IAM sur Google Cloud

1. Rôles et liaisons #

Qui a quels droits, où.

Principes #

gcloud projects add-iam-policy-binding mon-projet --member=group:devs@exemple.fr --role=roles/run.developer
gcloud projects get-iam-policy mon-projet --format='table(bindings.role, bindings.members)'

2. Comptes de service #

Les identités des applications.

Bonnes pratiques #

• Un compte de service par application, avec les seuls rôles nécessaires.
• Pas de clés JSON téléchargées : identité attachée à la ressource (VM, Cloud Run) ou Workload Identity Federation depuis GitHub Actions ou un autre cloud.
• Sur GKE, Workload Identity relie un compte de service Kubernetes à un compte de service Google.

gcloud iam service-accounts create api-commandes --display-name="API commandes"
gcloud projects add-iam-policy-binding mon-projet --member=serviceAccount:api-commandes@mon-projet.iam.gserviceaccount.com --role=roles/datastore.user
gcloud run deploy api --image=europe-west9-docker.pkg.dev/mon-projet/app/api:1.0 --service-account=api-commandes@mon-projet.iam.gserviceaccount.com

3. Garde-fous #

Règles d'administration et audit.

Contrôles #

• Organization Policy : régions autorisées (gcp.resourceLocations), interdiction des clés de compte de service, des IP publiques sur les VM.
• Cloud Audit Logs : activité d'administration toujours journalisée, accès aux données à activer.
• VPC Service Controls : périmètre autour des services pour limiter l'exfiltration de données.

Bonne Pratique : Utilisez des groupes Google pour les liaisons IAM : on gère ensuite les personnes dans les groupes, pas dans chaque projet.