Configure o acesso granular nas VMs

Prepare o ambiente

Antes de conceder acesso ao arquivo auth.log, você precisa criar algumas VMs.

Crie três VMs usando o comando gcloud compute instances bulk create:

gcloud compute instances bulk create \
    --name-pattern=tutorial-# \
    --zone=us-west1-a \
    --count=3 \
    --labels=vm=tutorial \
    --metadata=enable-oslogin=TRUE

Você verá uma mensagem semelhante a esta:

`Bulk create request finished with status message: [VM instances created: 3, failed: 0.]`

Definir as permissões de grupo para o arquivo auth.log

Para conceder a um usuário acesso de leitura ao arquivo auth.log sem conceder a ele o papel do IAM roles/compute.osAdminLogin, altere o grupo que possui o arquivo para um grupo do Linux do qual o usuário é membro.

Criar um grupo do Linux de Login do SO

É possível criar um grupo do Linux de login do SO para adicionar um grupo complementar do Linux que aparece em cada VM com o login do SO ativado. Ao criar um grupo do Linux de Login do SO em vez de um grupo complementar do Linux, é possível controlar o grupo do Linux em todas as VMs de maneira unificada.

Para criar um grupo do Linux de Login do SO, use o comando gcloud beta identity groups create:

gcloud beta identity groups create logaccess@ORGANIZATION_DOMAIN \
    --organization=ORGANIZATION_DOMAIN \
    --posix-group=gid=12345,name=logaccess

Substitua ORGANIZATION_DOMAIN pelo domínio (example.com) associado à sua organização.

Criar uma atribuição de política do SO

É possível usar as políticas do SO para automatizar e centralizar a configuração das VMs. Você aplica políticas de SO a VMs usando atribuições de políticas de SO. Ao criar uma atribuição de política de SO com uma política que altera o grupo padrão do arquivo auth.log, é possível alterar o grupo padrão do arquivo auth.log em várias VMs de uma só vez, em vez de aplicar a alteração a uma VM por vez.

Para criar uma atribuição de política de SO, faça o seguinte:

1. Abra um terminal na estação de trabalho.

2. Crie um arquivo .yaml de atribuição de política de SO executando o seguinte comando:

   touch tutorial-os-policy-assignment.yaml
   

3. Abra o arquivo tutorial-os-policy-assignment.yaml em um editor de texto e adicione as seguintes especificações:

   examples/OSPolicyAssignments/gcloud/change_group.yaml

   Ver no GitHub
   # OS policy assignment that sets the /var/log/auth.log group to logaccess.
   osPolicies:
    - id: log-access-policy
      mode: ENFORCEMENT
      resourceGroups:
          resources:
            - id: grant-log-access
              exec:
                validate:
                  # Checks if the group is logaccess. If yes, exits  with code 100. If no,
                  # exits with code 101 and proceeds to the `enforce` step.
                  script:
                    if stat -c '%G' /var/log/auth.log | grep -q 'logaccess'; then exit 100; else exit 101; fi
                  interpreter: SHELL
                enforce:
                  # Changes the group to logaccess and exits with code 100.
                  script:
                    chgrp logaccess /var/log/auth.log && exit 100
   instanceFilter:
    inclusionLabels:
      - labels:
          vm: tutorial
   rollout:
    disruptionBudget:
      fixed: 10
    minWaitDuration: 30s
   

Aplicar a atribuição de política de SO às VMs

Para aplicar a atribuição de política de SO às VMs, faça o seguinte:

1. Aplique a política do SO usando o comando gcloud compute os-config os-policy-assignments create:

   gcloud compute os-config os-policy-assignments create log-access-assignment \
      --location=us-west1-a \
      --file=log-access-os-policy-assignment.yaml \
      --async
   

   A atribuição de política do SO é lançada para as VMs de acordo com as especificações de lançamento mencionadas no arquivo tutorial-os-policy-assignment.yaml.

2. Confirme se a atribuição da política do SO foi lançada com sucesso para as VMs e se a atribuição da política do SO atualizou com sucesso o grupo padrão usando o comando gcloud compute os-config os-policy-assignment-reports list:

   gcloud compute os-config os-policy-assignment-reports list --location=us-west1-a
   

Adicionar usuários ao grupo do Linux de Login do SO

Quando você adiciona um usuário a um grupo do Login do SO no Linux, ele herda as permissões do grupo em todas as VMs que têm o Login do SO ativado. Para este tutorial, qualquer usuário adicionado ao grupo logaccess pode visualizar o arquivo auth.log sem o papel roles/compute.osAdminLogin do IAM.

Veja a documentação de Ajuda do Cloud Identity para saber como adicionar um usuário ao grupo logaccess.