OS Login

Auf dieser Seite werden der OS Login-Dienst und seine Funktionsweise beschrieben. Informationen zum Einrichten von OS Login finden Sie unter OS Login einrichten.

Mit OS Login können Sie den SSH-Zugriff auf Ihre Instanzen mithilfe von IAM verwalten, ohne einzelne SSH-Schlüssel erstellen und verwalten zu müssen. OS Login verwendet Compute Engine-instanzübergreifend eine konsistente Linux-Nutzeridentität und wird empfohlen, wenn es darum geht, viele Nutzer über mehrere Compute-Instanzen oder Projekte hinweg zu verwalten.

Vorteile von OS Login

OS Login vereinfacht die Verwaltung des SSH-Zugriffs, weil Ihr Linux-Nutzerkonto mit Ihrer Google-Identität verknüpft wird. Administratoren können den Zugriff auf Instanzen auf Instanz- oder Projektebene einfach dadurch verwalten, dass sie IAM-Berechtigungen festlegen.

OS Login bietet folgende Vorteile:

  • Automatisches Lebenszyklusmanagement für Linux-Konten: Sie können ein Linux-Nutzerkonto direkt an die Google-Identität eines Nutzers binden. Dadurch werden für alle Instanzen in demselben Projekt oder in derselben Organisation die gleichen Linux-Kontodaten verwendet.

  • Feingranulare Autorisierung mit Google IAM: Administratoren auf Projekt- und Instanzebene können mit IAM einem Nutzer mit seiner Google-Identität SSH-Zugriff gewähren, ohne ihm umfassendere Berechtigungen zu erteilen. Sie können einem Nutzer beispielsweise die Berechtigung erteilen, sich im System anzumelden, aber nicht die Möglichkeit, Befehle wie sudo auszuführen. Google prüft diese Berechtigungen, um festzustellen, ob sich ein Nutzer in einer Compute-Instanz anmelden kann.

  • Automatische Aktualisierungen von Berechtigungen: Bei OS Login werden Berechtigungen automatisch aktualisiert, wenn ein Administrator die IAM-Berechtigungen ändert. Wenn Sie beispielsweise IAM-Berechtigungen für eine Google-Identität entfernen, wird der Zugriff auf Compute-Instanzen widerrufen. Google überprüft Berechtigungen bei jedem Anmeldeversuch, um unerwünschten Zugriff zu verhindern.

  • Unterstützung der zertifikatbasierten Authentifizierung: Sie können die SSH-Zertifikatauthentifizierung verwenden, um eine Verbindung zu Compute-Instanzen herzustellen, die OS Login verwenden. Weitere Informationen finden Sie unter SSH-Zertifikate für OS Login erforderlich machen.

  • Integration mit Audit-Logging: OS Login bietet Audit-Logging, mit dem Sie Verbindungen zu Compute-Instanzen für OS Login-Nutzer überwachen können.

OS Login-IAM-Rollen

OS Login verwendet IAM, um den Anmeldezugriff zu autorisieren. Sie können OS Login-IAM-Rollen auf Instanz-, Ordner- oder Organisationsebene zuweisen. OS Login bietet die folgenden vordefinierten Rollen:

  • roles/compute.osLogin: Gewährt Anmeldezugriff ohne sudo-Zugriff auf Compute-Instanzen.
  • roles/compute.osAdminLogin: Gewährt den Log-in-Zugriff mit sudo-Zugriff auf Compute-Instanzen.

Eine Anleitung zum Zuweisen von OS Login-IAM-Rollen finden Sie unter OS Login-IAM-Rollen zuweisen.

So funktioniert OS Login

Wenn OS Login aktiviert ist, führt Compute Engine Konfigurationen auf Compute-Instanzen und den Google-Konten von OS Login-Nutzern aus.

Compute-Instanzkonfiguration

Wenn Sie OS Login aktivieren, stellen Nutzer Verbindungen über kurzlebige SSH-Zertifikate her, die von einer Zertifizierungsstelle signiert werden, die von OS Login verwaltet wird. Die Compute-Instanz prüft jedes Zertifikat anhand der OS Login-Zertifizierungsstelle und fragt beim OS Login-Dienst ab, ob der Nutzer zur Anmeldung autorisiert ist.

Sie können eine authorized_keys-Datei konfigurieren, um Zugriff für ein lokales Nutzerkonto bereitzustellen, auch wenn OS Login aktiviert ist. Öffentliche SSH-Schlüssel, die in der Datei authorized_keys konfiguriert sind, werden verwendet, um Nutzeranmeldungsversuche vom lokalen Nutzer zu authentifizieren. Lokale Nutzerkonten und OS Login-Nutzer müssen unterschiedliche Nutzernamen und UIDs haben.

Weitere Informationen zu den OS Login-Komponenten finden Sie auf der GitHub-Seite für OS Login.

Nutzerkontokonfiguration

OS Login konfiguriert Ihr Nutzerkonto mit POSIX-Informationen, einschließlich eines Nutzernamens, wenn eine der folgenden Aktionen ausgeführt wird:

  • Verbindung zu einer Compute-Instanz mit aktiviertem OS Login über die Google Cloud Console herstellen
  • Verbindung zu einer Compute-Instanz mit OS Login über die gcloud CLI herstellen

OS Login konfiguriert POSIX-Konten mit folgenden Werten:

  • Nutzername: der Wert der google.posix_username-Attributzuordnung des Nutzers in seinem Personalidentitätspool.

  • UID:eine eindeutige, zufällig generierte POSIX-konforme Nutzer-ID.

  • GID: Eine POSIX-konforme Gruppen-ID, die der UID entspricht.

  • Basisverzeichnis: Der Pfad zum Basisverzeichnis des Nutzers.

Beschränkungen

OS Login wird nicht für alle Compute-Instanzkonfigurationen unterstützt. Weitere Informationen finden Sie unter Einschränkungen von OS Login.

Nächste Schritte