Ruoli e autorizzazioni per i target Google Kubernetes Engine (GKE)

Standard

Anteprima

Questo prodotto è soggetto ai "Termini delle offerte pre-GA" nella sezione Termini di servizio generali dei Termini specifici dei servizi. I prodotti pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Questo documento mostra come concedere i ruoli e le autorizzazioni di Identity and Access Management (IAM) per supportare il routing degli eventi utilizzando Eventarc daGoogle Cloud e altre origini alle destinazioni GKE, inclusi gli endpoint pubblici di servizi privati e pubblici in esecuzione in un cluster GKE.

Nota: se vuoi collegare un account di servizio in un progetto a un attivatore Eventarc in un altro progetto, devi prima completare i passaggi descritti in Supportare un account di servizio tra progetti.

1. Concedi le autorizzazioni a livello di progetto al principale che invoca le API Eventarc (ad esempio, il creatore dell'attivatore Eventarc):

   1. Il ruolo Amministratore Eventarc ti consente di avere il controllo completo su tutte le risorse Eventarc, inclusa la possibilità di specificare un service account per l'attivatore al momento della creazione.
   2. Il ruolo Utente account di servizio consente a un'entità di simulare l'identità e utilizzare un account di servizio. L'account di servizio è associato a un attivatore Eventarc e rappresenta l'identità dell'attivatore.

2. Concedi le autorizzazioni per gli trigger Eventarc all'account di servizio dell'trigger:

   1. Il ruolo Destinatario di eventi Eventarc consente all'trigger Eventarc di ricevere eventi dai provider di eventi. Non è necessario concedere il ruolo se inoltri gli eventi diretti da Cloud Pub/Sub.
   2. Il ruolo Sottoscrittore Pub/Sub consente all'attivatore Eventarc di utilizzare i messaggi di Pub/Sub e di allegare le iscrizioni a un argomento.
   3. Il ruolo Monitoring Metric Writer consente al forwarder di eventi di Eventarc di scrivere metriche utilizzando Cloud Monitoring e altri sistemi che forniscono metriche.

3. Concedere le autorizzazioni agli agenti di servizio Google:

   1. Se stai creando un trigger per gli eventi diretti da Cloud Storage, concedi il ruolo Editore Pub/Sub.
   2. Se hai attivato l'agente di servizio Cloud Pub/Sub il giorno 8 aprile 2021 o in una data precedente, concedi il ruolo Creatore token account di servizio.

Per ulteriori informazioni sulla concessione dei ruoli IAM, consulta Gestire l'accesso. Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Concedi autorizzazioni a livello di progetto

Se sei il creator del progetto, ti viene concesso il ruolo di proprietario di base (roles/owner). Per impostazione predefinita, questo ruolo include le autorizzazioni necessarie per l'accesso completo alla maggior parte delle risorseGoogle Cloud . In caso contrario, i ruoli richiesti devono essere concessi da un amministratore della risorsa appropriata all'entità (noto anche come membro) appropriata.

Ad esempio, un'entità può essere un Account Google (per gli utenti finali) o un account di servizio (per le applicazioni e i carichi di lavoro di calcolo). Ogni entità ha il proprio identificatore, che in genere è un indirizzo email.

1. Il ruolo Amministratore Eventarc (roles/eventarc.admin) ti consente di avere il controllo completo su tutte le risorse Eventarc.

   Concedi il ruolo al progetto:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=PRINCIPAL \
       --role=roles/eventarc.admin

   Sostituisci quanto segue:

   • PROJECT_ID: il tuo Google Cloud ID progetto.
   • PRINCIPAL: un identificatore per l'autore dell'attivatore, solitamente nella forma seguente:PRINCIPAL_TYPE:ID. Ad esempio, user:[e-mail]. Per un elenco completo dei possibili valori di PRINCIPAL_TYPE, consulta la documentazione di riferimento sull'associazione dei criteri.

2. Il ruolo Utente account di servizio (roles/iam.serviceAccountUser) consente a un'entità di eseguire operazioni come account di servizio.

   Quando crei un attivatore Eventarc, hai bisogno di questo ruolo per poter associare all'attivatore un account di servizio gestito dall'utente che ne rappresenti l'identità. Per ulteriori informazioni, consulta Ruoli per l'autenticazione degli account di servizio.

   Puoi concedere il ruolo nel progetto per consentire all'entità di assumere il ruolo di più account di servizio oppure concedere il ruolo nell'account di servizio per consentire all'entità di assumere il ruolo di un solo account di servizio specifico.

   Concedi il ruolo al progetto:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=PRINCIPAL \
       --role=roles/iam.serviceAccountUser

   In alternativa, concedi il ruolo all'account di servizio:

   gcloud iam service-accounts add-iam-policy-binding \
       projects/SERVICE_ACCOUNT_PROJECT_ID/serviceAccounts/SERVICE_ACCOUNT_NAME@SERVICE_ACCOUNT_PROJECT_ID.iam.gserviceaccount.com \
       --member=PRINCIPAL \
       --role=roles/iam.serviceAccountUser

   Sostituisci quanto segue:

   • SERVICE_ACCOUNT_PROJECT_ID: Google Cloud l'ID progetto che contiene l'account di servizio.
   • SERVICE_ACCOUNT_NAME: il nome dell'account del servizio. ## Concedi le autorizzazioni per gli trigger Eventarc

Ogni attivatore Eventarc è associato a un account di servizio IAM al momento della creazione. Puoi specificare un account di servizio gestito dall'utente che l'attivatore utilizza come identità predefinita. Se non specifichi un account di servizio durante la creazione dell'attivatore, questo utilizza l'account di servizio predefinito di Compute Engine per la propria identità.

Attenzione: per gli ambienti di produzione, ti consigliamo vivamente di creare un nuovo account di servizio e di assegnargli uno o più ruoli IAM contenenti le autorizzazioni minime richieste. Non devi utilizzare l'account di servizio predefinito perché viene concesso automaticamente il ruolo di editor di base con privilegi elevati.

Ti consigliamo di creare il tuo service account gestito dall'utente per avere maggiore controllo e flessibilità nella gestione dell'attivatore.

1. Crea un account di servizio e prendine nota del nome:

   gcloud iam service-accounts create SERVICE_ACCOUNT_NAME \
       --description="DESCRIPTION" \
       --display-name="DISPLAY_NAME"
   

   Sostituisci quanto segue:

   • SERVICE_ACCOUNT_NAME: il nome dell'account del servizio. Questo nome viene visualizzato nell'indirizzo email che identifica il service account.
   • DESCRIPTION: una descrizione facoltativa dell'account di servizio
   • DISPLAY_NAME: un nome dell'account di servizio da visualizzare nella console Google Cloud

2. Concedi il ruolo Eventarc Event Receiver (roles/eventarc.eventReceiver) nel progetto all'account di servizio associato al tuo trigger Eventarc in modo che possa ricevere eventi dai provider di eventi.

   Tieni presente che non è necessario concedere il ruolo Eventarc Event Receiver se stai instradando eventi diretti da Cloud Pub/Sub.

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
       --role=roles/eventarc.eventReceiver

   Sostituisci SERVICE_ACCOUNT_NAME con il nome del tuo account di servizio che hai annotato nel passaggio precedente.

3. Concedi il ruolo Pub/Sub Subscriber (roles/pubsub.subscriber) nel progetto all'account di servizio associato all'attivatore Eventarc in modo che possa consumare i messaggi da Pub/Sub e allegare le iscrizioni a un argomento.

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
       --role=roles/pubsub.subscriber

   Sostituisci SERVICE_ACCOUNT_NAME con il nome del tuo account di servizio che hai annotato in precedenza.

4. Concedi il ruolo Writer metriche monitoraggio (roles/monitoring.metricWriter) del progetto all'account di servizio associato all'attivatore Eventarc in modo che il forwarder di eventi di Eventarc possa scrivere le metriche utilizzando Cloud Monitoring e altri sistemi che forniscono metriche.

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:SERVICE_ACCOUNT_NAME@PROJECT_ID.iam.gserviceaccount.com \
       --role=roles/monitoring.metricWriter

   Concedi le autorizzazioni agli agenti di servizio Google

Alcuni Google Cloud servizi hanno agenti di servizio che consentono ai servizi di accedere alle tue risorse. Se un'API richiede un agente di servizio, Google lo crea dopo che hai attivato e utilizzato l'API.

1. Se stai creando un trigger per gli eventi diretti da Cloud Storage, per supportare la pubblicazione di messaggi in un argomento, concedi all'agente di servizio Cloud Storage il ruolo Publisher Pub/Sub (roles/pubsub.publisher) nel progetto:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:[e-mail] \
       --role=roles/pubsub.publisher

   Sostituisci PROJECT_NUMBER con il numero Google Cloud del tuo progetto. Puoi trovare il numero del progetto nella pagina Welcome della console Google Cloud o eseguendo il seguente comando:

   gcloud projects describe PROJECT_ID --format='value(projectNumber)'

2. Se hai attivato l'agente di servizio Cloud Pub/Sub il giorno 8 aprile 2021 o in una data precedente, per supportare le richieste push Pub/Sub autenticate, concedi all'agente di servizio Pub/Sub il ruolo Creatore token account di servizio (roles/iam.serviceAccountTokenCreator) nel progetto. In caso contrario, questo ruolo viene concesso per impostazione predefinita:

   gcloud projects add-iam-policy-binding PROJECT_ID \
       --member=serviceAccount:[e-mail] \
       --role=roles/iam.serviceAccountTokenCreator

   Passaggi successivi

• Scopri le opzioni di controllo dell'accesso in Eventarc.

• Scopri di più sulla creazione di criteri IAM per GKE.

• Scopri le best practice per l'utilizzo degli account di servizio.

• Scopri come descrivere un attivatore e verificare il relativo account di servizio associato.