הענקת גישה למשתמשים אחרים

כדי לאפשר ל Google Cloud חשבון משתמש או לחשבון שירות לנהל משאבים של AlloyDB ל-PostgreSQL בפרויקט, להציג אותם או להתחבר אליהם, אתם יכולים להקצות לחשבון תפקידים מוגדרים מראש בניהול זהויות והרשאות גישה (IAM).

בהתאם להיקף השליטה שאתם רוצים לתת לחשבון, אתם יכולים להקצות לו אחד מהתפקידים הבאים שהוגדרו מראש ב-IAM:

  • אדמין ב-AlloyDB‏ (roles/alloydb.admin) כדי לתת שליטה מלאה בכל המשאבים של AlloyDB

  • עריכה ב-AlloyDB‏ (roles/alloydb.editor) כדי לתת גישת קריאה וכתיבה ליצירה, שינוי ומחיקה של משאבי AlloyDB, בלי הרשאה לנהל קישורי תגים או תוכניות גיבוי של שירות Backup and DR

  • ‫AlloyDB Client‏ (roles/alloydb.client) ו-Service Usage Consumer‏ (roles/serviceusage.serviceUsageConsumer) כדי לתת גישה לקישוריות למכונות של AlloyDB מלקוחות שמתחברים באמצעות AlloyDB Auth Proxy או מחברי שפות ל-AlloyDB

  • משתמש במסד נתונים של AlloyDB‏ (roles/alloydb.databaseUser) כדי לתת גישה להתחברות של משתמש במסד נתונים שמבוסס על IAM וגישה לשאילתות של AlloyDB Studio למכונות של AlloyDB

  • צפייה ב-AlloyDB‏ (roles/alloydb.viewer) כדי להעניק הרשאת קריאה בלבד לכל המשאבים של AlloyDB

  • ‫AlloyDB Admin for BackupDR (roles/alloydb.backupDrAdmin) כדי לתת גישה לניהול הגיבויים והשחזורים של אשכול AlloyDB באמצעות Backup and DR

במאמר תפקידים מוגדרים מראש ב-IAM ל-AlloyDB מפורטות ההרשאות הספציפיות ב-IAM שכלולים בתפקידים האלה.

לפני שמתחילים

  • Google Cloud לפרויקט שבו אתם משתמשים צריכה להיות גישה ל-AlloyDB.
  • אתם צריכים את התפקיד הבסיסי "בעלים" (roles/owner) ב-IAM בפרויקט Google Cloud שבו אתם משתמשים, או תפקיד שמעניק את ההרשאות הבאות:
    • resourcemanager.projects.get
    • resourcemanager.projects.getIamPolicy
    • resourcemanager.projects.setIamPolicy

    כדי לקבל את ההרשאות האלה בהתאם לעקרון של הרשאות מינימליות, צריך לבקש מהאדמין להקצות לכם את התפקיד "אדמין של IAM בפרויקט" (roles/resourcemanager.projectIamAdmin).

  • מפעילים את Cloud Resource Manager API בפרויקט ב- Google Cloud שבו משתמשים.

    הפעלת ה-API

התהליך

המסוף

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. בוחרים את הפרויקט שבו מופעלת הגישה ל-AlloyDB.
  3. בוחרים חשבון משתמש (משתמש או חשבון שירות) שרוצים לתת לו גישה:
    • כדי להקצות תפקיד לחשבון משתמש שכבר יש לו תפקידים אחרים בפרויקט, מחפשים את השורה שכוללת את כתובת האימייל של חשבון המשתמש, לוחצים על Edit principal בשורה הזו, ואז לוחצים על Add another role.
    • כדי להקצות תפקיד לחשבון משתמש שעדיין אין לו תפקידים אחרים בפרויקט, לוחצים על Grant access ומזינים את כתובת האימייל של חשבון המשתמש.
  4. בוחרים אחד מהתפקידים הבאים מהרשימה הנפתחת:
    • אדמין ב-AlloyDB
    • עריכה ב-AlloyDB
    • צפייה ב-AlloyDB
    • ‫AlloyDB Client ו-Service Usage Consumer
    • משתמש במסד נתונים של AlloyDB
    • AlloyDB Admin for BackupDR
  5. לוחצים על Save. החשבון הראשי יקבל את התפקיד.

gcloud

כדי להשתמש ב-CLI של gcloud, אתם יכולים להתקין ולהפעיל את Google Cloud CLI או להשתמש ב-Cloud Shell.

משתמשים בפקודה add-iam-policy-binding כדי להקצות תפקיד מוגדר מראש של AlloyDB לחשבון משתמש או לחשבון שירות ב-IAM.

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=PRINCIPAL \
    --role=ALLOYDB_ROLE

מחליפים את מה שכתוב בשדות הבאים:

  • ‫PROJECT_ID: מזהה הפרויקט שבו אפשר לגשת ל-AlloyDB.
  • ‫PRINCIPAL: הסוג ומזהה האימייל (כתובת האימייל) של החשבון:
    • בחשבונות משתמשים: user:EMAIL_ID
    • בחשבונות שירות: serviceAccount:EMAIL_ID

  • ‫ALLOYDB_ROLE: התפקיד שאתם רוצים לתת לחשבון המשתמש. הערך חייב להיות אחד מהבאים:

    • roles/alloydb.admin
    • roles/alloydb.editor
    • roles/alloydb.viewer
    • roles/alloydb.client. צריך גם להעניק את ההרשאה roles/serviceusage.serviceUsageConsumer בפקודה נפרדת.
    • roles/alloydb.databaseUser
    • roles/alloydb.backupDrAdmin

    במאמר תפקידים מוגדרים מראש של AlloyDB ב-IAM מוסבר אילו הרשאות מקבלים בתפקידים האלה.