Accorder l'accès à d'autres utilisateurs

Pour autoriser un compte utilisateur ou un compte de service Google Cloud à gérer, afficher ou se connecter aux ressources AlloyDB pour PostgreSQL d'un projet, vous pouvez lui attribuer des rôles IAM (Identity and Access Management) prédéfinis.

En fonction du niveau de contrôle que vous souhaitez accorder au compte, attribuez-lui l'un des rôles IAM prédéfinis suivants :

  • Administrateur AlloyDB (roles/alloydb.admin) pour accorder un contrôle total sur toutes les ressources AlloyDB

  • Éditeur AlloyDB (roles/alloydb.editor) pour accorder un accès en lecture/écriture permettant de créer, modifier et supprimer des ressources AlloyDB, sans autorisation de gérer les liaisons de tags ni les plans de sauvegarde du service Backup and DR

  • Client AlloyDB (roles/alloydb.client) et Consommateur Service Usage (roles/serviceusage.serviceUsageConsumer) pour accorder l'accès aux instances AlloyDB aux clients se connectant avec le proxy d'authentification AlloyDB ou les connecteurs de langage AlloyDB

  • Utilisateur de base de données AlloyDB (roles/alloydb.databaseUser) pour accorder l'accès à la connexion des utilisateurs de base de données basée sur IAM et l'accès aux requêtes AlloyDB Studio aux instances AlloyDB

  • Lecteur AlloyDB (roles/alloydb.viewer) pour accorder un accès en lecture seule à toutes les ressources AlloyDB

  • Administrateur AlloyDB pour Backup and DR (roles/alloydb.backupDrAdmin) pour accorder l'accès à la gestion des sauvegardes et des restaurations de clusters AlloyDB à l'aide de Backup and DR

Pour en savoir plus sur les autorisations IAM spécifiques fournies par ces rôles, consultez Rôles IAM AlloyDB prédéfinis.

Avant de commencer

  • Le projet Google Cloud que vous utilisez doit avoir été activé pour accéder à AlloyDB.
  • Vous devez disposer du rôle IAM de base "Propriétaire" (roles/owner) dans le projet Google Cloud que vous utilisez, ou d'un rôle qui accorde les autorisations suivantes :
    • resourcemanager.projects.get
    • resourcemanager.projects.getIamPolicy
    • resourcemanager.projects.setIamPolicy

    Pour obtenir ces autorisations tout en respectant le principe du moindre privilège, demandez à votre administrateur de vous accorder le rôle Administrateur IAM du projet (roles/resourcemanager.projectIamAdmin).

  • Activez l'API Cloud Resource Manager dans le projet Google Cloud que vous utilisez.

    Activer l'API

Procédure

Console

  1. Dans la console Google Cloud , accédez à la page IAM.

    Accéder à IAM

  2. Sélectionnez le projet activé pour accéder à AlloyDB.
  3. Sélectionnez un compte principal (utilisateur ou compte de service) auquel accorder l'accès :
    • Pour attribuer un rôle à un compte principal qui dispose déjà d'autres rôles sur le projet, recherchez la ligne contenant l'adresse e-mail du compte principal, cliquez sur Modifier le compte principal sur cette ligne, puis cliquez sur Ajouter un autre rôle.
    • Pour attribuer un rôle à un compte principal qui ne dispose pas déjà d'autres rôles sur le projet, cliquez sur Accorder l'accès, puis saisissez l'adresse e-mail du compte principal.
  4. Dans la liste déroulante, sélectionnez l'un des rôles suivants :
    • Administrateur AlloyDB
    • Éditeur AlloyDB
    • Lecteur AlloyDB
    • Client AlloyDB et Consommateur Service Usage
    • Utilisateur de base de données AlloyDB
    • Administrateur AlloyDB pour BackupDR
  5. Cliquez sur Enregistrer. Le rôle est attribué au compte principal.

gcloud

Pour utiliser la gcloud CLI, vous pouvez installer et initialiser la Google Cloud CLI, ou utiliser Cloud Shell.

Utilisez la commande add-iam-policy-binding pour attribuer un rôle prédéfini AlloyDB à un compte principal IAM (compte utilisateur ou compte de service).

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=PRINCIPAL \
    --role=ALLOYDB_ROLE

Remplacez les éléments suivants :

  • PROJECT_ID : ID du projet autorisé à accéder à AlloyDB.
  • PRINCIPAL : type et ID d'adresse e-mail (adresse e-mail) du compte principal :
    • Pour les comptes utilisateur : user:EMAIL_ID
    • Pour les comptes de service : serviceAccount:EMAIL_ID

  • ALLOYDB_ROLE : rôle que vous souhaitez attribuer au compte principal. La valeur doit correspondre à l'un des éléments suivants :

    • roles/alloydb.admin
    • roles/alloydb.editor
    • roles/alloydb.viewer
    • roles/alloydb.client. Accordez également roles/serviceusage.serviceUsageConsumer dans une commande distincte.
    • roles/alloydb.databaseUser
    • roles/alloydb.backupDrAdmin

    Pour en savoir plus sur les autorisations accordées par ces rôles, consultez Rôles IAM AlloyDB prédéfinis.