Empêcher la suppression accidentelle des bases de données clés

Question

Afin de réduire le risque de perte de données due à des erreurs techniques, comment une base de données clé spécifique peut-elle accorder des autorisations exclusives à un compte de service unique? Ou y a-t-il une meilleure façon de faire cela?

Généralement, plusieurs personnes bénéficient de droits étendus au sein d'un projet sur google cloud. C'est pour qu'ils puissent déployer des services de production, gérer des incidents pagerduty, etc. Pour autant que je sache, il n'est pas possible de soustraire les autorisations déjà accordées. Idéalement, IAM permettrait de supprimer tous les droits d'une base de données à clé unique, sauf pour un compte de service spécifié qui est destiné à y accéder.

Existe-t-il un moyen d'empêcher la suppression d'une base de données google spanner même si les développeurs ont obtenu un accès large (c'est-à-dire propriétaire) au projet?

Answer 1

Pas actuellement. Cependant, à l'avenir, il peut être possible de créer des rôles personnalisés dans IAM, où vous pouvez donner toutes les autorisations sauf celles que vous souhaitez restreindre sur Cloud Spanner. Vous devez ensuite attribuer ce rôle personnalisé aux personnes qui ont besoin d'autorisations de projet étendues, mais pas complètes. Voir la documentation Alpha pour creating and managing custom roles pour plus de détails. Cloud IAM offre également la possibilité de créer des rôles Cloud IAM personnalisés IAM. Vous pouvez créer un rôle Cloud IAM personnalisé avec une ou plusieurs autorisations , puis accorder ce rôle personnalisé aux utilisateurs faisant partie de votre organisation. Cloud IAM fournit une interface utilisateur et une API pour la création et la gestion des rôles personnalisés. En attendant, votre solution de contournement consistant à isoler les instances Spanner dans un projet distinct semble raisonnable.

Answer 2

Autant que je sache, il n'est pas possible de soustraire les autorisations déjà accordées.

En attendant, vous pouvez essayer de revoke access au compte de rôle largement accessible, et limiter leur accès à Cloud Spanner DatabaseReader | Viewer | rôles databaseuser. Un compte de rôle spécial peut ensuite se voir accorder des autorisations pour le rôle Cloud Spanner Admin | DatabaseAdmin (appartenance à un développeur restreint).