Membuat kebijakan akses terbatas

Halaman ini menjelaskan cara membuat dan mendelegasikan kebijakan akses terbatas.

Sebelum memulai

  • Baca tentang kebijakan cakupan.

  • Baca cara memberikan akses ke Kontrol Layanan VPC.

  • Pastikan administrator yang didelegasikan yang menerima delegasi kebijakan akses terbatas memiliki izin cloudasset.assets.searchAllResources pada folder atau project tempat kebijakan terbatas terikat. Izin ini diperlukan oleh administrator yang didelegasikan untuk menelusuri semua resource Google Cloud.

  • Baca artikel tentang mengonfigurasi perimeter layanan.

Membuat kebijakan akses terbatas

Buat kebijakan akses terbatas dan delegasikan administrasi ke folder dan project di organisasi. Setelah membuat kebijakan akses terbatas, Anda tidak dapat mengubah cakupan kebijakan. Untuk mengubah cakupan kebijakan yang ada, hapus kebijakan, lalu buat ulang kebijakan dengan cakupan baru.

Konsol

  1. Di menu navigasi konsol Google Cloud, klik Keamanan, lalu klik Kontrol Layanan VPC.

    Buka Kontrol Layanan VPC

  2. Jika diminta, pilih organisasi, folder, atau project Anda.

  3. Di halaman Kontrol Layanan VPC, pilih kebijakan akses yang merupakan induk kebijakan cakupan. Misalnya, Anda dapat memilih kebijakan organisasi default policy.

  4. Klik Kelola kebijakan.

  5. Di halaman Kelola Kontrol Layanan VPC, klik Buat.

  6. Di halaman Create access policy, di kotak Access policy name, ketik nama untuk kebijakan akses terbatas.

    Nama kebijakan akses terbatas dapat memiliki panjang maksimum 50 karakter, harus diawali dengan huruf, dan hanya boleh berisi huruf Latin ASCII (a-z, A-Z), angka (0-9), atau garis bawah (_). Nama kebijakan akses terbatas peka huruf besar/kecil dan harus unik dalam kebijakan akses organisasi.

  7. Untuk menentukan cakupan kebijakan akses, klik Cakupan.

  8. Tentukan project atau folder sebagai cakupan kebijakan akses.

    • Untuk memilih project yang ingin Anda tambahkan ke cakupan kebijakan akses, lakukan tindakan berikut:

      1. Di panel Cakupan, klik Tambahkan project.

      2. Di dialog Tambahkan project, pilih kotak centang project tersebut.

      3. Klik Done. Project yang ditambahkan akan muncul di bagian Cakupan.

    • Untuk memilih folder yang ingin ditambahkan ke cakupan kebijakan akses, lakukan tindakan berikut:

      1. Di panel Cakupan, klik Tambahkan folder.

      2. Di dialog Tambahkan folder, centang kotak folder tersebut.

      3. Klik Done. Folder yang ditambahkan akan muncul di bagian Cakupan.

  9. Untuk mendelegasikan administrasi kebijakan akses terbatas, klik Prinsipal.

  10. Untuk menentukan akun utama dan peran yang ingin Anda ikat ke kebijakan akses, lakukan hal berikut:

    1. Di panel Principals, klik Add principals.

    2. Pada dialog Add principals, pilih akun utama, seperti nama pengguna atau akun layanan.

    3. Pilih peran yang ingin Anda kaitkan dengan akun utama, seperti peran editor dan baca.

    4. Klik Simpan. Akun utama dan peran yang ditambahkan akan muncul di bagian Principals.

  11. Di halaman Create access policy, klik Create access policy.

gcloud

Untuk membuat kebijakan akses terbatas, gunakan perintah gcloud access-context-manager policies create.

gcloud access-context-manager policies create \
--organization ORGANIZATION_ID [--scopes=SCOPE] --title POLICY_TITLE

Dengan keterangan:

  • ORGANIZATION_ID adalah ID numerik organisasi Anda.

  • POLICY_TITLE adalah judul yang dapat dibaca manusia untuk kebijakan Anda. Judul kebijakan dapat memiliki panjang maksimum 50 karakter, harus diawali dengan huruf, dan hanya boleh berisi huruf Latin ASCII (a-z, A-Z), angka (0-9), atau garis bawah (_). Judul kebijakan peka huruf besar/kecil dan harus unik dalam kebijakan akses organisasi.

  • SCOPE adalah folder atau project tempat kebijakan ini berlaku. Anda hanya dapat menentukan satu folder atau project sebagai cakupan, dan cakupan tersebut harus ada dalam organisasi yang ditentukan. Jika Anda tidak menentukan cakupan, kebijakan akan diterapkan ke seluruh organisasi.

Output berikut akan muncul (dengan POLICY_NAME adalah ID numerik unik untuk kebijakan yang ditetapkan oleh Google Cloud):

Create request issued
Waiting for operation [accessPolicies/POLICY_NAME/create/1521580097614100] to complete...done.
Created.

Untuk mendelegasikan administrasi dengan mengikat akun utama dan peran dengan kebijakan akses terbatas, gunakan perintah add-iam-policy-binding.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

Dengan keterangan:

  • POLICY adalah ID kebijakan atau ID yang sepenuhnya memenuhi syarat untuk kebijakan.

  • PRINCIPAL adalah akun utama yang akan ditambahkan binding-nya. Tentukan dalam format berikut: user|group|serviceAccount:email atau domain:domain.

  • ROLE adalah nama peran yang akan ditetapkan ke akun utama. Nama peran adalah jalur lengkap peran standar, seperti roles/accesscontextmanager.policyEditor, atau ID peran untuk peran kustom, seperti organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyEditor.

API

Untuk membuat kebijakan akses terbatas, lakukan hal berikut:

  1. Buat isi permintaan.

    {
 "parent": "ORGANIZATION_ID",
 "scope": "SCOPE"
 "title": "POLICY_TITLE"
}

    Dengan keterangan:

    • ORGANIZATION_ID adalah ID numerik organisasi Anda.

    • SCOPE adalah folder atau project tempat kebijakan ini berlaku.

    • POLICY_TITLE adalah judul yang dapat dibaca manusia untuk kebijakan Anda. Judul kebijakan dapat memiliki panjang maksimum 50 karakter, harus diawali dengan huruf, dan hanya boleh berisi huruf Latin ASCII (a-z, A-Z), angka (0-9), atau garis bawah (_). Judul kebijakan peka huruf besar/kecil dan harus unik dalam kebijakan akses organisasi.

  2. Buat kebijakan akses dengan memanggil accessPolicies.create.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Isi respons

Jika berhasil, isi respons untuk panggilan akan berisi resource Operation yang memberikan detail tentang operasi POST.

Untuk mendelegasikan administrasi kebijakan akses terbatas, lakukan hal berikut:

  1. Buat isi permintaan.

    {
 "policy": "IAM_POLICY",
}

    Dengan keterangan:

    • IAM_POLICY adalah kumpulan binding. Binding mengikat satu atau beberapa anggota, atau akun utama, ke satu peran. Akun utama dapat berupa akun pengguna, akun layanan, grup Google, dan domain. Peran adalah daftar izin yang memiliki nama; setiap peran dapat berupa peran bawaan IAM atau peran khusus yang dibuat pengguna.

  2. Delegasikan kebijakan akses dengan memanggil accessPolicies.setIamPolicy.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Isi respons

Jika berhasil, isi respons akan berisi instance policy.

Langkah selanjutnya