हैड्स-ऑन लैब — AGWA Google Cloud Associate Google Workspace Administrator

अवलोकन

पूर्व-आवश्यकताएं

चरण

1. 1.प्रदाता, प्रोजेक्ट सेवाएं, नामकरण

   Cloud Identity, IAM और Cloud Logging API सक्षम करें।

   कॉपी

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-agwa"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "cloudidentity" {
     service            = "cloudidentity.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "logging" {
     service            = "logging.googleapis.com"
     disable_on_destroy = false
   }

2. 2.Cloud Identity Groups API के माध्यम से एक Cloud Identity समूह बनाएँ

   प्रोविज़न:

   • Cloud Identity

   Cloud Identity समूह Google Workspace समूहों का GCP-साइड मिरर हैं — वे एक ही पहचान निर्देशिका में रहते हैं और उसी group-email@your-domain.com प्रारूप के माध्यम से संबोधित किए जा सकते हैं। AGWA परीक्षा इस सिंगल-पेन-ऑफ़-ग्लास पहचान मॉडल का परीक्षण करती है: Workspace में प्रोविज़न किया गया एक उपयोगकर्ता वही पहचान है जिसे GCP में IAM बाइंडिंग मिलती है।

   हम एक सुरक्षा समूह dev-readers@your-domain.com बनाते हैं। your-org-id को अपनी Cloud Identity ग्राहक आईडी से बदलें (gcloud organizations list → directoryCustomerId फ़ील्ड के माध्यम से पाएँ)।

   इस संसाधन को डोमेन स्वामित्व की आवश्यकता है — यह विफल हो जाएगा जब तक कि आप your-domain.com को नियंत्रित नहीं करते हैं और org स्कोप पर Cloud Identity API सक्षम नहीं करते हैं। एक वास्तविक डोमेन के बिना एक त्वरित लैब के लिए, इस चरण को छोड़ दें और चरण 3 में एक मौजूदा IAM पहचान का उपयोग करें।

   कॉपी

   resource "google_cloud_identity_group" "dev_readers" {
     display_name = "dev-readers"
     description  = "Lab Cloud Identity group for the AGWA walkthrough"
   
     parent = "customers/your-org-id" # REPLACE — find via `gcloud organizations list`
   
     group_key {
       id = "dev-readers@your-domain.com" # REPLACE with your Workspace domain
     }
   
     labels = {
       "cloudidentity.googleapis.com/groups.discussion_forum" = ""
     }
   
     initial_group_config = "WITH_INITIAL_OWNER"
   
     depends_on = [google_project_service.cloudidentity]
   }

3. 3.समूह को प्रोजेक्ट स्कोप पर एक न्यूनतम-विशेषाधिकार IAM भूमिका से बाँधें

   प्रोविज़न:

   • IAM

   Workspace एडमिन नियमित रूप से Workspace समूहों को GCP अनुमतियाँ असाइन करते हैं — AGWA-अनुशंसित पैटर्न है समूहों को भूमिकाएँ प्रदान करना, Workspace में सदस्यता प्रबंधित करना। हम चरण 2 से dev-readers समूह को वर्तमान प्रोजेक्ट में roles/viewer से बाँधते हैं। जिस किसी भी Workspace एडमिन द्वारा उन्हें dev-readers@your-domain.com में जोड़ा जाता है, वह तुरंत इस GCP प्रोजेक्ट पर व्यूअर की भूमिका विरासत में प्राप्त कर लेता है। जिसे हटा दिया जाता है वह इसे खो देता है।

   IAM member फ़ील्ड पर group: उपसर्ग पर ध्यान दें — यह एक समूह पहचान को बाँधने के लिए आधिकारिक सिंटैक्स है। अन्य उपसर्ग जिनका AGWA परीक्षा में परीक्षण किया जाता है: user: (व्यक्तिगत), serviceAccount: (सेवा खाता), domain: (एक डोमेन में सभी उपयोगकर्ता)।

   कॉपी

   data "google_project" "current" {}
   
   resource "google_project_iam_member" "dev_readers_viewer" {
     project = data.google_project.current.project_id
     role    = "roles/viewer"
     member  = "group:${google_cloud_identity_group.dev_readers.group_key[0].id}"
   }

4. 4.प्रोजेक्ट ऑडिट लॉग्स को एक समर्पित लॉगिंग बकेट में रूट करें

   प्रोविज़न:

   • Cloud Logging

   AGWA परीक्षा Cloud Audit Logs के दायरे का परीक्षण करती है: प्रशासक गतिविधि लॉग हमेशा चालू और निःशुल्क होते हैं; डेटा एक्सेस लॉग डिफ़ॉल्ट रूप से बंद होते हैं और सामान्य रूप से बिल किए जाते हैं; सिस्टम इवेंट लॉग हमेशा चालू और निःशुल्क होते हैं; नीति अस्वीकृत लॉग (VPC-SC अस्वीकृति) हमेशा चालू और निःशुल्क होते हैं।

   हम audit-events नामक एक समर्पित लॉगिंग बकेट (डिफ़ॉल्ट _Required और _Default बकेट से अलग) बनाते हैं, फिर एक लॉग सिंक जो हर IAM-संबंधित ऑडिट लॉग को उसमें रूट करता है। यह अनुपालन टीमों को _Default में परिचालन लॉग से एक अलग प्रतिधारण विंडो देता है — ऑडिट लॉग प्रतिधारण को घटना प्रतिक्रिया से अधिक समय तक जीवित रखने के लिए AGWA-अनुशंसित पैटर्न।

   कॉपी

   resource "google_logging_project_bucket_config" "audit" {
     project        = data.google_project.current.project_id
     location       = "global"
     retention_days = 400 # 13 months — typical compliance ask
     bucket_id      = "audit-events"
   
     depends_on = [google_project_service.logging]
   }
   
   resource "google_logging_project_sink" "audit_sink" {
     name        = "certlabpro-agwa-audit-sink"
     destination = "logging.googleapis.com/${google_logging_project_bucket_config.audit.id}"
     filter      = "logName:\"cloudaudit.googleapis.com\" AND protoPayload.serviceName=\"iam.googleapis.com\""
   
     unique_writer_identity = true
   }

क्लीनअप (Cleanup)