Gerenciamento de permissões

Permissões IAM

Por padrão, os novos usuários do IAM não têm permissões. Para atribuir permissões a novos usuários, adicione-os a um ou mais grupos e conceda permissões a esses grupos. Em seguida, os usuários herdam permissões dos grupos aos quais pertencem e podem executar operações específicas em serviços de nuvem.

O IAM é um serviço global que você pode acessar de todas as regiões. Você pode atribuir permissões do IAM a usuários no projeto de serviço global. Dessa forma, os usuários não precisam mudar de região quando acessam o IAM.

Você pode conceder permissões usando funções e políticas.

• Funções: Um tipo de mecanismo de autorização de granulação grosseira que define permissões em nível de serviço com base nas responsabilidades do usuário. Há apenas um número limitado de funções para conceder permissões aos usuários. Quando você concede permissões usando funções, também precisa atribuir funções de dependência.
• Políticas: um tipo de mecanismo de autorização refinado que define as permissões necessárias para realizar operações em recursos de nuvem específicos sob determinadas condições. Esse mecanismo permite uma autorização baseada em política mais flexível e o controle de acesso seguro. Por exemplo, você pode conceder aos usuários ECS somente as permissões necessárias para gerenciar um determinado tipo de recursos ECS. A maioria das políticas contém permissões para APIs específicas, e as permissões são definidas usando ações da API. Para as ações API suportadas pelo IAM, consulte Permissões e ações suportadas.

Tabela 1 lista todas as funções e políticas definidas pelo sistema suportadas pelo IAM.

Tabela 2 lista as operações comuns suportadas por cada política definida pelo sistema ou função do IAM. Escolha políticas ou funções apropriadas, conforme necessário.

Tenant Guest e Tenant Administrator são funções básicas fornecidas pelo IAM e não contêm permissões específicas do IAM. Portanto, as duas funções não estão listadas na seguinte tabela.

Somente administradores podem gerenciar chaves de acesso quando chaves de acesso de gerenciamento está habilitado. Se os usuários do IAM precisarem criar, habilitar, desabilitar ou excluir suas próprias chaves de acesso, eles precisarão pedir o administrador para desabilitar o gerenciamento de chaves de acesso O gerenciamento de chaves de acesso é desabilitado por padrão.

Se um usuário do IAM quiser gerenciar as chaves de acesso de outros usuários do IAM, consulte a Tabela 3. Por exemplo, se o usuário do IAM A quiser criar uma chave de acesso para o usuário do IAM B, o usuário do IAM A deve ter a permissão Security Administrator ou FullAccess.

Conteúdo da Política de FullAccess

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "*:*:*"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da Política de IAM ReadOnlyAccess

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "iam:*:get*",
                "iam:*:list*",
                "iam:*:check*"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da Função de Security Administrator

{
    "Version": "1.0",
    "Statement": [
        {
            "Action": [
                "iam:agencies:*",
                "iam:credentials:*",
                "iam:groups:*",
                "iam:identityProviders:*",
                "iam:mfa:*",
                "iam:permissions:*",
                "iam:projects:*",
                "iam:quotas:*",
                "iam:roles:*",
                "iam:users:*",
                "iam:securitypolicies:*"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da Função de Agent Operator

{
    "Version": "1.0",
    "Statement": [
        {
            "Action": [
                "iam:tokens:assume"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da Função de Tenant Guest

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "obs:*:get*",
                "obs:*:list*",
                "obs:*:head*"
            ],
            "Effect": "Allow"
        },
        {
            "Condition": {
                "StringNotEqualsIgnoreCase": {
                    "g:ServiceName": [
                        "iam"
                    ]
                }
            },
            "Action": [
                "*:*:get*",
                "*:*:list*",
                "*:*:head*"
            ],
            "Effect": "Allow"
        }
    ]
}

Conteúdo da Função de Tenant Administrator

{
    "Version": "1.1",
    "Statement": [
        {
            "Action": [
                "obs:*:*"
            ],
            "Effect": "Allow"
        },
        {
            "Condition": {
                "StringNotEqualsIgnoreCase": {
                    "g:ServiceName": [
                        "iam"
                    ]
                }
            },
            "Action": [
                "*:*:*"
            ],
            "Effect": "Allow"
        }
    ]
}