Panduan ini menjelaskan cara memastikan bahwa Agen Operasional, yang Anda instal pada instance virtual machine (VM), diizinkan untuk mengirim data telemetri ke Kemampuan Observasi Google Cloud.
Ringkasan otorisasi
Otorisasi mengacu pada proses penentuan izin yang dimiliki klien yang diautentikasi untuk sekumpulan resource. Google Cloud memberikan otorisasi kepada Agen Operasional pada instance VM Compute Engine menggunakan kredensial default aplikasi (ADC).
Agen Operasional mendukung ADC yang mengautentikasi akun layanan terpasang pada VM, atau kunci akun layanan.
- Akun layanan terlampir mengacu pada akun layanan yang dikhususkan untuk resource tertentu, seperti VM. Akun layanan memiliki kredensial uniknya sendiri. ADC menggunakan server metadata VM untuk mendapatkan kredensial suatu layanan.
- Kunci akun layanan mengacu pada kunci pribadi yang digunakan untuk mengizinkan pasangan kunci di akun layanan dalam suatu project, yang memungkinkan Anda membuat token akses. Anda menggunakan token ini untuk memberikan identitas sehingga Anda dapat berinteraksi dengan Google Cloud API atas nama akun layanan.
- Agen Operasional tidak mendukung otorisasi menggunakan
gcloud auth
. Untuk mencegah perilaku yang tidak diinginkan, Anda harus revoke kredensial apa pun yang dibuat menggunakangcloud auth
.
Sebaiknya, konfigurasi ADC untuk mengautentikasi akun layanan yang terpasang jika memungkinkan, karena kunci pribadi memerlukan penyimpanan lokal, dan penyimpanan tersebut dapat disusupi. Untuk mengetahui informasi selengkapnya tentang kunci akun layanan, lihat Praktik terbaik untuk mengelola kunci akun layanan.
Memverifikasi cakupan akses Anda
Instance VM Compute Engine diberi cakupan akses saat Anda membuatnya. VM Compute Engine baru memiliki cakupan akses yang memadai untuk Agen Operasional, tetapi VM lama atau yang cakupannya telah diubah mungkin tidak. Untuk mengetahui informasi selengkapnya tentang cakupan akses dan akun layanan, lihat Otorisasi dalam dokumentasi Compute Engine.
Untuk memverifikasi cakupan akses, lakukan hal berikut:
- Buat kueri cakupan akses dengan menjalankan perintah berikut pada instance Compute Engine Anda:
curl --silent --connect-timeout 1 -f -H "Metadata-Flavor: Google" http://169.254.169.254/computeMetadata/v1/instance/service-accounts/default/scopes
Di output perintah, jika cakupan akses
https://www.googleapis.com/auth/cloud-platform
tercantum, berarti Anda memiliki otorisasi yang memadai.Jika
https://www.googleapis.com/auth/cloud-platform
tidak tercantum, Anda memerlukan dua cakupan akses, satu dari setiap pasangan "logging" dan "pemantauan" berikut:https://www.googleapis.com/auth/logging.write
atau
https://www.googleapis.com/auth/logging.admin
https://www.googleapis.com/auth/monitoring.write
atau
https://www.googleapis.com/auth/monitoring.admin
Untuk mengubah cakupan akses, lakukan hal berikut:
-
Di panel navigasi Konsol Google Cloud, pilih Compute Engine, lalu pilih VM instances:
- Jika perlu, klik menu drop-down project Google Cloud dan pilih nama project Anda.
- Pilih VM instances dari menu navigasi, pilih tab Instances, lalu pilih nama VM Anda.
- Matikan VM dengan mengklik stop Stop.
- Setelah VM berhenti, klik edit Edit.
- Cari Cakupan akses di bagian Identity and API access pada halaman, lalu pilih Set access for Every API.
- Untuk entri Stackdriver Logging API dan Stackdriver Monitoring API, pilih Hanya Tulis.
- Klik Save, lalu mulai ulang VM dengan mengklik play_arrow Start/Resume.
Menggunakan akun layanan
Autentikasi mengacu pada proses penentuan identitas klien. Untuk autentikasi, sebaiknya gunakan akun layanan, yaitu jenis akun khusus yang biasanya digunakan oleh aplikasi atau beban kerja, bukan orang. Untuk mengetahui informasi selengkapnya, lihat Ringkasan akun layanan.
Anda dapat menggunakan akun layanan untuk autentikasi, di mana pun kode Anda dijalankan: di Compute Engine, App Engine, atau lokal. Untuk mengetahui informasi selengkapnya, lihat Autentikasi di Google.
Bagian ini menjelaskan cara membuat akun layanan baru dan memberikan peran yang diperlukan, serta cara memperbarui akun layanan yang ada jika tidak memiliki peran yang diperlukan.
Membuat akun layanan
Untuk membuat akun layanan, selesaikan prosedur Membuat akun layanan dengan informasi berikut:
Pilih project Google Cloud untuk membuat akun layanan.
Untuk instance Compute Engine, pilih project tempat Anda membuat instance.
Di menu drop-down Peran, pilih peran berikut:
Monitoring > Monitoring Metric Writer.
Logging > Penulis Log.
Jika Anda berencana untuk melakukan autentikasi menggunakan kunci akun layanan, pilih JSON sebagai Jenis kunci dan klik Buat.
Saat Anda mengklik Create, file yang berisi kunci akun layanan akan didownload ke sistem lokal Anda. Untuk mengetahui informasi selengkapnya, lihat Membuat dan menghapus kunci akun layanan.
Selanjutnya, konfigurasi akun layanan dan setelan berdasarkan apakah Anda memberi otorisasi menggunakan akun layanan terlampir atau menggunakan kunci pribadi akun layanan.
Memverifikasi dan mengubah peran akun layanan yang ada
Anda dapat menggunakan konsol Google Cloud untuk menentukan peran yang dimiliki akun layanan yang ada, dan menambahkan peran penting yang tidak ada:
-
Pada panel navigasi Konsol Google Cloud, pilih IAM:
Jika perlu, klik menu drop-down project Google Cloud dan pilih nama project Anda.
Jika Anda tidak melihat daftar akun utama IAM (pengguna dan akun layanan), pilih tab Izin.
Dalam daftar Lihat menurut Utama, cari entri untuk akun layanan. Kolom Role mencantumkan peran yang diberikan ke akun layanan.
Jika akun layanan Anda tidak memiliki peran yang diperlukan untuk Agen Operasional, gunakan langkah-langkah berikut untuk menambahkan peran yang dijelaskan dalam Membuat akun layanan:
- Klik edit Edit pada entri untuk akun layanan.
- Klik Tambahkan Peran Lain untuk menambahkan peran yang tidak ada.
- Klik Save.
Beri otorisasi dengan akun layanan terlampir
Untuk memberikan otorisasi kepada Agen Operasional yang diinstal pada instance VM Compute Engine yang memiliki akun layanan terpasang, lakukan hal berikut:
Pastikan Anda memverifikasi cakupan akses VM.
Beri akun layanan Anda peran IAM dengan hak istimewa paling rendah. Untuk peran yang diperlukan, lihat bagian Membuat akun layanan di halaman ini.
Lampirkan akun layanan ke VM tempat agen berjalan.
Jika Anda belum menginstal agen, instal agen tersebut. Untuk mengetahui informasi tentang cara menginstal agen, lihat Menginstal agen.
Beri otorisasi dengan kunci akun layanan
Untuk memberikan otorisasi kepada Agen Operasional yang diinstal pada instance VM menggunakan kunci pribadi akun layanan, lakukan hal berikut:
Transfer file kunci akun layanan dari sistem lokal Anda ke instance VM:
Buat variabel lingkungan agar mengarah ke file kunci akun layanan di sistem lokal Anda. Contoh berikut membuat variabel bernama
CREDS
:CREDS=~/Downloads/PROJECT-NAME-KEY-ID.json
Selesaikan langkah-langkah yang ditampilkan dalam tabel berikut:
Compute Engine
-
Di panel navigasi Konsol Google Cloud, pilih Compute Engine, lalu pilih VM instances:
Identifikasi INSTANCE_NAME dan INSTANCE_ZONE untuk VM Anda.
Di sistem lokal Anda, jalankan perintah Google Cloud CLI untuk menyalin file kunci dari sistem lokal Anda ke instance VM:
REMOTE_USER="$USER" INSTANCE="INSTANCE_NAME" ZONE="INSTANCE_ZONE" gcloud compute scp "$CREDS" "$REMOTE_USER@$INSTANCE:~/temp.json" --zone "$ZONE"
Pada instance Compute Engine, pindahkan file kunci akun layanan dari lokasi sementara ke lokasi permanen, dan untuk Linux, pastikan file kunci akun layanan hanya dapat dibaca oleh
root
.Anda juga harus menetapkan variabel lingkungan
GOOGLE_APPLICATION_CREDENTIALS
agar mengarah ke lokasi file kunci akun layanan, dan variabel tersebut harus terlihat oleh proses agen. Untuk informasi konfigurasi, lihat MenetapkanGOOGLE_APPLICATION_CREDENTIALS
.Misalnya, di Linux, Anda dapat menjalankan skrip berikut yang memindahkan file kunci akun layanan ke lokasi default, lalu menetapkan izin yang sesuai:
CREDENTIALS_FILE_LOCATION="/etc/google/auth/application_default_credentials.json" sudo mkdir -p /etc/google/auth sudo mv "$HOME/temp.json" "$CREDENTIALS_FILE_LOCATION" sudo chown root:root "$CREDENTIALS_FILE_LOCATION" sudo chmod 0400 "$CREDENTIALS_FILE_LOCATION"
-
Instance VM Anda sekarang memiliki file kunci akun layanan yang diperlukan agen. Berikutnya, instal atau mulai ulang agen:
Untuk mengetahui informasi tentang cara menginstal agen, lihat Menginstal agen.
Untuk mengetahui informasi tentang cara memulai ulang agen, lihat Memulai ulang agen.
Jika Anda ingin memeriksa ulang file kunci akun layanan, lihat Memverifikasi kredensial kunci pribadi.
Setel GOOGLE_APPLICATION_CREDENTIALS
Bagian ini menunjukkan cara menetapkan variabel lingkungan GOOGLE_APPLICATION_CREDENTIALS
agar terlihat oleh proses agen.
Linux
Edit file konfigurasi berikut, atau buat file jika tidak ada:
/etc/systemd/system.conf
Tambahkan kode berikut ke file konfigurasi:
DefaultEnvironment="GOOGLE_APPLICATION_CREDENTIALS=PATH_TO_CREDENTIAL_FILE"
Muat ulang variabel lingkungan:
sudo systemctl daemon-reload
Mulai ulang agen dengan menjalankan perintah berikut pada instance VM Anda:
sudo systemctl restart google-cloud-ops-agent
Windows
Di PowerShell, jalankan perintah berikut sebagai administrator untuk menetapkan variabel lingkungan sistem
GOOGLE_APPLICATION_CREDENTIALS
untuk digunakan Agen Operasional:[Environment]::SetEnvironmentVariable("GOOGLE_APPLICATION_CREDENTIALS", "PATH_TO_CREDENTIAL_FILE", "Machine")
Mulai ulang agen dengan menjalankan perintah berikut pada instance VM Anda:
Restart-Service -Name google-cloud-ops-agent -Force