À propos d'OS Login

Cette page présente le service OS Login et son fonctionnement. Pour savoir comment configurer OS Login, consultez Configurer OS Login.

Utilisez OS Login pour gérer l'accès SSH à vos instances à l'aide d'IAM, sans avoir à créer ni gérer de clés SSH individuelles. OS Login maintient une identité d'utilisateur Linux cohérente sur toutes les instances Compute Engine. Cette solution est recommandée si vous devez gérer de nombreux utilisateurs sur plusieurs instances de calcul ou projets.

Avantages d'OS Login

La connexion au système d'exploitation simplifie la gestion des accès SSH en associant votre compte utilisateur Linux à votre identité Google. Les administrateurs peuvent facilement gérer l'accès aux instances, au niveau d'une instance ou d'un projet en définissant des autorisations IAM.

La connexion au système d'exploitation offre les avantages suivants :

  • Gestion automatique du cycle de vie d'un compte Linux : vous pouvez associer directement un compte utilisateur Linux à l'identité Google d'un utilisateur, de sorte que les informations de compte Linux soient utilisées dans toutes les instances du même projet ou de la même organisation.

  • Attribution d'autorisations précises à l'aide de Google IAM : les administrateurs de projets et d'instances peuvent utiliser IAM pour autoriser l'accès SSH à l'identité Google d'un utilisateur, sans étendre les droits dont il dispose. Par exemple, vous pouvez accorder à un utilisateur des autorisations pour se connecter au système, mais sans la possibilité d'exécuter des commandes comme sudo. Google vérifie ces autorisations pour déterminer si un utilisateur peut se connecter à une instance de calcul.

  • Mises à jour automatiques des autorisations : avec OS Login, les autorisations sont mises à jour automatiquement lorsqu'un administrateur modifie les autorisations IAM. Par exemple, si vous supprimez les autorisations IAM d'une identité Google, l'accès aux instances de calcul est révoqué pour cette identité. Google vérifie les autorisations pour chaque tentative de connexion afin d'empêcher les accès indésirables.

  • Compatibilité avec l'authentification basée sur des certificats : vous pouvez utiliser l'authentification par certificat SSH pour vous connecter à des instances de calcul qui utilisent OS Login. Pour en savoir plus, consultez Exiger des certificats SSH avec OS Login.

  • Intégration aux journaux d'audit : OS Login propose une fonctionnalité de journalisation d'audit que vous pouvez utiliser pour surveiller les connexions aux instances de calcul pour les utilisateurs d'OS Login.

Rôles IAM OS Login

OS Login utilise IAM pour autoriser l'accès à la connexion. Vous pouvez accorder des rôles IAM OS Login au niveau de l'instance, du dossier ou de l'organisation. OS Login fournit les rôles prédéfinis suivants :

  • roles/compute.osLogin : accorde un accès à la connexion sans accès sudo aux instances de calcul.
  • roles/compute.osAdminLogin : accorde un accès à la connexion avec un accès sudo aux instances de calcul.

Pour obtenir des conseils sur l'attribution de rôles IAM OS Login, consultez Attribuer des rôles IAM OS Login.

Fonctionnement d'OS Login

Lorsque OS Login est activé, Compute Engine effectue les configurations sur les instances de calcul et sur les comptes Google des utilisateurs d'OS Login.

Configuration des instances de calcul

Lorsque vous activez OS Login, les utilisateurs se connectent à l'aide de certificats SSH de courte durée signés par une autorité de certification gérée par OS Login. L'instance de calcul valide chaque certificat par rapport à l'autorité de certification OS Login et vérifie auprès du service OS Login que l'utilisateur est autorisé à se connecter.

Vous pouvez configurer un fichier authorized_keys pour provisionner l'accès d'un compte utilisateur local même lorsque OS Login est activé. Les clés publiques SSH configurées dans le fichier authorized_keys permettent d'authentifier les tentatives de connexion de l'utilisateur local. Les comptes utilisateur locaux et les utilisateurs d'OS Login doivent avoir des noms d'utilisateur et des UID différents.

Pour en savoir plus sur les composants d'OS Login, consultez la page GitHub d'OS Login.

Configuration de compte utilisateur

OS Login configure votre compte d'utilisateur avec des informations POSIX, y compris un nom d'utilisateur, lorsque vous effectuez l'une des opérations suivantes :

  • Se connecter à une instance de calcul compatible avec OS Login à l'aide de la console Google Cloud
  • Se connecter à une instance de calcul compatible avec OS Login à l'aide de gcloud CLI

OS Login configure les comptes POSIX avec les valeurs suivantes :

  • Nom d'utilisateur : la valeur du mappage d'attributs google.posix_username de l'utilisateur dans son pool d'identités du personnel.

  • UID : ID d'utilisateur unique compatible POSIX et généré de manière aléatoire.

  • GID : identifiant de groupe compatible POSIX, identique à l'UID.

  • Répertoire d'accueil : chemin d'accès au répertoire d'accueil de l'utilisateur.

Limites

OS Login n'est pas compatible avec toutes les configurations d'instances de calcul. Pour en savoir plus, consultez Limites d'OS Login.

Étapes suivantes