Contrôle des accès avec Identity and Access Management

Ce document décrit les options de contrôle des accès à votre disposition dans Pub/Sub.

Présentation

Pub/Sub utilise Identity and Access Management (IAM) pour le contrôle des accès.

IAM vous permet d'attribuer des rôles spécifiques à des utilisateurs, des groupes et des comptes de service, en leur accordant les autorisations nécessaires pour effectuer leurs tâches. Vous pouvez attribuer ces rôles IAM à l'aide de la consoleGoogle Cloud ou de l'API IAM.

Dans Pub/Sub, vous pouvez configurer le contrôle des accès au niveau du projet et au niveau de ressources individuelles. Voici quelques exemples d'utilisation du contrôle des accès Pub/Sub :

• Accordez l'accès par ressource plutôt qu'à l'intégralité d'un projet Cloud.

• Accordez un accès avec des fonctionnalités restreintes, par exemple en autorisant uniquement la publication de messages dans un sujet ou uniquement la consultation de messages d'un abonnement, mais pas la suppression du sujet ou de l'abonnement.

• Accordez à un groupe de développeurs l'accès à toutes les ressources Pub/Sub au sein d'un projet.

Si vous disposez d'un accès en lecture seule à une seule ressource, telle qu'un thème ou un abonnement, vous ne pouvez pas afficher la ressource à l'aide de la console Google Cloud . Vous pouvez utiliser Google Cloud CLI pour afficher la ressource.

Pour une description détaillée d'IAM et de ses fonctionnalités, consultez la documentation IAM. et en particulier la page Accorder, modifier et révoquer les accès à des ressources.

Types de rôles dans Pub/Sub

Comme les autres produits Google Cloud , Pub/Sub accepte trois types de rôles :

• Rôles de base : il s'agit de rôles très permissifs qui existaient avant la mise en place d'IAM. Pour en savoir plus sur les rôles de base, consultez Rôles de base.

• Rôles prédéfinis : les rôles prédéfinis offrent un accès précis à des ressourcesGoogle Cloud spécifiques. Pour en savoir plus sur les rôles prédéfinis, consultez Rôles prédéfinis. Les rôles prédéfinis Pub/Sub sont inclus dans une partie ultérieure de cette section.

• Rôles personnalisés : ils vous aident à appliquer le principe du moindre privilège. Pour en savoir plus sur les rôles personnalisés, consultez Rôles personnalisés.

Autorisations Pub/Sub requises

Les sections suivantes listent les autorisations Pub/Sub requises pour accéder aux différentes ressources Pub/Sub.

Autorisations requises pour les thèmes

Le tableau suivant présente les autorisations requises pour chaque méthode de l'API Pub/Sub liée aux thèmes. Il indique l'autorisation IAM requise pour appeler chaque méthode, ainsi qu'une description de ce que fait la méthode.

Autorisations requises pour les abonnements

Le tableau suivant présente les autorisations requises pour chaque méthode de l'API Pub/Sub liée aux abonnements. Il indique l'autorisation IAM requise pour appeler chaque méthode, ainsi qu'une description de ce que fait la méthode.

Autorisations requises pour les schémas

Le tableau suivant présente les autorisations requises pour chaque méthode de l'API Pub/Sub liée aux schémas. Il indique l'autorisation IAM requise pour appeler chaque méthode, ainsi qu'une description de ce que fait la méthode.

Autorisations requises pour les instantanés

Le tableau suivant présente les autorisations requises pour chaque méthode de l'API Pub/Sub liée aux instantanés. Il indique l'autorisation IAM requise pour appeler chaque méthode, ainsi qu'une description de ce que fait la méthode.

Rôles Pub/Sub disponibles

Le tableau suivant répertorie tous les rôles Pub/Sub et les autorisations associées à chacun d'eux :

Service agent roles

Service agent roles should only be granted to service agents.

Contrôler les accès via la console Google Cloud

Vous pouvez utiliser la console Google Cloud pour gérer le contrôle des accès à vos thèmes et vos projets.

Pour définir les contrôles d'accès au niveau du projet, procédez comme suit :

1. Dans la console Google Cloud , accédez à la page IAM.

   Accéder à IAM

2. Sélectionnez votre projet.

3. Cliquez sur person_add Ajouter.

4. Saisissez un ou plusieurs noms de comptes principaux.

5. Dans la liste Sélectionner un rôle, sélectionnez le rôle que vous souhaitez attribuer.

6. Cliquez sur Enregistrer.

7. Vérifiez que le compte principal est bien répertorié avec le rôle que vous lui avez accordé.

Pour définir le contrôle des accès aux sujets et aux abonnements, procédez comme suit :

1. Dans la console Google Cloud , accédez à la liste Sujets de Pub/Sub.

   Accéder aux sujets

2. Si nécessaire, sélectionnez le projet que vous avez activé pour Pub/Sub.

3. Effectuez l'une des opérations suivantes :

   • Pour définir des rôles pour un ou plusieurs thèmes, sélectionnez-les.

   • Pour définir des rôles pour un abonnement associé à un sujet, cliquez sur l'ID du sujet. Sur la page Détails du sujet, cliquez sur l'ID de l'abonnement. La page Détails de l'abonnement s'affiche.

4. Si le panneau d'informations est masqué, cliquez sur Afficher le panneau d'informations.

5. Dans l'onglet Autorisations, cliquez sur person_add Ajouter un compte principal.

6. Saisissez un ou plusieurs noms de comptes principaux.

7. Dans la liste Sélectionner un rôle, sélectionnez le rôle que vous souhaitez attribuer.

8. Cliquez sur Enregistrer.

Contrôler les accès via l'API IAM

L'API Cloud IAM pour Pub/Sub vous permet de définir et d'obtenir des stratégies sur des sujets et des abonnements individuels au sein d'un projet, ainsi que de tester les autorisations d'un utilisateur pour une ressource donnée. Comme avec les méthodes Pub/Sub classiques, vous pouvez appeler les méthodes de l'API Cloud IAM via les bibliothèques clientes, l'explorateur d'API ou directement via HTTP.

Notez que l'API Cloud IAM pour Pub/Sub ne permet pas de gérer les stratégies au niveau du projet Google Cloud .

Dans les sections suivantes, vous trouverez des exemples illustrant la procédure à suivre pour définir et obtenir une stratégie, ainsi que pour tester les autorisations dont dispose un appelant pour une ressource donnée.

Obtenir une politique

La méthode getIamPolicy() vous permet d'obtenir une stratégie existante. Cette méthode renvoie un objet JSON contenant la stratégie associée à la ressource.

Voici un exemple de code permettant d'obtenir la stratégie applicable à un abonnement :

using Google.Cloud.Iam.V1;
using Google.Cloud.PubSub.V1;

public class GetSubscriptionIamPolicySample
{
    public Policy GetSubscriptionIamPolicy(string projectId, string subscriptionId)
    {
        PublisherServiceApiClient publisher = PublisherServiceApiClient.Create();
        SubscriptionName subscriptionName = SubscriptionName.FromProjectSubscription(projectId, subscriptionId);
        Policy policy = publisher.IAMPolicyClient.GetIamPolicy(new GetIamPolicyRequest
        {
            ResourceAsResourceName = subscriptionName
        });
        return policy;
    }
}

gcloud pubsub subscriptions get-iam-policy \
   projects/${PROJECT}/subscriptions/${SUBSCRIPTION} \
   --format json

   {
     "etag": "BwUjMhCsNvY=",
     "bindings": [
       {
         "role": "roles/pubsub.admin",
         "members": [
           "user:user-1@gmail.com"
         ]
       },
       {
         "role": "roles/pubsub.editor",
         "members": [
           "serviceAccount:service-account-2@appspot.gserviceaccount.com",
           "user:user-3@gmail.com"
         ]
       }
     ]
   }

import (
	"context"
	"fmt"
	"io"

	"cloud.google.com/go/iam/apiv1/iampb"
	"cloud.google.com/go/pubsub/v2"
)

func getIAMPolicy(w io.Writer, projectID, subscription string) error {
	// projectID := "my-project-id"