Conceder acesso a outros usuários

Para permitir que uma conta de usuário ou de serviço do Google Cloud gerencie, visualize ou se conecte aos recursos do AlloyDB para PostgreSQL em um projeto, conceda à conta papéis predefinidos do Identity and Access Management (IAM).

Dependendo do escopo de controle que você quer que a conta tenha, conceda a ela um destes papéis predefinidos do IAM:

  • Administrador do AlloyDB (roles/alloydb.admin) para conceder controle total de todos os recursos do AlloyDB.

  • Editor do AlloyDB (roles/alloydb.editor) para conceder acesso de leitura e gravação para criar, modificar e excluir recursos do AlloyDB, sem permissão para gerenciar vinculações de tags ou planos de backup do serviço de backup e DR.

  • Cliente do AlloyDB (roles/alloydb.client) e consumidor do Service Usage (roles/serviceusage.serviceUsageConsumer) para conceder acesso de conectividade às instâncias do AlloyDB de clientes que se conectam com o proxy de autenticação do AlloyDB ou os conectores de linguagem do AlloyDB

  • Usuário do banco de dados do AlloyDB (roles/alloydb.databaseUser) para conceder acesso de login de usuário do banco de dados com base no IAM e acesso de consulta do AlloyDB Studio às instâncias do AlloyDB

  • Leitor do AlloyDB (roles/alloydb.viewer) para conceder acesso somente leitura a todos os recursos do AlloyDB

  • Administrador do AlloyDB para BackupDR (roles/alloydb.backupDrAdmin) para conceder acesso ao gerenciamento de backups e restaurações de clusters do AlloyDB usando o Backup e DR

Para informações detalhadas sobre as permissões específicas do IAM que esses papéis fornecem, consulte Papéis predefinidos do IAM do AlloyDB.

Antes de começar

  • O projeto do Google Cloud que você está usando precisa ter sido ativado para acessar o AlloyDB.
  • Você precisa ter o papel básico do IAM de Proprietário (roles/owner) no Google Cloud projeto que está sendo usado ou um papel que conceda estas permissões:
    • resourcemanager.projects.get
    • resourcemanager.projects.getIamPolicy
    • resourcemanager.projects.setIamPolicy

    Para receber essas permissões seguindo o princípio de privilégio mínimo, peça ao administrador para conceder a você o papel de Administrador do IAM do projeto (roles/resourcemanager.projectIamAdmin).

  • Ative a API Cloud Resource Manager no projeto do Google Cloud que você está usando.

    Ativar a API

Procedimento

Console

  1. No console do Google Cloud , acesse a página IAM.

    Acessar IAM

  2. Selecione o projeto ativado para acessar o AlloyDB.
  3. Selecione um principal (usuário ou conta de serviço) para conceder acesso:
    • Para conceder um papel a um principal que já tenha outros papéis no projeto, encontre a linha que contém o endereço de e-mail do principal, clique em Editar principal nessa linha e clique em Adicionar outro papel.
    • Para conceder um papel a um principal que ainda não tem outros papéis no projeto, clique em Conceder acesso e insira o endereço de e-mail do principal.
  4. Na lista suspensa, selecione um destes papéis:
    • Administrador do AlloyDB
    • Editor do AlloyDB
    • Leitor do AlloyDB
    • Cliente do AlloyDB e Consumidor do Service Usage
    • Usuário do banco de dados do AlloyDB
    • Administrador do AlloyDB para BackupDR
  5. Clique em Salvar. O principal recebe o papel.

gcloud

Para usar a CLI gcloud, você pode instalar e inicializar a Google Cloud CLI ou usar o Cloud Shell.

Use o comando add-iam-policy-binding para conceder um papel predefinido do AlloyDB a um principal do IAM (conta de usuário ou de serviço).

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=PRINCIPAL \
    --role=ALLOYDB_ROLE

Substitua:

  • PROJECT_ID: o ID do projeto ativado para acessar o AlloyDB.
  • PRINCIPAL: o tipo e o ID de e-mail (endereço de e-mail) do principal:
    • Para contas de usuário: user:EMAIL_ID
    • Para contas de serviço: serviceAccount:EMAIL_ID

  • ALLOYDB_ROLE: o papel que você quer conceder ao principal. O valor precisa ser um dos indicados abaixo:

    • roles/alloydb.admin
    • roles/alloydb.editor
    • roles/alloydb.viewer
    • roles/alloydb.client. Conceda também roles/serviceusage.serviceUsageConsumer em um comando separado.
    • roles/alloydb.databaseUser
    • roles/alloydb.backupDrAdmin

    Para detalhes sobre as permissões que esses papéis concedem, consulte Papéis predefinidos do IAM do AlloyDB.