Kontrol akses dengan IAM

Halaman ini menjelaskan cara mengonfigurasi kontrol akses untuk layanan dukungan Cloud Customer Care.

Sebelum memulai

• Anda harus memiliki layanan Dukungan Standard, Dukungan Enhanced, atau Dukungan Premium.
• Anda harus memiliki peran Organization Administrator (roles/resourcemanager.organizationAdmin) untuk organisasi Google Cloud Anda.

Pengertian Identity and Access Management (IAM)

Google Cloud menawarkan IAM, yang menyediakan kemampuan untuk memberikan akses terperinci ke resourceGoogle Cloud tertentu dan mencegah akses yang tidak diinginkan ke resource lain. IAM membantu Anda menerapkan prinsip hak istimewa terendah untuk keamanan, jadi Anda hanya memberikan akses yang diperlukan ke resource Anda.

IAM membantu Anda mengontrol pengguna (identitas) yang memiliki akses (peran) ke resource tertentu dengan menetapkan kebijakan IAM. Kebijakan IAM memberikan suatu peran kepada akun utama, sehingga akun utama tersebut memiliki izin tertentu. Misalnya, untuk resource tertentu, seperti project, Anda dapat menetapkan peran Tech Support Viewer (roles/cloudsupport.techSupportViewer) ke Akun Google, sehingga akun tersebut dapat melihat kasus dukungan dalam project, tetapi tidak dapat mengelola kasus dukungan.

Pertimbangan akses

Jika Anda telah beralih dari Dukungan Silver, Gold, atau Platinum, perlu diingat bahwa kasus dukungan tidak lagi dapat diakses melalui Pusat Dukungan (GCSC) Google Cloud. Setelah mengaktifkan Dukungan Standar, Enhanced, atau Premium, Anda dapat mengelola akses ke kasus yang telah dialihkan dengan memberikan peran IAM kepada pengguna, grup, atau domain.

Kasus Tingkat Organisasi

Kasus Customer Care dapat dibuat dalam organisasi maupun project.

Untuk mengelola kasus tingkat organisasi, pengguna harus memiliki izin resourcemanager.organizations.get di tingkat organisasi, jika tidak, mereka tidak akan dapat memilih organisasi di konsol Google Cloud .

Cara termudah untuk memberikan izin di tingkat organisasi adalah dengan memberikan peran roles/resourcemanager.organizationViewer kepada pengguna di organisasi. Peran di tingkat organisasi hanya memberikan izin resourcemanager.organizations.get.

CATATAN: Memberikan peran Organization Viewer kepada pengguna tidak sama dengan memberikan pengguna peran Viewer di tingkat Organisasi. Hal ini sering kali membingungkan. Peran Organization Viewer tidak memberikan akses kepada pengguna untuk melihat resource apa pun dalam organisasi, tetapi hanya memberi pengguna kemampuan untuk mengetahui keberadaan organisasi tersebut.

Selain itu, pengguna harus memiliki izin IAM Dukungan Teknis yang relevan, yang akan dijelaskan di bagian berikut.

Peran IAM Customer Care

Dengan IAM, tiap pengguna dukungan harus memiliki izin yang sesuai untuk melihat dan mengelola kasus serta pengguna. Pengguna akan mendapatkan izin tersebut ketika Anda menambahkan pengguna dukungan ke peran IAM, grup yang termasuk dalam peran, atau domain yang ditetapkan pada peran.

Catatan: Anda dapat memberikan beberapa peran kepada satu akun utama pada resource yang sama. Misalnya, Anda dapat memberikan peran Admin Dukungan (roles/cloudsupport.admin) dan peran Viewer Dukungan (roles/cloudsupport.viewer) kepada grup Google tim admin dukungan cloud Anda.

Tabel berikut mencantumkan peran IAM yang tersedia bagi pengguna Cloud Customer Care, beserta izin yang terkait dengan resource tertentu, dan tingkat resource terendah agar izin dapat diterapkan.

Role	Permissions
Support Account Administrator (roles/cloudsupport.admin) Allows management of a support account without giving access to support cases. See the Cloud Support documentation for more information. Lowest-level resources where you can grant this role: Organization	cloudsupport.accounts.* cloudsupport.accounts.create cloudsupport.accounts.delete cloudsupport.accounts.get cloudsupport.accounts.getIamPolicy cloudsupport.accounts.getUserRoles cloudsupport.accounts.list cloudsupport.accounts.purchase cloudsupport.accounts.setIamPolicy cloudsupport.accounts.update cloudsupport.accounts.updateUserRoles cloudsupport.operations.get cloudsupport.properties.get resourcemanager.organizations.get
Tech Support Editor (roles/cloudsupport.techSupportEditor) Full read-write access to technical support cases (applicable for GCP Customer Care and Maps support). See the Cloud Support documentation for more information.	billing.resourceAssociations.list cloudasset.assets.searchAllResources cloudsupport.properties.get cloudsupport.techCases.* cloudsupport.techCases.create cloudsupport.techCases.escalate cloudsupport.techCases.get cloudsupport.techCases.list cloudsupport.techCases.update resourcemanager.projects.get resourcemanager.projects.list
Tech Support Viewer (roles/cloudsupport.techSupportViewer) Read-only access to technical support cases (applicable for GCP Customer Care and Maps support). See the Cloud Support documentation for more information.	cloudsupport.properties.get cloudsupport.techCases.get cloudsupport.techCases.list resourcemanager.projects.get resourcemanager.projects.list
Support Account Viewer (roles/cloudsupport.viewer) Read-only access to details of a support account. This does not allow viewing cases. See the Cloud Support documentation for more information. Lowest-level resources where you can grant this role: Organization	cloudsupport.accounts.get cloudsupport.accounts.getUserRoles cloudsupport.accounts.list cloudsupport.properties.get

Untuk menambahkan pengguna, grup, atau domain ke peran, lihat Memberikan peran IAM.

Support Account Administrator

Pengguna dengan peran Support Account Administrator (roles/cloudsupport.admin) dapat mengelola layanan dukungan yang dibeli serta cara penagihannya.

Support Account Administrator bertanggung jawab mengelola kebijakan untuk akun dukungan organisasi, termasuk:

• Menetapkan pengguna dukungan baru
• Mengubah peran pengguna dukungan yang sudah ada
• Mengelola penagihan dukungan

Peran ini hanya dapat diberikan di tingkat organisasi.

Catatan: Support Account Administrator tidak secara otomatis memiliki akses untuk melihat atau mengedit kasus dukungan. Support Account Administrator harus diberi peran Tech Support Viewer atau Editor untuk dapat melihat atau mengelola kasus, dan peran tersebut dapat mereka tetapkan sendiri. Untuk menetapkan peran Support Account Administrator, lihat bagian Memberikan peran IAM.

Support Account Viewer

Peran Support Account Viewer (roles/cloudsupport.viewer) memberi akses untuk melihat informasi akun terkait layanan tersebut. Support Account Viewer tidak dapat melihat atau mengedit kasus dukungan, untuk melakukannya mereka harus diberi peran Tech Support Viewer atau Tech Support Editor.

Peran ini hanya dapat diberikan di tingkat organisasi.

Tech Support Editor

Peran Tech Support Editor (roles/cloudsupport.techSupportEditor) dapat mengelola kasus dukungan, termasuk melihat, membuat, memperbarui, mengeskalasi, dan menutup kasus.

Anda dapat memberikan peran ini di tingkat organisasi, folder, dan project. Misalnya, jika Anda memberikan peran Tech Support Editor ke grup Google pada project tertentu, semua anggota grup dapat mengelola kasus dukungan untuk project tersebut.

Anda juga dapat memberikan peran ini pada beberapa tingkat dalam hierarki resource untuk menetapkan izin yang berbeda bagi resource bertingkat. Misalnya, jika Anda memiliki peran Tech Support Viewer untuk organisasi dan peran Tech Support Editor pada project, Anda dapat melihat kasus dukungan di seluruh organisasi, tetapi hanya dapat mengedit kasus untuk project tersebut.

Tech Support Viewer

Peran Tech Support Viewer (roles/cloudsupport.techSupportViewer) memberi akses kepada pengguna untuk melihat kasus dukungan dan informasi akun.

Peran ini dapat diterapkan di tingkat organisasi, project, maupun folder. Misalnya, Anda dapat memberikan peran Tech Support Viewer kepada grup Google di folder tertentu dalam project, sehingga anggota grup tersebut dapat melihat kasus dukungan di folder.

Memberikan peran IAM

Pengguna, Grup Google, atau domain harus memiliki izin resourcemanager.organizations.setIamPolicy di organisasi untuk menambahkan pengguna ke peran IAM Customer Care. Anda dapat memberikan izin tersebut kepada pengguna atau grup dengan menetapkan peran Organization Administrator (roles/resourcemanager.organizationAdmin).

Misalnya, jika organisasi Anda ingin agar pengguna dengan peran Support Account Administrator juga dapat menambahkan dan menghapus pengguna serta grup dari peran IAM Customer Care lainnya, maka Organization Administrator dapat melakukan hal berikut:

• Membuat Grup Google untuk pengguna (MyCompanySupportAdmins).
• Menetapkan Grup Google (MyCompanySupportAdmins) ke peran Organization Administrator.
• Menetapkan Grup Google (MyCompanySupportAdmins) ke peran Support Account Administrator.

Dalam contoh ini, anggota Grup Google (MyCompanySupportAdmins) dapat menetapkan pengguna dan grup ke peran IAM di organisasi karena grup telah diberi izin setIamPolicy saat diberi peran Organization Administrator. Saat Support Account Administrator baru bergabung dengan organisasi, tambahkan mereka ke Grup Google (MyCompanySupportAdmins) untuk memberi mereka peran yang diperlukan.

Untuk memberikan peran IAM kepada pengguna, grup, atau domain:

1. Di konsol Google Cloud , buka halaman IAM.
   Buka halaman IAM

2. Dari menu teratas, klik Tambahkan.

3. Tentukan pengguna, Grup Google, atau domain.

4. Pilih peran Dukungan. Untuk praktik keamanan terbaik, sebaiknya akun utama hanya diberikan hak akses yang memang dibutuhkan.

5. Klik Simpan.

Langkah berikutnya

Pahami cara mengelola kasus dukungan di konsolGoogle Cloud .