VM 내에서 세분화된 액세스 구성

환경 준비

auth.log 파일에 대한 액세스 권한을 부여하려면 먼저 VM을 여러 개 만들어야 합니다.

gcloud compute instances bulk create 명령어를 사용하여 VM을 3개 만듭니다.

gcloud compute instances bulk create \
    --name-pattern=tutorial-# \
    --zone=us-west1-a \
    --count=3 \
    --labels=vm=tutorial \
    --metadata=enable-oslogin=TRUE

다음과 유사한 메시지가 표시됩니다.

`Bulk create request finished with status message: [VM instances created: 3, failed: 0.]`

auth.log 파일의 그룹 권한 설정

roles/compute.osAdminLogin IAM 역할을 부여하지 않고 auth.log 파일에 대한 읽기 액세스 권한을 사용자에게 부여하려면 파일을 소유한 그룹을 사용자가 속한 Linux 그룹으로 변경합니다.

OS 로그인 Linux 그룹 만들기

OS 로그인 Linux 그룹을 만들어 OS 로그인이 사용 설정된 각 VM에 나타나는 보조 Linux 그룹을 추가할 수 있습니다. 로컬 보조 Linux 그룹 대신 OS 로그인 Linux 그룹을 만들면 모든 VM에 있는 Linux 그룹을 통합 방식으로 제어할 수 있습니다.

OS 로그인 Linux 그룹을 만들려면 gcloud beta identity groups create 명령어를 사용합니다.

gcloud beta identity groups create logaccess@ORGANIZATION_DOMAIN \
    --organization=ORGANIZATION_DOMAIN \
    --posix-group=gid=12345,name=logaccess

ORGANIZATION_DOMAIN을 조직과 연결된 도메인(example.com)으로 바꿉니다.

OS 정책 할당 만들기

OS 정책을 사용하여 VM 구성을 자동화하고 중앙화할 수 있습니다. OS 정책 할당을 사용하여 OS 정책을 VM에 적용합니다. auth.log 파일의 기본 그룹을 변경하는 OS 정책을 사용하여 OS 정책 할당을 만들면 한 번에 VM 하나에 변경사항을 적용하는 대신 한 번에 여러 VM에서 auth.log 파일의 기본 그룹을 변경할 수 있습니다.

OS 정책 할당을 만들려면 다음을 수행합니다.

1. 워크스테이션에서 터미널을 엽니다.

2. 다음 명령어를 실행하여 OS 정책 할당 .yaml 파일을 만듭니다.

   touch tutorial-os-policy-assignment.yaml
   

3. 텍스트 편집기에서 tutorial-os-policy-assignment.yaml 파일을 열고 다음 사양을 추가합니다.

   examples/OSPolicyAssignments/gcloud/change_group.yaml

   GitHub에서 보기

   # OS policy assignment that sets the /var/log/auth.log group to logaccess.
   osPolicies:
    - id: log-access-policy
      mode: ENFORCEMENT
      resourceGroups:
          resources:
            - id: grant-log-access
              exec:
                validate:
                  # Checks if the group is logaccess. If yes, exits  with code 100. If no,
                  # exits with code 101 and proceeds to the `enforce` step.
                  script:
                    if stat -c '%G' /var/log/auth.log | grep -q 'logaccess'; then exit 100; else exit 101; fi
                  interpreter: SHELL
                enforce:
                  # Changes the group to logaccess and exits with code 100.
                  script:
                    chgrp logaccess /var/log/auth.log && exit 100
   instanceFilter:
    inclusionLabels:
      - labels:
          vm: tutorial
   rollout:
    disruptionBudget:
      fixed: 10
    minWaitDuration: 30s
   

VM에 OS 정책 할당 적용

OS 정책 할당을 VM에 적용하려면 다음을 수행합니다.

1. gcloud compute os-config os-policy-assignments create 명령어를 사용하여 OS 정책을 적용합니다.

   gcloud compute os-config os-policy-assignments create log-access-assignment \
      --location=us-west1-a \
      --file=log-access-os-policy-assignment.yaml \
      --async
   

   OS 정책 할당은 tutorial-os-policy-assignment.yaml 파일에 멘션된 출시 사양에 따라 VM에 출시됩니다.

2. OS 정책 할당이 VM에 성공적으로 출시되었고 gcloud compute os-config os-policy-assignment-reports list 명령어를 사용하여 기본 그룹을 성공적으로 업데이트했는지 확인합니다.

   gcloud compute os-config os-policy-assignment-reports list --location=us-west1-a
   

OS 로그인 Linux 그룹에 사용자 추가

OS 로그인 Linux 그룹에 사용자를 추가하면 사용자가 OS 로그인이 사용 설정된 모든 VM에서 그룹 권한을 상속합니다. 이 튜토리얼에서는 logaccess 그룹에 추가한 모든 사용자가 roles/compute.osAdminLogin IAM 역할이 없어도 auth.log 파일을 볼 수 있습니다.

logaccess 그룹에 사용자를 추가하는 방법은 Cloud ID 도움말 문서를 참조하세요.