Controllo dell'accesso con IAM

Puoi concedere l'accesso alle operazioni di Google Cloud Managed Lustre assegnando agli utenti i ruoli di Identity and Access Management (IAM).

Le autorizzazioni IAM controllano solo l'accesso alle operazioni di Google Cloud Managed Lustre, come la creazione di un'istanza Google Cloud Managed Lustre. Per controllare l'accesso alle operazioni del file system sull'istanza, ad esempio la lettura o la scrittura di un file, utilizza le autorizzazioni dei file POSIX.

Autorizzazioni e ruoli

Managed Lustre utilizza le seguenti autorizzazioni:

Autorizzazione Descrizione
lustre.instances.create Crea nuove istanze
lustre.instances.delete Elimina le istanze
lustre.instances.update Aggiorna le istanze. Non consente l'eliminazione
lustre.instances.get Descrivi le istanze
lustre.instances.list Elenca tutte le istanze
lustre.instances.exportData Esporta i dati da Managed Lustre a Cloud Storage
lustre.instances.importData Importa i dati da Cloud Storage in Managed Lustre
lustre.locations.get Recupera una località
lustre.locations.list Elenca tutte le località supportate
lustre.mirrors.create Crea nuovi mirror
lustre.mirrors.delete Elimina mirror
lustre.mirrors.update Aggiorna i mirror
lustre.mirrors.get Descrivi gli specchi
lustre.mirrors.list Elenca i mirror
lustre.operations.list Elenca operazioni
lustre.operations.get Recupera un'operazione
lustre.operations.cancel Annulla un'operazione
lustre.operations.delete Elimina un'operazione

Google Cloud non supporta la concessione diretta di singole autorizzazioni; devi concedere un ruolo che contenga le autorizzazioni. I ruoli predefiniti di Managed Lustre sono:

  • Managed Lustre Admin (roles/lustre.admin)
  • Managed Lustre Viewer (roles/lustre.viewer)

La tabella seguente elenca le autorizzazioni concesse dai ruoli predefiniti per Managed Lustre, nonché il ruolo Editor di base:

Capacità Editor (roles/editor) Managed Lustre (roles/lustre.*)
Amministratore (roles/lustre.admin) Visualizzatore (roles/lustre.viewer)
Creare istanze
Elimina le istanze
Aggiorna istanze
Recupera istanze
Elenca istanze
Importa/esporta dati da/in Cloud Storage
Configura un mirror Cloud Storage
Recupera una località
Elenca le località supportate
Elenca operazioni a lunga esecuzione
Recupera un'operazione
Annulla un'operazione
Elimina un'operazione

Ruoli personalizzati

Se i ruoli predefiniti disponibili non soddisfano i requisiti di accesso della tua organizzazione, puoi creare e applicare ruoli IAM personalizzati.

Quando crei ruoli personalizzati, ti consigliamo di utilizzare una combinazione di ruoli predefiniti per assicurarti che siano incluse le autorizzazioni corrette.

Managed Lustre Service Agent

Managed Lustre utilizza un agente di servizio per accedere ad altre risorse Google Cloud ed eseguire azioni per tuo conto. Un agente di servizio è un account di servizio gestito da Google che viene creato automaticamente la prima volta che crei un'istanza di Managed Lustre in un progetto. Può anche essere creata manualmente.

La concessione delle autorizzazioni all'agente di servizio è obbligatoria solo se utilizzi determinate funzionalità facoltative. Per la creazione di istanze standard e le operazioni sul file system senza queste funzionalità, non è necessaria alcuna configurazione dell'agente di servizio.

Funzionalità che richiedono le autorizzazioni dell'agente di servizio

Le seguenti funzionalità richiedono la concessione di ruoli IAM all'agente di servizio:

Funzionalità Ruolo richiesto Risorsa di destinazione Descrizione
Chiavi di crittografia gestite dal cliente (CMEK) roles/cloudkms.cryptoKeyEncrypterDecrypter Chiave Cloud KMS Consente all'agente di servizio di criptare e decriptare i dati at-rest utilizzando la tua chiave.
Mirror di Cloud Storage Ruolo personalizzato che concede storage.buckets.get, storage.buckets.update, storage.objects.get e storage.objects.list Bucket Cloud Storage Consente all'agente di servizio di creare notifiche Pub/Sub e di eseguire il mirroring degli oggetti dal bucket all'istanza.
Trasferisci i dati da Cloud Storage roles/storage.objectViewer Bucket Cloud Storage Consente all'agente di servizio di leggere e importare oggetti dal bucket nell'istanza.
Trasferisci dati da e verso Cloud Storage roles/storage.objectUser Bucket Cloud Storage Consente all'agente di servizio di leggere e scrivere oggetti durante le operazioni di importazione ed esportazione.

Se non utilizzi nessuna di queste funzionalità, puoi saltare i passaggi rimanenti in questa sezione.

Crea o recupera l'identità dell'agente di servizio

Per concedere le autorizzazioni all'agente di servizio, devi ottenere la sua identità. L'agente di servizio utilizza il seguente formato:

service-PROJECT_NUMBER@gcp-sa-lustre.

Utilizza una delle seguenti opzioni per creare o determinare l'identità dell'agente di servizio:

  • Se non hai creato un'istanza Managed Lustre: crea manualmente l'agente di servizio eseguendo il comando services identity create:

    gcloud beta services identity create \
  --service=lustre.googleapis.com \
  --project=PROJECT_NUMBER_OR_ID

    Sostituisci PROJECT_NUMBER_OR_ID con il numero o l'ID del progetto in cui vuoi creare l'istanza Managed Lustre. Il comando restituisce un output simile al seguente:

    Service identity created: service-1234567890@gcp-sa-lustre.

  • Se hai già creato un'istanza Managed Lustre: per creare l'identità dell'agente di servizio, recupera il numero di progetto utilizzando il comando gcloud projects describe:

    gcloud projects describe PROJECT_ID --format="value(projectNumber)"

    Sostituisci PROJECT_ID con l'ID progetto. Poi, sostituisci PROJECT_NUMBER nell'indirizzo email dell'agente di servizio:

    service-PROJECT_NUMBER@gcp-sa-lustre.

Concedi le autorizzazioni all'agente di servizio

Dopo aver ottenuto l'identità dell'agente di servizio, consulta la seguente documentazione per concedere il ruolo richiesto per la tua funzionalità:

Autorizzazioni Google Cloud aggiuntive richieste

Oltre alle autorizzazionilustre, potresti aver bisogno di autorizzazioni in altri serviziGoogle Cloud per eseguire attività specifiche:

Attività Autorizzazione
Crea una rete VPC Consulta la sezione Autorizzazioni obbligatorie di Configura una rete VPC
Crea VM di Compute Engine Amministratore istanze Compute (v1). (roles/compute.instanceAdmin.v1) Per ulteriori informazioni, consulta la documentazione di Compute Engine.
Crea e gestisci i cluster Google Kubernetes Engine Container Admin. (roles/container.admin) Per saperne di più, consulta la documentazione di Google Kubernetes Engine.