Kontrol akses dengan IAM

Halaman ini menjelaskan cara mengontrol akses ke resource Perlindungan Data Sensitif.

Sensitive Data Protection menggunakan Identity and Access Management (IAM) untuk mengontrol akses ke resource. IAM adalah alat untuk mengelola otorisasi terperinci untuk resource Anda Google Cloud . Dengan kata lain, IAM memungkinkan Anda mengontrol siapa yang dapat melakukan apa pada resource mana.

Untuk memberi pengguna akses ke resource dengan IAM, Anda memberikan peran tertentu kepada mereka. Peran IAM memberikan izin kepada entitas untuk melakukan tugas pada resource Sensitive Data Protection Anda.

Untuk mengetahui informasi mendetail tentang IAM dan fiturnya, lihat dokumentasi IAM.

Mengelola akses ke resource Perlindungan Data Sensitif

Cara paling umum untuk mengelola akses dengan IAM adalah menggunakan kebijakan izin. Kebijakan izin mencantumkan akun utama yang memiliki akses ke resource dan tindakan apa yang dapat mereka lakukan pada resource tersebut.

Bagian berikut menjelaskan cara mengelola akses dengan kebijakan izin menggunakan Google Cloud konsol dan Google Cloud CLI. Hal ini mencakup prosedur untuk tugas umum, seperti cara memberikan dan mencabut satu peran. Anda juga dapat memberikan dan mencabut beberapa peran secara bersamaan. Untuk mengetahui informasi selengkapnya, lihat Mengelola akses ke project, folder, dan organisasi dalam dokumentasi IAM.

Anda juga dapat menggunakan kebijakan izin yang dilampirkan ke resource Google Cloud yang berbeda untuk mengelola akses di tingkat hierarki resource lainnya. Untuk mempelajari lebih lanjut, lihat Menggunakan hierarki resource untuk akses kontrol dalam dokumentasi IAM.

Tidak semua resource mendukung kebijakan izin. Untuk mempelajari resource mana yang dapat Anda lampirkan kebijakan izin, lihat Resource yang mendukung kebijakan izin dalam dokumentasi IAM.

Untuk mempelajari kebijakan lain yang dapat Anda gunakan untuk mengontrol akses dengan IAM, seperti kebijakan tolak, lihat Jenis kebijakan IAM dalam dokumentasi IAM.

Memberikan satu peran IAM pada project, folder, atau organisasi

Bagian ini menjelaskan cara memberikan akses di tingkat project, folder, atau organisasi. Hal ini mengontrol akses pengguna ke project, folder, atau organisasi, dan semua resource di dalamnya.

Untuk memberikan satu peran ke akun utama pada project, folder, atau organisasi, lakukan hal berikut:

Konsol

1. Di Google Cloud konsol, buka halaman IAM.

   Buka IAM

2. Pilih project, folder, atau organisasi.
3. Pilih akun utama yang akan diberi peran:
   • Untuk memberikan peran tambahan kepada akun utama pada resource, temukan baris yang berisi akun utama, klik Edit akun utama di baris tersebut, lalu klik Tambahkan peran lain.

     Untuk memberikan peran ke agen layanan, centang kotak Sertakan Google-pemberian peran yang disediakan untuk melihat alamat emailnya.

     Catatan: Anda tidak dapat mengedit peran yang diwariskan saat mengelola akses ke resource. Untuk mengedit peran yang diwariskan, buka resource tempat peran diberikan.
   • Untuk memberikan peran ke akun utama yang tidak memiliki peran pada resource, klik Berikan Akses, lalu masukkan ID akun utama—misalnya, atau //iam.googleapis.com/locations/global/workforcePools/example-pool/group/[e-mail].
4. Pilih peran yang akan diberikan dari menu drop-down. Untuk praktik keamanan terbaik, pilih peran yang hanya menyertakan izin yang diperlukan oleh akun utama Anda.
5. Opsional: Tambahkan kondisi ke peran.
6. Klik Simpan. Akun utama diberi peran pada resource.

gcloud

Catatan: Untuk memberikan peran Pemilik (roles/owner) pada project ke pengguna di luar organisasi, Anda harus menggunakan Google Cloud konsol, bukan gcloud CLI. Jika project Anda bukan bagian dari sebuah organisasi, Anda harus menggunakan Google Cloud konsol untuk memberikan peran Pemilik.

1. Di Google Cloud konsol, aktifkan Cloud Shell.

   Aktifkan Cloud Shell

   Di bagian bawah konsol Google Cloud , sesi Cloud Shell akan dimulai dan menampilkan prompt command line. Cloud Shell adalah lingkungan shell dengan Google Cloud CLI yang sudah terinstal, dan dengan nilai yang sudah ditetapkan untuk project Anda saat ini. Diperlukan waktu beberapa detik untuk melakukan inisialisasi pada sesi.

2. Perintah add-iam-policy-binding memungkinkan Anda memberikan peran ke akun utama dengan cepat.

   Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

   • RESOURCE_TYPE: Jenis resource yang aksesnya ingin Anda kelola. Gunakan projects, resource-manager folders, atau organizations.

   • RESOURCE_ID: ID Google Cloud project, folder, atau organisasi Anda. Project ID berupa alfanumerik, seperti my-project. Folder dan ID organisasi berupa numerik, seperti 123456789012.

   • PRINCIPAL: ID untuk akun utama, atau anggota, yang biasanya memiliki bentuk berikut: PRINCIPAL_TYPE:ID. Misalnya, atau principalSet://iam.googleapis.com/locations/global/workforcePools/example-pool/group/[e-mail]. Untuk daftar lengkap nilai yang dapat dimiliki PRINCIPAL, lihat ID principal.

   • ROLE_NAME: Nama peran yang ingin Anda berikan. Gunakan salah satu format berikut:

     • Peran bawaan: roles/SERVICE.IDENTIFIER
     • Peran khusus level project: projects/PROJECT_ID/roles/IDENTIFIER
     • Peran khusus level organisasi: organizations/ORG_ID/roles/IDENTIFIER

     Untuk mengetahui daftar peran bawaan, lihat Memahami peran.

   • CONDITION: Kondisi yang akan ditambahkan ke binding peran. Jika Anda tidak ingin menambahkan kondisi, gunakan nilai None. Untuk informasi selengkapnya tentang kondisi, lihat ringkasan kondisi.

   Jalankan perintah berikut:

   Linux, macOS, atau Cloud Shell

   gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID \
       --member=PRINCIPAL --role=ROLE_NAME \
       --condition=CONDITION

   Windows (PowerShell)

   gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID `
       --member=PRINCIPAL --role=ROLE_NAME `
       --condition=CONDITION

   Windows (cmd.exe)

   gcloud RESOURCE_TYPE add-iam-policy-binding RESOURCE_ID ^
       --member=PRINCIPAL --role=ROLE_NAME ^
       --condition=CONDITION

   Respons berisi kebijakan izin IAM yang telah diupdate.

Catatan: Jika Anda memberikan akses ke alias email pengguna atau domain sekunder, nilai dalam kebijakan izin Anda mungkin tidak cocok dengan nilai yang awalnya Anda masukkan. Jika Anda memberikan akses ke alias email, kebijakan izin akan menampilkan alamat email utama pengguna. Jika Anda memberikan akses ke domain sekunder, kebijakan izin akan menampilkan domain utama domain.

Mencabut satu peran IAM pada project, folder, atau organisasi

Bagian ini menjelaskan cara mencabut akses di tingkat project, folder, atau organisasi. Hal ini mengontrol akses pengguna ke project, folder, atau organisasi, dan semua resource di dalamnya.

Untuk mencabut satu peran dari akun utama pada project, folder, atau organisasi, lakukan hal berikut:

Konsol

1. Di Google Cloud konsol, buka halaman IAM.

   Buka IAM

2. Pilih project, folder, atau organisasi.
3. Cari baris yang berisi akun utama yang aksesnya ingin Anda cabut. Kemudian, klik Edit akun utama di baris tersebut.
   Catatan: Anda tidak dapat mengedit peran yang diwariskan saat mengelola akses ke resource. Untuk mengedit peran yang diwariskan, buka resource tempat peran diberikan.
4. Klik tombol Hapus untuk peran yang ingin Anda cabut, lalu klik Simpan.

gcloud

1. Di Google Cloud konsol, aktifkan Cloud Shell.

   Aktifkan Cloud Shell

   Di bagian bawah konsol Google Cloud , sesi Cloud Shell akan dimulai dan menampilkan prompt command line. Cloud Shell adalah lingkungan shell dengan Google Cloud CLI yang sudah terinstal, dan dengan nilai yang sudah ditetapkan untuk project Anda saat ini. Diperlukan waktu beberapa detik untuk melakukan inisialisasi pada sesi.

2. Untuk mencabut peran dari pengguna, jalankan perintah remove-iam-policy-binding:

   gcloud RESOURCE_TYPE remove-iam-policy-binding RESOURCE_ID \
       --member=PRINCIPAL --role=ROLE_NAME

   Berikan nilai berikut:

   • RESOURCE_TYPE: Jenis resource yang ingin Anda kelola aksesnya. Gunakan projects, resource-manager folders, atau organizations.

   • RESOURCE_ID: ID Google Cloud project, folder, atau organisasi Anda. Project ID berupa alfanumerik, seperti my-project. Folder dan ID organisasi berupa numerik, seperti 123456789012.

   • PRINCIPAL: ID untuk akun utama, atau anggota, yang biasanya memiliki bentuk berikut: PRINCIPAL_TYPE:ID. Misalnya, atau principalSet://iam.googleapis.com/locations/global/workforcePools/example-pool/group/[e-mail].

   • ROLE_NAME: Nama peran yang ingin Anda cabut. Gunakan salah satu format berikut:

     • Peran bawaan: roles/SERVICE.IDENTIFIER
     • Peran khusus level project: projects/PROJECT_ID/roles/IDENTIFIER
     • Peran khusus level organisasi: organizations/ORG_ID/roles/IDENTIFIER

     Untuk mengetahui daftar peran bawaan, lihat Memahami peran.

   Misalnya, untuk mencabut peran Project Creator dari akun layanan example-service-account@example-project. untuk project example-project:

   gcloud projects remove-iam-policy-binding example-project \
         --member=serviceAccount:example-service-account@example-project. \
         --role=roles/resourcemanager.projectCreator

Untuk membantu menghindari pencabutan peran yang diperlukan, Anda dapat mengaktifkan rekomendasi risiko perubahan. Rekomendasi risiko perubahan akan memunculkan peringatan saat Anda mencoba mencabut peran level project yang diidentifikasi oleh Google Cloud sebagai hal penting.

Akses bersyarat

IAM Conditions memungkinkan Anda membuat kebijakan yang lebih terperinci dengan memberikan akses ke akun utama hanya jika kondisi tertentu yang ditentukan terpenuhi. Kondisi didasarkan pada atribut yang terkait dengan akun utama, resource, dan permintaan. Misalnya, Anda dapat memberikan akses ke akun utama hanya jika mereka mengakses resource dari lokasi tertentu atau pada waktu tertentu.

Kondisi dalam kebijakan izin didasarkan pada jenis atribut berikut:

• Atribut resource: Mencakup layanan, jenis, atau nama resource. Atribut ini biasanya digunakan untuk mengubah cakupan akses yang diberikan oleh binding peran.
• Atribut permintaan: Mencakup detail permintaan, seperti waktu atau tingkat akses akun utama yang membuat permintaan. Atribut ini memungkinkan Anda membuat kondisi yang mengevaluasi detail tentang permintaan, seperti tingkat akses, tanggal dan waktu, port dan alamat IP tujuan, atau jalur URL yang diharapkan.

Untuk mengetahui informasi selengkapnya tentang atribut kondisi yang didukung oleh Perlindungan Data Sensitif, lihat Referensi atribut untuk IAM Conditions dalam dokumentasi IAM.

Anda tidak dapat memberikan akses bersyarat secara langsung pada resource Perlindungan Data Sensitif. Namun, Anda dapat memberikan akses bersyarat ke jenis resource Sensitive Data Protection dengan memberikan peran ke akun utama pada resource penampung, seperti project, folder, atau organisasi, dan menambahkan kondisi ke binding peran ini. Kondisi yang ditambahkan ke kebijakan izin resource penampung diwarisi oleh resource yang disertakan dalam resource penampung tersebut. Untuk mengetahui informasi selengkapnya tentang kondisi yang diwarisi, lihat Dukungan untuk kondisi yang diwarisi dalam dokumentasi IAM.

Untuk mempelajari cara menambahkan kondisi ke binding peran, lihat Mengelola binding peran bersyarat dalam dokumentasi IAM.

Langkah berikutnya

• Untuk mempelajari lebih lanjut kontrol akses dengan IAM, lihat ringkasan IAM.
• Untuk melihat peran dan izin yang tersedia untuk Perlindungan Data Sensitif, lihat Peran dan izin Perlindungan Data Sensitif.
• Pelajari lebih lanjut cara layanan penemuan data sensitif menggunakan penampung agen layanan dan agen layanan untuk membuat profil resource data Anda.