Anderen Nutzern Zugriff gewähren

Damit ein Google Cloud Nutzerkonto oder Dienstkonto AlloyDB for PostgreSQL-Ressourcen in einem Projekt verwalten, ansehen oder eine Verbindung zu ihnen herstellen kann, können Sie dem Konto vordefinierte IAM-Rollen (Identity and Access Management) zuweisen.

Je nachdem, welchen Kontrollumfang das Konto haben soll, weisen Sie ihm eine der folgenden vordefinierten IAM-Rollen zu:

  • AlloyDB Admin (roles/alloydb.admin) zum Gewähren der vollständigen Kontrolle über alle AlloyDB-Ressourcen

  • AlloyDB Editor (roles/alloydb.editor) zum Gewähren von Lese- und Schreibzugriff zum Erstellen, Ändern und Löschen von AlloyDB-Ressourcen, ohne Berechtigung zum Verwalten von Tag-Bindungen oder Sicherungsplänen des Backup- und DR-Dienstes

  • AlloyDB Client (roles/alloydb.client) und Service Usage Consumer (roles/serviceusage.serviceUsageConsumer), um Clients, die sich über den AlloyDB Auth-Proxy oder AlloyDB Language Connectors verbinden, Zugriff auf AlloyDB-Instanzen zu gewähren

  • AlloyDB Database User (roles/alloydb.databaseUser), um IAM-basierten Datenbanknutzern Zugriff auf die Anmeldung und AlloyDB Studio-Abfragezugriff auf AlloyDB-Instanzen zu gewähren

  • AlloyDB Viewer (roles/alloydb.viewer) für Lesezugriff auf alle AlloyDB-Ressourcen

  • AlloyDB Admin for BackupDR (roles/alloydb.backupDrAdmin), um Zugriff auf die Verwaltung von AlloyDB-Cluster-Sicherungen und -Wiederherstellungen mit Backup und DR zu gewähren

Ausführliche Informationen zu den spezifischen IAM-Berechtigungen, die diese Rollen bieten, finden Sie unter Vordefinierte AlloyDB-IAM-Rollen.

Hinweis

  • Das Projekt von Google Cloud , das Sie verwenden, muss für den Zugriff auf AlloyDB aktiviert sein.
  • Sie benötigen die grundlegende IAM-Rolle „Inhaber“ (roles/owner) für das Projekt von Google Cloud , das Sie verwenden, oder eine Rolle, die diese Berechtigungen gewährt:
    • resourcemanager.projects.get
    • resourcemanager.projects.getIamPolicy
    • resourcemanager.projects.setIamPolicy

    Berechtigungen nach dem Prinzip der geringsten Berechtigung erhalten Sie, wenn der Administrator Ihnen die Rolle „Project IAM Admin“ (roles/resourcemanager.projectIamAdmin) zuweist.

  • Aktivieren Sie die Cloud Resource Manager API im verwendeten Google Cloud -Projekt.

    API aktivieren

Prozedur

Console

  1. Rufen Sie in der Google Cloud Console die Seite IAM auf.

    IAM aufrufen

  2. Wählen Sie das Projekt aus, das für den Zugriff auf AlloyDB aktiviert ist.
  3. Wählen Sie ein Hauptkonto (Nutzer oder Dienstkonto) aus, dem Sie Zugriff gewähren möchten:
    • Wenn Sie einem Hauptkonto eine Rolle zuweisen möchten, das bereits andere Rollen für das Projekt hat, suchen Sie die Zeile mit der E-Mail-Adresse des Hauptkontos und klicken Sie in dieser Zeile auf Hauptkonto bearbeiten und auf Weitere Rolle hinzufügen.
    • Wenn Sie einem Hauptkonto eine Rolle zuweisen möchten, das noch keine anderen Rollen für das Projekt hat, klicken Sie auf Zugriff gewähren und geben Sie dann die E-Mail-Adresse des Hauptkontos ein.
  4. Wählen Sie in der Drop-down-Liste eine der folgenden Rollen aus:
    • AlloyDB Admin
    • AlloyDB Editor
    • AlloyDB Viewer
    • AlloyDB Client und Service Usage Consumer
    • AlloyDB Database User
    • AlloyDB Admin for BackupDR
  5. Klicken Sie auf Speichern. Dem Hauptkonto wird die Rolle zugewiesen.

gcloud

Wenn Sie die gcloud CLI verwenden möchten, können Sie die Google Cloud CLI installieren und initialisieren oder Cloud Shell verwenden.

Verwenden Sie den Befehl add-iam-policy-binding, um einem IAM-Hauptkonto (Nutzerkonto oder Dienstkonto) eine vordefinierte AlloyDB-Rolle zuzuweisen.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=PRINCIPAL \
    --role=ALLOYDB_ROLE

Ersetzen Sie Folgendes:

  • PROJECT_ID: die ID des Projekts, das für den Zugriff auf AlloyDB aktiviert ist.
  • PRINCIPAL: Typ und E-Mail-ID (E-Mail-Adresse) des Hauptkontos:
    • Für Nutzerkonten: user:EMAIL_ID
    • Für Dienstkonten: serviceAccount:EMAIL_ID

  • ALLOYDB_ROLE: Die Rolle, die Sie dem Hauptkonto zuweisen möchten. Der Wert muss einer der folgenden sein:

    • roles/alloydb.admin
    • roles/alloydb.editor
    • roles/alloydb.viewer
    • roles/alloydb.client. Gewähren Sie außerdem roles/serviceusage.serviceUsageConsumer in einem separaten Befehl.
    • roles/alloydb.databaseUser
    • roles/alloydb.backupDrAdmin

    Weitere Informationen zu den Berechtigungen, die diese Rollen gewähren, finden Sie unter Vordefinierte AlloyDB-IAM-Rollen.