‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

יצירת תפקיד בהתאמה אישית

בדף הזה מוסבר איך יוצרים ומנהלים תפקידים בהתאמה אישית ב-Google Distributed Cloud (GDC)‎ עם air gap. תפקידים בהתאמה אישית מאפשרים לכם לנהל את הגישה מעבר לקבוצות ההרשאות הרגילות שזמינות בתפקידים מוגדרים מראש, וכך להגדיר הרשאות שעומדות בקריטריונים הספציפיים שלכם.

תפקידים בהתאמה אישית פועלים לפי העיקרון של הרשאות מינימליות, והם שימושיים כדי להעניק את הגישה המינימלית שנדרשת למשימות רגישות, לצמצם את סיכוני האבטחה ולמנוע ניגודי אינטרסים.

יצירת תפקיד בהתאמה אישית מאפשרת לכם:

הגדרת היקף הגישה: אתם יכולים להחיל את ההרשאות על כל הארגון, על כל הפרויקטים או להגביל אותן לפרויקטים ספציפיים.
התאמה אישית של גישה פרטנית: בוחרים הרשאה אחת או יותר שכבר זמינה דרך תפקידים מוגדרים מראש, כדי להתאים אישית את הגישה למשימות או לתחומי אחריות ספציפיים.

תפקידים בהתאמה אישית מוגבלים להיקף שבו הם נוצרו. אפשר לתת גישה לתפקיד בהתאמה אישית רק באותו ארגון או פרויקט שבו הוא נוצר.

הדף הזה מיועד לאדמינים של פלטפורמות, כמו אדמינים ממחלקת IT או מהנדסי אבטחה, שרוצים לנהל באופן מאובטח את הגישה למשאבים של הארגון. מידע נוסף זמין במאמר קהלי היעד של GDC עם air gap.

מידע נוסף על תפקידים זמין במאמרים תיאורים של תפקידים מוגדרים מראש והגדרות תפקידים.

לפני שמתחילים

לפני שיוצרים או מנהלים תפקידים בהתאמה אישית, צריך לבקש את ההרשאות הנדרשות ולהכין את הסביבה.

בקשת תפקידים ב-IAM ברמת הארגון

כדי ליצור, לעדכן ולמחוק תפקידים בהתאמה אישית בארגון או בפרויקט, צריך לפנות למנהל החשבון הארגוני ב-IAM ולבקש את התפקיד אדמין של תפקידים בהתאמה אישית בארגון (custom-role-org-admin).

מידע נוסף על הקצאת הרשאות לתפקידים בארגונים

בקשת תפקידי IAM בפרויקט

כדי ליצור, לעדכן ולמחוק תפקידים בהתאמה אישית בפרויקט ספציפי, צריך לפנות לאדמין של IAM בפרויקט ולבקש את התפקיד אדמין של תפקידים בהתאמה אישית בפרויקט (custom-role-project-admin).

מידע נוסף על הקצאת הרשאות לתפקידים בפרויקטים

הכנת הסביבה

כדי להשתמש בכלי שורת הפקודה ליצירה או לניהול של תפקידים בהתאמה אישית, צריך לבצע את ההגדרה הבאה:

מורידים ומתקינים את ה-gdcloud CLI, אם עדיין לא עשיתם את זה.
כדי להשתמש ב-API עם kubectl, צריך לבצע הגדרה נוספת:
- מתקינים את ה-CLI של kubectl.
- יוצרים את הקובץ kubeconfig לשרת ה-API הגלובלי כדי להגדיר את הגישה ל-kubectl.

איך רואים את התפקידים וההרשאות שלהם

תפקיד בהתאמה אישית מורכב מקבוצת הרשאות שאפשר להקצות למשתמשים. כדי ליצור תפקיד בהתאמה אישית, בוחרים הרשאות מתפקידים קיימים שמוגדרים מראש ומשלבים אותן בהתאם לצרכים שלכם. ההרשאות שאפשר לכלול בתפקיד בהתאמה אישית תלויות בהיקף שבו יוצרים את התפקיד: ארגון או פרויקט.

בקטע הזה מוסבר איך להציג את רשימת התפקידים הזמינים (גם המוגדרים מראש וגם בהתאמה אישית) ואת ההרשאות שהם כוללים. אתם יכולים להשתמש במידע הזה כדי:

זיהוי הרשאות לתפקידים חדשים בהתאמה אישית: גלו את מחרוזות ההרשאות הספציפיות שנדרשות לדגל --permissions כשמשתמשים ב-gdcloud CLI כדי ליצור תפקיד בהתאמה אישית.
בדיקת התפקידים הקיימים: בודקים את ההרשאות שמשויכות לכל תפקיד מוגדר מראש או תפקיד בהתאמה אישית בהיקף שנבחר (ארגון או פרויקט).

מציגים את רשימת התפקידים ובודקים את ההרשאות שלהם באמצעות מסוף GDC או gdcloud CLI:

המסוף

נכנסים למסוף GDC.
ברשימת הפרויקטים, בוחרים את הארגון או הפרויקט שבו רוצים לראות את רשימת התפקידים.
בתפריט הניווט, לוחצים על Identity & Access > Roles.

מופיעה רשימה של תפקידים מוגדרים מראש ותפקידים בהתאמה אישית.
לוחצים על שם התפקיד כדי לראות את הפרטים שלו, כולל ההרשאות שהוקצו.

ההרשאות שמופיעות בתפקידים המוגדרים מראש בהיקף הנוכחי (ארגון או פרויקט) הן ההרשאות שאפשר לכלול בתפקיד חדש בהתאמה אישית.

gdcloud

מוודאים ש-gdcloud CLI מותקן. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
מציגים את רשימת התפקידים הזמינים:
```
gdcloud iam roles list \
  --type=ROLE_TYPE \
  --project=PROJECT
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_TYPE: סוג התפקידים שיופיעו ברשימה. הערכים התקינים הם predefined,‏ custom או all.
- ‫PROJECT: מרחב השמות של הפרויקט שבו רוצים לראות את התפקידים. לתפקידים ברמת הארגון, משמיטים את הדגל --project.
כדי לראות את ההרשאות הספציפיות שכלולות בתפקיד:
```
gdcloud iam roles describe ROLE_NAME \
  --project=PROJECT
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_NAME: שם המשאב של התפקיד ב-Kubernetes
- ‫PROJECT: מרחב השמות של הפרויקט שבו רוצים לראות את ההרשאות של התפקיד. לתפקידים ברמת הארגון, משמיטים את הדגל --project.

לפרטים נוספים על הפקודות ודוגמאות לשימוש, ראו gdcloud iam roles list ו-gdcloud iam roles describe.

יצירת תפקיד בהתאמה אישית

כדי ליצור תפקיד חדש בהתאמה אישית, מקבצים יחד הרשאות מתפקידים מוגדרים מראש. תפקידים בהתאמה אישית יורשים את היכולות של IAM בכמה אזורים מהתפקידים המוגדרים מראש שעליהם הם מבוססים. אחרי שיוצרים תפקיד בהתאמה אישית, אפשר לתת למשתמשים גישה.

יוצרים תפקיד בהתאמה אישית באמצעות מסוף GDC,‏ gdcloud CLI או ה-API:

המסוף

נכנסים למסוף GDC.
בבורר הפרויקטים, בוחרים את הארגון או הפרויקט שבהם רוצים ליצור תפקיד בהתאמה אישית.
בתפריט הניווט, לוחצים על Identity & Access > Roles.
לוחצים על יצירת תפקיד בהתאמה אישית.
בשדה Title, מזינים את שם התפקיד בהתאמה אישית.
בשדה Description, כותבים תיאור של מטרת התפקיד בהתאמה אישית.
בשדה ID, מזינים את המזהה הייחודי של התפקיד בהתאמה אישית.

מזהי תפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים, ואי אפשר לשנות אותם אחרי שיוצרים את התפקיד.
בוחרים שלב השקה.
בוחרים את ההיקף של התפקיד בהתאמה אישית.

אם בוחרים באפשרות Organization, התפקיד בהתאמה אישית חל על כל המשאבים בארגון. אם בוחרים באפשרות Projects, התפקיד בהתאמה אישית חל על כל הפרויקטים הקיימים והעתידיים בארגון. אם רוצים לציין לאילו פרויקטים תהיה גישה לתפקיד בהתאמה אישית, אפשר לבחור באפשרות Limit to selected projects.
לוחצים על Add Permissions.
מסמנים את התיבה לצד אחת או יותר מההרשאות הנתמכות שרוצים להקצות לתפקיד בהתאמה אישית.

ההרשאות הזמינות מוגבלות להיקף שבחרתם. אם משנים את ההיקף אחרי שמוסיפים הרשאות, צריך לוודא שכל ההרשאות שהוקצו קודם מתאפסות.
לוחצים על שמירה.
לוחצים על יצירה.

התפקיד החדש בהתאמה אישית מופיע בדף תפקידים.

gdcloud

מוודאים ש-gdcloud CLI מותקן. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
יצירת תפקיד בהתאמה אישית:
```
gdcloud iam roles create ROLE_ID \
  --title=TITLE \
  --description=DESCRIPTION \
  --permissions=PERMISSIONS
  --stage=LAUNCH_STAGE
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית. מזהי התפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים ומקפים. אי אפשר לשנות את המזהים של תפקידים בהתאמה אישית אחרי שיוצרים אותם.
- ‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
- ‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
- ‫PERMISSIONS: רשימה מופרדת בפסיקים של ההרשאות שרוצים לתת לתפקיד בהתאמה אישית
  
  במאמר הצגת תפקידים וההרשאות שלהם מוסבר איך למצוא את מחרוזות ההרשאות הנכונות. כל מחרוזת הרשאה צריכה להיות בפורמט שמופיע בהנחיות של gdcloud iam roles create, כאשר iamRoleName הוא שם המשאב ב-Kubernetes של התפקיד המוגדר מראש שמכיל את ההרשאה. אתם יכולים למצוא את שם המשאב ב-Kubernetes של תפקיד מסוים בדף Role definitions או באמצעות הפקודה gdcloud iam roles list.
- ‫LAUNCH_STAGE: אופציונלי. שלב ההשקה של התפקיד בהתאמה אישית. הערכים התקינים הם ALPHA,‏ BETA,‏ GA או DISABLED. אם משמיטים את הדגל הזה, ברירת המחדל היא ALPHA.
במאמר gdcloud iam roles create מפורטת רשימה מלאה של דגלי חובה ודגלים אופציונליים, וגם דוגמאות לשימוש.

לחלופין, אפשר להגדיר את התפקיד בהתאמה אישית בקובץ YAML ולהשתמש בדגל --file:
```
gdcloud iam roles create ROLE_ID --file=YAML_FILE_PATH
```
מחליפים את הערך של YAML_FILE_PATH בנתיב לקובץ ה-YAML שמכיל את הדגלים הנדרשים והאופציונליים. אם משתמשים בדגל --file, המערכת מתעלמת מכל הדגלים האחרים, כמו --title,‏ --description ו---permissions.

API

יוצרים ומחילים את המשאב המותאם אישית CustomRole באמצעות kubectl:

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: LAUNCH_STAGE
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

מחליפים את מה שכתוב בשדות הבאים:

‫ROLE_NAME: שם המשאב של התפקיד ב-Kubernetes
‫NAMESPACE: מרחב השמות של התפקיד בהתאמה אישית. משתמשים ב-platform לתפקידים ברמת הארגון ולכמה פרויקטים. משתמשים במרחב השמות של הפרויקט (למשל my-project) לתפקידים ברמת הפרויקט ולפרויקטים בודדים.
‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית. מזהי התפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים ומקפים. אי אפשר לשנות את המזהים של תפקידים בהתאמה אישית אחרי שיוצרים את התפקיד.
‫SCOPE: משתמשים ב-organization לתפקידים שנוצרו במרחב השמות platform. משתמשים ב-project לתפקידים שנוצרו במרחב שמות של פרויקט.
‫LAUNCH_STAGE: אופציונלי. שלב ההשקה של התפקיד בהתאמה אישית. הערכים התקינים הם ALPHA,‏ BETA,‏ GA או DISABLED. אם משמיטים את השדה הזה, ערך ברירת המחדל הוא ALPHA.
‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
‫RULES_TYPE: היקף הכללים. מחליפים את הערך של באחד מהערכים הבאים: globalRules (להרשאות ב-API הגלובלי), zonalRules (להרשאות ב-API האזורי) או שניהם.
‫RULES_LIST: רשימה עם כניסה של אובייקטים רגילים של כללי RBAC ב-Kubernetes. כל אובייקט ברשימה מעניק הרשאות. כדי לקבוע מהם הערכים הנכונים של apiGroups, ‏resources ו-verbs, אתם יכולים לבדוק את ההרשאות בתפקידים המוגדרים מראש באמצעות gdcloud iam roles describe, כמו שמוסבר במאמר הצגת תפקידים וההרשאות שלהם.

הדוגמה הבאה מראה את המבנה של פריט אחד באובייקט globalRules:
```
globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]
```
אפשר לכלול כמה פריטים ברשימה, כשכל אחד מהם מגדיר קבוצת הרשאות שונה.

ניהול תפקיד בהתאמה אישית

אתם אחראים לנהל את מחזור החיים של התפקידים בהתאמה אישית. כשנוספים ל-Distributed Cloud הרשאות, תכונות או שירותים חדשים, התפקידים המוגדרים מראש מתעדכנים. עדכונים כמו מחיקה של תפקיד מוגדר מראש או הסרת הרשאות מתפקיד מוגדר מראש יכולים להפוך את התפקידים בהתאמה אישית שמסתמכים על ההרשאות האלה ללא פונקציונליים. כדי לוודא שהתפקידים בהתאמה אישית ימשיכו לפעול כצפוי, אתם צריכים לעקוב אחרי העדכונים האלה ולשנות באופן ידני את התפקידים בהתאמה אישית שמושפעים מהם.

אפשר לערוך, להשבית או למחוק תפקיד בהתאמה אישית, אבל אי אפשר לערוך, להשבית או למחוק תפקיד מוגדר מראש. איך בודקים את התפקידים וההרשאות

עריכה של תפקיד בהתאמה אישית

עורכים תפקיד בהתאמה אישית באמצעות מסוף GDC,‏ gdcloud CLI או ה-API:

המסוף

נכנסים למסוף GDC.
בבורר הפרויקטים, בוחרים את הארגון או הפרויקט שבהם רוצים לערוך תפקיד בהתאמה אישית.
בתפריט הניווט, לוחצים על Identity & Access > Roles.
ברשימת התפקידים, בוחרים את התפקיד בהתאמה אישית שרוצים לערוך.
בדף הפרטים של התפקיד בהתאמה אישית, לוחצים על עריכה.
עורכים את פרטי התפקיד בהתאמה אישית, כמו השם, התיאור, המזהה או שלב ההשקה.
אם רוצים, מוסיפים או מסירים הרשאות שהוקצו.
1. לוחצים על Add permissions כדי לבחור מתוך רשימת ההרשאות הזמינות.
2. כדי להסיר הרשאה שהוקצתה, מסמנים את התיבה לצד ההרשאה שרוצים להסיר ולוחצים על הסרה.
לוחצים על שמירה.

מופיעה הודעה שמאשרת שהשינויים נשמרו.

gdcloud

מוודאים ש-gdcloud CLI מותקן. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
עריכה של תפקיד בהתאמה אישית:
```
gdcloud iam roles update ROLE_ID \
  --title=TITLE \
  --description=DESCRIPTION \
  --permissions=PERMISSIONS
  --stage=LAUNCH_STAGE
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית
- ‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
- ‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
- ‫PERMISSIONS: רשימה מופרדת בפסיקים של ההרשאות שרוצים לתת לתפקיד בהתאמה אישית
  
  במאמר הצגת תפקידים וההרשאות שלהם מוסבר איך למצוא את מחרוזות ההרשאות הנכונות. כל מחרוזת הרשאה צריכה להיות בפורמט שמופיע בהנחיות של gdcloud iam roles create, כאשר iamRoleName הוא שם המשאב ב-Kubernetes של התפקיד המוגדר מראש שמכיל את ההרשאה. אתם יכולים למצוא את שם המשאב ב-Kubernetes של תפקיד מסוים בדף Role definitions או באמצעות הפקודה gdcloud iam roles list.
- ‫LAUNCH_STAGE: אופציונלי. שלב ההשקה של התפקיד בהתאמה אישית. הערכים התקינים הם ALPHA,‏ BETA,‏ GA או DISABLED. אם משמיטים את הדגל הזה, ברירת המחדל היא ALPHA.
במאמר gdcloud iam roles update מופיעה רשימה מלאה של דגלי חובה ודגלים אופציונליים, וגם דוגמאות לשימוש.

לחלופין, אתם יכולים לעדכן את התפקיד בהתאמה אישית בקובץ ה-YAML שלו ולהשתמש בדגל --file:
```
gdcloud iam roles update ROLE_ID --file=YAML_FILE_PATH
```
מחליפים את הערך YAML_FILE_PATH בנתיב לקובץ ה-YAML שמכיל את הדגלים המעודכנים הנדרשים והאופציונליים. אם משתמשים בדגל --file, המערכת מתעלמת מכל הדגלים האחרים, כמו --title, ‏--description ו---permissions.

API

עורכים משאב מותאם אישית של CustomRole באמצעות kubectl:

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: LAUNCH_STAGE
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

מחליפים את מה שכתוב בשדות הבאים:

‫ROLE_NAME: שם המשאב של התפקיד ב-Kubernetes
‫NAMESPACE: מרחב השמות של התפקיד בהתאמה אישית. משתמשים ב-platform לתפקידים ברמת הארגון ולכמה פרויקטים. משתמשים במרחב השמות של הפרויקט (למשל my-project) לתפקידים ברמת הפרויקט ולפרויקטים בודדים.
‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית. מזהי התפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים ומקפים. אי אפשר לשנות את המזהים של תפקידים בהתאמה אישית אחרי שיוצרים את התפקיד.
‫SCOPE: משתמשים ב-organization לתפקידים שנוצרו במרחב השמות platform. משתמשים ב-project לתפקידים שנוצרו במרחב שמות של פרויקט.
‫LAUNCH_STAGE: אופציונלי. שלב ההשקה של התפקיד בהתאמה אישית. הערכים התקינים הם ALPHA,‏ BETA,‏ GA או DISABLED. אם משמיטים את השדה הזה, ערך ברירת המחדל הוא ALPHA.
‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
‫RULES_TYPE: היקף הכללים. מחליפים את הערך של באחד מהערכים הבאים: globalRules (להרשאות ב-API הגלובלי), zonalRules (להרשאות ב-API האזורי) או שניהם.
‫RULES_LIST: רשימה עם כניסה של אובייקטים רגילים של כללי RBAC ב-Kubernetes. כל אובייקט ברשימה מעניק הרשאות. כדי לקבוע מהם הערכים הנכונים של apiGroups, ‏resources ו-verbs, אתם יכולים לבדוק את ההרשאות בתפקידים המוגדרים מראש באמצעות gdcloud iam roles describe, כמו שמוסבר במאמר הצגת תפקידים וההרשאות שלהם.

הדוגמה הבאה מראה את המבנה של פריט אחד באובייקט globalRules:
```
globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]
```
אפשר לכלול כמה פריטים ברשימה, כשכל אחד מהם מגדיר קבוצת הרשאות שונה.

השבתת תפקיד בהתאמה אישית

תפקידים מושבתים בהתאמה אישית נשארים ברשימת התפקידים ואפשר להקצות אותם למשתמשים, אבל אין להם השפעה. אפשר להפעיל מחדש את התפקיד בהתאמה אישית בכל שלב.

כדי להשבית תפקיד בהתאמה אישית, משתמשים במסוף GDC, ב-gdcloud CLI או ב-API:

המסוף

נכנסים למסוף GDC.
בוחרים את הארגון או הפרויקט שבהם רוצים להשבית את התפקיד בהתאמה אישית.
בתפריט הניווט, לוחצים על Identity & Access > Roles.
ברשימת התפקידים, בוחרים את התפקיד בהתאמה אישית שרוצים להשבית.
בדף הפרטים של התפקיד בהתאמה אישית, לוחצים על Disable.

gdcloud

מוודאים ש-gdcloud CLI מותקן. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
השבתת תפקיד בהתאמה אישית:
```
gdcloud iam roles update ROLE_ID --stage=DISABLED
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית
למידע נוסף, ראו gdcloud iam roles update.

API

כדי להשבית משאב בהתאמה אישית של CustomRole, משנים את השדה stage לערך DISABLED. מוודאים שכל שאר השדות תואמים לערכים הנוכחיים של התפקיד בהתאמה אישית שרוצים להשבית.

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: DISABLED
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

מחליפים את מה שכתוב בשדות הבאים:

‫ROLE_NAME: שם המשאב של התפקיד ב-Kubernetes
‫NAMESPACE: מרחב השמות של התפקיד בהתאמה אישית. משתמשים ב-platform לתפקידים ברמת הארגון ולכמה פרויקטים. משתמשים במרחב השמות של הפרויקט (למשל my-project) לתפקידים ברמת הפרויקט ולפרויקטים בודדים.
‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית. מזהי התפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים ומקפים. אי אפשר לשנות את המזהים של תפקידים בהתאמה אישית אחרי שיוצרים את התפקיד.
‫SCOPE: משתמשים ב-organization לתפקידים שנוצרו במרחב השמות platform. משתמשים ב-project לתפקידים שנוצרו במרחב שמות של פרויקט.
‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
‫RULES_TYPE: היקף הכללים. מחליפים את הערך של באחד מהערכים הבאים: globalRules (להרשאות ב-API הגלובלי), zonalRules (להרשאות ב-API האזורי) או שניהם.
‫RULES_LIST: רשימה עם כניסה של אובייקטים רגילים של כללי RBAC ב-Kubernetes. כל אובייקט ברשימה מעניק הרשאות. כדי לקבוע מהם הערכים הנכונים של apiGroups, ‏resources ו-verbs, אתם יכולים לבדוק את ההרשאות בתפקידים המוגדרים מראש באמצעות gdcloud iam roles describe, כמו שמוסבר במאמר הצגת תפקידים וההרשאות שלהם.

הדוגמה הבאה מראה את המבנה של פריט אחד באובייקט globalRules:
```
globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]
```
אפשר לכלול כמה פריטים ברשימה, כשכל אחד מהם מגדיר קבוצת הרשאות שונה.

מחיקה של תפקיד בהתאמה אישית

תפקידים שנמחקו מוסרים מהמערכת באופן סופי, אבל אפשר ליצור תפקיד חדש עם אותו שם.

מחיקת תפקיד בהתאמה אישית באמצעות gdcloud CLI או ה-API:

gdcloud

מוודאים ש-gdcloud CLI מותקן. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
מחיקה של תפקיד בהתאמה אישית:
```
gdcloud iam roles delete ROLE_ID --project=PROJECT
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית
- ‫PROJECT: מרחב השמות של הפרויקט שבו רוצים למחוק את התפקיד בהתאמה אישית. אם לא מציינים את הדגל --project, התפקיד ברמת הארגון נמחק.
למידע נוסף ודוגמאות לשימוש, ראו gdcloud iam roles delete.

API

מחיקת משאב בהתאמה אישית של CustomRole באמצעות kubectl:

kubectl delete -f CUSTOM_ROLE

מחליפים את CUSTOM_ROLE בנתיב לקובץ ה-YAML של CustomRole. זה אותו קובץ שבו השתמשתם כדי ליצור או לעדכן את התפקיד.

יצירת תפקיד בהתאמה אישית קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

לפני שמתחילים

בקשת תפקידים ב-IAM ברמת הארגון

בקשת תפקידי IAM בפרויקט

הכנת הסביבה

איך רואים את התפקידים וההרשאות שלהם

המסוף

gdcloud

יצירת תפקיד בהתאמה אישית

המסוף

gdcloud

API

ניהול תפקיד בהתאמה אישית

עריכה של תפקיד בהתאמה אישית

המסוף

gdcloud

API

השבתת תפקיד בהתאמה אישית

המסוף

gdcloud

API

מחיקה של תפקיד בהתאמה אישית

gdcloud

API

יצירת תפקיד בהתאמה אישית