Guide du débutant sur la gestion des autorisations dans Google Cloud Platform
Google Cloud Platform est sécurisé avec son système de gestion des identités et des accès, qui contrôle les autorisations de chaque utilisateur de votre projet. Si vous passez d’AWS, GCP fait les choses un peu différemment.
Comment fonctionnent les autorisations?
Si vous êtes habitué au système IAM du même nom d’AWS, vous pouvez reconnaître certains des mots-clés ici, mais ils signifient des choses différentes. Avec l’IAM de Google, vous gérez le contrôle d’accès « en définissant qui (identité) a quel accès (rôle) pour quelle ressource.«
Tout d’abord, l’identité. Il peut s’agir de comptes utilisateur Google individuels ou de comptes G Suite ayant accès au projet, ou d’un compte de service pouvant être utilisé pour donner accès à une application, ou d’un groupe Google entier. Ces différents types d’utilisateurs auront tous des façons différentes d’accéder aux ressources GCP, mais les autorisations sont gérées de la même manière.
Les autorisations multiples sont regroupées en «rôles», qui sont accordés à des utilisateurs spécifiques. Contrairement à AWS, les rôles ne donnent pas d’accès granulaire à une ressource particulière. Au lieu de cela, les rôles sont des éléments généraux qui peuvent être appliqués à plusieurs ressources, comme «Administrateur d’instance», «Visionneuse» ou «Éditeur». S’il est associé à l’utilisateur, il donnera des autorisations à l’échelle du projet pour toutes les ressources du compte. S’il est attaché à une ressource individuelle, il donnera des autorisations pour cette ressource.
Les rôles et les identités sont liés dans une stratégie IAM, qui applique quels rôles sont attribués à quelles identités. Les stratégies IAM sont directement attachées aux instances, non définies dans la console IAM.
Vous obtenez un système dans lequel vous pouvez simplement ajouter des personnes à des ressources individuelles, telles que des instances Compute Engine, et leur attribuer des rôles spécifiques qui leur permettent d’accéder à la ressource donnée.
Pour cette raison, les autorisations granulaires sont gérées au niveau des ressources dans les paramètres de ces ressources. Pour Compute Engine, vous attribuez à une liste de membres un rôle spécifique, tel qu’administrateur d’instance, qui leur permet d’administrer l’instance.
Utilisation de la console IAM
Tous les différents paramètres d’IAM sont gérés dans la section IAM de GCP. Sous «IAM», vous trouverez des commandes permettant d’afficher les membres du projet, ainsi que d’ajouter de nouveaux membres.
Lorsque vous ajoutez ou modifiez des utilisateurs, vous pouvez leur accorder des autorisations à l’échelle du projet, telles que lecteur, éditeur ou propriétaire, ou des autorisations spécifiques à appliquer à un type de ressource entier, mais pas à des ressources spécifiques telles que des instances individuelles de Compute Engine ou des buckets Cloud Storage.
En ce qui concerne les autorisations, il en existe de nombreuses prédéfinies et, en raison de la façon dont vous les attribuez manuellement à des ressources spécifiques, vous n’aurez pas à les créer presque aussi souvent que vous le feriez pour les stratégies AWS. Cependant, si vous souhaitez les modifier, vous pouvez le faire à partir de l’onglet «Rôles» de la console IAM.
De là, cliquez sur « Ajouter des autorisations » pour modifier le rôle.
Il y a beaucoup d’autorisations ici, donc cela aide certainement à les filtrer par type de service et à les rechercher manuellement. Vous pouvez également filtrer par rôle pour sélectionner des autorisations à partir de rôles prédéfinis.
