Autorização e controle de acesso

O Identity and Access Management (IAM) é uma ferramenta que permite controlar quem pode fazer o quê no seu ambiente do Google Cloud .

O acesso é controlado com permissões do IAM, que são necessárias para trabalhar com qualquer recurso em um ambiente do Google Cloud . Quando você recebe permissões para trabalhar com um recurso, você está autorizado a acessar esse recurso. Sem a autorização adequada, não é possível acessar os recursos do Google Cloud.

Permissões e papéis

Para trabalhar com um recurso, sua conta de usuário precisa ter as permissões relevantes para acessar esse recurso.

Normalmente, o administrador do IAM é responsável por controlar o acesso aos recursos. Seu administrador pode conceder permissões para acessar um único recurso ou todos os recursos em um projeto, pasta ou organização. Os administradores concedem as permissões relevantes à sua conta de usuário em pacotes chamados funções. Desde que sua conta de usuário tenha uma função com as permissões adequadas, você pode usar essa função para acessar recursos do Google Cloud .

Em geral, o fluxo de trabalho para realizar uma ação em qualquer recurso no seu ambienteGoogle Cloud é assim:

  1. Você quer realizar uma ação em um recurso, por exemplo, fazer upload de um objeto para um bucket do Cloud Storage, mas não tem as permissões adequadas. Sem as permissões, não é possível realizar a ação.
  2. Você pode pedir as permissões necessárias ao administrador do IAM pelo sistema de gerenciamento de solicitações preferido ou diretamente na mensagem de erro de permissão no console do Google Cloud .
  3. O administrador do IAM concede uma função que contém as permissões adequadas à sua conta de usuário. Agora você pode realizar a ação.

Como usar o IAM como administrador

Normalmente, os administradores são responsáveis por conceder papéis aos usuários para que eles possam acessar recursos do Google Cloud . Os usuários são representados por identidades autenticadas conhecidas como principais.

Para conceder papéis a um principal em um recurso, é necessário editar a política de permissão anexada a ele. As políticas de permissão listam quais principais têm acesso ao recurso e quais ações podem ser realizadas nele. O IAM usa políticas de permissão para determinar se um principal tem as permissões necessárias para acessar o recurso. Portanto, para conceder a um principal acesso a um recurso específico, atualize a política de permissão do recurso com o principal e as funções que você quer conceder.

Os administradores podem conceder papéis a principais nos seguintes tipos de recursos:

  • Projetos, pastas e organizações: esses recursos são os contêineres usados para estruturar sua hierarquia de recursos. Os papéis concedidos nesses recursos de contêiner se aplicam a todos os recursos específicos do serviço que eles contêm.
  • Recursos específicos do serviço: são os recursos ou componentes oferecidos por um serviço. Por exemplo, o Compute Engine tem recursos como instâncias, discos e sub-redes. Conceder papéis em um recurso específico do serviço oferece um controle de acesso mais granular do que conceder papéis em um recurso de contêiner, porque limita o acesso de um usuário apenas a esse recurso.

Controle de acesso avançado com o IAM

As políticas de permissão são o método mais comum para controlar o acesso a um ambienteGoogle Cloud com o IAM. No entanto, o IAM também oferece outras opções de controle de acesso, incluindo as seguintes:

  • Políticas de negação
  • Controles de acesso condicionais baseados em atributos

Outras formas de controle de acesso

Embora o IAM seja o principal método de controle de acesso para o Google Cloud, há outros serviços do Google Cloud que podem afetar o acesso de um usuário aos recursos.

Confira alguns exemplos de outros serviços que podem afetar o acesso de um usuário:

A seguir