Gestire l'autenticazione IAM

Anteprima — autenticazione del gruppo IAM (solo nuovi cluster)

Questa funzionalità è soggetta ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. Le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

In questa pagina viene descritto come preparare l'istanza AlloyDB per PostgreSQL per facilitare l'autenticazione del database utilizzando Identity and Access Management (IAM).

Nota: l'autenticazione del gruppo IAM è disponibile in anteprima per i nuovi cluster AlloyDB. Per abilitare questa funzionalità su un cluster esistente, contatta il team del tuo Google Cloud account.

L'autenticazione IAM integra l'autenticazione del database tramite gli utenti PostgreSQL standard, supportati da ogni cluster AlloyDB.

Puoi eseguire l'autenticazione utilizzando account o gruppi individuali:

• Account individuali: aggiungi ogni utente IAM o service account al cluster. Puoi utilizzare i ruoli utente IAM o PostgreSQL per eseguire l'autenticazione con il cluster.
• Gruppi: aggiungi un gruppo IAM al cluster. Tutti i membri (utenti e service account) di questo gruppo ereditano le autorizzazioni per l'autenticazione. In questo modo puoi gestire l'accesso gestendo l'iscrizione al gruppo senza aggiungere ogni membro al cluster singolarmente.

L'autenticazione IAM è disabilitata per impostazione predefinita sulle istanze AlloyDB.

Per utilizzare l'autenticazione IAM, completa i seguenti passaggi generali:

1. Abilita l'autenticazione IAM individuale o di gruppo sull'istanza.
2. Concedi i ruoli richiesti all'account o al gruppo.
3. Aggiungi l'account o il gruppo al cluster.
4. Concedi i privilegi di database all'account o al gruppo.

Abilitare e disabilitare l'autenticazione IAM

Per abilitare l'autenticazione IAM su un'istanza, imposta i flag di database.

• Per l'autenticazione individuale, imposta alloydb.iam_authentication su on.
• Per l'autenticazione di gruppo, imposta siaalloydb.iam_authentication che alloydb.iam_group_authentication su on.

Per disabilitare l'autenticazione IAM, imposta i flag su off.

Per ulteriori informazioni sull'impostazione dei flag, consulta Configurare i flag di database di un'istanza.

Attenzione: per ogni istanza è prevista una quota di accesso al minuto, che include sia gli accessi riusciti che quelli non riusciti. Quando la quota viene superata, gli accessi non sono temporaneamente disponibili. Ti consigliamo di evitare accessi frequenti e di limitare gli accessi utilizzando le reti autorizzate.

Concedere l'accesso a un account individuale

Per abilitare l'accesso IAM a un nuovo utente del database:

1. Aggiorna le impostazioni IAM del progetto per concedere l'accesso al database AlloyDB all'utente IAM o al account di servizio appropriato.

2. Crea un nuovo utente del database nel cluster, impostando il nome utente come indirizzo email dell'utente IAM o del service account.

Per concedere a un account IAM l'accesso ad altri cluster del progetto, ripeti l'ultimo passaggio.

Aggiornare un account IAM con il ruolo appropriato

Puoi consentire agli utenti IAM o ai service account di eseguire l'autenticazione con le istanze AlloyDB concedendo loro i seguenti ruoli IAM:

• alloydb.databaseUser: consente all'utente di connettersi all'istanza AlloyDB.
• serviceusage.serviceUsageConsumer: fornisce all'utente l'accesso a un'API che controlla le autorizzazioni.

Per farlo, segui le istruzioni riportate in Concedere l'accesso ad altri utenti. Nel passaggio in cui selezioni un ruolo da concedere all'entità IAM, scegli alloydb.databaseUser.

Aggiungere un utente IAM o account di servizio a un cluster

Console

1. Vai alla pagina Cluster.

   Vai a Cluster

2. Fai clic sul nome del cluster a cui vuoi aggiungere un utente.

3. Fai clic su Utenti.

4. Fai clic su Aggiungi account utente.

5. Seleziona Cloud IAM.

6. Nel campo Entità, inserisci l'entità IAM.

   Per un account utente IAM, fornisci l'indirizzo email completo dell'account utente. Ad esempio, [e-mail].

   Per un account di servizio IAM, fornisci l'indirizzo del account di servizio senza il suffisso .. Ad esempio, per specificare il account di servizio my-service@my-project., utilizza il valore [e-mail].

7. Per assegnare all'utente ruoli diversi da quello predefinito alloydbsuperuser:

   1. Inserisci il nome del ruolo in Ruoli.
   2. Per aggiungere il ruolo, premi Invio o Tab.

   3. Seleziona x per qualsiasi ruolo che vuoi rimuovere per l'utente.

      Per ulteriori informazioni, consulta Ruoli predefiniti

8. Fai clic su Aggiungi.

gcloud

Per creare un utente del database PostgreSQL basato su un utente IAM o un account di servizio, utilizza il gcloud alloydb users create comando.

gcloud alloydb users create USERNAME \
--cluster=CLUSTER \
--region=REGION \
--type=IAM_BASED

Sostituisci le seguenti variabili:

• USERNAME: identificatore dell'utente IAM che vuoi aggiungere come nuovo utente del database.

  Per un account utente IAM, fornisci l'indirizzo email completo dell'account utente. Ad esempio, [e-mail].

  Per un account di servizio IAM, fornisci l'indirizzo del account di servizio senza il suffisso .. Ad esempio, per specificare il account di servizio my-service@my-project., utilizza il valore [e-mail].

• CLUSTER: ID del cluster in cui creare questo account utente del database.

• REGION: ID della regione in cui si trova il cluster, ad esempio us-central1.

Concedere le autorizzazioni di database appropriate agli utenti IAM

Quando aggiungi un utente IAM a un cluster AlloyDB, l'utente non ha privilegi su alcun database per impostazione predefinita, ad eccezione degli oggetti di database a cui può accedere PUBLIC.

Se gli utenti hanno bisogno di un accesso aggiuntivo, concedi ulteriori privilegi utilizzando l' GRANT istruzione PostgreSQL:

GRANT SELECT ON TABLE_NAME TO "USERNAME";

Sostituisci le seguenti variabili:

• USERNAME: indirizzo email dell'utente. Devi includere le virgolette doppie intorno all'indirizzo.

• TABLE_NAME: nome della tabella a cui vuoi concedere l'accesso all'utente.

Rimuovere un utente IAM o un account di servizio da un cluster

Console

1. Vai alla pagina Cluster.

   Vai a Cluster

2. Fai clic sul nome del cluster da cui vuoi rimuovere l'utente.

3. Fai clic su Utenti.

4. Nella riga che rappresenta l'utente che vuoi rimuovere, fai clic su Apri azioni per questo utente.

5. Seleziona Rimuovi.

6. Nella finestra di dialogo Rimuovere l'account utente?, fai clic su Rimuovi.

gcloud

Utilizza il gcloud alloydb users delete comando.

gcloud alloydb users delete USERNAME \
--cluster=CLUSTER \
--region=REGION

Sostituisci quanto segue:

• USERNAME: identificatore dell'utente IAM che vuoi rimuovere dal cluster.

  Per un account utente IAM, fornisci l'indirizzo email completo dell'account utente. Ad esempio, [e-mail].

  Per un account di servizio IAM, fornisci l'indirizzo del account di servizio senza il suffisso .. Ad esempio, per specificare il account di servizio my-service@my-project., utilizza il valore [e-mail].

• CLUSTER: ID del cluster da cui rimuovere questo utente.

• REGION: ID della regione in cui si trova il cluster. Ad esempio, us-central1.

Concedere l'accesso a un gruppo IAM

Per utilizzare l'autenticazione di gruppo (anteprima), aggiungi un gruppo IAM al cluster AlloyDB.

Aggiungere un gruppo IAM a un cluster

1. Assegna i ruoli alloydb.databaseUser e serviceusage.serviceUsageConsumer all'account del gruppo. Per ulteriori informazioni, consulta Aggiornare un account IAM con il ruolo appropriato.

   In un cluster possono esistere al massimo 200 gruppi IAM in qualsiasi momento. I gruppi inattivi vengono conteggiati ai fini di questo limite.

   I nomi dei gruppi IAM possono contenere al massimo 63 caratteri.

   Se hai un gruppo IAM con un nome che supera il limite di lunghezza, puoi nidificarlo in un gruppo principale con un nome valido. Prima di poter utilizzare il gruppo nidificato, devi aggiungere il gruppo principale al cluster.

2. Per creare un utente del database per il gruppo, utilizza il comando gcloud alloydb users create con il flag --type=IAM_GROUP.

   gcloud beta alloydb users create GROUP_EMAIL \
   --cluster=CLUSTER \
   --region=REGION \
   --type=IAM_GROUP

   Nota: se elimini un gruppo IAM da IAM e poi lo ricrei immediatamente, il gruppo potrebbe non essere utilizzabile subito. L'eliminazione e la ricreazione del gruppo IAM richiedono tempo per la propagazione.

Aggiungere automaticamente i membri di un gruppo

Quando aggiungi un gruppo IAM a un cluster, tutti i membri (utenti e service account) di questo gruppo ereditano le autorizzazioni per l'autenticazione. Non è necessario aggiungere i membri singolarmente. Dopo che un membro ha eseguito l'accesso per la prima volta, AlloyDB crea automaticamente un account per lui.

Concedere i privilegi di database a un gruppo IAM

Concedi i privilegi di database ai gruppi anziché ai singoli utenti.

Esegui l'istruzione GRANT dalla riga di comando psql:

GRANT SELECT ON TABLE_NAME TO "GROUP_NAME";

• GROUP_NAME: l'indirizzo email del gruppo. Devi utilizzare le virgolette perché la stringa contiene caratteri speciali.
• TABLE_NAME: il nome della tabella.

Eliminare un gruppo IAM da un cluster

Per eliminare un gruppo IAM da un cluster AlloyDB, revoca le autorizzazioni del gruppo nella Google Cloud console ed elimina l' utente del gruppo corrispondente dal cluster AlloyDB.

1. Revoca le autorizzazioni IAM:

   1. Nella Google Cloud console, vai alla pagina IAM.

      Vai a IAM

   2. Trova il gruppo IAM da cui vuoi rimuovere l'accesso.

   3. Rimuovi il ruolo roles/alloydb.databaseUser e tutti gli altri ruoli correlati ad AlloyDB che concedono l'accesso al cluster. Questa azione impedisce ai membri del gruppo di eseguire l'autenticazione.

2. Elimina l'utente del gruppo dal cluster AlloyDB:

   Utilizza Google Cloud CLI per eliminare l'utente che rappresenta il gruppo IAM dal cluster AlloyDB. Il nome utente è in genere l'indirizzo email del gruppo IAM.

   gcloud alloydb users delete GROUP_EMAIL_ADDRESS \
   --cluster=CLUSTER_ID \
   --region=REGION_ID

   Sostituisci quanto segue:

   • GROUP_EMAIL_ADDRESS: l'indirizzo email completo del gruppo IAM, ad esempio [e-mail].
   • CLUSTER_ID: l'ID del cluster AlloyDB.
   • REGION_ID: la regione in cui si trova il cluster AlloyDB, ad esempio us-central1.

3. (Facoltativo) Elimina il gruppo da Cloud Identity:

   Attenzione: l'eliminazione di un gruppo è permanente e non può essere annullata. I membri perdono l'accesso alle risorse condivise con il gruppo eliminato e i messaggi inviati all'indirizzo del gruppo non vengono recapitati.

   Per eliminare i gruppi, devi disporre dei privilegi di amministratore appropriati (ad esempio Amministratore gruppi) nel tuo account Cloud Identity. In genere, i proprietari dei gruppi possono eliminare solo i gruppi di loro proprietà.

   La propagazione delle modifiche alle autorizzazioni IAM e alle appartenenze ai gruppi può richiedere tempo, potenzialmente 15 minuti o più.

   1. Assicurati di disporre dei privilegi di amministratore appropriati, ad esempio Amministratore gruppi nel tuo account Cloud Identity. I proprietari dei gruppi possono eliminare solo i gruppi di loro proprietà. Per ulteriori informazioni, consulta Ruoli amministrativi predefiniti.

   2. Esegui il seguente comando gcloud CLI di Cloud Identity:

      gcloud identity groups delete GROUP_EMAIL_ADDRESS

   3. Quando revochi l'autorizzazione di accesso alloydb.databaseUser per un gruppo IAM in Cloud Identity, devi anche eliminare il gruppo da il cluster AlloyDB per assicurarti che l'accesso venga rimosso completamente.

Migrare gli utenti esistenti all'autenticazione del gruppo IAM

Gli utenti IAM individuali esistenti non utilizzano l'autenticazione di gruppo. Puoi eseguirne la migrazione seguendo questi passaggi:

1. Aggiungi gli utenti a un gruppo IAM.
2. Aggiungi il gruppo al cluster.
3. Assegna al gruppo i ruoli richiesti.
4. Assegna i privilegi di database al gruppo.
5. Elimina l'utente individuale esistente dal cluster. Assicurati di trasferire la proprietà, se previsto.

Quando l'utente accede di nuovo, AlloyDB ricrea l'account come utente del gruppo.

Risolvere i problemi relativi all'autenticazione di gruppo

Utilizza le seguenti informazioni per risolvere i problemi di autenticazione di gruppo.

Un account esistente non eredita i privilegi

Se un account non eredita i privilegi da un gruppo:

1. Elenca gli utenti.

   gcloud alpha alloydb users list --cluster=CLUSTER --region=REGION

2. Se il tipo è ALLOYDB_IAM_USER o ALLOYDB_IAM_SERVICE_ACCOUNT, rimuovi l'account. Non eredita i privilegi di gruppo.

3. Per ricreare l'account con il tipo di gruppo corretto, accedi di nuovo all'istanza con l'utente o il account di servizio. Se accedi di nuovo all'istanza, l'account viene ricreato con il tipo di account corretto ALLOYDB_IAM_GROUP_USER o ALLOYDB_IAM_GROUP_SERVICE_ACCOUNT.

Passaggi successivi

• Connettersi utilizzando un account IAM