Bulut bili\u015fim d\u00fcnyas\u0131nda, kaynaklara kimin ne \u015fekilde eri\u015febilece\u011fini y\u00f6netmek, bir \u015firketin siber g\u00fcvenlik duru\u015funun temelini olu\u015fturur. Google Cloud Platform (GCP) \u00fczerindeki Identity and Access Management (IAM) sistemi, bulut ortam\u0131n\u0131z\u0131n g\u00fcvenli\u011fini sa\u011flamak i\u00e7in kritik bir rol oynar. Bu makale, GCP IAM’in temel prensiplerinden ileri d\u00fczey kullan\u0131m\u0131na kadar her \u015feyi ad\u0131m ad\u0131m a\u00e7\u0131klayarak, bulut kaynaklar\u0131n\u0131z\u0131 en iyi \u015fekilde nas\u0131l koruyabilece\u011finizi g\u00f6steriyor.<\/p>\n
G\u00fcn\u00fcm\u00fcz\u00fcn dijital d\u00fcnyas\u0131nda, \u015firketler verilerini ve uygulamalar\u0131n\u0131 bulut ortamlar\u0131na ta\u015f\u0131d\u0131k\u00e7a g\u00fcvenlik endi\u015feleri de art\u0131\u015f g\u00f6steriyor. \u00d6zellikle \u00e7ok say\u0131da kullan\u0131c\u0131n\u0131n ve otomasyonun bulundu\u011fu b\u00fcy\u00fck \u00f6l\u00e7ekli altyap\u0131larda, kaynaklara kimin eri\u015febilece\u011fini ve hangi i\u015flemleri yapabilece\u011fini kontrol etmek hayati \u00f6nem ta\u015f\u0131r. \u0130\u015fte tam bu noktada Google Cloud Identity and Access Management (IAM) devreye girer. IAM, GCP kaynaklar\u0131n\u0131za y\u00f6nelik eri\u015fimi merkezi ve ayr\u0131nt\u0131l\u0131 bir \u015fekilde y\u00f6netmenizi sa\u011flayan g\u00fc\u00e7l\u00fc bir \u00e7er\u00e7evedir. Bu sistem, “kimin (who)” “hangi kayna\u011fa (what)” “ne yapabilece\u011fini (how)” tan\u0131mlaman\u0131za olanak tan\u0131r.<\/p>\n
IAM’in temel amac\u0131, “En Az Ayr\u0131cal\u0131k (Least Privilege)” ilkesini uygulayarak, kullan\u0131c\u0131lara ve hizmet hesaplar\u0131na yaln\u0131zca i\u015flerini yapmalar\u0131 i\u00e7in gerekli olan minimum izinleri vermektir. Bu ilke, g\u00fcvenlik ihlallerinin potansiyel etkisini s\u0131n\u0131rlamak a\u00e7\u0131s\u0131ndan kritik \u00f6neme sahiptir. \u00d6rne\u011fin, bir geli\u015ftiricinin \u00fcretim ortam\u0131ndaki veritaban\u0131na sadece okuma iznine sahip olmas\u0131, yanl\u0131\u015fl\u0131kla veya k\u00f6t\u00fc niyetli bir \u015fekilde veri silmesini engeller. IAM olmadan, t\u00fcm kullan\u0131c\u0131lara geni\u015f yetkiler vermek zorunda kalabiliriz ki bu da g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131n kap\u0131s\u0131n\u0131 ard\u0131na kadar a\u00e7ar.<\/p>\n
GCP IAM, geleneksel g\u00fcvenlik yakla\u015f\u0131mlar\u0131ndan farkl\u0131 olarak, sadece kullan\u0131c\u0131lar\u0131 de\u011fil, ayn\u0131 zamanda uygulamalar, sanal makineler (VM’ler) ve di\u011fer Google Cloud hizmetleri gibi “hizmet hesaplar\u0131n\u0131” da kapsar. Bu, otomatize edilmi\u015f s\u00fcre\u00e7lerin ve mikro hizmetlerin de g\u00fcvenli bir \u015fekilde y\u00f6netilebilmesini sa\u011flar. \u00d6rne\u011fin, bir sunucusuz i\u015flevin (Cloud Function) bir depolama kovas\u0131na (Cloud Storage bucket) dosya yazmas\u0131 gerekti\u011finde, bu i\u015flevi temsil eden bir hizmet hesab\u0131na yaln\u0131zca o kovaya yazma izni verilir. B\u00f6ylece, i\u015flevin ba\u015fka bir kayna\u011fa veya farkl\u0131 bir kovaya eri\u015fmesi engellenmi\u015f olur.<\/p>\n
IAM’in sundu\u011fu bir di\u011fer \u00f6nemli avantaj ise esnek ve hiyerar\u015fik yap\u0131s\u0131d\u0131r. Google Cloud kaynaklar\u0131 bir organizasyon, klas\u00f6rler, projeler ve nihayetinde tek tek kaynaklar (Compute Engine \u00f6rnekleri, Cloud Storage kovalar\u0131 vb.) \u015feklinde d\u00fczenlenir. IAM politikalar\u0131 bu hiyerar\u015finin herhangi bir seviyesinde tan\u0131mlanabilir ve alt seviyedeki kaynaklara miras kal\u0131r. Bu sayede, \u00f6rne\u011fin bir klas\u00f6re atanan bir geli\u015ftirici rol\u00fc, o klas\u00f6rdeki t\u00fcm projelerdeki geli\u015ftirme kaynaklar\u0131na otomatik olarak eri\u015febilir. Bu hiyerar\u015fik yap\u0131, b\u00fcy\u00fck ve karma\u015f\u0131k bulut ortamlar\u0131nda y\u00f6netimi b\u00fcy\u00fck \u00f6l\u00e7\u00fcde basitle\u015ftirirken, ayn\u0131 zamanda tutarl\u0131 g\u00fcvenlik politikalar\u0131n\u0131n uygulanmas\u0131n\u0131 sa\u011flar. T\u00fcrkiye’deki b\u00fcy\u00fck bir e-ticaret firmas\u0131 d\u00fc\u015f\u00fcnelim. Firman\u0131n farkl\u0131 departmanlar\u0131 (pazarlama, geli\u015ftirme, finans) ve farkl\u0131 projeleri (mobil uygulama, web sitesi, veri analizi) bulunuyor. IAM sayesinde, her departman\u0131n ve projenin sadece kendi sorumlu oldu\u011fu kaynaklara eri\u015fimi, net ve denetlenebilir bir \u015fekilde belirlenebilir. Bu da hem operasyonel verimlili\u011fi art\u0131r\u0131r hem de g\u00fcvenlik risklerini minimize eder. K\u0131sacas\u0131, Google Cloud IAM, bulut altyap\u0131n\u0131z\u0131n omurgas\u0131n\u0131 olu\u015fturan bir g\u00fcvenlik katman\u0131 olarak, modern i\u015f y\u00fcklerinin gerektirdi\u011fi esnekli\u011fi ve g\u00fc\u00e7l\u00fc korumay\u0131 bir arada sunar.<\/p>\n
Google Cloud IAM’i etkin bir \u015fekilde kullanabilmek i\u00e7in, onun temel bile\u015fenlerini ve bu bile\u015fenlerin birbiriyle nas\u0131l etkile\u015fimde bulundu\u011funu anlamak kritik \u00f6neme sahiptir. IAM sistemi d\u00f6rt ana kavram etraf\u0131nda d\u00f6ner: \u00dcyeler (Members), Roller (Roles), \u0130zinler (Permissions) ve Kaynaklar (Resources). Bu bile\u015fenlerin her biri, eri\u015fim kontrol matrisinin bir par\u00e7as\u0131n\u0131 olu\u015fturur ve birlikte \u00e7al\u0131\u015farak kimin neye eri\u015febilece\u011fini belirler.<\/p>\n
\u00d6ncelikle, \u00dcyeler (Members)<\/strong> kimlerdir? \u00dcyeler, Google Cloud kaynaklar\u0131na eri\u015fim iste\u011finde bulunabilecek kimliklerdir. Bunlar \u00e7e\u015fitli tiplerde olabilir: \u0130kinci olarak, \u0130zinler (Permissions)<\/strong> ne anlama gelir? \u0130zinler, bir Google Cloud kayna\u011f\u0131 \u00fczerinde ger\u00e7ekle\u015ftirilebilecek atomik (en k\u00fc\u00e7\u00fck) eylemleri tan\u0131mlar. \u00d6rne\u011fin, \u00dc\u00e7\u00fcnc\u00fc olarak, Roller (Roles)<\/strong> devreye girer. Roller, belirli bir i\u015flevi yerine getirmek i\u00e7in gerekli olan izinlerin bir koleksiyonudur. GCP’de \u00fc\u00e7 ana rol t\u00fcr\u00fc bulunur: Son olarak, Kaynaklar (Resources)<\/strong> ise Google Cloud’daki her t\u00fcrl\u00fc varl\u0131kt\u0131r. Bunlar bir proje, bir Compute Engine sanal makinesi, bir Cloud Storage kovas\u0131, bir veritaban\u0131 \u00f6rne\u011fi veya bir a\u011f yap\u0131land\u0131rmas\u0131 olabilir. IAM politikalar\u0131, bu kaynaklar\u0131n hiyerar\u015fisi \u00fczerinde uygulan\u0131r. Bir organizasyon, klas\u00f6rler, projeler ve kaynaklar \u015feklinde bir hiyerar\u015fi mevcuttur. Bir \u00fcst seviyede (\u00f6rne\u011fin bir klas\u00f6rde) tan\u0131mlanan IAM politikalar\u0131, alt\u0131ndaki t\u00fcm projelere ve kaynaklara miras kal\u0131r. Bu, b\u00fcy\u00fck \u00f6l\u00e7ekli ortamlarda tutarl\u0131 g\u00fcvenlik politikalar\u0131n\u0131 uygulamay\u0131 kolayla\u015ft\u0131r\u0131r. \u00d6rne\u011fin, bir “Geli\u015ftirme” klas\u00f6r\u00fcne atanan bir Bu d\u00f6rt bile\u015fen, bir araya gelerek bir IAM politikas\u0131n\u0131 olu\u015fturur. Bir IAM politikas\u0131, bir kayna\u011fa kimin hangi rol\u00fc (ve dolay\u0131s\u0131yla hangi izinleri) alaca\u011f\u0131n\u0131 tan\u0131mlayan bir ba\u011flamad\u0131r (binding). Bu ba\u011flamalar, JSON veya YAML format\u0131nda temsil edilir ve Google Cloud IAM politikalar\u0131n\u0131 olu\u015fturmak ve y\u00f6netmek, hem konsol (web aray\u00fcz\u00fc) hem de komut sat\u0131r\u0131 aray\u00fcz\u00fc (gcloud CLI) \u00fczerinden ger\u00e7ekle\u015ftirilebilir. Her iki y\u00f6ntem de farkl\u0131 senaryolar i\u00e7in avantajlar sunar. Konsol, g\u00f6rsel bir aray\u00fcz arayanlar i\u00e7in kullan\u0131c\u0131 dostu bir se\u00e7enekken, gcloud CLI otomasyon ve betikleme i\u00e7in idealdir. Bu b\u00f6l\u00fcmde, her iki y\u00f6ntemi kullanarak IAM politikalar\u0131n\u0131 nas\u0131l olu\u015fturaca\u011f\u0131n\u0131z\u0131 ve y\u00f6netece\u011finizi ad\u0131m ad\u0131m inceleyece\u011fiz.<\/p>\n Konsol, IAM rollerini ve izinlerini g\u00f6rsel olarak y\u00f6netmenin en kolay yoludur. \u0130\u015fte temel ad\u0131mlar:<\/p>\n 1. IAM Sayfas\u0131na Eri\u015fim:<\/strong> Google Cloud konsolunda oturum a\u00e7\u0131n ve sol gezinme men\u00fcs\u00fcnden “IAM & Admin” (IAM ve Y\u00f6netici) > “IAM” se\u00e7ene\u011fine gidin. Bu sayfa, se\u00e7ti\u011finiz proje, klas\u00f6r veya organizasyon seviyesindeki t\u00fcm IAM politikalar\u0131n\u0131 g\u00f6sterir. Bu ad\u0131mlar, mevcut bir \u00fcyeye yeni bir rol atamak veya mevcut bir rol\u00fc de\u011fi\u015ftirmek i\u00e7in de kullan\u0131labilir. Mevcut bir \u00fcyeyi bulup yan\u0131ndaki kalem simgesine t\u0131klayarak rollerini d\u00fczenleyebilirsiniz.<\/p>\n gcloud CLI, otomasyon ve betikleme i\u00e7in vazge\u00e7ilmez bir ara\u00e7t\u0131r. \u00d6zellikle \u00e7ok say\u0131da kayna\u011f\u0131 veya \u00fcyeyi y\u00f6netmeniz gerekti\u011finde b\u00fcy\u00fck kolayl\u0131k sa\u011flar.<\/p>\n Bir \u00dcyeye Rol Atama:<\/strong> <\/code> Bir \u00dcyeden Rol Kald\u0131rma:<\/strong> <\/code><\/p>\n Mevcut IAM Politikas\u0131n\u0131 G\u00f6r\u00fcnt\u00fcleme:<\/strong> <\/code><\/p>\n \u00d6rnek \u00e7\u0131kt\u0131 \u015f\u00f6yle g\u00f6r\u00fcnebilir:<\/p>\n <\/code><\/p>\n \u00d6zel Rol Olu\u015fturma:<\/strong> <\/code> <\/code> B\u00fcy\u00fck bir kurulu\u015fun Google Cloud Platform'daki (GCP) IAM yap\u0131land\u0131rmas\u0131, tek bir proje veya birka\u00e7 kullan\u0131c\u0131dan \u00e7ok daha karma\u015f\u0131kt\u0131r. Bu t\u00fcr bir senaryo, genellikle y\u00fczlerce kullan\u0131c\u0131, onlarca proje, farkl\u0131 departmanlar ve \u00e7e\u015fitli otomasyon s\u00fcre\u00e7lerini i\u00e7erir. \u0130\u015fte b\u00f6yle bir ortamda etkili ve g\u00fcvenli bir IAM yap\u0131s\u0131n\u0131n nas\u0131l kurulabilece\u011fine dair bir vaka analizi: T\u00fcrkiye'nin \u00f6nde gelen bir bankac\u0131l\u0131k kurulu\u015funun dijital d\u00f6n\u00fc\u015f\u00fcm projesi.<\/p>\n Senaryo:<\/strong> \"FinansBank Dijital D\u00f6n\u00fc\u015f\u00fcm Projesi\" kapsam\u0131nda, mevcut uygulamalar GCP'ye ta\u015f\u0131n\u0131yor ve yeni nesil bankac\u0131l\u0131k hizmetleri geli\u015ftiriliyor. Kurulu\u015fun BT departman\u0131, geli\u015ftirme ekibi, denetim birimi, operasyon ekibi ve veri analizi ekibi gibi farkl\u0131 birimleri bulunuyor. G\u00fcvenlik ve mevzuat uyumlulu\u011fu (BDDK d\u00fczenlemeleri gibi) en y\u00fcksek \u00f6ncelik.<\/p>\n Mevcut Durum ve Zorluklar:<\/strong> \u00c7\u00f6z\u00fcm: Hiyerar\u015fik ve Detayl\u0131 IAM Yap\u0131land\u0131rmas\u0131<\/strong><\/p>\n 1. Organizasyon Kayna\u011f\u0131 ve Klas\u00f6r Yap\u0131s\u0131:<\/strong> *Bu hiyerar\u015fik yap\u0131, \u00fcst seviyede tan\u0131mlanan politikalar\u0131n alt seviyelere miras kalmas\u0131n\u0131 sa\u011flayarak y\u00f6netimi kolayla\u015ft\u0131r\u0131r ve tutarl\u0131l\u0131\u011f\u0131 art\u0131r\u0131r.*<\/p>\n 2. Google Gruplar\u0131n\u0131n Kullan\u0131m\u0131:<\/strong> 3. \u00d6zel Roller (Custom Roles) ile En Az Ayr\u0131cal\u0131k:<\/strong> 4. Hizmet Hesaplar\u0131 ve Anahtar Y\u00f6netimi:<\/strong> 5. Ko\u015fullu IAM (Conditional IAM):<\/strong> 6. Denetim G\u00fcnl\u00fckleri (Audit Logs) ve \u0130zleme:<\/strong> Bu kapsaml\u0131 IAM yap\u0131land\u0131rmas\u0131 sayesinde FinansBank, hem g\u00fcvenlik gereksinimlerini kar\u015f\u0131lad\u0131 hem de ekiplerine i\u015flerini verimli bir \u015fekilde yapmalar\u0131 i\u00e7in gerekli esnekli\u011fi sundu. En az ayr\u0131cal\u0131k ilkesi, \u00f6zel roller ve ko\u015fullu eri\u015fim, hassas bankac\u0131l\u0131k verilerinin korunmas\u0131nda kilit rol oynad\u0131. Bu vaka analizi, b\u00fcy\u00fck ve d\u00fczenlemeye tabi bir kurulu\u015fun GCP IAM'i nas\u0131l stratejik olarak kullanabilece\u011fini a\u00e7\u0131k\u00e7a g\u00f6stermektedir.<\/p>\n Google Cloud IAM, g\u00fc\u00e7l\u00fc bir g\u00fcvenlik \u00e7er\u00e7evesi sunsa da, yanl\u0131\u015f yap\u0131land\u0131rmalar veya ihmaller ciddi g\u00fcvenlik a\u00e7\u0131klar\u0131na yol a\u00e7abilir. Bu nedenle, IAM'i kullan\u0131rken en iyi uygulamalar\u0131 takip etmek ve g\u00fcvenlik duru\u015funuzu s\u00fcrekli g\u00fc\u00e7lendirmek kritik \u00f6neme sahiptir. \u0130\u015fte bulut ortam\u0131n\u0131z\u0131n g\u00fcvenli\u011fini art\u0131rmak i\u00e7in uygulayabilece\u011finiz baz\u0131 \u00f6nemli ipu\u00e7lar\u0131:<\/p>\n 1. \"En Az Ayr\u0131cal\u0131k\" \u0130lkesini Kat\u0131 Bir \u015eekilde Uygulay\u0131n:<\/strong> 2. Hizmet Hesaplar\u0131n\u0131 Dikkatli Y\u00f6netin:<\/strong>
\n* Google Hesaplar\u0131:<\/strong> Tekil kullan\u0131c\u0131lar, genellikle bir e-posta adresiyle temsil edilir (\u00f6rne\u011fin, kullanici@example.com<\/code>).
\n* Hizmet Hesaplar\u0131 (Service Accounts):<\/strong> \u0130nsan olmayan kimliklerdir ve genellikle uygulamalar, sanal makineler veya di\u011fer Google Cloud hizmetleri taraf\u0131ndan kullan\u0131l\u0131r. \u00d6rne\u011fin, bir Compute Engine VM’nin Cloud Storage’a eri\u015fmesi gerekiyorsa, bu VM’ye bir hizmet hesab\u0131 atan\u0131r. Hizmet hesaplar\u0131 kendi anahtarlar\u0131na sahip olabilir veya Google taraf\u0131ndan y\u00f6netilen anahtarlarla \u00e7al\u0131\u015fabilir.
\n* Google Gruplar\u0131:<\/strong> Bir grup Google hesab\u0131n\u0131 veya hizmet hesab\u0131n\u0131 bir araya getiren koleksiyonlard\u0131r (\u00f6rne\u011fin, developers@example.com<\/code>). Bu, ayn\u0131 yetkilere sahip birden fazla kullan\u0131c\u0131y\u0131 tek tek atamak yerine toplu olarak y\u00f6netmeyi kolayla\u015ft\u0131r\u0131r.
\n* G Suite Alan Adlar\u0131:<\/strong> Bir G Suite (\u015fimdi Google Workspace) hesab\u0131yla ili\u015fkili t\u00fcm kullan\u0131c\u0131lar\u0131 ifade eder.
\n* T\u00fcm Kullan\u0131c\u0131lar (allUsers):<\/strong> \u0130nternet \u00fczerindeki herkesi temsil eder (genellikle dikkatli kullan\u0131lmal\u0131d\u0131r).
\n* T\u00fcm Kimli\u011fi Do\u011frulanm\u0131\u015f Kullan\u0131c\u0131lar (allAuthenticatedUsers):<\/strong> Bir Google hesab\u0131yla kimli\u011fi do\u011frulanm\u0131\u015f herkesi temsil eder.<\/p>\ncompute.instances.start<\/code> bir Compute Engine \u00f6rne\u011fini ba\u015flatma iznini ifade ederken, storage.buckets.get<\/code> bir Cloud Storage kovas\u0131n\u0131n bilgilerini okuma iznidir. GCP’de y\u00fczlerce farkl\u0131 izin bulunur ve her bir hizmetin kendi \u00f6zel izin setleri vard\u0131r. Bu izinler do\u011frudan \u00fcyelere atanamaz; bunun yerine roller arac\u0131l\u0131\u011f\u0131yla verilirler.<\/p>\n
\n* Temel Roller (Primitive Roles):<\/strong> Geleneksel olarak Google Cloud’da bulunan Sahip (Owner)<\/code>, D\u00fczenleyici (Editor)<\/code> ve G\u00f6r\u00fcnt\u00fcleyici (Viewer)<\/code> rolleridir. Bu roller \u00e7ok geni\u015f yetkilere sahiptir ve genellikle “En Az Ayr\u0131cal\u0131k” ilkesine ayk\u0131r\u0131 olduklar\u0131 i\u00e7in s\u0131n\u0131rl\u0131 durumlarda kullan\u0131lmal\u0131d\u0131r. \u00d6rne\u011fin, Sahip rol\u00fc bir projedeki t\u00fcm kaynaklara tam eri\u015fim sa\u011flar.
\n* \u00d6nceden Tan\u0131mlanm\u0131\u015f Roller (Predefined Roles):<\/strong> Google Cloud hizmetleri i\u00e7in \u00f6zel olarak olu\u015fturulmu\u015f, daha ayr\u0131nt\u0131l\u0131 rollerdir. \u00d6rne\u011fin, Compute Instance Admin<\/code>, Storage Object Viewer<\/code> gibi roller, belirli bir hizmet \u00fczerindeki belirli g\u00f6revleri yerine getirmek i\u00e7in gereken izinleri i\u00e7erir. Bu roller, temel rollere g\u00f6re daha g\u00fcvenlidir \u00e7\u00fcnk\u00fc yetki alanlar\u0131 daha dard\u0131r.
\n* \u00d6zel Roller (Custom Roles):<\/strong> \u00d6nceden tan\u0131mlanm\u0131\u015f rollerin ihtiya\u00e7lar\u0131n\u0131z\u0131 kar\u015f\u0131lamad\u0131\u011f\u0131 durumlarda, kendi \u00f6zel izin setlerinizi bir araya getirerek olu\u015fturabilece\u011finiz rollerdir. Bu, “En Az Ayr\u0131cal\u0131k” ilkesini en iyi \u015fekilde uygulaman\u0131z\u0131 sa\u011flar, \u00e7\u00fcnk\u00fc bir \u00fcyeye tam olarak ihtiyac\u0131 olan izinleri verebilirsiniz. \u00d6rne\u011fin, bir denetim ekibi i\u00e7in sadece belirli loglar\u0131 okuma izni veren \u00f6zel bir rol olu\u015fturabilirsiniz.<\/p>\ndeveloper<\/code> rol\u00fc, bu klas\u00f6r alt\u0131ndaki t\u00fcm geli\u015ftirme projelerinde ge\u00e7erli olacakt\u0131r. Bu yap\u0131, bir \u015firketin departmanlar\u0131n\u0131 veya i\u015f birimlerini yans\u0131tacak \u015fekilde esnek bir eri\u015fim kontrol\u00fc sa\u011flar.<\/p>\ngcloud<\/code> CLI veya Google Cloud Konsolu arac\u0131l\u0131\u011f\u0131yla y\u00f6netilebilir. IAM’in bu mod\u00fcler yap\u0131s\u0131, bulut ortam\u0131n\u0131z\u0131n karma\u015f\u0131kl\u0131\u011f\u0131na ra\u011fmen g\u00fc\u00e7l\u00fc, esnek ve denetlenebilir bir g\u00fcvenlik duru\u015fu sa\u011flaman\u0131za olanak tan\u0131r.<\/p>\n3. Uygulamal\u0131 Ad\u0131mlar: Google Cloud IAM Politikalar\u0131 Nas\u0131l Olu\u015fturulur ve Y\u00f6netilir?<\/h3>\n
3.3.1. Google Cloud Konsolu \u00dczerinden IAM Politikalar\u0131n\u0131 Y\u00f6netme<\/h4>\n
\n2. \u00dcye Ekleme:<\/strong> Yeni bir \u00fcyeye rol atamak i\u00e7in sayfan\u0131n \u00fcst k\u0131sm\u0131ndaki “+GRANT ACCESS” (+ER\u0130\u015e\u0130M \u0130ZN\u0130 VER) d\u00fc\u011fmesine t\u0131klay\u0131n.
\n3. \u00dcye Belirleme:<\/strong> A\u00e7\u0131lan panelde, “New principals” (Yeni sorumlular) alan\u0131na, izin vermek istedi\u011finiz kullan\u0131c\u0131n\u0131n e-posta adresini, hizmet hesab\u0131n\u0131n kimli\u011fini veya Google Grubunun e-postas\u0131n\u0131 girin. Birden fazla \u00fcye ekleyebilirsiniz.
\n4. Rol Atama:<\/strong> “Select a role” (Bir rol se\u00e7in) a\u00e7\u0131l\u0131r men\u00fcs\u00fcnden, atamak istedi\u011finiz rol\u00fc se\u00e7in. \u00d6rne\u011fin, bir depolama kovas\u0131na sadece okuma eri\u015fimi vermek istiyorsan\u0131z Storage Object Viewer<\/code> rol\u00fcn\u00fc se\u00e7ebilirsiniz. \u00d6zel bir rol\u00fcn\u00fcz varsa, onu da burada bulabilirsiniz.
\n5. Ko\u015ful Ekleme (\u0130ste\u011fe Ba\u011fl\u0131):<\/strong> Daha geli\u015fmi\u015f senaryolar i\u00e7in “Add condition” (Ko\u015ful ekle) se\u00e7ene\u011fini kullanarak eri\u015fimi belirli ko\u015fullara ba\u011flayabilirsiniz (\u00f6rne\u011fin, belirli bir IP aral\u0131\u011f\u0131ndan veya belirli bir saat aral\u0131\u011f\u0131nda eri\u015fim).
\n6. Kaydetme:<\/strong> T\u00fcm ayarlar\u0131 yapt\u0131ktan sonra “SAVE” (KAYDET) d\u00fc\u011fmesine t\u0131klayarak politikay\u0131 uygulay\u0131n.<\/p>\n3.3.2. gcloud CLI ile IAM Politikalar\u0131n\u0131 Y\u00f6netme<\/h4>\n
\nBir projeye (veya ba\u015fka bir kayna\u011fa) belirli bir kullan\u0131c\u0131ya veya hizmet hesab\u0131na bir rol atamak i\u00e7in gcloud projects add-iam-policy-binding<\/code> komutunu kullanabilirsiniz.<\/p>\n\ngcloud projects add-iam-policy-binding YOUR_PROJECT_ID \\\n --member=\"user:kullanici@example.com\" \\\n --role=\"roles\/viewer\" \\\n --condition=None\n <\/code><\/pre>\n<\/div>\n
\nBu \u00f6rnekte:
\n* YOUR_PROJECT_ID<\/code>: \u0130\u015flem yapaca\u011f\u0131n\u0131z projenin ID'si.
\n* --member<\/code>: Rol\u00fc atayaca\u011f\u0131n\u0131z \u00fcye. user:<\/code>, serviceAccount:<\/code>, group:<\/code> gibi \u00f6nekler kullanmal\u0131s\u0131n\u0131z.
\n* --role<\/code>: Atanacak rol\u00fcn tam ad\u0131 (\u00f6rne\u011fin, roles\/viewer<\/code>).
\n* --condition=None<\/code>: Ko\u015fulsuz eri\u015fim anlam\u0131na gelir. Ko\u015fullu eri\u015fim i\u00e7in daha karma\u015f\u0131k ifadeler kullan\u0131labilir.<\/p>\n
\nBir \u00fcyeden rol\u00fc kald\u0131rmak i\u00e7in remove-iam-policy-binding<\/code> komutunu kullan\u0131r\u0131z:<\/p>\n\ngcloud projects remove-iam-policy-binding YOUR_PROJECT_ID \\\n --member=\"user:kullanici@example.com\" \\\n --role=\"roles\/viewer\" \\\n --condition=None\n <\/code><\/pre>\n<\/div>\n
\nBir projenin (veya ba\u015fka bir kayna\u011f\u0131n) mevcut IAM politikas\u0131n\u0131 g\u00f6r\u00fcnt\u00fclemek i\u00e7in get-iam-policy<\/code> komutunu kullanabilirsiniz. Bu komut, politikay\u0131 YAML format\u0131nda d\u00f6nd\u00fcr\u00fcr.<\/p>\n\ngcloud projects get-iam-policy YOUR_PROJECT_ID\n <\/code><\/pre>\n<\/div>\n\nbindings:\n- members:\n - user:kullanici@example.com\n role: roles\/viewer\n- members:\n - serviceAccount:my-service-account@YOUR_PROJECT_ID.iam.gserviceaccount.com\n role: roles\/editor\netag: BwWk0...\nversion: 1\n <\/code><\/pre>\n<\/div>\n
\n\u00d6zel roller, \"En Az Ayr\u0131cal\u0131k\" ilkesini en iyi \u015fekilde uygulaman\u0131z\u0131 sa\u011flar. Bir \u00f6zel rol olu\u015fturmak i\u00e7in \u00f6nce bir YAML dosyas\u0131 haz\u0131rlaman\u0131z gerekir:<\/p>\n\n# custom-role.yaml\ntitle: \"My Custom Storage Viewer\"\ndescription: \"Allows viewing objects in specific Cloud Storage buckets.\"\nstage: \"GA\"\npermissions:\n- storage.objects.get\n- storage.buckets.get\n <\/code><\/pre>\n<\/div>\n
\nArd\u0131ndan bu dosyay\u0131 kullanarak rol\u00fc olu\u015fturabilirsiniz:<\/p>\n\ngcloud iam roles create myCustomStorageViewer \\\n --project YOUR_PROJECT_ID \\\n --file custom-role.yaml\n <\/code><\/pre>\n<\/div>\n
\nBu komutlar, IAM politikalar\u0131n\u0131 hem manuel hem de programatik olarak y\u00f6netmenize olanak tan\u0131r. \u00d6zellikle b\u00fcy\u00fck ve dinamik bulut ortamlar\u0131nda, gcloud CLI'nin otomasyon yetenekleri, g\u00fcvenlik politikalar\u0131n\u0131n tutarl\u0131 ve verimli bir \u015fekilde uygulanmas\u0131n\u0131 sa\u011flar. T\u00fcrkiye'deki bir yaz\u0131l\u0131m geli\u015ftirme \u015firketinin CI\/CD (S\u00fcrekli Entegrasyon\/S\u00fcrekli Da\u011f\u0131t\u0131m) s\u00fcre\u00e7lerini otomatikle\u015ftirdi\u011fini d\u00fc\u015f\u00fcnelim. Bu s\u00fcre\u00e7lerde, kod da\u011f\u0131t\u0131m\u0131 yapan bir hizmet hesab\u0131na sadece belirli bir Cloud Storage kovas\u0131na yazma ve Compute Engine \u00f6rneklerini ba\u015flatma\/durdurma yetkisi vermek i\u00e7in gcloud<\/code> komutlar\u0131 kullan\u0131labilir. Bu, hem g\u00fcvenlik riskini azalt\u0131r hem de da\u011f\u0131t\u0131m s\u00fcrecini h\u0131zland\u0131r\u0131r. IAM politikalar\u0131n\u0131n do\u011fru bir \u015fekilde olu\u015fturulmas\u0131 ve y\u00f6netilmesi, bulut g\u00fcvenli\u011finizin temel dire\u011fidir.<\/p>\n4. Vaka Analizi: B\u00fcy\u00fck Bir Kurulu\u015fta IAM Yap\u0131land\u0131rmas\u0131 Nas\u0131l Yap\u0131lmal\u0131?<\/h3>\n
\n* \u00c7ok Say\u0131da Kullan\u0131c\u0131:<\/strong> Bankan\u0131n farkl\u0131 departmanlar\u0131ndan y\u00fczlerce \u00e7al\u0131\u015fan\u0131n GCP kaynaklar\u0131na eri\u015fim ihtiyac\u0131 var.
\n* Farkl\u0131 Yetki Seviyeleri:<\/strong> Geli\u015ftiricilerin kod da\u011f\u0131t\u0131m\u0131 yapmas\u0131, operasyon ekibinin sunucular\u0131 y\u00f6netmesi, veri analistlerinin sadece verilere eri\u015fmesi gerekiyor.
\n* Mevzuat Uyumlulu\u011fu:<\/strong> Finans sekt\u00f6r\u00fcndeki kat\u0131 d\u00fczenlemeler (\u00f6rne\u011fin, veri eri\u015fiminin s\u0131k\u0131 denetimi, en az ayr\u0131cal\u0131k ilkesinin zorunlulu\u011fu).
\n* Otomasyon \u0130htiyac\u0131:<\/strong> CI\/CD boru hatlar\u0131, otomatik raporlama sistemleri gibi bir\u00e7ok hizmet hesab\u0131 tabanl\u0131 otomasyonun g\u00fcvenli bir \u015fekilde \u00e7al\u0131\u015fmas\u0131 gerekiyor.
\n* Proje Karma\u015f\u0131kl\u0131\u011f\u0131:<\/strong> Farkl\u0131 i\u015f y\u00fckleri i\u00e7in birden fazla proje (geli\u015ftirme, test, \u00fcretim, veri ambar\u0131 vb.) mevcut.<\/p>\n
\n * Organizasyon:<\/strong> FinansBank'\u0131n t\u00fcm GCP varl\u0131klar\u0131n\u0131 kapsayan tek bir \"finansbank.com.tr\" organizasyon kayna\u011f\u0131 olu\u015fturuldu.
\n * Klas\u00f6rler:<\/strong> Organizasyon alt\u0131nda, departmanlara ve ortam t\u00fcrlerine g\u00f6re klas\u00f6rler olu\u015fturuldu.
\n * finansbank-org\/<\/code>
\n * Departmanlar\/<\/code>
\n * Geli\u015ftirme\/<\/code>
\n * Operasyon\/<\/code>
\n * Veri Analizi\/<\/code>
\n * Denetim\/<\/code>
\n * Ortamlar\/<\/code>
\n * Geli\u015ftirme Ortam\u0131\/<\/code> (T\u00fcm geli\u015ftirme projeleri burada)
\n * Test Ortam\u0131\/<\/code> (T\u00fcm test projeleri burada)
\n * \u00dcretim Ortam\u0131\/<\/code> (T\u00fcm \u00fcretim projeleri burada)
\n * Payla\u015f\u0131lan Hizmetler\/<\/code> (Ortak a\u011f, loglama, g\u00fcvenlik hizmetleri)<\/p>\n
\n * Tek tek kullan\u0131c\u0131lar\u0131 y\u00f6netmek yerine, departmanlara ve rollerine g\u00f6re Google Gruplar\u0131 olu\u015fturuldu (\u00f6rne\u011fin, gcp-devs@finansbank.com.tr<\/code>, gcp-ops@finansbank.com.tr<\/code>, gcp-analysts@finansbank.com.tr<\/code>).
\n * Bu gruplar, daha sonra IAM politikalar\u0131nda member<\/code> olarak kullan\u0131ld\u0131. B\u00f6ylece, bir \u00e7al\u0131\u015fan\u0131n departman\u0131 veya rol\u00fc de\u011fi\u015fti\u011finde, sadece ilgili Google Grubuna eklenip \u00e7\u0131kar\u0131lmas\u0131 yeterli oldu.<\/p>\n
\n * Temel ve \u00f6nceden tan\u0131mlanm\u0131\u015f roller yerine, FinansBank'\u0131n \u00f6zel ihtiya\u00e7lar\u0131na g\u00f6re \u00e7ok say\u0131da \u00f6zel rol olu\u015fturuldu.
\n * \u00d6rnek Roller:<\/strong>
\n * finansbank.developer.appEngineDeployer<\/code>: Sadece belirli App Engine hizmetlerine kod da\u011f\u0131t\u0131m\u0131 yapma izni.
\n * finansbank.ops.computeInstanceManager<\/code>: Sadece belirli Compute Engine \u00f6rneklerini ba\u015flatma, durdurma ve yeniden ba\u015flatma izni.
\n * finansbank.data.viewer<\/code>: Sadece belirli BigQuery tablolar\u0131ndan veri okuma izni.
\n * finansbank.audit.logViewer<\/code>: Sadece Cloud Logging'deki belirli denetim g\u00fcnl\u00fcklerini g\u00f6r\u00fcnt\u00fcleme izni.
\n * Bu \u00f6zel roller, her ekibe ve hatta her bireye, i\u015fini yapmas\u0131 i\u00e7in *kesinlikle* gerekli olan minimum izinleri sa\u011flayarak g\u00fcvenlik riskini minimize etti.<\/p>\n
\n * Otomasyon s\u00fcre\u00e7leri (CI\/CD boru hatlar\u0131, veri entegrasyon ara\u00e7lar\u0131) i\u00e7in ayr\u0131 ayr\u0131 hizmet hesaplar\u0131 olu\u015fturuldu.
\n * Her hizmet hesab\u0131na, sadece yapmas\u0131 gereken i\u015f i\u00e7in gerekli olan \u00f6zel roller atand\u0131 (\u00f6rne\u011fin, CI\/CD hizmet hesab\u0131na \u00fcretim ortam\u0131nda sadece finansbank.developer.appEngineDeployer<\/code> rol\u00fc).
\n * Hizmet hesab\u0131 anahtarlar\u0131n\u0131n y\u00f6netimi i\u00e7in Google'\u0131n y\u00f6netilen anahtarlar\u0131 tercih edildi ve anahtar rotasyonu d\u00fczenli olarak yap\u0131ld\u0131. M\u00fcmk\u00fcn oldu\u011funca anahtar dosyalar\u0131 yerine, ba\u011fl\u0131 Compute Engine VM'lerine veya Cloud Run\/Functions hizmetlerine do\u011frudan hizmet hesaplar\u0131 atand\u0131.<\/p>\n
\n * FinansBank, hassas verilere eri\u015fimi daha da k\u0131s\u0131tlamak i\u00e7in ko\u015fullu IAM'i kulland\u0131.
\n * \u00d6rnek:<\/strong> Veri analizi ekibinin \u00fcretim veritaban\u0131na sadece belirli bir IP aral\u0131\u011f\u0131ndan (\u00f6rne\u011fin, bankan\u0131n ofis a\u011f\u0131) ve mesai saatleri i\u00e7inde eri\u015febilmesi sa\u011fland\u0131.
\n * gcloud projects add-iam-policy-binding YOUR_PROJECT_ID --member=\"group:gcp-analysts@finansbank.com.tr\" --role=\"roles\/bigquery.dataViewer\" --condition='expression=request.time.between(\"2023-01-01T09:00:00Z\", \"2023-01-01T17:00:00Z\") && request.auth.claims.ip_address.in([\"203.0.113.0\/24\"])',title=\"MesaiSaatleriIPKisitlamasi\"<\/code><\/p>\n
\n * T\u00fcm IAM de\u011fi\u015fiklikleri ve kaynak eri\u015fim denemeleri Cloud Audit Logs arac\u0131l\u0131\u011f\u0131yla merkezi olarak izlendi.
\n * Anormal eri\u015fim desenlerini tespit etmek i\u00e7in Cloud Monitoring ve Security Command Center ile entegrasyonlar kuruldu, b\u00f6ylece \u015f\u00fcpheli aktiviteler an\u0131nda alarm verebildi.
\n * Denetim birimi, d\u00fczenli olarak IAM politikalar\u0131n\u0131 ve eri\u015fim g\u00fcnl\u00fcklerini inceleyerek mevzuat uyumlulu\u011funu sa\u011flad\u0131.<\/p>\n5. G\u00fcvenlik \u0130pu\u00e7lar\u0131: IAM ile G\u00fcvenlik Duru\u015funuzu Nas\u0131l G\u00fc\u00e7lendirirsiniz?<\/h3>\n
\n * Bu, IAM'in temel prensibidir. Kullan\u0131c\u0131lara ve hizmet hesaplar\u0131na yaln\u0131zca i\u015flerini yapmalar\u0131 i\u00e7in *kesinlikle* gerekli olan minimum izinleri verin. Asla geni\u015f yetkili roller (Sahip, D\u00fczenleyici) atamay\u0131n, \u00f6zellikle \u00fcretim ortamlar\u0131nda.
\n * \u00d6nceden tan\u0131mlanm\u0131\u015f roller yerine, ihtiyac\u0131n\u0131z olan izinleri i\u00e7eren \u00f6zel roller (custom roles)<\/strong> olu\u015fturmay\u0131 tercih edin. Bu, gereksiz izinlerin verilmesini engeller ve sald\u0131r\u0131 y\u00fczeyini daralt\u0131r.
\n * \u00d6rnek: Bir geli\u015ftiricinin sadece belirli bir projedeki Compute Engine \u00f6rneklerini g\u00f6r\u00fcnt\u00fclemesi gerekiyorsa, ona roles\/compute.viewer<\/code> yerine, sadece compute.instances.get<\/code> iznini i\u00e7eren \u00f6zel bir rol atay\u0131n.<\/p>\n
\n * Hizmet hesaplar\u0131, insan olmayan kimlikler oldu\u011fu i\u00e7in genellikle daha geni\u015f yetkilere sahip olma e\u011filimindedir. Bu nedenle, bunlar\u0131n y\u00f6netimine \u00f6zel \u00f6nem verin.
\n * Anahtar Y\u00f6netimi:<\/strong> Hizmet hesab\u0131 anahtarlar\u0131n\u0131 (JSON dosyalar\u0131) m\u00fcmk\u00fcn oldu\u011funca kullanmaktan ka\u00e7\u0131n\u0131n. Bunun yerine, Compute Engine VM'lerine, Cloud Run hizmetlerine veya Cloud Functions'a do\u011frudan hizmet hesaplar\u0131 atay\u0131n. E\u011fer anahtar kullanmak zorundaysan\u0131z, anahtarlar\u0131 d\u00fczenli olarak rotasyon yap\u0131n<\/p>\n","protected":false},"excerpt":{"rendered":"Google Cloud IAM ile G\u00fcvenli\u011finizi Nas\u0131l Optimize Edersiniz? Bulut bili\u015fim d\u00fcnyas\u0131nda, kaynaklara kimin ne \u015fekilde eri\u015febilece\u011fini y\u00f6netmek, bir \u015firketin siber g\u00fcvenlik duru\u015funun temelini olu\u015fturur.","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1341],"tags":[],"class_list":{"0":"post-41432","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-cloud","7":"cs-entry","8":"cs-video-wrap"},"yoast_head":"\n