Controle de acesso com o IAM

Para conceder acesso às operações do Google Cloud Managed Lustre, atribua papéis do Identity and Access Management (IAM) aos usuários.

As permissões do IAM controlam apenas o acesso às operações do Google Cloud Managed Lustre, como a criação de uma instância do Google Cloud Managed Lustre. Para controlar o acesso a operações do sistema de arquivos na instância, como ler ou gravar em um arquivo, use as permissões do arquivo POSIX.

Permissões e papéis

O Managed Lustre usa as seguintes permissões:

Permissão Descrição
lustre.instances.create Criar instâncias
lustre.instances.delete Excluir instâncias
lustre.instances.update Atualizar instâncias. Não permite exclusão
lustre.instances.get Descrever instâncias
lustre.instances.list Listar todas as instâncias
lustre.instances.exportData Exportar dados do Managed Lustre para o Cloud Storage
lustre.instances.importData Importar dados do Cloud Storage para o Managed Lustre
lustre.locations.get Acessar um local
lustre.locations.list Listar todos os locais disponíveis
lustre.mirrors.create Criar espelhos
lustre.mirrors.delete Excluir espelhos
lustre.mirrors.update Atualizar espelhos
lustre.mirrors.get Descrever espelhos
lustre.mirrors.list Listar espelhos
lustre.operations.list Listar operações
lustre.operations.get Acessar uma operação
lustre.operations.cancel Cancelar uma operação
lustre.operations.delete Excluir uma operação

OGoogle Cloud não permite conceder permissões individuais diretamente. É preciso conceder um papel que contenha permissões. Os papéis predefinidos do Managed Lustre são:

  • Administrador do Managed Lustre (roles/lustre.admin)
  • Leitor do Managed Lustre (roles/lustre.viewer)

A tabela a seguir lista as permissões concedidas pelos papéis predefinidos do Managed Lustre, além do papel básico de Editor:

Capacidade Editor (roles/editor) Managed Lustre (roles/lustre.*)
Administrador (roles/lustre.admin) Visualizador (roles/lustre.viewer)
Criar instâncias
Excluir instâncias
Atualizar instâncias
Acessar instâncias
Listar instâncias
Importar/exportar dados de/para o Cloud Storage
Configurar um espelho do Cloud Storage
Acessar um local
Listar locais compatíveis
Listar operações de longa duração
Acessar uma operação
Cancelar uma operação
Excluir uma operação

Papéis personalizados

Se os papéis predefinidos disponíveis não atenderem aos requisitos de acesso da sua organização, crie e aplique papéis personalizados do IAM.

Ao criar papéis personalizados, recomendamos o uso de uma combinação de papéis predefinidos para garantir que as permissões corretas sejam incluídas juntas.

Agente de serviço do Managed Lustre

O Managed Lustre usa um agente de serviço para acessar outros recursos do Google Cloud e realizar ações em seu nome. Um agente de serviço é uma conta serviço gerenciado pelo Google que é criada automaticamente na primeira vez que você cria uma instância do Managed Lustre em um projeto. Ele também pode ser criado manualmente.

A concessão de permissões ao agente de serviço só é necessária se você usar determinados recursos opcionais. Para operações padrão de criação de instâncias e sistemas de arquivos sem esses recursos, não é necessário configurar o agente de serviço.

Recursos que exigem permissões de agente de serviço

Os recursos a seguir exigem a concessão de papéis do IAM ao agente de serviço:

Recurso Papel necessário Recurso de destino Descrição
Chaves de criptografia gerenciadas pelo cliente (CMEK, na sigla em inglês) roles/cloudkms.cryptoKeyEncrypterDecrypter Chave do Cloud KMS Permite que o agente de serviço criptografe e descriptografe dados em repouso usando sua chave.
Espelho do Cloud Storage Papel personalizado que concede storage.buckets.get, storage.buckets.update, storage.objects.get e storage.objects.list Bucket do Cloud Storage Permite que o agente de serviço crie notificações do Pub/Sub e espelhe objetos do bucket na instância.
Transferir dados do Cloud Storage roles/storage.objectViewer Bucket do Cloud Storage Permite que o agente de serviço leia e importe objetos do bucket para a instância.
Transferir dados de e para o Cloud Storage roles/storage.objectUser Bucket do Cloud Storage Permite que o agente de serviço leia e grave objetos durante as operações de importação e exportação.

Se você não estiver usando nenhum desses recursos, pule as etapas restantes desta seção.

Criar ou recuperar a identidade do agente de serviço

Para conceder permissões ao agente de serviço, você precisa receber a identidade dele. O agente de serviço usa o seguinte formato:

service-PROJECT_NUMBER@gcp-sa-lustre.

Use uma das seguintes opções para criar ou determinar a identidade do agente de serviço:

  • Se você não tiver criado uma instância do Managed Lustre: crie o agente de serviço manualmente executando o comando services identity create:

    gcloud beta services identity create \
  --service=lustre.googleapis.com \
  --project=PROJECT_NUMBER_OR_ID

    Substitua PROJECT_NUMBER_OR_ID pelo número ou ID do projeto em que você quer criar a instância do Managed Lustre. O comando retorna uma saída semelhante a esta:

    Service identity created: service-1234567890@gcp-sa-lustre.

  • Se você já tiver criado uma instância do Managed Lustre: para criar a identidade do agente de serviço, recupere o número do projeto usando o comando gcloud projects describe:

    gcloud projects describe PROJECT_ID --format="value(projectNumber)"

    Substitua PROJECT_ID pelo ID do projeto. Em seguida, substitua PROJECT_NUMBER no endereço de e-mail do agente de serviço:

    service-PROJECT_NUMBER@gcp-sa-lustre.

Conceder permissões ao agente de serviço

Depois de receber a identidade do agente de serviço, consulte a documentação a seguir para conceder o papel necessário para o recurso:

Outras permissões Google Cloud obrigatórias

Além das permissões do lustre, talvez você precise de permissões em outros serviços doGoogle Cloud para realizar tarefas específicas:

Tarefa Permissão
Crie uma rede VPC Consulte a seção Permissões necessárias de Configurar uma rede VPC.
Criar VMs do Compute Engine Administrador da instância do Compute (v1). (roles/compute.instanceAdmin.v1) Para mais informações, consulte a documentação do Compute Engine.
Criar e gerenciar clusters do Google Kubernetes Engine Administrador de contêineres. (roles/container.admin) Para mais informações, consulte a documentação do Google Kubernetes Engine.