授予專案資源存取權

本文說明如何使用 GDC 控制台或 gdcloud CLI，在 Distributed Cloud 雲端專案中建立及移除角色繫結。

本文適用於應用程式操作員群組中，負責管理 GDC 專案權限的人員。詳情請參閱「GDC 實體隔離方案說明文件的目標對象」。

事前準備

建立或移除角色繫結前，必須先要求必要權限。

要求 IAM 角色

如要在專案中建立、更新及刪除角色繫結，請與 IAM 機構組織管理員或 IAM 專案管理員聯絡，要求取得 IAM 專案管理員 (project-iam-admin) 角色。

IAM 機構組織管理員可以為組織內的任何專案授予這個角色。IAM 專案管理員可以在特定專案範圍內授予這個角色。

設定角色繫結

請按照下列步驟設定角色繫結：

控制台

  1. 登入 GDC 控制台。舉例來說，下圖顯示登入名為 org-1 的組織 GDC 控制台：
  2. 按一下選單列中的「選取專案」。選取要設定角色繫結的現有專案，然後按一下「Open」(開啟)。選取的專案會顯示在選單列的機構名稱後方。以下範例顯示所選的 iam-test 專案：
  3. 在導覽選單中，依序點選「Identity & Access」和「Access」。
  4. 按一下「新增成員」。
  5. 在「Identity provider」(識別資訊提供者) 下拉式選單中，選取識別資訊提供者。
  6. 在「Member type」(成員類型) 後方，選擇要新增個別使用者 (User) 還是群組 (Group)。以下範例顯示所選的 User：
  7. 在「Username or group alias」(使用者名稱或群組別名) 欄位中，輸入使用者名稱、電子郵件地址或別名。
  8. 在「Roles」(角色) 下拉式選單中，選取要指派給使用者或群組的角色，例如「Project Viewer」(專案檢視者)。按一下「Add Another Role」(新增其他角色)，即可一次將所選使用者或群組繫結至多個角色。
  9. 按一下「新增」。

gdcloud

  1. 確認您已安裝 gdcloud CLI。

  2. 使用 gdcloud auth login 指令登入，向識別資訊提供者驗證身分。詳情請參閱「gdcloud CLI 驗證」。

  3. 設定專案的角色繫結：

    gdcloud projects add-iam-policy-binding PROJECT \
  --member=USER_ACCOUNT \
  --role=ROLE

    請替換下列變數：

    • PROJECT：要設定角色繫結的專案名稱。
    • USER_ACCOUNT：要授予角色的使用者帳戶。這個旗標接受具有識別資訊提供者前置字串 (user:idpprefix-user@example.com) 的使用者電子郵件地址，或具有服務帳戶專案 (serviceAccount:projectName:serviceAccountName) 的服務帳戶名稱。
    • ROLE：要指派給使用者的預先定義或自訂角色名稱。

移除角色繫結

不再需要存取權時，請移除成員及其相關聯的角色、權限和存取權。

如要移除成員，請按照下列步驟操作：

控制台

  1. 登入 GDC 控制台。
  2. 按一下選單列中的「選取專案」。選取要設定角色繫結的現有專案，然後按一下「Open」(開啟)。選取的專案會顯示在選單列的組織名稱後方。
  3. 在導覽選單中，依序點選「Identity & Access」和「Access」。
  4. 在授權成員清單中選取成員。您可以在清單中選取多位成員，一次移除多位成員。
  5. 按一下「Remove All Access」(移除所有存取權)，即可從目前專案中移除與成員相關聯的所有角色繫結。
  6. 在系統提示時，按一下「移除成員」加以確認。

gdcloud

  1. 確認您已安裝 gdcloud CLI。

  2. 使用 gdcloud auth login 指令登入，向識別資訊提供者驗證身分。詳情請參閱「gdcloud CLI 驗證」。

  3. 移除專案的角色繫結：

    gdcloud projects remove-iam-policy-binding PROJECT \
  --member=USER_ACCOUNT \
  --role=ROLE

    請替換下列變數：

    • PROJECT：要移除角色繫結的專案名稱。
    • USER_ACCOUNT：要移除角色的使用者帳戶。這個旗標接受具有識別資訊提供者前置字元 (user:idpprefix-user@example.com) 的使用者電子郵件地址，或具有服務帳戶專案 (serviceAccount:projectName:serviceAccountName) 的服務帳戶名稱。
    • ROLE：要從使用者帳戶中移除的預先定義或自訂角色名稱。