Architektur der Steuerebene
Änderungen vorschlagen
PDFs
Alle Verwaltungsaktionen für Google Cloud NetApp Volumes werden über die API durchgeführt. Die in die GCP Cloud Console integrierte Verwaltung von Google Cloud NetApp Volumes verwendet auch die API von Google Cloud NetApp Volumes .
Identitäts- und Zugriffsverwaltung
Identitäts- und Zugriffsverwaltung("ICH BIN" ) ist ein Standarddienst, mit dem Sie die Authentifizierung (Anmeldungen) und Autorisierung (Berechtigungen) für Google Cloud-Projektinstanzen steuern können. Google IAM bietet einen vollständigen Prüfpfad für die Autorisierung und Entfernung von Berechtigungen. Derzeit bietet Google Cloud NetApp Volumes keine Überwachung der Steuerungsebene.
Übersicht über Autorisierungen/Berechtigungen
IAM bietet integrierte, granulare Berechtigungen für Google Cloud NetApp Volumes. Sie finden eine "vollständige Liste der detaillierten Berechtigungen hier".
IAM bietet außerdem zwei vordefinierte Rollen namens netappcloudvolumes.admin Und netappcloudvolumes.viewer . Diese Rollen können bestimmten Benutzern oder Dienstkonten zugewiesen werden.
Weisen Sie entsprechende Rollen und Berechtigungen zu, damit IAM-Benutzer Google Cloud NetApp Volumes verwalten können.
Beispiele für die Verwendung granularer Berechtigungen sind:
-
Erstellen Sie eine benutzerdefinierte Rolle mit ausschließlich den Berechtigungen „Abrufen/Auflisten/Erstellen/Aktualisieren“, sodass Benutzer keine Volumes löschen können.
-
Verwenden Sie eine benutzerdefinierte Rolle mit nur
snapshot.*Berechtigungen zum Erstellen eines Dienstkontos, das zum Erstellen einer anwendungskonsistenten Snapshot-Integration verwendet wird. -
Erstellen Sie eine benutzerdefinierte Rolle zum Delegieren
volumereplication.*für bestimmte Benutzer.
Dienstkonten
Um Google Cloud NetApp Volumes API-Aufrufe über Skripte oder "Terraform" müssen Sie ein Dienstkonto mit dem roles/netappcloudvolumes.admin Rolle. Sie können dieses Dienstkonto verwenden, um die JWT-Token zu generieren, die zur Authentifizierung von Google Cloud NetApp Volumes API-Anfragen auf zwei verschiedene Arten erforderlich sind:
-
Generieren Sie einen JSON-Schlüssel und verwenden Sie Google APIs, um daraus ein JWT-Token abzuleiten. Dies ist der einfachste Ansatz, erfordert jedoch die manuelle Verwaltung der Geheimnisse (des JSON-Schlüssels).
-
Verwenden "Identitätswechsel beim Dienstkonto" mit
roles/iam.serviceAccountTokenCreator. Der Code (Skript, Terraform usw.) wird ausgeführt mit "Standardanmeldeinformationen für Anwendungen" und gibt sich als Dienstkonto aus, um dessen Berechtigungen zu erhalten. Dieser Ansatz spiegelt die bewährten Sicherheitspraktiken von Google wider.
Weitere Informationen sind "Erstellen Ihres Dienstkontos und Ihres privaten Schlüssels" in der Google Cloud-Dokumentation verfügbar.
Google Cloud NetApp Volumes API
Die Google Cloud NetApp Volumes API verwendet eine REST-basierte API und nutzt HTTPS (TLSv1.2) als zugrunde liegendes Netzwerkprotokoll. Die aktuelle API-Definition und Informationen zur Verwendung der API sind unter "Cloud Volumes-APIs in der Google Cloud-Dokumentation" zu finden.
Der API-Endpunkt wird von NetApp mithilfe der Standard-HTTPS-Funktionalität (TLSv1.2) betrieben und gesichert.
JWT-Token
Die Authentifizierung gegenüber der API erfolgt mit JWT-Bearer-Token("RFC-7519" ). Gültige JWT-Token müssen mithilfe der Google Cloud IAM-Authentifizierung abgerufen werden. Dies muss durch Abrufen eines Tokens von IAM durch Bereitstellung eines JSON-Schlüssels für das Dienstkonto erfolgen.
Überwachungsprotokollierung
Derzeit sind keine für den Benutzer zugänglichen Prüfprotokolle der Steuerungsebene verfügbar.