使用 IAM 进行访问权限控制

本页面介绍使用 Access Approval 所需的 Identity and Access Management (IAM) 角色。

所需的角色

以下部分介绍了使用 Access Approval 执行各种操作所需的 IAM 角色和权限。这些部分还提供了有关如何授予所需角色的说明。

查看 Access Approval 请求和配置

下表列出了查看 Access Approval 请求和配置所需的 IAM 权限：

预定义 IAM 角色 必需的权限和角色
roles/accessapproval.viewer
  • accessapproval.requests.get
  • accessapproval.requests.list
  • accessapproval.serviceAccounts.get
  • accessapproval.settings.get
  • resourcemanager.projects.get
  • resourcemanager.projects.list

如需授予 Access Approval Viewer (roles/accessapproval.viewer) 角色，请执行以下操作：

控制台

如需为自己授予此 IAM 角色，请执行以下操作：

  1. 前往 控制台中的 IAM 页面。 Google Cloud

    进入 IAM

  2. 在按正文查看 标签页中，点击 授予访问权限。
  3. 在右侧窗格的新的主账号 字段中，输入您的电子邮件 地址。
  4. 点击选择角色 字段，然后从菜单中选择 Access Approval Viewer 角色。
  5. 点击保存 。

gcloud

运行以下命令：

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member='user:EMAIL_ID' \
  --role='roles/accessapproval.viewer'

替换以下内容：

  • ORGANIZATION_ID：组织 ID。
  • EMAIL_ID：用户的电子邮件 ID。

如需详细了解此命令，请参阅 gcloud organizations add-iam-policy-binding。

查看并批准 Access Approval 审批请求

下表列出了查看并批准 Access Approval 审批请求所需的 IAM 权限：

预定义 IAM 角色 必需的权限和角色
roles/accessapproval.approver
  • accessapproval.requests.approve
  • accessapproval.requests.dismiss
  • accessapproval.requests.get
  • accessapproval.requests.invalidate
  • accessapproval.requests.list
  • accessapproval.serviceAccounts.get
  • accessapproval.settings.get
  • resourcemanager.projects.get
  • resourcemanager.projects.list

如需授予 Access Approval Approver (roles/accessapproval.approver) 角色，请执行以下操作：

控制台

如需为自己授予此 IAM 角色，请执行以下操作：

  1. 前往 控制台中的 IAM 页面。 Google Cloud

    进入 IAM

  2. 在按正文查看 标签页中，点击 授予访问权限。
  3. 在右侧窗格的新的主账号 字段中，输入您的电子邮件 地址。
  4. 点击选择角色 字段，然后从菜单中选择 Access Approval Approver 角色。
  5. 点击保存 。

gcloud

运行以下命令：

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member='user:EMAIL_ID' \
  --role='roles/accessapproval.approver'

替换以下内容：

  • ORGANIZATION_ID：组织 ID。
  • EMAIL_ID：用户的电子邮件 ID。

更新 Access Approval 配置

下表列出了更新 Access Approval 配置所需的 IAM 权限：

预定义 IAM 角色 必需的权限和角色
roles/accessapproval.configEditor
  • accessapproval.serviceAccounts.get
  • accessapproval.settings.delete
  • accessapproval.settings.get
  • accessapproval.settings.update
  • resourcemanager.projects.get
  • resourcemanager.projects.list

如需授予 Access Approval Config Editor (roles/accessapproval.configEditor) 角色，请执行以下操作：

控制台

如需为自己授予此 IAM 角色，请执行以下操作：

  1. 前往 控制台中的 IAM 页面。 Google Cloud

    进入 IAM

  2. 在按正文查看 标签页中，点击 授予访问权限。
  3. 在右侧窗格的新的主账号 字段中，输入您的电子邮件 地址。
  4. 点击选择角色 字段，然后从菜单中选择 Access Approval Config Editor 角色。
  5. 点击保存 。

gcloud

运行以下命令：

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member='user:EMAIL_ID' \
  --role='roles/accessapproval.approver'

替换以下内容：

  • ORGANIZATION_ID：组织 ID。
  • EMAIL_ID：用户的电子邮件 ID。

使现有 Access Approval 请求失效

下表列出了使现有已获批准的 Access Approval 请求失效所需的 IAM 权限：

预定义 IAM 角色 必需的权限和角色
roles/accessapproval.invalidator
  • accessapproval.requests.get
  • accessapproval.requests.list
  • accessapproval.serviceAccounts.get
  • accessapproval.settings.get
  • resourcemanager.projects.get
  • resourcemanager.projects.list

如需授予 Access Approval Invalidator (roles/accessapproval.invalidator) 角色，请执行以下操作：

控制台

如需为自己授予此 IAM 角色，请执行以下操作：

  1. 前往 控制台中的 IAM 页面。 Google Cloud

    进入 IAM

  2. 在按正文查看 标签页中，点击 授予访问权限。
  3. 在右侧窗格的新的主账号 字段中，输入您的电子邮件 地址。
  4. 点击选择角色 字段，然后从菜单中选择 Access Approval Invalidator 角色。
  5. 点击保存 。

gcloud

运行以下命令：

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member='user:EMAIL_ID' \
  --role='roles/accessapproval.invalidator'

替换以下内容：

  • ORGANIZATION_ID：组织 ID。
  • EMAIL_ID：用户的电子邮件 ID。

后续步骤