Detaillierten Zugriff innerhalb von VMs konfigurieren

Umgebung vorbereiten

Bevor Sie Zugriff auf die Datei auth.log gewähren können, müssen Sie einige VMs erstellen.

Erstellen Sie mit dem Befehl gcloud compute instances bulk create drei VMs:

gcloud compute instances bulk create \
    --name-pattern=tutorial-# \
    --zone=us-west1-a \
    --count=3 \
    --labels=vm=tutorial \
    --metadata=enable-oslogin=TRUE

Es kann eine Meldung ähnlich der folgenden angezeigt werden:

`Bulk create request finished with status message: [VM instances created: 3, failed: 0.]`

Gruppenberechtigungen für die Datei auth.log festlegen

Wenn Sie einem Nutzer Lesezugriff auf die Datei auth.log gewähren möchten, ohne ihm die IAM-Rolle roles/compute.osAdminLogin zuzuweisen, ändern Sie die Gruppe, der die Datei gehört, in eine Linux-Gruppe, in der der Nutzer Mitglied ist.

OS Login-Linux-Gruppe erstellen

Sie können eine OS Login-Linux-Gruppe erstellen, um eine zusätzliche Linux-Gruppe hinzuzufügen, die auf jeder VM mit aktiviertem OS Login angezeigt wird. Wenn Sie eine OS Login-Linux-Gruppe anstelle einer lokalen zusätzlichen Linux-Gruppe erstellen, können Sie die Linux-Gruppe auf allen VMs einheitlich steuern.

Verwenden Sie zum Erstellen einer OS Login-Linux-Gruppe den Befehl gcloud beta identity groups create:

gcloud beta identity groups create logaccess@ORGANIZATION_DOMAIN \
    --organization=ORGANIZATION_DOMAIN \
    --posix-group=gid=12345,name=logaccess

Ersetzen Sie ORGANIZATION_DOMAIN durch die mit Ihrer Organisation verknüpfte Domain (example.com).

Zuweisung von Betriebssystemrichtlinien erstellen

Mit Betriebssystemrichtlinien können Sie die Konfiguration Ihrer VMs automatisieren und zentralisieren. Sie wenden Betriebssystemrichtlinien mithilfe der Zuweisungen von Betriebssystemrichtlinien auf VMs an. Durch Erstellen einer Betriebssystemrichtlinien-Zuweisung mit einer Betriebssystemrichtlinie, die die Standardgruppe der Datei auth.log ändert, können Sie die Standardgruppe der Datei auth.log in mehreren VMs gleichzeitig ändern, anstatt die Änderung auf jeweils nur eine VM anzuwenden.

So erstellen Sie eine Betriebssystemrichtlinien-Zuweisung:

1. Öffnen Sie ein Terminal in der Workstation.

2. Erstellen Sie mit dem folgenden Befehl eine .yaml-Datei für die Betriebssystemrichtlinie:

   touch tutorial-os-policy-assignment.yaml
   

3. Öffnen Sie die Datei tutorial-os-policy-assignment.yaml in einem Texteditor und fügen Sie die folgenden Spezifikationen hinzu:

   examples/OSPolicyAssignments/gcloud/change_group.yaml

   Auf GitHub ansehen

   # OS policy assignment that sets the /var/log/auth.log group to logaccess.
   osPolicies:
    - id: log-access-policy
      mode: ENFORCEMENT
      resourceGroups:
          resources:
            - id: grant-log-access
              exec:
                validate:
                  # Checks if the group is logaccess. If yes, exits  with code 100. If no,
                  # exits with code 101 and proceeds to the `enforce` step.
                  script:
                    if stat -c '%G' /var/log/auth.log | grep -q 'logaccess'; then exit 100; else exit 101; fi
                  interpreter: SHELL
                enforce:
                  # Changes the group to logaccess and exits with code 100.
                  script:
                    chgrp logaccess /var/log/auth.log && exit 100
   instanceFilter:
    inclusionLabels:
      - labels:
          vm: tutorial
   rollout:
    disruptionBudget:
      fixed: 10
    minWaitDuration: 30s
   

Zuweisung von Betriebssystemrichtlinien auf VMs anwenden

So wenden Sie die Betriebssystemrichtlinien-Zuweisung auf Ihre VMs an:

1. Wenden Sie die Betriebssystemrichtlinie mit dem Befehl gcloud compute os-config os-policy-assignments create an:

   gcloud compute os-config os-policy-assignments create log-access-assignment \
      --location=us-west1-a \
      --file=log-access-os-policy-assignment.yaml \
      --async
   

   Die Betriebssystemrichtlinie wird gemäß den Rollout-Spezifikationen, die in der Datei tutorial-os-policy-assignment.yaml erwähnt werden, auf den VMs eingeführt.

2. Prüfen Sie mit dem Befehl gcloud compute os-config os-policy-assignment-reports list, ob die Zuweisung der Betriebssystemrichtlinie erfolgreich auf den VMs eingeführt wurde und die Betriebssystemrichtlinie die Standardgruppe erfolgreich aktualisiert hat:

   gcloud compute os-config os-policy-assignment-reports list --location=us-west1-a
   

Nutzer der OS Login-Linux-Gruppe hinzufügen

Wenn Sie einer OS Login-Linux-Gruppe einen Nutzer hinzufügen, übernimmt der Nutzer die Berechtigungen der Gruppe in allen VMs, für die OS Login aktiviert ist. In dieser Anleitung kann jeder Nutzer, den Sie der Gruppe logaccess hinzufügen, die Datei auth.log ohne die IAM-Rolle roles/compute.osAdminLogin aufrufen.

In der Cloud Identity-Hilfe finden Sie Informationen darüber, wie Sie der Gruppe logaccess einen Nutzer hinzufügen.