בקרת גישה באמצעות IAM

‫App Optimize API משתמש בניהול זהויות והרשאות גישה (IAM) כדי לשלוט בגישה למשאבים שלו, כמו דוחות ופעולות. בעזרת IAM תוכלו לתת גישה פרטנית למשאבים ספציפיים ב-App Optimize API, ולמנוע גישה לא רצויה למשאבים אחרים.

במאמר הזה מוסבר על ההרשאות והתפקידים ב-IAM שחלים על App Optimize API.

סקירה כללית של הרשאות

הרשאות מאפשרות למשתמשים לבצע פעולות ספציפיות במשאבים של App Optimize API. בטבלה הבאה מפורטות ההרשאות ל-App Optimize API:

הרשאה תיאור
appoptimize.operations.cancel ביטול פעולה ממושכת.
appoptimize.operations.delete מחיקת פעולה ממושכת.
appoptimize.operations.get אחזור הסטטוס של פעולה ממושכת.
appoptimize.operations.list הצגת רשימה של פעולות ממושכות.
appoptimize.reports.create יוצרים משאב דוח של App Optimize API.
appoptimize.reports.delete מחיקת משאב דוח של App Optimize API.
appoptimize.reports.get קריאת מטא-נתוני ההגדרה של משאב דוח App Optimize API.
הפעולה הזו לא מעניקה גישה לנתוני הדוח.
appoptimize.reports.getData לקרוא את הנתונים שכלולים בדוח של App Optimize API.
appoptimize.reports.list הצגת רשימה של משאבי דוחות של App Optimize API בפרויקט.

תפקידים מוגדרים מראש

ב-IAM יש תפקידים מוגדרים מראש שמעניקים קבוצה של הרשאות קשורות. התפקידים הבאים זמינים ב-App Optimize API:

תפקיד כותרת תיאור
roles/appoptimize.admin App Optimize Admin שליטה מלאה בדוחות ובפעולות של App Optimize API.
roles/appoptimize.viewer App Optimize Viewer גישת קריאה למטא-נתונים של דוחות, לנתוני דוחות ולפעולות של App Optimize API.

מתן תפקידים ב-IAM

אפשר להקצות תפקיד ב-IAM לחשבון משתמש באמצעות מסוףGoogle Cloud או Google Cloud CLI.

המסוף

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. לוחצים על Grant Access.

  3. בשדה New principals, מזינים את כתובת האימייל של החשבון הראשי שרוצים להעניק לו את התפקיד.

  4. לוחצים על התפריט הנפתח בחירת תפקיד.

  5. מסננים לפי תפקידים של App Optimize ובוחרים את התפקיד שרוצים להקצות, כמו אדמין App Optimize או צפייה App Optimize.

  6. לוחצים על Save.

gcloud

  1. אם עדיין לא עשיתם זאת, מתקינים ומפעילים את Google Cloud CLI.

  2. משתמשים בפקודה gcloud projects add-iam-policy-binding כדי להקצות את התפקיד:

    gcloud projects add-iam-policy-binding PROJECT_ID \
    --member="PRINCIPAL" \
    --role="ROLE_NAME"

    מחליפים את מה שכתוב בשדות הבאים:

    • ‫PROJECT_ID: מזהה הפרויקט ב- Google Cloud .
    • ‫PRINCIPAL: המזהה של החשבון הראשי, כמו user:my-user@example.com או group:my-group@example.com. מזהים של חשבונות משתמשים
    • ‫ROLE_NAME: התפקיד שרוצים להקצות, כמו roles/appoptimize.admin או roles/appoptimize.viewer.

לדוגמה, כדי לתת את התפקיד App Optimize Admin למשתמש test-user@example.com בפרויקט my-appoptimize-project:

gcloud projects add-iam-policy-binding my-appoptimize-project \
    --member="user:test-user@example.com" \
    --role="roles/appoptimize.admin"

מידע נוסף על הקצאת תפקידים מופיע במאמר ניהול הגישה לפרויקטים, לתיקיות ולארגונים.

App Optimize Admin

התפקיד 'אדמין App Optimize' מעניק שליטה מלאה במשאבי App Optimize API, וכולל את ההרשאות שמוענקות לתפקיד 'צפייה ב-App Optimize'.

שם התפקיד הרשאות כלולות
roles/appoptimize.admin
  • appoptimize.operations.*
  • appoptimize.reports.*

App Optimize Viewer

התפקיד 'צפייה בנתוני אופטימיזציה של אפליקציות' מעניק הרשאות לקריאת דוחות של App Optimize API, המטא-נתונים והפעולות שלהם.

שם התפקיד הרשאות כלולות
roles/appoptimize.viewer
  • appoptimize.operations.get
  • appoptimize.operations.list
  • appoptimize.reports.get
  • appoptimize.reports.getData
  • appoptimize.reports.list

הרשאות ליצירת דוחות

כדי ליצור דוח, למשתמש, לחשבון שירות או לגורם אחר צריכות להיות ההרשאות הבאות:

  • ההרשאה appoptimize.reports.create בפרויקט שבו ייווצר משאב הדוח. ההרשאה הזו כלולה בתפקיד 'אדמין של אופטימיזציה של אפליקציות' (roles/appoptimize.admin).

  • ההרשאה billing.resourceCosts.get בכל הפרויקטים שמוגדרים בהיקף הדוח. ההרשאה הזו ניתנת על ידי תפקידים כמו Billing Account Viewer (roles/billing.viewer) או 'צפייה' (roles/viewer).

  • הרשאות גישה למקורות הנתונים שנכללים בהיקף הדוח, במאפיינים ובמדדים. ממשק ה-App Optimize API בודק את ההרשאות האלה כשהדוח נוצר. התפקידים שמעניקים גישה למקור הנתונים הזה כוללים:

    • למדדי ניצול המעבד (CPU) והזיכרון: ‫Monitoring Viewer ‏(roles/monitoring.viewer) במשאבים שמוגדרים בהיקף.

    • לגבי היקפים ומאפיינים של אפליקציות ב-מרכז האפליקציות: התפקיד 'צפייה בניהול אפליקציות' (roles/apphub.appManagementViewer) בפרויקט המארח של האפליקציות ב-מרכז האפליקציות.

    אם אתם יוצרים דוח על אפליקציה ב-App Hub, שיכולה להיות מורכבת מכמה פרויקטים, אתם צריכים את הרשאות המעקב והחיוב הנדרשות בכל הפרויקטים שמשויכים לאפליקציה כדי ליצור את הדוח.

הרשאות לקריאת נתוני הדוחות

אחרי שיוצרים דוח, לגורם המרכזי נדרשת רק הרשאת appoptimize.reports.getData כדי לקרוא את הנתונים שנוצרו. ההרשאה הזו יכולה להיות בפרויקט שבו נוצר הדוח, או בדוח עצמו, והיא כלולה גם בהרשאת אדמין ב-App Optimize וגם בהרשאת צפייה ב-App Optimize.

המאמרים הבאים