Zugriff gewähren und widerrufen

Jedes Subjekt – ein Nutzer oder eine Gruppe – durchläuft einen zweistufigen Prozess, um Zugriff auf den Management API-Server und den Kubernetes-Cluster zu erhalten:

• Zugriff auf den Management API-Server: Gewähren Sie einem Subjekt mit Berechtigungen im Management API-Server mithilfe von ClusterRoleBinding oder RoleBinding Zugriff auf eine vordefinierte ClusterRole.

• Zugriff auf den Kubernetes-Cluster:Gewähren Sie Namespace-spezifischen oder clusterweiten Zugriff.

  • Namespace-spezifischer Zugriff:Wenn Sie Zugriff auf den Namespace eines bestimmten Projekts im Cluster gewähren möchten, erstellen Sie eine ProjectRole und die entsprechende ProjectRoleBinding. Bei diesem Vorgang werden eine Kubernetes-Role und RoleBinding an einen Kubernetes-Namespace im Cluster weitergegeben, der dem Project entspricht, mit dem die ProjectRole und ProjectRoleBinding verknüpft sind.

  • Clusterweiter Zugriff:Wenn Sie Zugriff auf alle Namespaces im Cluster gewähren möchten, erstellen Sie eine OrganizationRole und die entsprechende OrganizationRoleBinding. Bei diesem Vorgang werden eine Kubernetes- ClusterRole und ClusterRoleBinding an den gesamten Kubernetes-Cluster weitergegeben.

Hinweis: Sie können ein Subjekt an mehrere Rollen im Management API-Server und in Kubernetes-Clustern binden. Berechtigungen sind rein additiv und es gibt keine Ablehnungs regeln.

Hinweis: Sie können einem Subjekt nur Kubernetes-Clusterzugriff über eine ProjectRole und ProjectRoleBinding gewähren, die von einer anderen Person erstellt wurden. Das Subjekt hat keinen Zugriff auf den Management API-Server.

Diese Seite richtet sich an Nutzer in der Gruppe der Plattformadministratoren, die Berechtigungen in ihrer Organisation verwalten.

Sowohl der Organisations-IAM-Administrator als auch der Projekt-IAM-Administrator können weitere Projektrollen und Projektrollenbindungen erstellen, um zusätzliche projektspezifische Berechtigungen zu gewähren. Organisations-IAM-Administratoren können jedoch Projektrollen und Projektrollenbindungen für jedes Projekt erstellen. Projekt-IAM-Administratoren können dagegen nur Projektrollen und Projektrollenbindungen für Projekte erstellen, auf die sie Zugriff haben.

Hinweis

Bevor Sie Rollenbindungen verwalten oder den Zugriff widerrufen, müssen Sie die erforderlichen Berechtigungen anfordern und Ihre Umgebung vorbereiten. Die erforderlichen Rollen hängen davon ab, ob Sie Rollenbindungen verwalten oder den Nutzerzugriff widerrufen.

IAM-Rollen anfordern

Wenden Sie sich an Ihren Organisations-IAM-Administrator, um die Rollen basierend auf den Aufgaben anzufordern, die Sie ausführen müssen:

• Organisations-IAM-Administrator (organization-iam-admin): Rollenbindungen auf Organisations- und Projektebene erstellen, aktualisieren und löschen.
• Organisationssitzungsadministrator (org-session-admin): Aktive Sitzungen und den Zugriff eines Nutzers in einer bestimmten Zone widerrufen.

Umgebung vorbereiten

Führen Sie die folgenden Schritte aus, um die Befehlszeilentools zum Verwalten von Rollenbindungen oder zum Widerrufen des Zugriffs zu verwenden.

• Laden Sie die gdcloud CLI herunter und installieren Sie sie, falls noch nicht geschehen.
• Wenn Sie die API mit kubectl verwenden möchten, ist eine zusätzliche Einrichtung erforderlich:
  • Installieren Sie die kubectl CLI.
  • Generieren Sie die kubeconfig-Datei für den globalen API-Server.

Rollenbindungen einrichten

Sie können Rollenbindungen einrichten, die Teammitgliedern Zugriff auf Ressourcen auf Organisations- oder Projektebene gewähren.

Bitten Sie Ihren Organisations-IAM-Administrator, Ihnen die Rolle „Organisations-IAM-Administrator“ zuzuweisen, um die Berechtigungen zu erhalten, die Sie zum Einrichten von Rollenbindungen benötigen.

So weisen Sie einem autorisierten Mitglied eine Rolle zu:

Console

1. Melden Sie sich in der GDC-Konsole an.
2. Klicken Sie auf Projekt auswählen , um eine Organisation oder ein Projekt auszuwählen.
   
   • Wenn Sie Rollenbindungen für eine Organisation einrichten möchten, wählen Sie eine Organisation aus.
   • Wenn Sie Rollenbindungen für ein Projekt einrichten möchten, wählen Sie ein Projekt aus.
3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Zugriff.
4. Klicken Sie auf Mitglied hinzufügen.
5. Wählen Sie in der Liste Identitätsanbieter einen Identitätsanbieter aus.
6. Wählen Sie aus, ob Sie einzelne Nutzer oder Gruppen hinzufügen möchten.
7. Geben Sie im Feld Nutzername oder Gruppenalias den Nutzernamen, die E-Mail-Adresse oder den Alias ein.
8. Wählen Sie in der Liste Rolle die Rolle aus, die Sie dem Nutzer oder der Gruppe zuweisen möchten, z. B. Organisationsbetrachter auf Organisationsebene oder Projektersteller auf Projektebene.
9. Klicken Sie auf Hinzufügen.

Das Mitglied wird in der Liste Autorisiertes Mitglied angezeigt.

gdcloud

1. Prüfen Sie, ob die gdcloud CLI installiert ist.

2. Melden Sie sich mit dem Befehl gdcloud auth login an, um sich bei Ihrem Identitätsanbieter zu authentifizieren. Weitere Informationen finden Sie unter gdcloud CLI-Authentifizierung.

3. Richten Sie Rollenbindungen ein.

   • Rollenbindungen für eine Organisation einrichten:

     gdcloud organizations add-iam-policy-binding root \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • USER_ACCOUNT: Das Nutzerkonto, dem Sie die Rolle zuweisen möchten. Für dieses Flag kann entweder eine E-Mail-Adresse des Nutzers mit dem Präfix des Identitätsanbieters (user:[e-mail]) oder ein Dienstkontoname mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName) verwendet werden.
     • ROLE_TYPE: the ClusterRole, Role, or OrganizationRole for which you're setting up the role binding.
     • ROLE: Der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie dem Nutzer zuweisen möchten (z. B. project-creator).

   • Rollenbindungen für ein Projekt einrichten:

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • PROJECT: Der Name des Projekts, für das Sie die Rollenbindung einrichten.
     • USER_ACCOUNT: Das Nutzerkonto, dem Sie die Rolle zuweisen möchten. Für dieses Flag kann entweder eine E-Mail-Adresse des Nutzers mit dem Präfix des Identitätsanbieters (user:[e-mail]) oder ein Dienstkontoname mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName) verwendet werden.
     • ROLE_TYPE: die Role oder ProjectRole, für die Sie die Rollenbindung einrichten.
     • ROLE: Der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie dem Nutzer zuweisen möchten (z. B. project-viewer).

API

Hinweis: Die API-Anleitung richtet sich an fortgeschrittene Nutzer.

1. Exportieren Sie die Anmeldedaten des Nutzers, die Sie verwenden:

   export YOUR_IAM_ADMIN_KUBECONFIG=YOUR_IAM_ADMIN_KUBECONFIG
   

2. Exportieren Sie das Nutzerkonto, dem Sie die Rolle zuweisen möchten, einschließlich des Präfixes des Identitätsanbieters (z. B. [e-mail]):

   export USERNAME=IDP_PREFIX-USER_EMAIL
   

3. Exportieren Sie den Namen der Rolle, die der Nutzer benötigt, z. B. project-creator. Weitere Informationen zur Rolle finden Sie unter Rollendefinitionen.

   export ROLE_NAME=ROLE_NAME
   

4. Weisen Sie einen Nutzer einer ClusterRole, Role, ProjectRole, oder OrganizationRole zu:

   • Weisen Sie einen Nutzer einer ClusterRole zu:

     kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     clusterrolebinding ${USERNAME}-${ROLE_NAME}-binding \
     --clusterrole=${ROLE_NAME} --user=${USERNAME}
     

     Wenn für eine ClusterRole eine RoleBinding anstelle einer ClusterRoleBinding erforderlich ist, finden Sie in den Rollendefinitionen den erforderlichen Bindungstyp und erstellen Sie stattdessen eine RoleBinding im Namespace gpc-system:

     kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     rolebinding ${USERNAME}-${ROLE_NAME}-binding \
     --clusterrole=${ROLE_NAME} --user=${USERNAME} --namespace=gpc-system
     

   • Weisen Sie einen Nutzer einer Role zu:

     1. Exportieren Sie den Namespace, in dem die Bindung erstellt werden muss:

        export BINDING_NAMESPACE=BINDING_NAMESPACE
        

     2. Führen Sie die folgenden Befehle aus, um eine RoleBinding zu erstellen:

        kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
        rolebinding ${USERNAME}-${ROLE_NAME}-binding \
        --role=${ROLE_NAME} --user=${USERNAME} --namespace=${BINDING_NAMESPACE}
        

   • Weisen Sie einen Nutzer einer ProjectRole zu:

     1. Erstellen Sie eine projectrolebinding.yaml-Datei:

        apiVersion: resourcemanager.gdc.goog/v1
        kind: ProjectRoleBinding
        metadata:
          name: BINDING_NAME
          namespace: PROJECT_NAME
        spec:
          roleRef:
            apiGroup: resourcemanager.gdc.goog
            kind: ProjectRole
            name: ROLE_NAME
          subjects:
          - apiGroup: rbac.authorization.k8s.io
            kind: USER_KIND
            name: USERNAME
        

        Ersetzen Sie Folgendes:

        • BINDING_NAME: Ein Name für die Bindung, die der Nutzer anpassen kann (z. B. user-project-creator-binding).
        • PROJECT_NAME: Der Name des Projekts, dem Sie die Rolle zuweisen.
        • ROLE_NAME: Der Name der ProjectRole, die Sie dem Nutzer zuweisen.
        • USER_KIND: Die Art des Nutzers, die User, Group oder ServiceAccount sein kann.
        • USERNAME: Die E-Mail-Adresse des Nutzers, dem Sie die Rolle zuweisen, einschließlich des Präfixes des Identitätsanbieters (z. B. [e-mail]). Dieser Wert muss mit dem exportierten USERNAME übereinstimmen.

     2. Wenden Sie die Datei projectrolebinding.yaml an:

        kubectl create -f projectrolebinding.yaml
        

   • Weisen Sie einen Nutzer einer OrganizationRole zu:

     1. Erstellen Sie eine organizationrolebinding.yaml-Datei:

        apiVersion: resourcemanager.gdc.goog/v1
        kind: OrganizationRoleBinding
        metadata:
          name: BINDING_NAME
          namespace: gpc-system
        spec:
          roleRef:
            apiGroup: resourcemanager.gdc.goog
            kind: OrganizationRole
            name: ROLE_NAME
          subjects:
          - apiGroup: rbac.authorization.k8s.io
            kind: USER_KIND
            name: USERNAME
        

        Ersetzen Sie Folgendes:

        • BINDING_NAME: Ein Name für die Bindung, die der Nutzer anpassen kann (z. B. user-organization-creator-binding).
        • ROLE_NAME: Der Name der OrganizationRole, die Sie dem Nutzer zuweisen.
        • USER_KIND: Die Art des Nutzers, die User, Group oder ServiceAccount sein kann.
        • USERNAME: Die E-Mail-Adresse des Nutzers, dem Sie die Rolle zuweisen, einschließlich des Präfixes des Identitätsanbieters (z. B. [e-mail]). Dieser Wert muss mit dem exportierten USERNAME übereinstimmen.

     2. Wenden Sie die YAML-Datei organizationrolebinding.yaml an:

        kubectl create -f organizationrolebinding.yaml
        

Rollenbindungen entfernen

Wenn kein Zugriff mehr erforderlich ist, entfernen Sie ein Mitglied und die zugehörigen Rollen, Berechtigungen und Zugriffsrechte.

Führen Sie die folgenden Schritte aus, um Mitglieder zu entfernen:

Console

1. Melden Sie sich in der GDC-Konsole an.
2. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Zugriff.
3. Wählen Sie in der Liste Autorisierte Mitglieder ein Mitglied aus.
4. Klicken Sie auf Mitglied entfernen.
5. Wenn Sie dazu aufgefordert werden, klicken Sie zur Bestätigung auf Mitglied entfernen.

gdcloud

1. Prüfen Sie, ob die gdcloud CLI installiert ist.

2. Melden Sie sich mit dem Befehl gdcloud auth login an, um sich bei Ihrem Identitätsanbieter zu authentifizieren. Weitere Informationen finden Sie unter gdcloud CLI-Authentifizierung.

3. Entfernen Sie Rollenbindungen.

   • Rollenbindungen für eine Organisation entfernen:

     gdcloud organizations remove-iam-policy-binding root \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • USER_ACCOUNT: Das Nutzerkonto, aus dem Sie die Rolle entfernen möchten. Für dieses Flag kann entweder eine E-Mail-Adresse des Nutzers mit dem Präfix des Identitätsanbieters (user:[e-mail]) oder ein Dienstkontoname mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName) verwendet werden.
     • ROLE_TYPE: die ClusterRole, Role oder OrganizationRole, für die Sie die Rollenbindung entfernen.
     • ROLE: Der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie aus dem Nutzerkonto entfernen möchten (z. B. project-creator).

   • Rollenbindungen für ein Projekt entfernen:

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • PROJECT: Der Name des Projekts, aus dem Sie die Rollenbindung entfernen.
     • USER_ACCOUNT: Das Nutzerkonto, aus dem Sie die Rolle entfernen möchten. Für dieses Flag kann entweder eine E-Mail-Adresse des Nutzers mit dem Präfix des Identitätsanbieters (user:[e-mail]) oder ein Dienstkontoname mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName) verwendet werden.
     • ROLE_TYPE: die Role oder ProjectRole, für die Sie die Rollenbindung entfernen.
     • ROLE: Der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie aus dem Nutzerkonto entfernen möchten (z. B. project-viewer).

API

Hinweis: Die API-Anleitung richtet sich an fortgeschrittene Nutzer.

1. Exportieren Sie die Anmeldedaten des Nutzers, die Sie verwenden:

   export YOUR_IAM_ADMIN_KUBECONFIG=YOUR_IAM_ADMIN_KUBECONFIG
   

2. Exportieren Sie das Nutzerkonto, aus dem Sie die Rolle entfernen möchten, einschließlich des Präfixes des Identitätsanbieters (z. B. [e-mail]):

   export USERNAME=IDP_PREFIX-USER_EMAIL
   

3. Exportieren Sie den Namespace, in dem die Bindung entfernt wird:

   export BINDING_NAMESPACE=BINDING_NAMESPACE
   

4. Löschen Sie die ClusterRoleBinding, RoleBinding, ProjectRoleBinding, oder OrganizationRoleBinding, um die dem Nutzer konto gewährte Berechtigung zu widerrufen:

   • Entfernen Sie die ClusterRoleBinding aus einem Nutzerkonto:

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete clusterrolebinding ${USERNAME}-pa
     

   • Entfernen Sie die RoleBinding aus einem Nutzerkonto:

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete rolebinding ${USERNAME}-pa \
     --namespace=${BINDING_NAMESPACE}
     

   • Entfernen Sie die ProjectRoleBinding aus einem Nutzerkonto:

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete projectrolebinding ${USERNAME}-pa \
     --namespace=${BINDING_NAMESPACE}
     

   • Entfernen Sie die OrganizationRoleBinding aus einem Nutzerkonto:

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete organizationrolebinding ${USERNAME}-pa \
     --namespace=gpc-system
     

Nutzerzugriff widerrufen

Wenn ein Mitglied Ihre Organisation oder Ihr Team verlässt, können Sie den Zugriff auf die Google Distributed Cloud (GDC) Air-Gapped Appliance widerrufen. Wenn Sie den Zugriff eines Nutzers widerrufen, wird er von der GDC mit Air Gap abgemeldet und seine Rollen und Berechtigungen werden entfernt. Sie können auch die Aktivitäten und Sitzungen des Nutzers nach Start- und Endzeit auflisten.

So widerrufen Sie den Zugriff eines Nutzers:

1. Rufen Sie die Berechtigungen ab, die Sie zum Widerrufen des Zugriffs von Nutzern benötigen. Bitten Sie Ihren Organisations-IAM-Administrator, Ihnen die Rolle „Organisationssitzungsadministrator“ (org-session-admin) zuzuweisen.

2. Widerrufen Sie den Zugriff des Nutzers:

   gdcloud admin auth revoke --accounts USER_EMAIL
   

   Ersetzen Sie USER_EMAIL durch die E-Mail-Adresse des Nutzers, dessen Zugriff Sie widerrufen möchten.

   Nachdem Sie den Befehl ausgeführt haben, wird eine ähnliche Ausgabe wie die folgende angezeigt. In diesem Beispiel wird der Zugriff für den Nutzer [e-mail] widerrufen:

   Success: NUMBER of sessions revoked for user [e-mail]
   

   In diesem Beispiel bezieht sich die Variable NUMBER auf die Anzahl der aktiven Sitzungen des Nutzers.

3. Bestätigen Sie, dass Sie den Zugriff des Nutzers widerrufen haben, indem Sie den Befehl gdcloud admin auth revoke noch einmal ausführen. Wenn der Vorgang erfolgreich war, wird Folgendes angezeigt:

   No sessions found for account: [e-mail]
   

Alle widerrufenen Nutzer auflisten

So rufen Sie alle widerrufenen Nutzer sowie ihre Aktivitäten und Sitzungen auf:

• Alle widerrufenen Nutzer nach Start- und Endzeit auflisten:

  gdcloud admin auth list --format="csv(ACCOUNT, IDENTITY_PROVIDER, CREATION_TIME, EXPIRATION_TIME)"
  

  Wenn der Vorgang erfolgreich war, wird eine ähnliche Ausgabe wie die folgende angezeigt:

  account,identity_provider,creation_time,expiration_time
  [e-mail],example-idp,2023-02-15 22:10:52,2023-02-15 23:10:52