Configure o acesso

Este documento descreve as autorizações da IAM necessárias para ver informações de segurança da cadeia de fornecimento de software na Google Cloud consola.

Funções necessárias

Para ver as estatísticas de segurança da cadeia de fornecimento de software na Google Cloud consola, tem de ter as seguintes funções ou uma função com autorizações equivalentes:

Estas autorizações dão acesso a estatísticas, mas não dão autorizações para realizar outras ações, como executar compilações no Cloud Build.

  • Para ver detalhes sobre as autorizações necessárias para um serviço específico, consulte a documentação desse serviço.
  • Para saber como conceder autorizações, consulte a documentação de gestão de identidades e acessos sobre como conceder autorizações a projetos.

Por predefinição, muitos serviços têm autorizações predefinidas para outros serviços no mesmo projeto, mas não podem aceder a recursos noutro projeto. Se estiver a executar serviços em diferentes Google Cloud projetos ou se estiver a usar funções de IAM personalizadas ou contas de serviço personalizadas, tem de conceder as autorizações adequadas.

Conceder autorizações quando os serviços estão no mesmo projeto

Se o Cloud Build, o Artifact Registry, a Artifact Analysis e o Cloud Run estiverem todos a ser executados no mesmo projeto, cada serviço usa a conta de serviço predefinida para agir em nome do serviço, e as autorizações predefinidas permanecem inalteradas. Os serviços podem funcionar em conjunto sem alterações às autorizações, mas tem de conceder autorizações aos utilizadores que precisam de ver estatísticas no projeto.

Autorizações entre serviços

Não são necessárias alterações:

  • A conta de serviço do Cloud Build predefinida tem autorizações para carregar e transferir com o Artifact Registry e ler dados de estatísticas da Artifact Analysis, para que o serviço possa assinar imagens de contentores com a proveniência da compilação e enviá-las para o Artifact Registry.
  • As revisões do Cloud Run usam a conta de serviço predefinida do Compute Engine para implementações, que tem autorizações para transferir imagens do Artifact Registry e ler dados de estatísticas da Artifact Analysis.
Autorizações do utilizador para ver estatísticas

Tem de conceder aos utilizadores do Cloud Build e do Cloud Run as funções necessárias para ver as estatísticas.

Conceder autorizações quando os serviços estão em projetos diferentes

Quando o Artifact Registry e a Artifact Analysis são executados num projeto separado de outros serviços, tem de conceder explicitamente autorizações para toda a atividade entre projetos. Google Cloud Considere a seguinte configuração do projeto:

  • O Cloud Build é executado no projeto A
  • O Artifact Registry e a Artifact Analysis são executados no projeto B
  • O Cloud Run é executado no projeto C
Autorizações entre serviços

O Cloud Build e o Cloud Run não podem aceder a recursos noutros projetos sem conceder explicitamente acesso às contas de serviço que atuam em nome destes serviços. Tem de conceder as autorizações do Artifact Registry e as autorizações da análise de artefactos adequadas no projeto B, onde os artefactos e os metadados dos artefactos estão armazenados.

Para o Cloud Build, tem de conceder estas funções no projeto B:

  • O Escritor do Artifact Registry (roles/artifactregistry.writer) concede autorizações para carregar e transferir.
  • O visualizador de ocorrências da análise de artefactos (roles/containeranalysis.occurrences.viewer) concede autorizações para apresentar estatísticas.

Para o Cloud Run, tem de conceder estas funções no projeto B:

  • O Leitor do Artifact Registry (roles/artifactregistry.reader) concede autorizações para transferir para implementações.
  • O visualizador de ocorrências da análise de artefactos (roles/containeranalysis.occurrences.viewer) concede autorizações para apresentar estatísticas.
Autorizações do utilizador para ver estatísticas

No projeto B, tem de conceder aos utilizadores do Cloud Build e do Cloud Run as funções necessárias para ver estatísticas.

O que se segue?