הפלטפורמה לניהול זהויות והרשאות הגישה (IAM) היא כלי שמאפשר לכם לקבוע מי יכול לבצע אילו פעולות בסביבת Google Cloud .
הגישה נשלטת באמצעות הרשאות IAM, שנדרשות כדי לעבוד עם משאבים בסביבת Google Cloud . כשמקבלים הרשאות לעבודה עם משאב, יש הרשאה לגשת למשאב הזה. בלי הרשאה מתאימה, אי אפשר לגשת למשאבים. Google Cloud
הרשאות ותפקידים
כדי לעבוד עם משאב, לחשבון המשתמש שלכם צריכות להיות ההרשאות הרלוונטיות לגישה למשאב הזה.
בדרך כלל, אדמין IAM אחראי לשליטה בגישה למשאבים. האדמין יכול לתת לכם הרשאות גישה למשאב יחיד או לכל המשאבים בפרויקט, בתיקייה או בארגון. אדמינים מעניקים לחשבון המשתמש שלכם את ההרשאות הרלוונטיות בחבילות שנקראות תפקידים. כל עוד לחשבון המשתמש שלכם יש תפקיד עם ההרשאות המתאימות, אתם יכולים להשתמש בתפקיד הזה כדי לגשת למשאבים. Google Cloud
בדרך כלל, תהליך העבודה לביצוע פעולה על משאב בסביבתGoogle Cloud נראה כך:
- אתם רוצים לבצע פעולה במשאב – למשל, להעלות אובייקט לקטגוריה של Cloud Storage – אבל אין לכם את ההרשאות המתאימות. בלי ההרשאות, אי אפשר לבצע את הפעולה.
- אתם יכולים לבקש את ההרשאות שאתם צריכים מהאדמין של IAM דרך מערכת ניהול הבקשות המועדפת שלכם או ישירות מהודעת השגיאה בנושא הרשאות במסוף Google Cloud .
- אדמין ה-IAM מקצה לחשבון המשתמש שלכם תפקיד שמכיל את ההרשאות המתאימות. עכשיו אפשר לבצע את הפעולה.
שימוש ב-IAM כאדמין
בדרך כלל, האדמינים אחראים להקצות תפקידים למשתמשים כדי שהם יוכלו לגשת למשאבי Google Cloud . המשתמשים מיוצגים על ידי זהויות מאומתות שנקראות גורמים ראשיים.
כדי להעניק תפקידים לחשבון משתמש במשאב, צריך לערוך את מדיניות ההרשאות שמצורפת למשאב. במדיניות הרשאה מפורטים חשבונות המשתמשים שיש להם גישה למשאב והפעולות שהם יכולים לבצע במשאב. מערכת IAM משתמשת במדיניות הרשאות כדי לקבוע אם לחשבון משתמש יש את ההרשאות הנדרשות לגישה למשאב. לכן, כדי להעניק לחשבון משתמש גישה למשאב מסוים, צריך לעדכן את מדיניות ההרשאות של המשאב עם חשבון המשתמש והתפקידים שרוצים להעניק.
אדמינים יכולים להקצות תפקידים לחשבונות משתמשים בסוגי המשאבים הבאים:
- פרויקטים, תיקיות וארגונים: אלה משאבי הקונטיינר שמשמשים לבניית היררכיית המשאבים. תפקידים שאתם מקצים במשאבי הקונטיינר האלה חלים על כל המשאבים שספציפיים לשירות שהם מכילים.
- משאבים שספציפיים לשירות: אלה התכונות או הרכיבים שהשירות מציע. לדוגמה, ב-Compute Engine יש משאבים כמו מופעים, דיסקים ורשתות משנה. הקצאת תפקידים למשאב ספציפי לשירות מספקת בקרת גישה פרטנית יותר מאשר הקצאת תפקידים למשאב מאגד, כי היא מגבילה את הגישה של המשתמש רק למשאב הזה.
בקרת גישה מתקדמת באמצעות IAM
כללי מדיניות ההרשאה הם השיטה הנפוצה ביותר לשליטה בגישה לGoogle Cloud סביבה באמצעות IAM. אבל IAM מציע גם אפשרויות אחרות לבקרת גישה, כולל האפשרויות הבאות:
- מדיניות דחייה
- אמצעי בקרה מותנים לגישה מבוססת-מאפיינים
צורות אחרות של בקרת גישה
למרות ש-IAM היא השיטה העיקרית לבקרת גישה ל-Google Cloud, יש שירותים אחרים של Google Cloud שיכולים להשפיע על הגישה של משתמשים למשאבים.
אלה כמה דוגמאות לשירותים אחרים שיכולים להשפיע על הגישה של משתמש:
המאמרים הבאים
- לתיאור מעמיק יותר של מערכת IAM ושל אופן הפעולה שלה, אפשר לעיין בדף הסקירה הכללית של IAM במסמכי התיעוד של IAM.