Autorização e controle de acesso

O Identity and Access Management (IAM) é uma ferramenta que permite controlar quem pode fazer o quê no seu ambiente do Cloud de Confiance by S3NS .

O acesso é controlado com permissões do IAM, que são necessárias para trabalhar com qualquer recurso em um ambiente Cloud de Confiance . Quando você recebe permissões para trabalhar com um recurso, tem autorização para acessar esse recurso. Sem a autorização adequada, não é possível acessar os recursos do Cloud de Confiance.

Permissões e papéis

Para trabalhar com um recurso, sua conta de usuário precisa ter as permissões relevantes para acessar esse recurso.

Normalmente, o administrador do IAM é responsável por controlar o acesso aos recursos. Seu administrador pode conceder permissões para acessar um único recurso ou todos os recursos em um projeto, pasta ou organização. Os administradores concedem as permissões relevantes à sua conta de usuário em pacotes chamados funções. Desde que sua conta de usuário tenha uma função com as permissões adequadas, você pode usar essa função para acessar recursos do Cloud de Confiance .

Em geral, o fluxo de trabalho para realizar uma ação em qualquer recurso no seu ambienteCloud de Confiance é assim:

  1. Você quer realizar uma ação em um recurso, por exemplo, fazer upload de um objeto para um bucket do Cloud Storage, mas não tem as permissões adequadas. Sem as permissões, não é possível realizar a ação.
  2. Você pode pedir as permissões necessárias ao administrador do IAM pelo sistema de gerenciamento de solicitações preferido ou diretamente pela mensagem de erro de permissão no console do Cloud de Confiance .
  3. O administrador do IAM concede uma função que contém as permissões adequadas à sua conta de usuário. Agora você pode realizar a ação.

Como usar o IAM como administrador

Normalmente, os administradores são responsáveis por conceder papéis aos usuários para que eles possam acessar recursos do Cloud de Confiance . Os usuários são representados por identidades autenticadas conhecidas como principais.

Para conceder papéis a um principal em um recurso, é necessário editar a política de permissão anexada a ele. As políticas de permissão listam quais principais têm acesso ao recurso e quais ações podem ser realizadas nele. O IAM usa políticas de permissão para determinar se um principal tem as permissões necessárias para acessar o recurso. Portanto, para conceder a um principal acesso a um recurso específico, atualize a política de permissão do recurso com o principal e as funções que você quer conceder.

Os administradores podem conceder papéis a usuários principais nos seguintes tipos de recursos:

  • Projetos, pastas e organizações: esses recursos são os contêineres usados para estruturar sua hierarquia de recursos. Os papéis concedidos nesses recursos de contêiner se aplicam a todos os recursos específicos do serviço que eles contêm.
  • Recursos específicos do serviço: são os recursos ou componentes oferecidos por um serviço. Por exemplo, o Compute Engine tem recursos como instâncias, discos e sub-redes. A concessão de papéis em um recurso específico do serviço oferece um controle de acesso mais granular do que a concessão de papéis em um recurso de contêiner, porque limita o acesso de um usuário apenas a esse recurso.

Controle de acesso avançado com o IAM

As políticas de permissão são o método mais comum para controlar o acesso a um ambienteCloud de Confiance com o IAM. No entanto, o IAM também oferece outras opções mais avançadas de controle de acesso, incluindo:

  • Políticas de negação
  • Controles de acesso condicionais baseados em atributos

Outras formas de controle de acesso

Embora o IAM seja o principal método de controle de acesso para o Cloud de Confiance, há outros serviços do Cloud de Confiance que podem afetar o acesso de um usuário aos recursos.

Confira alguns exemplos de outros serviços que podem afetar o acesso de um usuário:

  • Access Context Manager: permite definir um controle de acesso refinado e baseado em atributos para projetos e recursos em Cloud de Confiance.
  • Serviço de políticas da organização: com as políticas da organização, é possível configurar restrições em toda a hierarquia de recursos para ter controle centralizado e programático sobre os recursos de nuvem da organização.

A seguir