Acerca del Acceso al SO

En esta página, se describe el servicio Acceso al SO y cómo funciona. Para obtener información sobre cómo configurar el Acceso al SO, consulta Configura el Acceso al SO.

Usa el Acceso al SO para administrar el acceso SSH a tus instancias con la IAM sin tener que crear y administrar claves SSH individuales. El Acceso al SO mantiene una identidad de usuario de Linux coherente en todas las instancias de Compute Engine y es la forma recomendada para administrar muchos usuarios en múltiples instancias o proyectos de procesamiento.

Beneficios del Acceso al SO

El Acceso al SO vincula tu cuenta de usuario de Linux con tu identidad de Google para simplificar la administración del acceso SSH. Los administradores pueden administrar con facilidad el acceso a las instancias, ya sea a nivel de instancia o de proyecto, mediante la configuración de los permisos de IAM.

Acceso al SO ofrece los siguientes beneficios:

  • Administración automática del ciclo de vida de la cuenta de Linux: puedes vincular directamente una cuenta de usuario de Linux con la identidad de Google de un usuario para que se use la misma información de cuenta de Linux en todas las instancias del mismo proyecto o de la misma organización.

  • Autorización detallada con IAM de Google: Los administradores a nivel de proyecto y de instancia pueden usar IAM para otorgar acceso SSH a la identidad de Google de un usuario sin otorgar un conjunto más amplio de privilegios. Por ejemplo, puedes otorgar permisos de usuario para acceder al sistema, pero no la capacidad de ejecutar comandos como sudo. Google verifica estos permisos para determinar si un usuario puede acceder a una instancia de procesamiento.

  • Actualizaciones automáticas de permisos: con el Acceso al SO, los permisos se actualizan de forma automática cuando un administrador cambia los permisos de IAM. Por ejemplo, si quitas los permisos de IAM de una identidad de Google, se revocará el acceso a las instancias de procesamiento. Google verifica los permisos en cada intento de acceso para impedir el acceso no deseado.

  • Compatibilidad con la autenticación basada en certificados: Puedes usar la autenticación de certificados SSH para conectarte a instancias de procesamiento que usan el Acceso al SO. Para obtener más información, consulta Cómo solicitar certificados SSH con el Acceso al SO.

  • Integración en el registro de auditoría: Acceso al SO proporciona registros de auditoría que puedes usar para supervisar las conexiones a las instancias de procesamiento de los usuarios de Acceso al SO.

Roles de IAM de Acceso al SO

El Acceso al SO usa IAM para autorizar el acceso de inicio de sesión. Puedes otorgar roles de IAM de Acceso al SO a nivel de la instancia, la carpeta o la organización. Acceso al SO proporciona los siguientes roles predefinidos:

  • roles/compute.osLogin: Otorga acceso de inicio de sesión sin acceso de sudo a las instancias de procesamiento.
  • roles/compute.osAdminLogin: Otorga acceso de inicio de sesión con acceso de sudo a las instancias de procesamiento.

Si necesitas orientación para asignar roles de IAM de Acceso al SO, consulta Asigna roles de IAM de Acceso al SO.

Cómo funciona Acceso al SO

Cuando el acceso al SO está habilitado, Compute Engine realiza configuraciones en las instancias de procesamiento y las cuentas de Google de los usuarios de acceso al SO.

Configuración de la instancia de procesamiento

Cuando habilitas el Acceso al SO, los usuarios se conectan con certificados SSH de corta duración firmados por una autoridad certificadora que administra el Acceso al SO. La instancia de procesamiento verifica cada certificado con la autoridad de certificación del Acceso al SO y comprueba con el servicio del Acceso al SO que el usuario esté autorizado para acceder.

Puedes configurar un archivo authorized_keys para aprovisionar acceso a una cuenta de usuario local incluso cuando Acceso al SO está habilitado. Las claves públicas SSH que se configuran en el archivo authorized_keys se usan para autenticar los intentos de acceso del usuario local. Las cuentas de usuario locales y los usuarios de Acceso al SO deben tener nombres de usuario y UID diferentes.

Para obtener más información sobre los componentes de Acceso al SO, consulta la página sobre acceso a SO de GitHub.

Configuración de la cuenta de usuario

El Acceso al SO configura tu cuenta de usuario con información POSIX, incluido un nombre de usuario, cuando realizas alguna de las siguientes acciones:

  • Conéctate a una instancia de procesamiento habilitada para el acceso al SO con la Google Cloud consola
  • Conéctate a una instancia de procesamiento habilitada para el Acceso al SO con la CLI de gcloud

El Acceso al SO configura las cuentas POSIX con los siguientes valores:

  • Nombre de usuario: el valor de la google.posix_usernameasignación de atributos del usuario en su grupo de identidades de personal.

  • UID: Es un ID de usuario único, que cumple con POSIX y generado de forma aleatoria.

  • GID: Es un ID de grupo que cumple con POSIX y que coincide con el UID.

  • Directorio principal:es la ruta de acceso al directorio principal del usuario.

Limitaciones

El Acceso al SO no es compatible con todas las configuraciones de instancias de procesamiento. Para obtener más información, consulta Limitaciones del Acceso al SO.

¿Qué sigue?