Otorga acceso a otros usuarios

Para permitir que una cuenta de usuario o de servicio de Google Cloud administre, visualice o se conecte a los recursos de AlloyDB para PostgreSQL en un proyecto, puedes otorgar a la cuenta roles predefinidos de Identity and Access Management (IAM).

Según el alcance del control que quieras que tenga la cuenta, otórgale uno de estos roles de IAM predefinidos:

  • Administrador de AlloyDB (roles/alloydb.admin) para otorgar control total sobre todos los recursos de AlloyDB

  • Editor de AlloyDB (roles/alloydb.editor) para otorgar acceso de lectura y escritura para crear, modificar y borrar recursos de AlloyDB, sin permiso para administrar vinculaciones de etiquetas o planes de copia de seguridad del servicio Backup and DR

  • Cliente de AlloyDB (roles/alloydb.client) y Consumidor de Service Usage (roles/serviceusage.serviceUsageConsumer) para otorgar acceso de conectividad a las instancias de AlloyDB desde los clientes que se conectan con el proxy de autenticación de AlloyDB o los conectores de lenguajes para AlloyDB

  • Usuario de base de datos de AlloyDB (roles/alloydb.databaseUser) para otorgar acceso de acceso de usuario de base de datos basado en IAM y acceso de consulta de AlloyDB Studio a las instancias de AlloyDB

  • Visualizador de AlloyDB (roles/alloydb.viewer) para otorgar acceso de solo lectura a todos los recursos de AlloyDB

  • Administrador de AlloyDB para BackupDR (roles/alloydb.backupDrAdmin) para otorgar acceso para administrar las copias de seguridad y los restablecimientos de clústeres de AlloyDB con Backup and DR

Para obtener información detallada sobre los permisos de IAM específicos que proporcionan estos roles, consulta Roles de IAM predefinidos de AlloyDB.

Antes de comenzar

  • El proyecto de Google Cloud que usas debe haber sido habilitado para acceder a AlloyDB.
  • Debes tener el rol básico de IAM de propietario (roles/owner) en el proyecto de Google Cloud que usas o un rol que otorgue estos permisos:
    • resourcemanager.projects.get
    • resourcemanager.projects.getIamPolicy
    • resourcemanager.projects.setIamPolicy

    Para obtener estos permisos mientras sigues el principio de privilegio mínimo, pídele a tu administrador que te otorgue el rol de administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin).

  • Habilita la API de Cloud Resource Manager en el proyecto de Google Cloud que estás usando.

    Habilita la API

Procedimiento

Console

  1. En la consola de Google Cloud , dirígete a la página IAM.

    Ir a IAM

  2. Selecciona el proyecto habilitado para acceder a AlloyDB.
  3. Selecciona una principal (usuario o cuenta de servicio) a la que quieras otorgar acceso:
    • Para otorgar un rol a una principal que ya tenga otros roles en el proyecto, busca la fila que contenga la dirección de correo electrónico de la principal, haz clic en Editar principal en esa fila y, luego, en Agregar otro rol.
    • Para otorgar un rol a una principal que aún no tenga otros roles en el proyecto, haz clic en Otorgar acceso y, luego, ingresa la dirección de correo electrónico de la principal.
  4. En la lista desplegable, selecciona uno de estos roles:
    • Administrador de AlloyDB
    • Editor de AlloyDB
    • Visualizador de AlloyDB
    • Cliente de AlloyDB y Consumidor de Service Usage
    • Usuario de la base de datos de AlloyDB
    • Administrador de AlloyDB para BackupDR
  5. Haz clic en Guardar. A la principal se le otorga el rol.

gcloud

Para usar gcloud CLI, puedes instalar e inicializar Google Cloud CLI, o bien puedes usar Cloud Shell.

Usa el comando add-iam-policy-binding para otorgar un rol predefinido de AlloyDB a una principal de IAM (cuenta de usuario o cuenta de servicio).

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=PRINCIPAL \
    --role=ALLOYDB_ROLE

Reemplaza lo siguiente:

  • PROJECT_ID: Es el ID del proyecto habilitado para acceder a AlloyDB.
  • PRINCIPAL: Es el tipo y el ID de correo electrónico (dirección de correo electrónico) del principal:
    • Para las cuentas de usuario: user:EMAIL_ID
    • Para las cuentas de servicio: serviceAccount:EMAIL_ID

  • ALLOYDB_ROLE: Es el rol que deseas otorgar a la principal. El valor debe ser uno de los siguientes:

    • roles/alloydb.admin
    • roles/alloydb.editor
    • roles/alloydb.viewer
    • roles/alloydb.client. También otorga roles/serviceusage.serviceUsageConsumer en un comando independiente.
    • roles/alloydb.databaseUser
    • roles/alloydb.backupDrAdmin

    Para obtener detalles sobre los permisos que otorgan estos roles, consulta Roles de IAM predefinidos de AlloyDB.