Condizioni IAM per le regole di forwarding

Le condizioni IAM (Identity and Access Management) consentono di definire i criteri IAM con concessioni condizionali. Puoi specificare le condizioni nelle associazioni di ruoli del criterio IAM di una risorsa. In presenza di una condizione, il ruolo viene concesso solo quando l'espressione della condizione restituisce true. Ogni espressione di condizione è un insieme di istruzioni logiche che consentono di specificare uno o più attributi. Per maggiori informazioni, consulta la pagina Riferimento agli attributi per le condizioni IAM.

Se utilizzate con Cloud Load Balancing, le condizioni IAM consentono di concedere in modo condizionale ruoli predefiniti, come Amministratore bilanciatore del carico o Amministratore di rete, o ruoli personalizzati.

Le condizioni IAM supportano un'espressione di condizione per verificare lo schema di bilanciamento del carico di una regola di forwarding. Ad esempio, puoi concedere in modo condizionale a un'entità IAM la possibilità di creare bilanciatori del carico interni, ma non esterni. Se l'entità IAM tenta di creare una regola di forwarding per un bilanciatore del carico esterno, Google Cloud nega l'azione e restituisce un errore come il seguente:

ERROR: (gcloud.compute.forwarding-rules.create) Could not fetch resource:

 - Required 'compute.forwardingRules.create' permission for
 'projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME'

Utilizzo delle condizioni IAM sui bilanciatori del carico Google Cloud

Lo schema di bilanciamento del carico di una regola di forwarding determina quale tipo o tipi di bilanciatore del carico può utilizzare la regola di forwarding. In altre parole, lo schema di bilanciamento del carico corrisponde al tipo di bilanciatore del carico, come mostrato nella tabella seguente.

Nota: le regole di forwarding vengono utilizzate anche per l'inoltro dei protocolli e per i gateway VPN classici per fornire informazioni di forwarding nel piano di controllo. In questa pagina vengono descritte le regole di forwarding solo nel contesto di Cloud Load Balancing e Traffic Director. Tuttavia, le condizioni IAM influiscono anche sull'inoltro del protocollo e sui gateway della VPN classica.

Schema di bilanciamento del carico	Descrizione
EXTERNAL	Bilanciatore del carico delle applicazioni classico Bilanciatore del carico di rete proxy classico Bilanciatore del carico di rete passthrough esterno
EXTERNAL_MANAGED	Bilanciatore del carico delle applicazioni esterno globale Bilanciatore del carico delle applicazioni esterno regionale Bilanciatore del carico di rete proxy esterno globale Bilanciatore del carico di rete proxy esterno regionale
INTERNAL	Bilanciatore del carico di rete passthrough interno
INTERNAL_MANAGED	Bilanciatore del carico delle applicazioni interno regionale Bilanciatore del carico delle applicazioni interno tra regioni Bilanciatore del carico di rete proxy interno regionale Bilanciatore del carico di rete proxy interno tra regioni
INTERNAL_SELF_MANAGED	Traffic Director

Puoi specificare il campo loadBalancingScheme quando crei il bilanciatore del carico. Controllando il campo loadBalancingScheme in una condizione IAM, puoi concedere alle entità la possibilità di creare determinati tipi di bilanciatori del carico.

Specifica delle condizioni IAM

Puoi impostare le associazioni di ruoli condizionali utilizzando lo stesso metodo setIamPolicy che utilizzi per configurare qualsiasi altra associazione di ruoli. Per impostare un'associazione di ruoli con una condizione su un progetto, puoi utilizzare l'API REST, lo strumento a riga di comando gcloud o la pagina IAM nella console Google Cloud.

Per ulteriori informazioni, consulta Gestire i criteri condizionali.

Esempi di espressioni di condizioni per il bilanciamento del carico

La seguente espressione della condizione, che può essere utilizzata in un criterio IAM, consente una richiesta API solo se una delle seguenti condizioni è vera:

• La richiesta non prevede la creazione di una regola di forwarding.

• La richiesta consiste nella creazione di una regola di forwarding con uno degli schemi interni.

  !compute.isForwardingRuleCreationOperation() || (
    compute.isForwardingRuleCreationOperation() &&
    compute.matchLoadBalancingSchemes(['INTERNAL', 'INTERNAL_MANAGED', 'INTERNAL_SELF_MANAGED'])
  )
  

Lo schema di bilanciamento del carico EXTERNAL è omesso. Se un'entità tenta di creare una regola di forwarding con lo schema di bilanciamento del carico EXTERNAL, viene visualizzato un messaggio di errore relativo alle autorizzazioni.

Esempio di criterio

Questo criterio IAM di esempio per un progetto concede all'entità IAM [e-mail] il ruolo predefinito Amministratore del bilanciatore del carico, escludendo la possibilità di creare bilanciatori del carico esterni (perché lo schema di bilanciamento del carico EXTERNAL è stato omesso). [e-mail] può creare bilanciatori del carico interni e può gestire, modificare ed eliminare qualsiasi bilanciatore del carico.

{
  "bindings": [
    {
      "role": "roles/compute.loadBalancerAdmin",
      "members": ["user:[e-mail]"],
      "condition": {
          "title": "only_internal_lb_schemes",
          "description": "Internal LB creation only permitted",
          "expression": "
             !compute.isForwardingRuleCreationOperation() || (
                compute.isForwardingRuleCreationOperation() &&
                compute.matchLoadBalancingSchemes(['INTERNAL', 'INTERNAL_MANAGED', 'INTERNAL_SELF_MANAGED'])
             )
          "
      }
    }
  ]
}

Concessione di autorizzazioni all'account di servizio GKE per tipi specifici di regole di forwarding

Puoi anche utilizzare le condizioni IAM per limitare l'accesso all'account di servizio GKE in modo da creare solo tipi specifici di regole di forwarding.

Questo esempio JSON dimostra un criterio IAM completo per concedere all'account di servizio GKE ([e-mail]) il ruolo Agente di servizio Kubernetes Engine. Questo ruolo consente all'account di servizio di creare, modificare ed eliminare i componenti del bilanciatore del carico, ad eccezione delle regole di forwarding esterne.

Utilizzando questa concessione condizionale, l'account di servizio GKE può creare solo nuove regole di forwarding interno, ma può gestire tutte le regole di forwarding esistenti.

{
  "bindings": [
    {
      "role": "roles/container.serviceAgent",
      "members": ["serviceAccount:[e-mail]"],
      "condition": {
          "title": "only_internal_lb_schemes",
          "description": "Internal LB Creation Only Permitted",
          "expression": "(
                 compute.isForwardingRuleCreationOperation()
                      &&
                  compute.matchLoadBalancingSchemes(['INTERNAL', 'INTERNAL_MANAGED', 'INTERNAL_SELF_MANAGED'])
              )
                  ||
              !compute.isForwardingRuleCreationOperation()
          "
      }
    }
  ]
}

In assenza di altre concessioni, il tentativo di creare un nuovo servizio GKE di tipo LoadBalancer senza l'annotazione per un bilanciatore del carico di rete passthrough interno genera un messaggio di errore simile al seguente:

Error creating load balancer (will retry): failed to ensure load balancer for
service default/SERVICE-NAME: failed to create forwarding rule for load balancer
(a01d427111c7011ea96e142010a80006(default/SERVICE-NAME)): googleapi: Error 403:
Required 'compute.forwardingRules.create' permission for
'projects/PROJECT_ID/regions/[region]/forwardingRules/FORWARDING_RULE_NAME',
forbidden

Inoltre, senza altre concessioni, il tentativo di creare un nuovo oggetto Ingress causa un messaggio di errore simile, poiché il controller Ingress di Cloud Load Balancing deve creare un bilanciatore del carico delle applicazioni esterno.

I messaggi di errore di GKE sono disponibili utilizzando i comandi kubectl describe e kubectl get events -w.

Passaggi successivi

• Scopri di più su IAM.
• Concedi ruoli IAM.