שימוש בתנאים ב-IAM

המסוף

בדוגמה הזו אפשר לראות איך לשנות את הקישור הקיים ב-IAM לפרויקט כדי לתת לחשבון שירות תפקיד של לקוח Cloud SQL עבור מופע ספציפי.

בדוגמה הזו נעשה שימוש במשתנים הבאים:

• ‫PROJECT_ID: הפרויקט ב- Cloud de Confiance .
• ‫INSTANCE_ID: השם של המכונה שרוצים לתת לה גישה.

1. נכנסים לדף Service accounts במסוף Cloud de Confiance .

   כניסה לדף IAM

2. לוחצים על הוספה.
3. בתיבת הקלט New Members (משתמשים חדשים), מזינים את כתובת האימייל של חשבון השירות.
4. לוחצים על הרשימה הנפתחת תפקיד ובוחרים בתפקיד Cloud SQL Client.
5. לוחצים על הוספת תנאי.
6. מזינים שם ותיאור.
7. בוחרים את הכרטיסייה Condition editor (עורך התנאים).
8. בקטע Condition builder (הכלי להגדרת תנאים):
   • בשדה Condition type - Resource - Name, מזינים projects/PROJECT_ID/instances/INSTANCE_ID
   • מוודאים שהתנאי AND נבחר.
   • בשדה Condition type - Resource - Service, בוחרים באפשרות sqladmin.googleapis.com.
9. לוחצים על שמירה כדי לשמור את התנאי.
10. לוחצים על שמירה כדי לשמור את המדיניות.

gcloud

בדוגמה הזו אפשר לראות איך לשנות את הקישור הקיים של מדיניות IAM לפרויקט כדי לתת לחשבון שירות ספציפי את התפקיד Cloud SQL Client, אבל רק עבור מכונה ספציפית.

בדוגמה הזו נעשה שימוש במשתנים הבאים:

• ‫PROJECT_ID: הפרויקט ב- Cloud de Confiance .
• ‫INSTANCE_ID: השם של המכונה שרוצים לתת גישה אליה.
• ‫SERVICE_ACCOUNT_EMAIL: כתובת האימייל המלאה של חשבון השירות שרוצים לשנות את הגישה שלו.

1. מקבלים את הקישורים הקיימים למדיניות IAM ומציגים אותם בקובץ bindings.json:

gcloud projects get-iam-policy PROJECT_ID --format=json > bindings.json

2. מוסיפים את קישור התפקיד המותנה הבא לקובץ bindings.json:

   {
     "bindings": [
       {
         "role": "roles/cloudsql.client",
         "members": [
           "serviceAccount:SERVICE_ACCOUNT_EMAIL"
         ],
         "condition": {
           "expression": "resource.name == 'projects/PROJECT_ID/instances/INSTANCE_ID'
             && resource.service == 'sqladmin.googleapis.com'"
         }
       }
     ],
     "etag": "BwWKmjvelug=",
     "version": 3
   }

3. מעדכנים את מדיניות ה-IAM באמצעות הקובץ החדש bindings.json.

   gcloud projects set-iam-policy PROJECT_ID bindings.json

Terraform

כדי לאפשר למשתמשים להתחבר למופעים ספציפיים, צריך להשתמש במשאב נתונים של Terraform google_iam_policy ובgoogle_project_iam_policyמשאב של Terraform.

data "google_iam_policy" "sql_iam_policy" {
  binding {
    role = "roles/cloudsql.client"
    members = [
      "serviceAccount:${google_project_service_identity.gcp_sa_cloud_sql.email}",
    ]
    condition {
      expression  = "resource.name == 'projects/${data.google_project.project.project_id}/instances/${google_sql_database_instance.default.name}' && resource.type == 'sqladmin.googleapis.com/Instance'"
      title       = "created"
      description = "Cloud SQL instance creation"
    }
  }
}

resource "google_project_iam_policy" "project" {
  project     = data.google_project.project.project_id
  policy_data = data.google_iam_policy.sql_iam_policy.policy_data
}

החלה של השינויים

כדי להחיל את ההגדרות של Terraform בפרויקט ב- Cloud de Confiance , מבצעים את השלבים בקטעים הבאים.

הכנת Cloud Shell

1. מפעילים את Cloud Shell.

2. מגדירים את פרויקט ברירת המחדל שבו רוצים להחיל את ההגדרות של Terraform. Cloud de Confiance

   תצטרכו להריץ את הפקודה הזו רק פעם אחת לכל פרויקט, ותוכלו לעשות זאת בכל ספרייה.

   export GOOGLE_CLOUD_PROJECT=PROJECT_ID

   אם תגדירו ערכים ספציפיים בקובץ התצורה של Terraform, הם יבטלו את ערכי ברירת המחדל של משתני הסביבה.

הכנת הספרייה

לכל קובץ תצורה של Terraform צריכה להיות ספרייה משלו (שנקראת גם מודול ברמה הבסיסית).

1. יוצרים ספרייה חדשה ב-Cloud Shell ובה יוצרים קובץ חדש. שם הקובץ חייב לכלול את הסיומת .tf, למשל main.tf. במדריך הזה, הקובץ נקרא main.tf.

   mkdir DIRECTORY && cd DIRECTORY && touch main.tf

2. אם אתם עוקבים אחרי המדריך, תוכלו להעתיק את הקוד לדוגמה בכל קטע או שלב.

   מעתיקים את הקוד לדוגמה בקובץ main.tf החדש שיצרתם.

   לחלופין, אפשר גם להעתיק את הקוד מ-GitHub. כדאי לעשות את זה כשקטע הקוד של Terraform הוא חלק מפתרון מקצה לקצה.

3. בודקים את הפרמטרים לדוגמה ומשנים אותם בהתאם לסביבה שלכם.
4. שומרים את השינויים.
5. מפעילים את Terraform. צריך לעשות זאת רק פעם אחת לכל ספרייה.

   terraform init

   אופציונלי: תוכלו לכלול את האפשרות -upgrade, כדי להשתמש בגרסה העדכנית ביותר של הספק של Google:

   terraform init -upgrade

החלה של השינויים

1. בודקים את ההגדרות ומוודאים שהמשאבים שמערכת Terraform תיצור או תעדכן תואמים לציפיות שלכם:

   terraform plan

   מתקנים את ההגדרות לפי הצורך.

2. מריצים את הפקודה הבאה ומזינים yes בהודעה שמופיעה, כדי להחיל את הגדרות Terraform:

   terraform apply

   ממתינים עד שב-Terraform תוצג ההודעה "Apply complete!‎".

3. פותחים את Cloud de Confiance הפרויקט כדי לראות את התוצאות. במסוף Cloud de Confiance , נכנסים למשאבים בממשק המשתמש כדי לוודא שהם נוצרו או עודכנו ב-Terraform.

מחיקת השינויים

כדי למחוק את השינויים:

1. כדי להשבית את ההגנה מפני מחיקה, בקובץ התצורה של Terraform מגדירים את הארגומנט deletion_protection לערך false.

   deletion_protection =  "false"

2. מריצים את הפקודה הבאה ומזינים yes בהודעה שמופיעה, כדי להחיל את הגדרות Terraform המעודכנות:

   terraform apply

3. כדי להסיר משאבים שהוחלו בעבר על הגדרות Terraform, מריצים את הפקודה הבאה ומזינים yes בהודעה שמופיעה:

   terraform destroy

המסוף

1. נכנסים לדף Service accounts במסוף Cloud de Confiance .

   כניסה לדף IAM

2. לוחצים על הכרטיסייה PRINCIPALS.
3. מאתרים את כתובת האימייל של המשתמש או את חשבון השירות (הגורם המורשה) שרוצים להגביל את הגישה שלהם.
4. לוחצים על סמל Edit principal (עריכת הגורם המרכזי) משמאל לגורם המרכזי. הסמל הזה נראה כמו עיפרון.
5. בתיבת הדו-שיח Edit permissions, לוחצים על ADD ANOTHER ROLE.

6. בתיבת הדו-שיח הבאה, בשדה Filter, מזינים Cloud SQL Admin. לאחר מכן בוחרים בתפקיד Cloud SQL Admin שמופיע.

   תיבת הדו-שיח Edit permissions פעילה, והתפקיד Cloud SQL Admin מופיע עכשיו בתיבת הדו-שיח.

7. משמאל לתפקיד Cloud SQL Admin, לוחצים על הקישור Add condition (הוספת תנאי).
8. בתיבת הדו-שיח עריכת תנאי, מציינים את הפרטים הבאים:
   1. בשדה Title, מזינים שם לתנאי שמוסיפים כדי להגביל את הגישה לפעולות גיבוי עבור מופעי בדיקה. לדוגמה, אפשר להזין Limit access to backup operations.

   2. לוחצים על הכרטיסייה CONDITION EDITOR (עורך התנאים) ומוסיפים את התנאי הבא:

      resource.type == "sqladmin.googleapis.com/BackupRun" && 
      resource.name.startsWith("projects/PROJECT_ID/instances/test")
          

9. לוחצים על SAVE.
10. בתיבת הדו-שיח עריכת הרשאות, לוחצים על שמירה.

gcloud

בדוגמה הזו נעשה שימוש במשתנים הבאים:

• ‫PROJECT_ID: הפרויקט ב- Cloud de Confiance .
• ‫USER_EMAIL: כתובת האימייל של המשתמש.
• ‫SERVICE_ACCOUNT_EMAIL:כתובת האימייל המלאה של חשבון השירות שרוצים להגביל את הגישה שלו.

1. הגבלת ההיקף של התפקיד cloudsql.admin למשתמש עם כתובת האימייל USER_EMAIL.

   ההיקף של התפקיד מוגבל למשאבים ששמות המשאבים שלהם מתחילים ב-projects/PROJECT_ID/instances/test.

   gcloud projects add-iam-policy-binding PROJECT_ID \ --member=user:USER_EMAIL \
   --role=roles/cloudsql.admin \
   --condition=expression="resource.type == \"sqladmin.googleapis.com/BackupRun\" && resource.name.startsWith(\"projects/PROJECT_ID/instances/test-instance-1\")",title="test"
       

או

2. הגבלת היקף התפקיד cloudsql.admin למשתמש שמחובר באמצעות חשבון שירות של SERVICE_ACCOUNT_EMAIL.

   gcloud projects add-iam-policy-binding PROJECT_ID \ --member=serviceAccount:SERVICE_ACCOUNT_EMAIL \
   --role=roles/cloudsql.admin \
   --condition=expression="resource.type == \"sqladmin.googleapis.com/BackupRun\" && resource.name.startsWith(\"projects/PROJECT_ID/instances/test-instance-1\")",title="test"
       

המסוף

1. נכנסים לדף Service accounts במסוף Cloud de Confiance .

   כניסה לדף IAM

2. לוחצים על הוספה.
3. בשדה New Members (משתמשים חדשים), מזינים את כתובת האימייל של חשבון השירות.
4. לוחצים על הרשימה הנפתחת תפקיד ובוחרים בתפקיד עריכת Cloud SQL. לא מוסיפים עוד כלום לתפקיד הזה.
5. לוחצים על שמירה כדי לשמור את התנאי.
6. לוחצים על התפריט Role (תפקיד) של אותו חשבון ובוחרים בתפקיד Cloud Cloud SQL Admin (אדמין של Cloud SQL).
7. לוחצים על הוספת תנאי.
8. מזינים שם ותיאור.
9. בוחרים את הכרטיסייה Condition editor (עורך התנאים).
10. בקטע Condition builder (הכלי להגדרת תנאים):
    • בשדה Condition type - Resource - Name, מזינים שם לתנאי.
    • בשדה Condition type - Resource - Service, בוחרים באפשרות sqladmin.googleapis.com.
    • בשדה Condition type - Resource - Tag, מזינים את השם ממרחב השמות של מפתח התג. בדוגמה הזו, האופרטור הוא matches והערך הוא 815471563813/env/test.
11. לוחצים על שמירה כדי לשמור את התנאי.
12. לוחצים על שמירה כדי לשמור את המדיניות.

gcloud

בדוגמה הזו נעשה שימוש במשתנים הבאים:

• ‫PROJECT_ID: הפרויקט ב- Cloud de Confiance .
• ‫INSTANCE_ID: מופע Cloud SQL.
• ‫REGION: האזור שבו נמצא מופע Cloud SQL.
• ‫ORGANIZATION_ID: המזהה של הארגון שיהיה משאב האב של מפתח התג הזה. לדוגמה: 12345678901. במאמר יצירה וניהול של ארגונים מוסבר איך מוצאים את מספר הארגון.
• ‫SERVICE_ACCOUNT_EMAIL:כתובת האימייל המלאה של חשבון השירות שרוצים לשנות את הגישה שלו.

1. יוצרים מפתח תג בשם env עם ערכי התגים prod ו-test. מידע נוסף זמין במאמר יצירה והגדרה של תג חדש.

   gcloud alpha resource-manager tags keys create env \
   --parent=organizations/ORGANIZATION_ID
   gcloud alpha resource-manager tags values create prod \
   --parent=env
   gcloud alpha resource-manager tags values create test \
   --parent=env
       

2. מצרפים את התג env עם הערך test למכונות של Cloud SQL בסביבת הבדיקה. מידע נוסף זמין במאמר תגים של Cloud SQL.

gcloud alpha resource-manager tags bindings create \
--tag-value=test \
--parent=//sqladmin.googleapis.com/projects/PROJECT_ID/instances/INSTANCE_ID \
--location=REGION
  

3. מקבלים את הקישורים הקיימים למדיניות IAM ומציגים אותם בקובץ bindings.json:

   gcloud projects get-iam-policy PROJECT_ID --format=json >> bindings.json

4. מוסיפים את הקישורים המותנים הבאים לקובץ bindings.json:

   {
     "bindings": [
       {
         "role": "roles/cloudsql.editor",
         "members": [
             "serviceAccount:SERVICE_ACCOUNT_EMAIL"
           ]
       },
       {
         "role": "roles/cloudsql.admin",
         "members": [
             "serviceAccount:SERVICE_ACCOUNT_EMAIL"
           ],
         "condition": {
           "expression": "resource.matchTag('ORGANIZATION_ID/env', 'test')"
         }
       }
     ],
     "etag": "BwWKmjvelug="
     "version": 3
   }

5. מעדכנים את הקישורים למדיניות IAM באמצעות הקובץ החדש bindings.json.

   gcloud projects set-iam-policy PROJECT_ID bindings.json