Configurar políticas de gestión de identidades y accesos

En esta página se describe cómo configurar políticas de gestión de identidades y accesos (IAM) que permitan a los miembros crear y gestionar recursos del Servicio de Autoridades de Certificación. Para obtener más información sobre la gestión de identidades y accesos, consulta el artículo Descripción general de la gestión de identidades y accesos.

Políticas generales de gestión de identidades y accesos

En el servicio de AC, asignas roles de gestión de identidades y accesos a usuarios o cuentas de servicio para crear y gestionar recursos del servicio de AC. Puedes añadir estas asignaciones de roles en los siguientes niveles:

• Nivel de grupo de AC para gestionar el acceso a un grupo de AC específico y a las AC de ese grupo.
• A nivel de proyecto o de organización para conceder acceso a todos los grupos de AC de ese ámbito.

Los roles se heredan si se conceden en un nivel de recurso superior. Por ejemplo, un usuario al que se le asigna el rol Auditor (roles/privateca.auditor) a nivel de proyecto puede ver todos los recursos del proyecto. Las políticas de gestión de identidades y accesos que se definen en un grupo de autoridades de certificación (ACs) se heredan de todas las ACs de ese grupo.

No se pueden conceder roles de gestión de identidades y accesos en certificados ni en recursos de autoridad de certificación.

Políticas de gestión de identidades y accesos condicionales

Si tienes un grupo de AC compartido que pueden usar varios usuarios autorizados para solicitar diferentes tipos de certificados, puedes definir condiciones de gestión de identidades y accesos para aplicar el acceso basado en atributos y realizar determinadas operaciones en un grupo de AC.

Las vinculaciones de roles condicionales de gestión de identidades y accesos te permiten conceder acceso a principales solo si se cumplen las condiciones especificadas. Por ejemplo, si el rol Solicitante de certificados se asigna al usuario alice@example.com en un grupo de ACs con la condición de que los SANs DNS solicitados sean un subconjunto de ['alice@example.com', 'bob@example.com'], el usuario podrá solicitar certificados del mismo grupo de ACs solo si el SAN solicitado es uno de esos dos valores permitidos. Puedes definir condiciones en las vinculaciones de IAM mediante expresiones del lenguaje de expresión común (CEL). Estas condiciones pueden ayudarte a restringir aún más el tipo de certificados que puede solicitar un usuario. Para obtener información sobre cómo usar expresiones CEL en las condiciones de IAM, consulta el artículo Dialecto del lenguaje de expresión común (CEL) para las políticas de IAM.

Antes de empezar

• Habilita la API.
• Crea una AC y un grupo de ACs siguiendo las instrucciones de cualquiera de las guías de inicio rápido.
• Consulta los IAM disponibles para el servicio de autoridad de certificación.

Configurar enlaces de políticas de gestión de identidades y accesos a nivel de proyecto

En los siguientes casos prácticos se describe cómo puedes conceder acceso a los recursos de CA Service a los usuarios a nivel de proyecto.

Gestionar recursos

Un administrador del Servicio de Autoridades de Certificación (roles/privateca.admin) tiene permisos para gestionar todos los recursos del Servicio de Autoridades de Certificación y definir políticas de gestión de identidades y accesos en los grupos de autoridades de certificación y las plantillas de certificados.

Para asignar el rol Administrador del servicio de AC (roles/privateca.admin) a un usuario en el nivel de proyecto, sigue estas instrucciones:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=MEMBER \
  --role=roles/privateca.admin

Crear recursos

Un gestor operativo del Servicio de Autoridades de Certificación (roles/privateca.caManager) puede crear, actualizar y eliminar grupos de autoridades de certificación y autoridades de certificación. Este rol también permite al llamante revocar los certificados emitidos por las CAs del grupo de CAs.

Para asignar el rol Gestor de operaciones del servicio de AC (roles/privateca.caManager) a un usuario a nivel de proyecto, sigue estas instrucciones:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=MEMBER \
  --role=roles/privateca.caManager

De forma opcional, para crear una AC con una clave de Cloud KMS, el llamante también debe ser administrador de la clave de Cloud KMS.

El administrador de Cloud KMS (roles/cloudkms.admin) tiene acceso completo a todos los recursos de Cloud KMS, excepto a las operaciones de cifrado y descifrado. Para obtener más información sobre los roles de IAM de Cloud KMS, consulta Permisos y roles de Cloud KMS.

Para conceder el rol Administrador de Cloud KMS (roles/cloudkms.admin) a un usuario, sigue estas instrucciones:

gcloud kms keys add-iam-policy-binding KEY \
  --keyring=KEYRING --location=LOCATION \
  --member=MEMBER \
  --role=roles/cloudkms.admin

Recursos de auditoría

Un auditor del Servicio de Autoridades de Certificación (roles/privateca.auditor) tiene acceso de lectura a todos los recursos del Servicio de Autoridades de Certificación. Cuando se concede para un grupo de CAs específico, se otorga acceso de lectura al grupo de CAs. Si el grupo de autoridades de certificación está en el nivel Enterprise, el usuario con este rol también puede ver los certificados y las CRLs emitidos por las autoridades de certificación del grupo. Asigna este rol a las personas responsables de validar la seguridad y las operaciones del grupo de CAs.

Para asignar el rol Auditor del servicio de AC (roles/privateca.auditor) a un usuario a nivel de proyecto, sigue estas instrucciones:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=MEMBER \
  --role=roles/privateca.auditor

Configurar enlaces de políticas de gestión de identidades y accesos a nivel de recurso

En esta sección se describe cómo puedes configurar enlaces de políticas de gestión de identidades y accesos para un recurso concreto en el servicio de CA.

Gestionar grupos de autoridades de certificación

Puedes asignar el rol Administrador del Servicio de Autoridades de Certificación (roles/privateca.admin) a nivel de recurso para gestionar un grupo de AC o una plantilla de certificado específicos.

gcloud privateca pools add-iam-policy-binding POOL_ID \
  --location LOCATION \
  --member MEMBER \
  --role roles/privateca.admin

Sigue los mismos pasos para asignar el rol Administrador de servicio de CA a una plantilla de certificado.

También puedes asignar el rol Gestor operativo del servicio de autoridades de certificación (roles/privateca.caManager) a un grupo de autoridades de certificación específico. Este rol permite al llamante revocar los certificados emitidos por las ACs de ese grupo de ACs.