Kontrol akses dengan IAM

Halaman ini menjelaskan cara mengontrol akses dan izin project Memorystore for Redis menggunakan Identity and Access Management (IAM).

Ringkasan

Google Cloud menawarkan IAM, yang memungkinkan Anda memberikan akses secara lebih terperinci ke resource Google Cloud tertentu dan mencegah akses yang tidak diinginkan ke resource lain. Halaman ini menjelaskan peran dan izin IAM Memorystore for Redis. Untuk mengetahui deskripsi mendetail tentang peran dan izin, lihat dokumentasi IAM.

Memorystore for Redis menyediakan serangkaian peran yang telah ditetapkan dan dirancang untuk membantu Anda mengontrol akses ke resource Redis dengan mudah. Jika peran bawaan tidak memberikan kumpulan izin yang Anda perlukan, Anda juga dapat membuat peran khusus sendiri. Selain itu, peran dasar yang lebih lama (Editor, Viewer, dan Pemilik) juga tetap tersedia untuk Anda, meskipun peran tersebut tidak memberikan kontrol terperinci yang sama dengan peran Memorystore for Redis. Secara khusus, peran dasar memberikan akses ke resource di seluruh Google Cloud, bukan hanya untuk Memorystore for Redis. Untuk mengetahui informasi selengkapnya tentang peran dasar, lihat Peran dasar.

Izin dan peran

Bagian ini merangkum izin dan peran yang didukung Memorystore for Redis.

Peran yang telah ditetapkan

Memorystore for Redis menyediakan beberapa peran bawaan yang dapat Anda gunakan untuk memberikan izin yang lebih terperinci kepada akun utama. Peran yang Anda berikan kepada akun utama mengontrol tindakan yang dapat dilakukan akun utama. Akun utama dapat berupa individu, grup, atau akun layanan.

Anda dapat memberikan beberapa peran ke akun utama yang sama, dan jika Anda memiliki izin untuk melakukannya, Anda dapat mengubah peran yang diberikan ke akun utama kapan saja.

Peran yang lebih luas mencakup peran yang lebih spesifik. Misalnya, peran Redis Editor mencakup semua izin peran Redis Viewer, beserta penambahan izin untuk peran Redis Editor. Demikian juga, peran Admin Redis mencakup semua izin peran Editor Redis, beserta izin tambahannya.

Peran dasar (Pemilik, Editor, Viewer) memberikan izin di seluruh Google Cloud. Peran khusus Memorystore for Redis hanya memberikan izin Memorystore for Redis, kecuali untuk izin Google Cloud berikut, yang diperlukan untuk penggunaan Google Cloud umum:

resourcemanager.projects.get
resourcemanager.projects.list

Tabel berikut mencantumkan peran bawaan yang tersedia untuk Memorystore for Redis, beserta izin Memorystore for Redis:

Peran Nama Izin Redis Deskripsi

roles/owner

Pemilik

redis.*

Akses dan kontrol penuh untuk semua resource Google Cloud ; mengelola akses pengguna

roles/editor

Editor Semua izin redis kecuali untuk *.getIamPolicy & .setIamPolicy Akses baca-tulis ke semua resource Google Cloud dan Redis (kontrol penuh kecuali untuk kemampuan mengubah izin)

roles/viewer

Pelihat

redis.*.get redis.*.list

Akses hanya baca ke semua resource Memorystore for Redis. Namun, Anda tidak dapat menggunakan izin ini untuk melihat data yang terkait dengan resource.

roles/redis.admin

Admin Redis

redis.*

Kontrol penuh untuk semua resource Memorystore for Redis.

roles/redis.editor

Redis Editor Semua izin redis kecuali untuk

redis.instances.getAuthString

Mengelola instance Memorystore for Redis. Tidak dapat membuat atau menghapus instance.

roles/redis.viewer

Redis Viewer Semua izin redis kecuali untuk

redis.instances.create redis.instances.delete redis.instances.update redis.instances.upgrade redis.instances.import redis.instances.export redis.instances.updateAuth redis.instances.getAuthString redis.operations.delete

Akses hanya baca ke semua resource Memorystore for Redis.

Izin dan perannya

Tabel berikut mencantumkan setiap izin yang didukung oleh Memorystore for Redis dan peran Memorystore for Redis yang menyertakannya:

Izin Peran Redis Peran dasar

redis.instances.list

Redis Admin
Redis Editor
Redis Viewer		 Pembaca

redis.instances.get

Redis Admin
Redis Editor
Redis Viewer		 Pembaca

redis.instances.create

Admin Redis Penulis

redis.instances.update

Redis Admin
Redis Editor		 Penulis

redis.instances.updateAuth

Admin Redis Penulis

redis.instances.getAuthString

Admin Redis Penulis

redis.instances.delete

Admin Redis Penulis

redis.instances.upgrade

 Admin Redis Penulis

redis.instances.import

 Admin Redis Penulis

redis.instances.export

 Admin Redis Penulis

redis.locations.list

Redis Admin
Redis Editor
Redis Viewer		 Pembaca

redis.locations.get

Redis Admin
Redis Editor
Redis Viewer		 Pembaca

redis.operations.list

Redis Admin
Redis Editor
Redis Viewer		 Pembaca

redis.operations.get

Redis Admin
Redis Editor
Redis Viewer		 Pembaca

redis.operations.delete

Admin Redis Penulis

Peran khusus

Jika peran bawaan tidak memenuhi persyaratan bisnis unik Anda, Anda dapat menentukan peran khusus sendiri dengan izin yang Anda tentukan. Untuk mendukung hal ini, IAM menawarkan peran khusus. Saat membuat peran khusus untuk Memorystore for Redis, pastikan Anda menyertakan resourcemanager.projects.get dan resourcemanager.projects.list. Jika tidak, konsol Google Cloud tidak akan berfungsi dengan benar untuk Memorystore for Redis. Untuk mengetahui informasi selengkapnya, lihat Dependensi izin. Untuk mempelajari cara membuat peran khusus, lihat Membuat peran khusus.

Izin yang diperlukan untuk tugas umum di konsol Google Cloud

Agar pengguna dapat menggunakan Memorystore for Redis menggunakan konsol Google Cloud , peran pengguna harus menyertakan izin resourcemanager.projects.get dan resourcemanager.projects.list.

Tabel berikut memberikan izin lain yang diperlukan untuk beberapa tugas umum di konsol Google Cloud :

Tugas Izin tambahan yang diperlukan
Menampilkan halaman listingan instance

redis.instances.get
redis.instances.list

Membuat dan mengedit instance

redis.instances.create
redis.instances.get
redis.instances.list
compute.networks.list

Menghapus instance

redis.instances.delete
redis.instances.get
redis.instances.list

Menghubungkan ke instance dari Cloud Shell

redis.instances.get
redis.instances.list
redis.instances.update

Melihat informasi instance

redis.instances.get
monitoring.timeSeries.list

Mengimpor dan mengekspor file cadangan RDB

redis.instances.import
redis.instances.export

Mengupgrade versi Redis instance

redis.instances.upgrade

Izin yang diperlukan untuk perintah gcloud

Agar pengguna dapat menggunakan Memorystore for Redis menggunakan perintah gcloud, peran pengguna harus menyertakan izin resourcemanager.projects.get dan resourcemanager.projects.list.

Tabel berikut mencantumkan izin yang harus dimiliki pengguna yang memanggil perintah gcloud untuk setiap subperintah gcloud redis:

Perintah Izin yang diperlukan
gcloud redis instances auth

redis.instances.updateAuth
redis.instances.getAuthString

gcloud redis instances create

redis.instances.get
redis.instances.create

gcloud redis instances delete

redis.instances.delete
gcloud redis instances update

redis.instances.get
redis.instances.update

gcloud redis instances list

redis.instances.list
gcloud redis instances describe

redis.instances.get
gcloud redis instances import

redis.instances.import
gcloud redis instances export

redis.instances.export
gcloud redis instances upgrade

redis.instances.upgrade
gcloud redis operations list

redis.operations.list
gcloud redis operations describe

redis.operations.get
gcloud redis regions list

redis.locations.list
gcloud redis regions describe

redis.locations.get
gcloud redis zones list

redis.locations.list

Izin yang diperlukan untuk metode API

Tabel berikut mencantumkan izin yang harus dimiliki pemanggil untuk memanggil setiap metode di Memorystore for Redis API atau untuk melakukan tugas menggunakan alat Google Cloud yang menggunakan API (seperti konsol Google Cloud atau alat command line gcloud):

Metode Izin yang diperlukan

locations.get

redis.locations.get

locations.list

redis.locations.list

instances.create

redis.instances.create

instances.delete

redis.instances.delete

instances.get

redis.instances.get

instances.list

redis.instances.list

instances.patch

redis.instances.update

instances.import

redis.instances.import

instances.export

redis.instances.export

instances.upgrade

redis.instances.upgrade

operations.get

redis.operations.get

operations.list

redis.operations.list

Akun layanan Memorystore for Redis

Setiap instance Memorystore for Redis memiliki akun layanan yang digunakan untuk berkomunikasi dengan resource Google Cloud lainnya.

Terkadang (seperti saat mengekspor, atau menggunakan CMEK), Anda harus memberikan peran atau izin tertentu ke akun layanan.

Format akun layanan Memorystore for Redis

Akun layanan instance Anda menggunakan salah satu dari dua format yang berbeda, bergantung pada waktu pembuatannya.

  • Format pertama adalah:

    PROJECT_NUMBER-compute@

  • Format kedua adalah:

    service-PROJECT_NUMBER@cloud-redis.

Masalah umum

Terkadang, akun layanan yang menggunakan format [PROJECT_NUMBER]-compute@ dapat bertentangan dengan kebijakan organisasi Anda. Untuk mengetahui informasi selengkapnya, dan langkah-langkah untuk menyelesaikan masalah ini, lihat Masalah terkait kebijakan organisasi berbagi yang dibatasi domain.

Melihat akun layanan instance Anda

Untuk melihat akun layanan instance Anda, jalankan perintah berikut dan catat akun layanan yang tercantum di bagian persistenceIamIdentity:

gcloud redis instances describe [INSTANCE_ID] --region=[REGION]

Izin AUTH Redis

Tabel berikut menunjukkan izin minimum yang diperlukan pengguna untuk menyelesaikan beberapa tugas AUTH Memorystore untuk Redis dasar.

Izin diperlukan Membuat instance Memorystore dengan Redis AUTH diaktifkan Mengaktifkan/menonaktifkan AUTH pada instance Redis yang ada Melihat string AUTH Melihat apakah AUTH diaktifkan/dinonaktifkan untuk instance Redis
redis.instances.create ✓ X X X
redis.instances.update X ✓ X X
redis.instances.get X X X ✓
redis.instances.updateAuth ✓ ✓ X X
redis.instances.getAuthString X X ✓ X

Izin enkripsi dalam pengiriman

Tabel di bawah menunjukkan izin yang diperlukan untuk mengaktifkan dan mengelola Enkripsi saat transit untuk Memorystore for Redis.

Izin diperlukan Membuat instance Memorystore dengan enkripsi dalam pengiriman Mendownload Certificate Authority
redis.instances.create ✓ X
redis.instances.get X ✓

Izin kebijakan pemeliharaan

Tabel di bawah menunjukkan izin yang diperlukan untuk mengelola Kebijakan pemeliharaan untuk Memorystore for Redis.

Izin diperlukan Membuat instance Memorystore dengan kebijakan pemeliharaan diaktifkan Membuat atau mengubah kebijakan pemeliharaan pada instance Memorystore yang ada Melihat setelan kebijakan pemeliharaan Menjadwalkan ulang pemeliharaan
redis.instances.create ✓ X X X
redis.instances.update X ✓ X X
redis.instances.get X X ✓ X
redis.instances.rescheduleMaintenance X X X ✓

Izin yang diperlukan untuk impor dan ekspor

Penggunaan peran khusus untuk mengimpor dan mengekspor memerlukan dua peran khusus yang terpisah. Satu peran khusus untuk pengguna, dan peran khusus tambahan untuk akun layanan instance Redis. Peran khusus untuk akun layanan menggunakan izin level bucket Cloud Storage.

Untuk menemukan akun layanan instance Anda, lihat Melihat akun layanan instance Anda

Izin untuk akun layanan

Perhatikan bahwa Anda hanya perlu memberikan izin penyimpanan ke akun layanan di level bucket, bukan seluruh project. Untuk mengetahui petunjuknya, lihat Menambahkan akun utama ke kebijakan level bucket.

Setelah memberikan izin tingkat bucket ke akun layanan, Anda dapat mengabaikan pesan yang menyatakan "Memorystore is unable to verify if service account xxxx@xxxx. has the permissions required to import/export. Untuk mendapatkan bantuan dalam memverifikasi atau memperbarui izin, hubungi administrator project Anda. Untuk mengetahui izin yang diperlukan, lihat dokumentasi izin impor/ekspor." Jika Anda menerapkan izin yang tercantum di bawah ke peran khusus untuk akun pengguna dan akun layanan, impor/ekspor akan berhasil.

Izin untuk peran khusus untuk akun layanan Mengimpor dengan gcloud Mengekspor dengan gcloud Mengimpor dengan konsol Google Cloud Ekspor dengan konsol Google Cloud
storage.buckets.get ✓ ✓ ✓ ✓
storage.objects.get ✓ X ✓ X
storage.objects.create X ✓ X ✓
storage.objects.delete X Opsional.
(Memberikan izin untuk menimpa file RDB yang ada).		 X Opsional.
(Memberikan izin untuk menimpa file RDB yang ada).

Izin untuk akun pengguna

Izin untuk peran khusus untuk akun pengguna Mengimpor dengan gcloud Mengekspor dengan gcloud Mengimpor dengan konsol Google Cloud Ekspor dengan konsol Google Cloud
resourcemanager.projects.get X X ✓ ✓
redis.instances.get ✓ ✓ ✓ ✓
redis.instances.list X X X X
redis.instances.import ✓ X ✓ X
redis.instances.export X ✓ X ✓
redis.operations.get X ✓ ✓ ✓
redis.operations.list X X ✓ ✓
redis.operations.cancel ✓ ✓ ✓ ✓
storage.buckets.list X X ✓ ✓
storage.buckets.get X X ✓ ✓
storage.objects.list X X ✓ ✓
storage.objects.get X X ✓ ✓

Langkah berikutnya