Identity and Access Management (IAM) Conditions memungkinkan Anda menentukan
kebijakan IAM dengan pemberian bersyarat. Anda menentukan kondisi dalam
binding peran kebijakan IAM resource. Jika
kondisi ada, peran hanya diberikan jika ekspresi kondisi
bernilai true
. Setiap ekspresi kondisi adalah kumpulan pernyataan logika,
sehingga Anda dapat menentukan satu atau beberapa atribut. Untuk informasi selengkapnya, lihat
Referensi atribut untuk IAM Conditions.
Jika digunakan dengan Cloud Load Balancing, IAM Conditions memungkinkan Anda memberikan peran standar secara bersyarat — seperti Load Balancer Admin atau Network Admin — atau peran kustom.
IAM Conditions mendukung ekspresi kondisi untuk memeriksa skema load balancer aturan penerusan. Misalnya, Anda dapat memberikan kemampuan kepada akun utama IAM untuk membuat load balancer internal secara bersyarat, tetapi tidak untuk load balancer eksternal. Jika akun utama IAM tersebut mencoba membuat aturan penerusan untuk load balancer eksternal, Google Cloud akan menolak tindakan tersebut dan menampilkan error seperti berikut:
ERROR: (gcloud.compute.forwarding-rules.create) Could not fetch resource: - Required 'compute.forwardingRules.create' permission for 'projects/PROJECT_ID/regions/REGION/forwardingRules/FORWARDING_RULE_NAME'
Menggunakan IAM Conditions pada load balancer Google Cloud
Skema load balancing aturan penerusan menentukan jenis load balancer yang dapat menggunakan aturan penerusan. Dengan kata lain, skema load balancing sesuai dengan jenis load balancer, seperti yang ditunjukkan dalam tabel berikut.
Skema load balancing | Deskripsi |
---|---|
EKSTERNAL |
Load Balancer Aplikasi Klasik Load Balancer Jaringan proxy Klasik Load Balancer Jaringan passthrough eksternal |
EXTERNAL_MANAGED |
Global external Application Load Balancer Global external proxy Network Load Balancer Regional external Application Load Balancer regional external proxy Network Load Balancer |
INTERNAL | Load Balancer Network passthrough internal |
INTERNAL_MANAGED | Load Balancer Aplikasi internal regional Load Balancer Jaringan proxy internal regional Load Balancer Aplikasi internal lintas region Load Balancer Jaringan proxy internal lintas region |
INTERNAL_SELF_MANAGED | Cloud Service Mesh |
Anda menentukan kolom loadBalancingScheme
saat membuat load balancer.
Dengan memeriksa kolom loadBalancingScheme
dalam kondisi IAM,
Anda dapat memberi akun utama kemampuan untuk membuat jenis load balancer tertentu.
Menentukan IAM Conditions
Anda dapat menetapkan binding peran bersyarat menggunakan metode setIamPolicy
yang sama dengan
yang Anda gunakan untuk mengonfigurasi binding peran lainnya. Untuk menetapkan binding peran dengan kondisi pada project, Anda dapat menggunakan REST API, alat command line gcloud
, atau halaman IAM di konsol Google Cloud.
Untuk mengetahui informasi selengkapnya, lihat Mengelola kebijakan bersyarat.
Contoh ekspresi kondisi untuk load balancing
Ekspresi kondisi berikut, yang dapat digunakan dalam kebijakan IAM, hanya mengizinkan permintaan API jika salah satu hal berikut benar:
- Permintaan tidak melibatkan pembuatan aturan penerusan.
Permintaannya adalah membuat aturan penerusan yang memiliki salah satu skema load balancing internal.
!compute.isForwardingRuleCreationOperation() || ( compute.isForwardingRuleCreationOperation() && compute.matchLoadBalancingSchemes(['INTERNAL', 'INTERNAL_MANAGED']) )
Skema load balancing EXTERNAL
dihilangkan.
Jika akun utama mencoba membuat aturan penerusan dengan skema load
balancing EXTERNAL
, pesan error izin akan muncul.
Contoh kebijakan
Contoh kebijakan IAM untuk project ini memberikan
peran standar Admin Load Balancer
ke akun utama IAM jane@example.com
, yang mengecualikan kemampuan untuk membuat load balancer eksternal
(karena skema load balancing EXTERNAL
dihilangkan). jane@example.com
dapat membuat load balancer internal, serta dapat mengelola, mengubah, dan menghapus load
balancer apa pun.
{
"bindings": [
{
"role": "roles/compute.loadBalancerAdmin",
"members": ["user:jane@example.com"],
"condition": {
"title": "only_internal_lb_schemes",
"description": "Internal LB creation only permitted",
"expression": "
!compute.isForwardingRuleCreationOperation() || (
compute.isForwardingRuleCreationOperation() &&
compute.matchLoadBalancingSchemes(['INTERNAL', 'INTERNAL_MANAGED'])
)
"
}
}
]
}
Memberikan izin akun layanan GKE untuk jenis aturan penerusan tertentu
Anda juga dapat menggunakan IAM Conditions untuk membatasi akses ke akun layanan GKE agar hanya membuat jenis aturan penerusan tertentu.
Contoh JSON ini menunjukkan kebijakan IAM lengkap untuk memberikan
peran Agen Layanan Kubernetes Engine kepada akun layanan GKE
(service-PROJECT_ID@container-engine-robot.
). Dengan peran ini, akun layanan dapat
membuat, mengubah, dan menghapus komponen load balancer, kecuali untuk aturan
penerusan eksternal.
Dengan pemberian bersyarat ini, akun layanan GKE hanya dapat membuat aturan penerusan internal baru, tetapi dapat mengelola semua aturan penerusan yang ada.
{
"bindings": [
{
"role": "roles/container.serviceAgent",
"members": ["serviceAccount:service-<var>PROJECT_ID</var>@container-engine-robot."],
"condition": {
"title": "only_internal_lb_schemes",
"description": "Internal LB Creation Only Permitted",
"expression": "(
compute.isForwardingRuleCreationOperation()
&&
compute.matchLoadBalancingSchemes(['INTERNAL', 'INTERNAL_MANAGED'])
)
||
!compute.isForwardingRuleCreationOperation()
"
}
}
]
}
Tanpa pemberian lain, upaya membuat Layanan GKE baru jenis LoadBalancer, tanpa anotasi untuk Load Balancer Jaringan passthrough internal, akan menghasilkan pesan error seperti berikut:
Error creating load balancer (will retry): failed to ensure load balancer for service default/SERVICE-NAME: failed to create forwarding rule for load balancer (a01d427111c7011ea96e142010a80006(default/SERVICE-NAME)): googleapi: Error 403: Required 'compute.forwardingRules.create' permission for 'projects/PROJECT_ID/regions/[region]/forwardingRules/FORWARDING_RULE_NAME', forbidden
Selain itu, tanpa pemberian izin lain, upaya membuat objek Ingress baru akan menyebabkan pesan error serupa karena pengontrol Ingress Cloud Load Balancing perlu membuat Load Balancer Aplikasi eksternal.
Pesan error GKE tersedia menggunakan
perintah kubectl describe
dan kubectl get events -w
.
Langkah selanjutnya
- Pelajari IAM lebih lanjut.
- Memberikan peran IAM.