VM 内でのきめ細かいアクセスを構成する

環境を準備する

auth.log ファイルへのアクセス権を付与する前に、VM をいくつか作成する必要があります。

gcloud compute instances bulk create コマンドを使用して 3 つの VM を作成します。

gcloud compute instances bulk create \
    --name-pattern=tutorial-# \
    --zone=us-west1-a \
    --count=3 \
    --labels=vm=tutorial \
    --metadata=enable-oslogin=TRUE

次のようなメッセージが表示されます。

`Bulk create request finished with status message: [VM instances created: 3, failed: 0.]`

auth.log ファイルのグループ権限を設定する

ユーザーに roles/compute.osAdminLogin IAM ロールを付与せずに auth.log ファイルに対する読み取りアクセス権を付与するには、そのファイルを所有するグループを、そのユーザーが所属する Linux グループに変更します。

OS Login の Linux グループを作成する

OS Login の Linux グループを作成して、OS Login が有効になっている各 VM に表示される Linux の補足グループを追加できます。ローカルの Linux の補足グループの代わりに OS Login の Linux グループを作成すると、すべての VM 上の Linux グループを統一された方法で制御できます。

OS Login の Linux グループを作成するには、次の gcloud beta identity groups create コマンドを使用します。

gcloud beta identity groups create logaccess@ORGANIZATION_DOMAIN \
    --organization=ORGANIZATION_DOMAIN \
    --posix-group=gid=12345,name=logaccess

ORGANIZATION_DOMAIN は、組織に関連付けられたドメイン（example.com）に置き換えます。

OS ポリシーの割り当てを作成する

OS ポリシーを使用して、VM の構成を自動化し、一元化できます。OS ポリシーは、OS ポリシーの割り当てを使用して VM に適用します。auth.log ファイルのデフォルト グループを変更する OS ポリシーで OS ポリシーの割り当てを作成することにより、VM ごとに変更を適用するのではなく、複数の VM で auth.log ファイルのデフォルト グループを一度に変更できます。

OS ポリシーの割り当てを作成する手順は次のとおりです。

1. ワークステーションでターミナルを開きます。

2. 次のコマンドを実行して、OS ポリシーの割り当ての .yaml ファイルを作成します。

   touch tutorial-os-policy-assignment.yaml
   

3. テキスト エディタで tutorial-os-policy-assignment.yaml ファイルを開き、次の仕様を追加します。

   # OS policy assignment that sets the /var/log/auth.log group to logaccess.
   osPolicies:
    - id: log-access-policy
      mode: ENFORCEMENT
      resourceGroups:
          resources:
            - id: grant-log-access
              exec:
                validate:
                  # Checks if the group is logaccess. If yes, exits  with code 100. If no,
                  # exits with code 101 and proceeds to the `enforce` step.
                  script:
                    if stat -c '%G' /var/log/auth.log | grep -q 'logaccess'; then exit 100; else exit 101; fi
                  interpreter: SHELL
                enforce:
                  # Changes the group to logaccess and exits with code 100.
                  script:
                    chgrp logaccess /var/log/auth.log && exit 100
   instanceFilter:
    inclusionLabels:
      - labels:
          vm: tutorial
   rollout:
    disruptionBudget:
      fixed: 10
    minWaitDuration: 30s
   

VM への OS ポリシーの割り当てを適用する

VM に OS ポリシーの割り当てを適用する手順は次のとおりです。

1. gcloud compute os-config os-policy-assignments create コマンドを使用して、OS ポリシーを適用します。

   gcloud compute os-config os-policy-assignments create log-access-assignment \
      --location=us-west1-a \
      --file=log-access-os-policy-assignment.yaml \
      --async
   

   OS ポリシーの割り当ては、tutorial-os-policy-assignment.yaml ファイルに記述されたロールアウト仕様に従って VM にロールアウトされます。

2. OS ポリシーの割り当てが VM に正常にロールアウトされ、OS ポリシーの割り当てによって、gcloud compute os-config os-policy-assignment-reports list コマンドを使用してデフォルト グループが正常に更新されたことを確認します。

   gcloud compute os-config os-policy-assignment-reports list --location=us-west1-a
   

OS Login の Linux グループにユーザーを追加する

OS Login の Linux グループにユーザーを追加すると、そのユーザーは、OS Login が有効になっているすべての VM のグループの権限を継承します。このチュートリアルでは、logaccess グループに追加したユーザーは、roles/compute.osAdminLogin IAM ロールなしで auth.log ファイルを閲覧できます。

logaccess グループにユーザーを追加する方法については、Cloud Identity のヘルプ ドキュメントをご覧ください。