Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

엄격한 act-as 모드 사용

엄격한 act-as 모드를 사용하면 Dataform에서 다음 사용자 작업에 대한 추가 보안 검사가 사용 설정됩니다.

저장소를 만들거나 업데이트합니다.
워크플로 구성을 만들거나 업데이트합니다.
워크플로 호출을 만듭니다.
출시 구성을 업데이트합니다.

이 추가 보안 검사를 수행하려면 이러한 작업을 실행하는 사용자에게 워크플로를 실행하는 데 사용되는 사용자 인증 정보의 서비스 계정인 유효한 서비스 계정에 대한 iam.serviceAccounts.actAs 권한이 있어야 합니다. 자세한 내용은 리소스에 서비스 계정 연결을 참고하세요.

모든 저장소에 엄격한 act-as 모드가 적용됩니다.

필요한 역할

이 문서의 태스크를 완료하는 데 필요한 권한을 얻으려면 관리자에게 다음의 IAM 역할을 부여해 달라고 요청하세요.

커스텀 서비스 계정에 대한 서비스 계정 사용자 (roles/iam.serviceAccountUser)
Cloud Logging에서 로그 보기: 프로젝트에 대한 로그 뷰어 (roles/logging.viewer)
사용자 또는 서비스 계정에 IAM 역할을 부여합니다(프로젝트의 서비스 계정 관리자 (roles/iam.serviceAccountAdmin)).

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

유효한 서비스 계정의 act-as 권한 확인

Dataform 워크플로가 중단 없이 안전하게 실행되도록 하려면 워크플로에서 사용하는 서비스 계정의 '다음으로 작업' 권한을 확인하는 것이 중요합니다. 이 섹션에서는 리소스의 유효 서비스 계정을 식별하고, 로깅을 사용하여 권한 문제를 확인한 후 발견된 문제를 해결하는 방법을 설명합니다.

유효 서비스 계정 확인

리소스 유형과 다음 조건에 따라 워크플로를 실행하는 유효 서비스 계정을 확인할 수 있습니다.

리소스 유형 유효 서비스 계정

저장소

리소스 유형	유효 서비스 계정
저장소	저장소에 구성된 커스텀 서비스 계정입니다. 모든 저장소에 커스텀 서비스 계정이 필요합니다. 이 서비스 계정은 `Repository.ServiceAccount` 필드에 나열됩니다.
워크플로 구성	새 워크플로 구성의 경우 워크플로 구성을 만들 때 선택한 커스텀 서비스 계정이 사용됩니다. 서비스 계정을 선택하지 않으면 저장소의 서비스 계정이 사용됩니다.
워크플로 호출	컴파일 결과가 `WORKFLOW_CONFIG` 리소스인 경우 워크플로 구성의 유효 서비스 계정이 사용됩니다. 컴파일 결과에서 워크플로 호출을 만드는 경우 `WorkflowInvocation.InvocationConfig` 필드에 나열된 서비스 계정이 설정된 경우 사용됩니다. 그렇지 않으면 기본적으로 저장소 수준에서 구성된 서비스 계정이 사용됩니다.

저장소에 구성된 커스텀 서비스 계정입니다. 모든 저장소에 커스텀 서비스 계정이 필요합니다. 이 서비스 계정은 Repository.ServiceAccount 필드에 나열됩니다.

워크플로 구성

새 워크플로 구성의 경우 워크플로 구성을 만들 때 선택한 커스텀 서비스 계정이 사용됩니다. 서비스 계정을 선택하지 않으면 저장소의 서비스 계정이 사용됩니다.

워크플로 호출

컴파일 결과가 WORKFLOW_CONFIG 리소스인 경우 워크플로 구성의 유효 서비스 계정이 사용됩니다.

컴파일 결과에서 워크플로 호출을 만드는 경우 WorkflowInvocation.InvocationConfig 필드에 나열된 서비스 계정이 설정된 경우 사용됩니다.

그렇지 않으면 기본적으로 저장소 수준에서 구성된 서비스 계정이 사용됩니다.

Cloud Logging에서 권한 문제 확인

보안 강화를 위해 Dataform은 Dataform 리소스에서 사용하는 서비스 계정에 iam.serviceAccounts.actAs 권한이 누락되었는지 확인합니다.

잠재적인 권한 문제를 포함한 이러한 확인 결과는 Cloud Logging에 기록됩니다. 이러한 로그를 정기적으로 검토하여 누락된 iam.serviceAccounts.actAs 권한을 확인하고 부여해야 합니다. 이러한 로그를 확인하면 Dataform 워크플로와 구성이 중단 없이 계속 작동하는지 확인할 수 있습니다.

Cloud Logging에서 로그 보기

Google Cloud 콘솔에서 로그 탐색기 페이지로 이동합니다.

로그 탐색기로 이동
로그를 확인할 Google Cloud 프로젝트를 선택합니다.
쿼리 편집기를 사용하여 다음 옵션으로 Dataform actAs 로그를 필터링합니다.
- 실패하여 조치가 필요한 actAs 검사만 나열하려면 다음 쿼리를 사용하세요.
```
logName: "projects/PROJECT_ID/logs/dataform.googleapis.com%2Factas_dry_run_result"
jsonPayload.dryRunResult = false
```
- 모든 actAs 검사를 나열하려면 다음 쿼리를 사용하세요.
```
logName: "projects/PROJECT_ID/logs/dataform.googleapis.com%2Factas_dry_run_result"
```
PROJECT_ID를Google Cloud 프로젝트 ID로 바꿉니다.
쿼리 실행을 클릭합니다.

로그 항목 해석

쿼리 결과에서 로그 항목을 펼쳐 다음 jsonPayload 필드를 확인합니다.

필드	유형	설명
`dryRunResult`	불리언	`true`: 권한 확인을 통과했습니다. `false`: 확인에 실패했습니다. 호출자 주 구성원에게 서비스 계정에 대한 `iam.serviceAccounts.actAs` 권한이 없습니다.
`caller`	문자열	API 호출을 시작한 주 구성원 (사용자 또는 서비스 계정)의 이메일 주소입니다.
`serviceAccount`	문자열	호출자 주 구성원이 사용하려고 한 서비스 계정입니다. 이 필드는 일반적으로 `dryRunResult` 필드가 `false`인 경우에 표시됩니다.
`apiMethod`	문자열	확인을 트리거한 Dataform API 메서드입니다(예: `CreateWorkflowInvocation` 또는 `UpdateRepository`).
`*_context`	객체	호출된 API 메서드와 관련된 리소스 이름이 포함된 객체입니다. 자세한 내용은 컨텍스트 객체를 참고하세요.

컨텍스트 객체

로그 항목에는 jsonPayload 필드 내에 컨텍스트 객체가 포함됩니다. 이 객체의 필드에는 관련 Dataform 엔티티의 정규화된 Google Cloud 리소스 이름이 포함됩니다. 이러한 이름은 다음 목록에 표시된 표준 구조를 따르므로 리소스를 정확하게 식별할 수 있습니다.