["필요한 정보/샘플이 없음","missingTheInformationSamplesINeed","thumb-down"],["번역 문제","translationIssue","thumb-down"],["기타","otherDown","thumb-down"]],["최종 업데이트: 2025-09-04(UTC)"],[],[],null,["# Permissions control for a multi-zone universe\n\nThis document explains how you can manage permissions effectively across a\nmulti-zone Google Distributed Cloud (GDC) air-gapped universe. To maintain access to\nresources that can span multiple zones, you must implement global permissions\nthat consistently apply to them. GDC provides\nIdentity and Access Management (IAM) features to control your global permissions scheme\nwithout having to track and maintain zone-level access.\n\nThis document is for IT administrators within the platform administrator group\nwho are responsible for developing and maintaining access control for resources\nthat span across multiple zones in a GDC universe.\n\nFor more information, see\n[Audiences for GDC air-gapped documentation](/distributed-cloud/hosted/docs/latest/gdch/resources/audiences).\n\nAccess that spans a universe\n----------------------------\n\nGDC offers several key IAM capabilities\nto help control access to your zones and the resources within each zone.\n\n### Streamline role management\n\nGDC provides built-in global permissions control that\nlets you apply and manage IAM roles that span all zones\nautomatically. Global control over your permissions removes segmented use cases\nwhere you must manually apply roles in each zone. *Role-based access control\n(RBAC)* is global by default, but provides fine-tuned zonal permission\nallocation, when necessary.\n\nFor example, consider you have a new developer that needs to access your\nproject's resources. Since a project is global by default, it spans all zones in\nyour universe. Instead of manually applying and maintaining the roles necessary\nto access the project in each zone, you apply a global access role for the\nproject, which applies to all zones the project resides within automatically.\nThe new developer's project access now evolves with your universe, and is\npropagated to new zones automatically if your universe grows.\n\nFor more information about role bindings in GDC, see\n[Grant and revoke access](/distributed-cloud/hosted/docs/latest/gdch/platform/pa-user/iam/set-up-role-bindings).\n\n### Sign in once and propagate your existing credentials\n\nGDC offers *identity providers (IdP)* to streamline\nauthenticating users in your universe, without the hassle of signing in to each\nzone separately. An IdP is a system that centrally manages and secures user\nidentities, providing authentication services. Connecting to an existing IdP\nlets users access GDC using their organization's\ncredentials, without needing to create or manage separate accounts within\nGDC. Since an IdP is a global resource that is\nconfigured to span multiple zones by default, you can access\nGDC through the same IdP regardless of the zone you work\nin. For more information about IdPs in GDC, see\n[Connect to an identity provider](/distributed-cloud/hosted/docs/latest/gdch/platform/pa-user/iam/connect-identity).\n\n### Global workload and service permissions control\n\nJust as human users benefit from\n[IdPs to streamline authentication across zones](#idp),\nyour workloads and services can also benefit from global authentication in your\nuniverse with *service accounts*. Service accounts are the accounts that\nworkloads and services use to programmatically consume resources and access\nmicroservices securely. Since a service account is a global resource that is\nconfigured to span multiple zones by default, your workloads and services can\naccess resources that span a universe uniformly with a single set of global\npermissions.\n\nAs an example, consider you have a VM that has an attached storage volume.\nBecause a volume can span two zones, if you want to allow the VM to access the\nvolume, it must have access permissions in all zones where the volume resides.\nWith global service accounts, you can provide the VM access to the storage\nvolume once, which propagates to all zones where the volume resides. This\ncapability lets you configure access on a universal scale, without managing\nzone-specific access.\n\nFor more information about service accounts in GDC, see\n[Authenticate with service accounts](/distributed-cloud/hosted/docs/latest/gdch/platform/pa-user/service-identity).\n\nWhat's next\n-----------\n\n- [Zones in GDC air-gapped](/distributed-cloud/hosted/docs/latest/gdch/resources/multi-zone/mz-overview)\n- [Manage resources across zones](/distributed-cloud/hosted/docs/latest/gdch/resources/multi-zone/manage-mz-resources)\n- [Sign in](/distributed-cloud/hosted/docs/latest/gdch/platform/pa-user/iam/sign-in)"]]
