动手实验室 — AGWA Google Cloud Associate Google Workspace Administrator

概述

先决条件

步骤

1. 1.提供商、项目服务、命名

   启用 Cloud Identity、IAM 和 Cloud Logging API。

   复制

   terraform {
     required_version = ">= 1.5"
   
     required_providers {
       google = { source = "hashicorp/google", version = "~> 6.0" }
     }
   }
   
   provider "google" {
     project = "your-project-id" # REPLACE
     region  = "us-central1"
   }
   
   locals {
     labels = {
       project    = "certlabpro-agwa"
       managed_by = "terraform"
     }
   }
   
   resource "google_project_service" "cloudidentity" {
     service            = "cloudidentity.googleapis.com"
     disable_on_destroy = false
   }
   
   resource "google_project_service" "logging" {
     service            = "logging.googleapis.com"
     disable_on_destroy = false
   }

2. 2.通过 Cloud Identity Groups API 创建 Cloud Identity 组

   配置服务：

   • Cloud Identity

   Cloud Identity Groups 是 Google Workspace 组在 GCP 侧的镜像——它们存在于相同的身份目录中，并且可以通过相同的 group-email@your-domain.com 格式进行寻址。AGWA 考试会测试这种“单一管理界面”的身份模型：在 Workspace 中配置的用户与在 GCP 中获得 IAM 绑定的身份是同一个。

   我们创建一个安全组 dev-readers@your-domain.com。将 your-org-id 替换为您的 Cloud Identity 客户 ID（通过 gcloud organizations list 命令查找 → directoryCustomerId 字段）。

   此资源需要域所有权——除非您控制 your-domain.com 并在组织范围内启用了 Cloud Identity API，否则它将失败。如果只是一个快速实验而没有真实域，请跳过此步骤，并在步骤 3 中使用现有的 IAM 身份。

   复制

   resource "google_cloud_identity_group" "dev_readers" {
     display_name = "dev-readers"
     description  = "Lab Cloud Identity group for the AGWA walkthrough"
   
     parent = "customers/your-org-id" # REPLACE — find via `gcloud organizations list`
   
     group_key {
       id = "dev-readers@your-domain.com" # REPLACE with your Workspace domain
     }
   
     labels = {
       "cloudidentity.googleapis.com/groups.discussion_forum" = ""
     }
   
     initial_group_config = "WITH_INITIAL_OWNER"
   
     depends_on = [google_project_service.cloudidentity]
   }

3. 3.将组绑定到项目范围内的最小权限 IAM 角色

   配置服务：

   • IAM

   Workspace 管理员通常会向 Workspace 组分配 GCP 权限——AGWA 推荐的模式是“向组授予角色，在 Workspace 中管理成员资格”。我们将步骤 2 中的 dev-readers 组绑定到当前项目的 roles/viewer 角色。任何被 Workspace 管理员添加到 dev-readers@your-domain.com 的用户都会立即继承此 GCP 项目的查看者权限。任何被移除的用户都会失去此权限。

   请注意 IAM member 字段上的 group: 前缀——这是绑定组身份的规范语法。AGWA 考试还会测试其他前缀：user:（个人）、serviceAccount:（服务账号）、domain:（域中的所有用户）。

   复制

   data "google_project" "current" {}
   
   resource "google_project_iam_member" "dev_readers_viewer" {
     project = data.google_project.current.project_id
     role    = "roles/viewer"
     member  = "group:${google_cloud_identity_group.dev_readers.group_key[0].id}"
   }

4. 4.将项目审计日志路由到专用的日志存储桶

   配置服务：

   • Cloud Logging

   AGWA 考试会测试 Cloud Audit Logs 的范围：Admin Activity 日志始终开启且免费；Data Access 日志默认关闭并正常计费；System Event 日志始终开启且免费；Policy Denied 日志（VPC-SC 拒绝）始终开启且免费。

   我们创建一个名为 audit-events 的专用日志存储桶（与默认的 _Required 和 _Default 存储桶分开），然后创建一个日志接收器，将所有与 IAM 相关的审计日志路由到其中。这为合规团队提供了一个独立于 _Default 中操作日志的保留窗口——这是 AGWA 推荐的模式，用于“审计日志保留期长于事件响应期”。

   复制

   resource "google_logging_project_bucket_config" "audit" {
     project        = data.google_project.current.project_id
     location       = "global"
     retention_days = 400 # 13 months — typical compliance ask
     bucket_id      = "audit-events"
   
     depends_on = [google_project_service.logging]
   }
   
   resource "google_logging_project_sink" "audit_sink" {
     name        = "certlabpro-agwa-audit-sink"
     destination = "logging.googleapis.com/${google_logging_project_bucket_config.audit.id}"
     filter      = "logName:\"cloudaudit.googleapis.com\" AND protoPayload.serviceName=\"iam.googleapis.com\""
   
     unique_writer_identity = true
   }

清理