GSP190

Visão geral

O Cloud IAM conta com as ferramentas certas para gerenciar as permissões de recursos com o mínimo de esforço e um alto nível de automação. Você não concede permissões diretamente aos usuários. Em vez disso, eles recebem papéis que agrupam uma ou mais permissões. Assim, é possível mapear cargos da empresa a determinados grupos e papéis. Os usuários só têm acesso às opções de que precisam para fazer o próprio trabalho, e os administradores podem facilmente conceder permissões padrão a grupos inteiros de usuários.

Há dois tipos de papel no Cloud IAM:

• Papéis predefinidos
• Papéis personalizados

Os papéis predefinidos são criados e mantidos pelo Google. As permissões são atualizadas automaticamente conforme necessário, por exemplo, quando novos recursos ou serviços são adicionados ao Google Cloud.

Os papéis personalizados são definidos pelo usuário e permitem agrupar uma ou mais permissões disponíveis para atender a necessidades específicas. Esses papéis não são mantidos pelo Google. Quando novas permissões, recursos ou serviços são adicionados ao Google Cloud, os papéis personalizados não serão atualizados automaticamente. Para criar um papel personalizado, combine uma ou mais permissões disponíveis do Cloud IAM. Com elas, os usuários executam ações específicas nos recursos do Google Cloud.

Conteúdo

Neste laboratório, você vai criar, atualizar, excluir e restaurar papéis personalizados.

Pré-requisitos

Conhecer os papéis do IAM é recomendado para otimizar seu aprendizado.

Configuração e requisitos

Antes de clicar no botão Start Lab

Leia estas instruções. Os laboratórios são cronometrados e não podem ser pausados. O timer é iniciado quando você clica em Começar o laboratório e mostra por quanto tempo os recursos do Google Cloud vão ficar disponíveis.

Este laboratório prático permite que você realize as atividades em um ambiente real de nuvem, não em uma simulação ou demonstração. Você vai receber novas credenciais temporárias para fazer login e acessar o Google Cloud durante o laboratório.

Confira os requisitos para concluir o laboratório:

• Acesso a um navegador de Internet padrão (recomendamos o Chrome).

Observação: para executar este laboratório, use o modo de navegação anônima ou uma janela anônima do navegador. Isso evita conflitos entre sua conta pessoal e a conta de estudante, o que poderia causar cobranças extras na sua conta pessoal.

• Tempo para concluir o laboratório---não se esqueça: depois de começar, não será possível pausar o laboratório.

Observação: não use seu projeto ou conta do Google Cloud neste laboratório para evitar cobranças extras na sua conta.

Como iniciar seu laboratório e fazer login no console do Google Cloud

1. Clique no botão Começar o laboratório. Se for preciso pagar, você verá um pop-up para selecionar a forma de pagamento. No painel Detalhes do laboratório à esquerda, você vai encontrar o seguinte:

   • O botão Abrir console do Google Cloud
   • O tempo restante
   • As credenciais temporárias que você vai usar neste laboratório
   • Outras informações, se forem necessárias

2. Se você estiver usando o navegador Chrome, clique em Abrir console do Google Cloud ou clique com o botão direito do mouse e selecione Abrir link em uma janela anônima.

   O laboratório ativa os recursos e depois abre a página Fazer login em outra guia.

   Dica: coloque as guias em janelas separadas lado a lado.

   Observação: se aparecer a caixa de diálogo Escolher uma conta, clique em Usar outra conta.

3. Se necessário, copie o Nome de usuário abaixo e cole na caixa de diálogo Fazer login.

   {{{user_0.username | "Nome de usuário"}}}

   Você também encontra o Nome de usuário no painel Detalhes do laboratório.

4. Clique em Seguinte.

5. Copie a Senha abaixo e cole na caixa de diálogo de boas-vindas.

   {{{user_0.password | "Senha"}}}

   Você também encontra a Senha no painel Detalhes do laboratório.

6. Clique em Seguinte.

   Importante: você precisa usar as credenciais fornecidas no laboratório, e não as da sua conta do Google Cloud. Observação: se você usar sua própria conta do Google Cloud neste laboratório, é possível que receba cobranças adicionais.

7. Acesse as próximas páginas:

   • Aceite os Termos e Condições.
   • Não adicione opções de recuperação nem autenticação de dois fatores (porque essa é uma conta temporária).
   • Não se inscreva em testes gratuitos.

Depois de alguns instantes, o console do Google Cloud será aberto nesta guia.

Observação: clique em Menu de navegação no canto superior esquerdo para acessar uma lista de produtos e serviços do Google Cloud.

Ativar o Cloud Shell

O Cloud Shell é uma máquina virtual com várias ferramentas de desenvolvimento. Ele tem um diretório principal permanente de 5 GB e é executado no Google Cloud. O Cloud Shell oferece acesso de linha de comando aos recursos do Google Cloud.

1. Clique em Ativar o Cloud Shell na parte de cima do console do Google Cloud.

Depois de se conectar, vai notar que sua conta já está autenticada, e que o projeto está configurado com seu PROJECT_ID. A saída contém uma linha que declara o projeto PROJECT_ID para esta sessão:

Your Cloud Platform project in this session is set to YOUR_PROJECT_ID

gcloud é a ferramenta de linha de comando do Google Cloud. Ela vem pré-instalada no Cloud Shell e aceita preenchimento com tabulação.

2. (Opcional) É possível listar o nome da conta ativa usando este comando:

gcloud auth list

3. Clique em Autorizar.

4. A saída será parecida com esta:

Saída:

ACTIVE: * ACCOUNT: student-01-xxxxxxxxxxxx@qwiklabs.net To set the active account, run: $ gcloud config set account `ACCOUNT`

5. (Opcional) É possível listar o ID do projeto usando este comando:

gcloud config list project

Saída:

[core] project = <project_ID>

Exemplo de saída:

[core] project = qwiklabs-gcp-44776a13dea667a6 Observação: para conferir a documentação completa da gcloud, acesse o guia com informações gerais sobre a gcloud CLI no Google Cloud.

Defina a região do seu projeto

Execute o seguinte comando para definir a região do seu projeto:

gcloud config set compute/region {{{project_0.default_region | Region}}}

Introdução aos papéis personalizados do IAM

Com o Cloud IAM, você também pode criar papéis personalizados. É possível criar um papel personalizado do Cloud IAM com uma ou mais permissões e atribuí-lo a usuários. Ele conta com uma IU e uma API para criar e gerenciar esses papéis.

Importante: com os papéis personalizados, você aplica o princípio de privilégio mínimo e garante que as contas de serviço e de usuários da organização tenham somente as permissões essenciais para executar as funções pretendidas.

Observação: é possível criar papéis personalizados no nível da organização e do projeto. No entanto, não é possível criar esses papéis no nível da pasta.

Para criar um papel personalizado, combine uma ou mais permissões do Cloud IAM. Com elas, os usuários executam ações específicas nos recursos do Google Cloud.

No Cloud IAM, essas permissões são representadas no seguinte formato:

<service>.<resource>.<verb>

Por exemplo, com a permissão compute.instances.list, o usuário pode listar as instâncias do Compute Engine que pertencem a ele. Já a instância compute.instances.stop permite interromper uma VM.

Geralmente, a correspondência entre as permissões e os métodos REST é de 1:1, mas nem sempre. Ou seja, cada serviço do Google Cloud tem uma permissão associada para cada método REST que ele inclui. Para chamar um método, o autor da chamada precisa dessa permissão. Por exemplo, topic.publish() só pode ser chamado com a permissão pubsub.topics.publish.

Use os papéis personalizados somente para conceder permissões nas políticas do mesmo projeto ou organização a que os papéis ou recursos pertencem. Isso não pode ser feito se o recurso pertence a outro projeto ou organização.

Permissões e papéis obrigatórios

Para criar um papel personalizado, o autor da chamada precisa ter a permissão iam.roles.create.

Os usuários que não são proprietários, incluindo administradores da organização, precisam ter o papel "Administrador de papéis da organização" (roles/iam.organizationRoleAdmin) ou "Administrador de papel" do IAM (roles/iam.roleAdmin). Com o papel de "Avaliador de segurança" do IAM (roles/iam.securityReviewer), é possível acessar os papéis personalizados, mas não administrá-los.

A interface do usuário de papéis personalizados está localizada no console do Google Cloud, em "Papéis do IAM". Ela só é disponibilizada a usuários que têm permissões para criar ou gerenciar esses papéis. Por padrão, somente proprietários de projeto criam novos papéis. Para controlar o acesso a esse recurso, os proprietários concedem o papel de "Administrador de papel" do IAM a outros membros do mesmo projeto. No caso das organizações, somente os administradores da organização atribuem o papel de "Administrador de papéis da organização".

Preparação para criar um papel personalizado

Antes de criar um papel personalizado, é importante saber:

• quais permissões podem ser aplicadas a um recurso;
• quais papéis é possível conceder em um recurso;
• o que são os metadados de um papel.

Tarefa 1: exibir as permissões disponíveis para um recurso

Antes de criar um papel personalizado, é bom saber quais permissões podem ser aplicadas a um recurso. Para receber todas as permissões que podem ser aplicadas a um recurso e aos que estão abaixo na hierarquia, use a ferramenta de linha de comando gcloud, o console do Cloud ou a API IAM. Por exemplo, é possível receber todas as permissões que se pode aplicar a uma organização e aos projetos nessa organização.

• Para receber a lista de permissões disponíveis no projeto, execute o comando a seguir:

gcloud iam list-testable-permissions //cloudresourcemanager.googleapis.com/projects/$DEVSHELL_PROJECT_ID

Saída:

name: appengine.applications.create stage: GA --- name: appengine.applications.get stage: GA --- name: appengine.applications.update stage: GA --- name: appengine.instances.delete stage: GA --- name: appengine.instances.get stage: GA --- name: appengine.instances.list stage: GA --- customRolesSupportLevel: TESTING name: appengine.memcache.addKey stage: BETA --- customRolesSupportLevel: TESTING name: appengine.memcache.flush stage: BETA ---

Tarefa 2: acessar os metadados do papel

Antes de criar um papel personalizado, consulte os metadados dos papéis predefinidos e personalizados. Esses metadados incluem o ID e as permissões do papel. É possível exibir os metadados usando o console do Cloud ou a API IAM.

• Para descobrir os metadados do papel, use o comando abaixo, substituindo[ROLE_NAME] pelo papel. Por exemplo: roles/viewer ou roles/editor.

gcloud iam roles describe [ROLE_NAME]

Exemplo de resposta (para roles/viewer):

description: Read access to all custom roles in the project. etag: AA== includedPermissions: - iam.roles.get - iam.roles.list - resourcemanager.projects.get - resourcemanager.projects.getIamPolicy ... ... name: roles/iam.roleViewer stage: GA title: Viewer

Tarefa 3: exibir os papéis que podem ser concedidos a recursos

Use o comando gcloud iam list-grantable-roles para retornar uma lista de todos os papéis que podem ser aplicados a um recurso.

• Execute o seguinte comando gcloud para listar os papéis disponíveis no projeto:

gcloud iam list-grantable-roles //cloudresourcemanager.googleapis.com/projects/$DEVSHELL_PROJECT_ID

A resposta será semelhante a esta:

--- description: Full management of App Engine apps (but not storage). name: roles/appengine.appAdmin title: App Engine Admin --- description: Ability to view App Engine app status. name: roles/appengine.appViewer title: App Engine Viewer --- description: Ability to view App Engine app status and deployed source code. name: roles/appengine.codeViewer title: App Engine Code Viewer --- ... ...

Tarefa 4: criar um papel personalizado

Para criar um papel personalizado, o autor da chamada precisa ter a permissão iam.roles.create. Por padrão, o proprietário do projeto ou da organização tem essa permissão e pode criar e gerenciar esses papéis.

Os usuários que não são proprietários, incluindo administradores da organização, precisam receber o papel de "Administrador de papéis da organização" ou "Administrador de papel" do IAM.

Use o comando gcloud iam roles create para criar novos papéis personalizados de duas formas:

• Ao enviar um arquivo YAML contendo a definição do papel
• Ao especificar a definição do papel usando flags

Ao criar um papel personalizado, é preciso usar as flags --organization [ORGANIZATION-ID] e --project [PROJECT-ID] para indicar se ele se aplica à organização ou ao projeto. Nos exemplos abaixo, são criados papéis personalizados no nível do projeto.

Nas próximas seções, você vai criar papéis personalizados para os envolvidos no projeto.

Criar um papel personalizado usando um arquivo YAML

Crie um arquivo YAML que tenha a definição do papel personalizado. É preciso que o arquivo seja estruturado da seguinte maneira:

title: [ROLE_TITLE] description: [ROLE_DESCRIPTION] stage: [LAUNCH_STAGE] includedPermissions: - [PERMISSION_1] - [PERMISSION_2]

Confira abaixo a descrição de cada um dos valores de marcador:

• [ROLE-TITLE] é um nome simples para o papel, como Leitor do papel.
• [ROLE_DESCRIPTION] é uma breve descrição sobre o papel, como Minha descrição do papel personalizado.
• [LAUNCH_STAGE] indica o estágio de um papel no ciclo de vida do lançamento, como ALPHA, BETA ou GA.
• includedPermissions especifica a lista de uma ou mais permissões a serem incluídas no papel personalizado, como iam.roles.get.

1. Hora de colocar a mão na massa. Para criar o arquivo YAML com a definição do papel, execute o comando a seguir:

nano role-definition.yaml

2. Adicione esta definição do papel personalizado ao arquivo YAML:

title: "Role Editor" description: "Edit access for App Versions" stage: "ALPHA" includedPermissions: - appengine.versions.create - appengine.versions.delete

3. Após isso, salve e feche o arquivo ao pressionar CTRL+X, Y e ENTER.

4. Execute o seguinte comando gcloud:

gcloud iam roles create editor --project $DEVSHELL_PROJECT_ID \ --file role-definition.yaml

Se o papel for criado corretamente, a resposta a seguir será retornada:

Created role [editor]. description: Edit access for App Versions etag: BwVs4O4E3e4= includedPermissions: - appengine.versions.create - appengine.versions.delete name: projects/{{{project_0.project_id | Project ID}}}/roles/editor stage: ALPHA title: Role Editor

Clique em Verificar meu progresso para conferir o objetivo. Criar um papel personalizado usando um arquivo YAML

Criar um papel personalizado usando flags

Agora você usará o método de flag para criar um papel personalizado. As flags têm um formato semelhante ao do arquivo YAML, então você reconhecerá a estrutura do comando.

• Para criar papéis usando flags, execute o comando gcloud a seguir:

gcloud iam roles create viewer --project $DEVSHELL_PROJECT_ID \ --title "Role Viewer" --description "Custom role description." \ --permissions compute.instances.get,compute.instances.list --stage ALPHA

Exemplo de saída:

Created role [viewer]. description: Custom role description. etag: BwVs4PYHqYI= includedPermissions: - compute.instances.get - compute.instances.list name: projects/{{{project_0.project_id | Project ID}}}/roles/viewer stage: ALPHA title: Role Viewer

Clique em Verificar meu progresso para conferir o objetivo. Criar um papel personalizado usando flags

Tarefa 5: listar os papéis personalizados

1. Execute o comando gcloud a seguir para listar os papéis personalizados, especificando o nível do projeto ou da organização:

gcloud iam roles list --project $DEVSHELL_PROJECT_ID

Exemplo de saída:

--- description: Edit access for App Versions etag: BwVxLgrnawQ= name: projects/{{{project_0.project_id | Project ID}}}/roles/editor title: Role Editor --- description: Custom role description. etag: BwVxLg18IQg= name: projects/{{{project_0.project_id | Project ID}}}/roles/viewer title: Role Viewer

Para listar papéis excluídos, também é possível especificar a flag --show-deleted.

2. Execute o comando gcloud a seguir para listar os papéis predefinidos:

gcloud iam roles list

Tarefa 6: atualizar um papel personalizado

Ao atualizar os metadados de um recurso como um papel personalizado, é comum ler o estado atual, atualizar os dados localmente e enviá-los para gravação. Com esse padrão, pode ocorrer um conflito se dois ou mais processos independentes tentarem executar a sequência simultaneamente.

Por exemplo, quando dois proprietários de um projeto fazem alterações conflitantes em um papel ao mesmo tempo, pode haver uma falha.

Esse problema é solucionado no Cloud IAM com a propriedade etag dos papéis personalizados. Essa propriedade é usada para verificar se o papel personalizado foi alterado desde a última solicitação. Quando você envia uma solicitação ao Cloud IAM com um valor de etag, o Cloud IAM compara o valor de etag na solicitação com o valor atual associado ao papel personalizado. A alteração só é gravada quando esses valores são correspondentes.

Use o comando gcloud iam roles update para atualizar papéis personalizados de duas formas:

• Um arquivo YAML que contém a definição atualizada do papel
• Flags que especificam a definição atualizada do papel

Ao atualizar um papel personalizado, é preciso usar as flags --organization [ORGANIZATION_ID] ou --project [PROJECT_ID] para indicar se ele se aplica à organização ou ao projeto. Nos exemplos abaixo, são criados papéis personalizados no nível do projeto.

Com o comando describe, a definição do papel é retornada incluindo um valor de etag exclusivo que identifica a versão atual dele. Esse valor precisa ser incluído na definição atualizada do papel para impedir a substituição de alterações de papel simultâneas.

Atualizar um papel personalizado usando um arquivo YAML

1. Consulte a definição atual do papel ao executar o seguinte comando gcloud, substituindo [ROLE_ID] por editor.

gcloud iam roles describe [ROLE_ID] --project $DEVSHELL_PROJECT_ID

Ao usar o comando describe, a seguinte resposta é retornada:

description: [ROLE_DESCRIPTION] etag: [ETAG_VALUE] includedPermissions: - [PERMISSION_1] - [PERMISSION_2] name: [ROLE_ID] stage: [LAUNCH_STAGE] title: [ROLE_TITLE]

2. Copie a resposta para criar um novo arquivo YAML nas próximas etapas.

3. Com seu editor, crie um arquivo new-role-definition.yaml:

nano new-role-definition.yaml

4. Cole a resposta do último comando e adicione estas duas permissões em includedPermissions:

- storage.buckets.get - storage.buckets.list

Ao finalizar, seu arquivo YAML será semelhante a este:

description: Edit access for App Versions etag: BwVxIAbRq_I= includedPermissions: - appengine.versions.create - appengine.versions.delete - storage.buckets.get - storage.buckets.list name: projects/{{{project_0.project_id | Project ID}}}/roles/editor stage: ALPHA title: Role Editor

5. Salve e feche o arquivo ao pressionar CTRL+X, Y e ENTER.

6. Agora você usará o comando update para atualizar o papel. Execute o comando gcloud a seguir, substituindo [ROLE_ID] por editor:

gcloud iam roles update [ROLE_ID] --project $DEVSHELL_PROJECT_ID \ --file new-role-definition.yaml

Se o papel for atualizado corretamente, a resposta abaixo será retornada:

description: Edit access for App Versions etag: BwVxIBjfN3M= includedPermissions: - appengine.versions.create - appengine.versions.delete - storage.buckets.get - storage.buckets.list name: projects/{{{project_0.project_id | Project ID}}}/roles/editor stage: ALPHA title: Role Editor

Clique em Verificar meu progresso para conferir o objetivo. Atualizar um papel personalizado usando um arquivo YAML

Atualizar um papel personalizado usando flags

Cada uma das partes da definição de papel pode ser atualizada usando uma flag correspondente. Para acessar uma lista de todas as possíveis flags da documentação de referência do SDK, consulte o tópico gcloud iam roles update.

Use as flags a seguir para adicionar ou remover permissões:

• --add-permissions: adiciona uma ou mais permissões separadas por vírgula ao papel.
• --remove-permissions: remove uma ou mais permissões separadas por vírgula do papel.

Como alternativa, basta especificar as novas permissões usando a flag --permissions [PERMISSIONS] e fazer uma lista separada por vírgula para substituir a atual.

• Execute o comando gcloud a seguir para adicionar permissões ao papel viewer usando flags:

gcloud iam roles update viewer --project $DEVSHELL_PROJECT_ID \ --add-permissions storage.buckets.get,storage.buckets.list

Se o papel for atualizado corretamente, a resposta abaixo será retornada:

description: Custom role description. etag: BwVxLi4wTvk= includedPermissions: - compute.instances.get - compute.instances.list - storage.buckets.get - storage.buckets.list name: projects/{{{project_0.project_id | Project ID}}}/roles/viewer stage: ALPHA title: Role Viewer

Clique em Verificar meu progresso para conferir o objetivo. Atualizar um papel personalizado usando flags

Tarefa 7: desativar um papel personalizado

Quando um papel é desativado, as vinculações de política relacionadas a ele ficam inativas e as permissões se tornam inválidas, mesmo que esse papel seja concedido a um usuário.

A maneira mais fácil de desativar um papel personalizado atual é usar a flag --stage e defini-la como DISABLED.

• Execute o comando gcloud a seguir para desativar o papel viewer:

gcloud iam roles update viewer --project $DEVSHELL_PROJECT_ID \ --stage DISABLED

Se o papel for atualizado corretamente, a resposta abaixo será retornada:

description: Custom role description. etag: BwVxLkIYHrQ= includedPermissions: - compute.instances.get - compute.instances.list - storage.buckets.get - storage.buckets.list name: projects/{{{project_0.project_id | Project ID}}}/roles/viewer stage: DISABLED title: Role Viewer

Clique em Verificar meu progresso para conferir o objetivo. Desativar um papel personalizado

Tarefa 8: excluir um papel personalizado

• Use o comando gcloud iam roles delete para excluir um papel personalizado. Ao ser excluído, o papel fica inativo e não pode ser usado para criar vinculações de política do IAM.

gcloud iam roles delete viewer --project $DEVSHELL_PROJECT_ID

Exemplo de saída:

deleted: true description: Custom role description. etag: BwVxLkf_epw= includedPermissions: - compute.instances.get - compute.instances.list - storage.buckets.get - storage.buckets.list name: projects/{{{project_0.project_id | Project ID}}}/roles/viewer stage: DISABLED title: Role Viewer

As vinculações permanecem após a exclusão, mas ficam inativas. A exclusão do papel pode ser cancelada em até sete dias. Após esse período, ele entra em um processo de exclusão permanente que dura 30 dias. Após 37 dias, o ID do papel é disponibilizado para novo uso.

Observação: caso um papel seja desativado, altere a propriedade role.stage dele para DESCONTINUADA e configure "deprecation_message" para informar aos usuários quais papéis alternativos podem ser usados ou onde encontrar mais informações.

Tarefa 9: restaurar um papel personalizado

• É possível restaurar um papel em um prazo de sete dias. Os papéis excluídos ficam com o estado DESATIVADO. Para ativar os papéis novamente, atualize a flag --stage:

gcloud iam roles undelete viewer --project $DEVSHELL_PROJECT_ID

Clique em Verificar meu progresso para conferir o objetivo. Cancele a exclusão de um papel personalizado

Parabéns!

Neste laboratório, você criou e gerenciou papéis personalizados no IAM.

Próximas etapas / Saiba mais

Saiba mais sobre o IAM no artigo Identity and Access Management.

Treinamento e certificação do Google Cloud

Esses treinamentos ajudam você a aproveitar as tecnologias do Google Cloud ao máximo. Nossas aulas incluem habilidades técnicas e práticas recomendadas para ajudar você a alcançar rapidamente o nível esperado e continuar sua jornada de aprendizado. Oferecemos treinamentos que vão do nível básico ao avançado, com opções de aulas virtuais, sob demanda e por meio de transmissões ao vivo para que você possa encaixá-las na correria do seu dia a dia. As certificações validam sua experiência e comprovam suas habilidades com as tecnologias do Google Cloud.

Manual atualizado em 15 de abril de 2024

Laboratório testado em 13 de julho de 2023

Copyright 2024 Google LLC. Todos os direitos reservados. Google e o logotipo do Google são marcas registradas da Google LLC. Todos os outros nomes de produtos e empresas podem ser marcas registradas das respectivas empresas a que estão associados.