‫Google משתמשת בטכנולוגיית AI כדי לתרגם תוכן לשפה המועדפת עליך. בתרגומים כאלו עשויות להיות שגיאות.

יצירת תפקיד בהתאמה אישית

כאן מוסבר איך יוצרים ומנהלים תפקידים בהתאמה אישית ב-Google Distributed Cloud (GDC)‎ עם air gap. תפקידים בהתאמה אישית מאפשרים לכם לנהל את הגישה מעבר לקבוצות ההרשאות הרגילות שזמינות בתפקידים מוגדרים מראש, וכך להגדיר הרשאות שעומדות בקריטריונים הספציפיים שלכם.

תפקידים בהתאמה אישית פועלים לפי העיקרון של הרשאות מינימליות, והם שימושיים כדי להעניק את הגישה המינימלית שנדרשת למשימות רגישות, לצמצם את סיכוני האבטחה ולמנוע ניגודי אינטרסים.

יצירת תפקיד בהתאמה אישית מאפשרת לכם:

הגדרת היקף הגישה: אתם יכולים להחיל את ההרשאות על כל הארגון, על כל הפרויקטים או להגביל אותן לפרויקטים ספציפיים.
התאמה אישית של גישה פרטנית: בוחרים הרשאה אחת או יותר שכבר זמינה דרך תפקידים מוגדרים מראש, כדי להתאים אישית את הגישה למשימות או לתחומי אחריות ספציפיים.

תפקידים בהתאמה אישית מוגבלים להיקף שבו הם נוצרו. אפשר לתת גישה לתפקיד בהתאמה אישית רק באותו ארגון או פרויקט שבו הוא נוצר.

הדף הזה מיועד לאדמינים של פלטפורמות, כמו אדמינים ממחלקת IT או מהנדסי אבטחה, שרוצים לנהל בצורה מאובטחת את הגישה למשאבים של הארגון. מידע נוסף מופיע במאמר קהלים למסמכי תיעוד של GDC עם air gap.

מידע נוסף על תפקידים זמין במאמרים תיאורים של תפקידים מוגדרים מראש והגדרות תפקידים.

לפני שמתחילים

לפני שיוצרים או מנהלים תפקידים בהתאמה אישית, צריך לבקש את ההרשאות הנדרשות ולהכין את הסביבה.

בקשת תפקידים ב-IAM ברמת הארגון

כדי ליצור, לעדכן ולמחוק תפקידים בהתאמה אישית בארגון או בפרויקט, צריך לפנות למנהל החשבון הארגוני ב-IAM ולבקש את התפקיד אדמין של תפקידים בהתאמה אישית בארגון (custom-role-org-admin).

מידע נוסף על הקצאת הרשאות לתפקידים בארגונים

בקשת תפקידי IAM בפרויקט

כדי ליצור, לעדכן ולמחוק תפקידים בהתאמה אישית בפרויקט ספציפי, צריך לבקש מהאדמין של IAM בפרויקט את התפקיד אדמין של תפקידים בהתאמה אישית בפרויקט (custom-role-project-admin).

מידע נוסף על הקצאת הרשאות לתפקידים בפרויקטים

הכנת הסביבה

כדי להשתמש בכלי שורת הפקודה ליצירה או לניהול של תפקידים בהתאמה אישית, צריך לבצע את ההגדרה הבאה:

מורידים ומתקינים את ה-gdcloud CLI, אם עדיין לא עשיתם את זה.
כדי להשתמש ב-API עם kubectl, צריך לבצע הגדרה נוספת:
- מתקינים את ה-CLI של kubectl.
- יוצרים את הקובץ kubeconfig לשרת ה-API הגלובלי כדי להגדיר את הגישה ל-kubectl.

הצגת התפקידים וההרשאות שלהם

תפקיד בהתאמה אישית מורכב מקבוצת הרשאות שאפשר להקצות למשתמשים. כדי ליצור תפקיד בהתאמה אישית, בוחרים הרשאות מתפקידים קיימים שמוגדרים מראש ומשלבים אותן בהתאם לצרכים שלכם. ההרשאות שאפשר לכלול בתפקיד בהתאמה אישית תלויות בהיקף שבו יוצרים את התפקיד: ארגון או פרויקט.

בקטע הזה מוסבר איך להציג את רשימת התפקידים הזמינים (גם המוגדרים מראש וגם בהתאמה אישית) ואת ההרשאות שהם כוללים. אתם יכולים להשתמש במידע הזה כדי:

זיהוי הרשאות לתפקידים חדשים בהתאמה אישית: מחרוזות ההרשאות הספציפיות שנדרשות לדגל --permissions כשמשתמשים ב-gdcloud CLI כדי ליצור תפקיד בהתאמה אישית.
בדיקת התפקידים הקיימים: בודקים את ההרשאות שמשויכות לכל תפקיד מוגדר מראש או מותאם אישית בהיקף שנבחר (ארגון או פרויקט).

מציגים את רשימת התפקידים ובודקים את ההרשאות שלהם באמצעות מסוף GDC או gdcloud CLI:

המסוף

נכנסים למסוף GDC.
בוחרים את הארגון או הפרויקט שבהם רוצים לראות את רשימת התפקידים.
בתפריט הניווט, לוחצים על Identity & Access > Roles.

מופיעה רשימה של תפקידים מוגדרים מראש ותפקידים בהתאמה אישית.
לוחצים על שם התפקיד כדי לראות את הפרטים שלו, כולל ההרשאות שהוקצו לו.

ההרשאות שמופיעות בתפקידים המוגדרים מראש בהיקף הנוכחי (ארגון או פרויקט) הן ההרשאות שאפשר לכלול בתפקיד חדש בהתאמה אישית.

gdcloud

מוודאים שמותקן gdcloud CLI. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
מציגים את רשימת התפקידים הזמינים:
```
gdcloud iam roles list \
  --type=ROLE_TYPE \
  --project=PROJECT
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_TYPE: סוג התפקידים שיופיעו ברשימה. הערכים התקינים הם predefined,‏ custom או all.
- ‫PROJECT: מרחב השמות של הפרויקט שבו רוצים לראות את התפקידים. לתפקידים ברמת הארגון, משמיטים את הדגל --project.
כדי לראות את ההרשאות הספציפיות שכלולות בתפקיד:
```
gdcloud iam roles describe ROLE_NAME \
  --project=PROJECT
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_NAME: שם המשאב של התפקיד ב-Kubernetes
- ‫PROJECT: מרחב השמות של הפרויקט שבו רוצים לראות את ההרשאות של התפקיד. לתפקידים ברמת הארגון, משמיטים את הדגל --project.

למידע נוסף על הפקודות ודוגמאות לשימוש, ראו gdcloud iam roles list ו-gdcloud iam roles describe.

יצירת תפקיד בהתאמה אישית

כדי ליצור תפקיד חדש בהתאמה אישית, מקבצים יחד הרשאות מתפקידים מוגדרים מראש. תפקידים בהתאמה אישית יורשים את היכולות של IAM בכמה אזורים מהתפקידים המוגדרים מראש שעליהם הם מבוססים. אחרי שיוצרים תפקיד בהתאמה אישית, אפשר לתת למשתמשים גישה.

יוצרים תפקיד בהתאמה אישית באמצעות מסוף GDC,‏ gdcloud CLI או ה-API:

המסוף

נכנסים למסוף GDC.
בבורר הפרויקטים, בוחרים את הארגון או הפרויקט שבהם רוצים ליצור תפקיד בהתאמה אישית.
בתפריט הניווט, לוחצים על Identity & Access > Roles.
לוחצים על יצירת תפקיד בהתאמה אישית.
בשדה Title, מזינים את שם התפקיד בהתאמה אישית.
בשדה Description, כותבים תיאור של מטרת התפקיד בהתאמה אישית.
בשדה ID, מזינים את המזהה הייחודי של התפקיד בהתאמה אישית.

מזהי תפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים, ואי אפשר לשנות אותם אחרי שיוצרים את התפקיד.
בוחרים שלב השקה.
בוחרים את ההיקף של התפקיד בהתאמה אישית.

אם בוחרים באפשרות Organization, התפקיד בהתאמה אישית חל על כל המשאבים בארגון. אם בוחרים באפשרות Projects, התפקיד בהתאמה אישית חל על כל הפרויקטים הקיימים והעתידיים בארגון. אם רוצים לציין לאילו פרויקטים תהיה גישה לתפקיד בהתאמה אישית, אפשר לבחור באפשרות Limit to selected projects.
לוחצים על Add Permissions.
מסמנים את התיבה לצד אחת או יותר מההרשאות הנתמכות שרוצים להקצות לתפקיד בהתאמה אישית.

ההרשאות הזמינות מוגבלות להיקף שבחרתם. אם משנים את ההיקף אחרי שמוסיפים הרשאות, צריך לוודא שכל ההרשאות שהוקצו קודם מתאפסות.
לוחצים על שמירה.
לוחצים על יצירה.

התפקיד החדש בהתאמה אישית מופיע בדף תפקידים.

gdcloud

מוודאים שמותקן gdcloud CLI. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
יצירת תפקיד בהתאמה אישית:
```
gdcloud iam roles create ROLE_ID \
  --title=TITLE \
  --description=DESCRIPTION \
  --permissions=PERMISSIONS
  --stage=LAUNCH_STAGE
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית. מזהי התפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים ומקפים. אי אפשר לשנות את המזהים של תפקידים בהתאמה אישית אחרי שיוצרים אותם.
- ‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
- ‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
- ‫PERMISSIONS: רשימה מופרדת בפסיקים של ההרשאות שרוצים לתת לתפקיד בהתאמה אישית
  
  במאמר הצגת תפקידים וההרשאות שלהם מוסבר איך למצוא את מחרוזות ההרשאות הנכונות. כל מחרוזת הרשאה צריכה להיות בפורמט שמופיע בהנחיות של gdcloud iam roles create, כאשר iamRoleName הוא שם המשאב ב-Kubernetes של התפקיד המוגדר מראש שמכיל את ההרשאה. אתם יכולים למצוא את שם המשאב ב-Kubernetes של תפקיד מסוים בדף Role definitions או באמצעות הפקודה gdcloud iam roles list.
- ‫LAUNCH_STAGE: אופציונלי. שלב ההשקה של התפקיד בהתאמה אישית. הערכים התקינים הם ALPHA,‏ BETA,‏ GA או DISABLED. אם הדגל הזה לא מצוין, ברירת המחדל היא ALPHA.
במאמר gdcloud iam roles create מופיעה רשימה מלאה של דגלי חובה ודגלים אופציונליים, וגם דוגמאות לשימוש.

לחלופין, אפשר להגדיר את התפקיד בהתאמה אישית בקובץ YAML ולהשתמש בדגל --file:
```
gdcloud iam roles create ROLE_ID --file=YAML_FILE_PATH
```
מחליפים את הערך של YAML_FILE_PATH בנתיב לקובץ ה-YAML שמכיל את הדגלים הנדרשים והאופציונליים. אם משתמשים בדגל --file, המערכת מתעלמת מכל שאר הדגלים, כמו --title, ‏ --description ו---permissions.

API

יוצרים ומחילים את המשאב בהתאמה אישית CustomRole באמצעות kubectl:

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: LAUNCH_STAGE
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

מחליפים את מה שכתוב בשדות הבאים:

‫ROLE_NAME: שם המשאב של התפקיד ב-Kubernetes
‫NAMESPACE: מרחב השמות של התפקיד בהתאמה אישית. משתמשים ב-platform לתפקידים ברמת הארגון ולכמה פרויקטים. משתמשים במרחב השמות של הפרויקט (למשל my-project) לתפקידים ברמת הפרויקט ולפרויקטים בודדים.
‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית. מזהי התפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים ומקפים. אי אפשר לשנות את המזהים של תפקידים בהתאמה אישית אחרי שיוצרים את התפקיד.
‫SCOPE: משתמשים ב-organization לתפקידים שנוצרו במרחב השמות platform. משתמשים ב-project לתפקידים שנוצרו במרחב שמות של פרויקט.
‫LAUNCH_STAGE: אופציונלי. שלב ההשקה של התפקיד בהתאמה אישית. הערכים התקינים הם ALPHA,‏ BETA,‏ GA או DISABLED. אם משמיטים את השדה הזה, ערך ברירת המחדל הוא ALPHA.
‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
‫RULES_TYPE: היקף הכללים. מחליפים את הערך של ב-globalRules (להרשאות ב-API הגלובלי), ב-zonalRules (להרשאות ב-API האזורי) או בשניהם.
‫RULES_LIST: רשימה עם כניסה של אובייקטים סטנדרטיים של כללי RBAC ב-Kubernetes. כל אובייקט ברשימה מעניק הרשאות. כדי לקבוע מהם הערכים הנכונים של apiGroups, ‏resources ו-verbs, אתם יכולים לבדוק את ההרשאות בתפקידים המוגדרים מראש באמצעות gdcloud iam roles describe, כמו שמוסבר במאמר הצגת תפקידים וההרשאות שלהם.

בדוגמה הבאה מוצג המבנה של פריט אחד באובייקט globalRules:
```
globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]
```
אפשר לכלול כמה פריטים ברשימה, כשכל אחד מהם מגדיר קבוצת הרשאות שונה.

ניהול תפקיד בהתאמה אישית

אתם אחראים לנהל את מחזור החיים של התפקידים בהתאמה אישית. כשנוספים ל-Distributed Cloud הרשאות, תכונות או שירותים חדשים, התפקידים המוגדרים מראש מתעדכנים. עדכונים כמו מחיקה של תפקיד מוגדר מראש או הסרת הרשאות מתפקיד מוגדר מראש יכולים להפוך את התפקידים בהתאמה אישית שמסתמכים על ההרשאות האלה ללא פונקציונליים. אתם צריכים לעקוב אחרי העדכונים האלה ולשנות באופן ידני את התפקידים המושפעים בהתאמה אישית, כדי לוודא שהם ימשיכו לפעול כצפוי.

אפשר לערוך, להשבית או למחוק תפקיד בהתאמה אישית, אבל אי אפשר לערוך, להשבית או למחוק תפקיד מוגדר מראש. כדי לראות רשימה של כל התפקידים וההרשאות הספציפיות שלהם, קראו את המאמר הצגת תפקידים וההרשאות שלהם.

עריכה של תפקיד בהתאמה אישית

כדי לערוך תפקיד בהתאמה אישית, משתמשים במסוף GDC, ב-gdcloud CLI או ב-API:

המסוף

נכנסים למסוף GDC.
בוחרים את הארגון או הפרויקט שבהם רוצים לערוך את התפקיד בהתאמה אישית.
בתפריט הניווט, לוחצים על Identity & Access > Roles.
ברשימת התפקידים, בוחרים את התפקיד בהתאמה אישית שרוצים לערוך.
בדף הפרטים של התפקיד בהתאמה אישית, לוחצים על עריכה.
עורכים את הפרטים של התפקיד בהתאמה אישית, כמו השם, התיאור, המזהה או שלב ההשקה.
אם רוצים, מוסיפים או מסירים הרשאות שהוקצו.
1. לוחצים על Add permissions כדי לבחור מתוך רשימת ההרשאות הזמינות.
2. כדי להסיר הרשאה שהוקצתה, מסמנים את התיבה לצד ההרשאה שרוצים להסיר ולוחצים על הסרה.
לוחצים על שמירה.

מופיעה הודעה שמאשרת שהשינויים נשמרו.

gdcloud

מוודאים שמותקן gdcloud CLI. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
עריכה של תפקיד בהתאמה אישית:
```
gdcloud iam roles update ROLE_ID \
  --title=TITLE \
  --description=DESCRIPTION \
  --permissions=PERMISSIONS
  --stage=LAUNCH_STAGE
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית
- ‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
- ‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
- ‫PERMISSIONS: רשימה מופרדת בפסיקים של ההרשאות שרוצים לתת לתפקיד בהתאמה אישית
  
  במאמר הצגת תפקידים וההרשאות שלהם מוסבר איך למצוא את מחרוזות ההרשאות הנכונות. כל מחרוזת הרשאה צריכה להיות בפורמט שמופיע בהנחיות של gdcloud iam roles create, כאשר iamRoleName הוא שם המשאב ב-Kubernetes של התפקיד המוגדר מראש שמכיל את ההרשאה. אתם יכולים למצוא את שם המשאב ב-Kubernetes של תפקיד מסוים בדף Role definitions או באמצעות הפקודה gdcloud iam roles list.
- ‫LAUNCH_STAGE: אופציונלי. שלב ההשקה של התפקיד בהתאמה אישית. הערכים התקינים הם ALPHA,‏ BETA,‏ GA או DISABLED. אם הדגל הזה לא מצוין, ברירת המחדל היא ALPHA.
במאמר gdcloud iam roles update מופיעה רשימה מלאה של דגלי חובה ודגלים אופציונליים, וגם דוגמאות לשימוש.

לחלופין, אתם יכולים לעדכן את התפקיד בהתאמה אישית בקובץ ה-YAML שלו ולהשתמש בדגל --file:
```
gdcloud iam roles update ROLE_ID --file=YAML_FILE_PATH
```
מחליפים את הערך YAML_FILE_PATH בנתיב לקובץ ה-YAML שמכיל את הדגלים המעודכנים הנדרשים והאופציונליים. אם משתמשים בדגל --file, המערכת מתעלמת מכל הדגלים האחרים, כמו --title, ‏--description ו---permissions.

API

עורכים משאב מותאם אישית של CustomRole באמצעות kubectl:

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: LAUNCH_STAGE
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

מחליפים את מה שכתוב בשדות הבאים:

‫ROLE_NAME: שם המשאב של התפקיד ב-Kubernetes
‫NAMESPACE: מרחב השמות של התפקיד בהתאמה אישית. משתמשים ב-platform לתפקידים ברמת הארגון ולכמה פרויקטים. משתמשים במרחב השמות של הפרויקט (למשל my-project) לתפקידים ברמת הפרויקט ולפרויקטים בודדים.
‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית. מזהי התפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים ומקפים. אי אפשר לשנות את המזהים של תפקידים בהתאמה אישית אחרי שיוצרים את התפקיד.
‫SCOPE: משתמשים ב-organization לתפקידים שנוצרו במרחב השמות platform. משתמשים ב-project לתפקידים שנוצרו במרחב שמות של פרויקט.
‫LAUNCH_STAGE: אופציונלי. שלב ההשקה של התפקיד בהתאמה אישית. הערכים התקינים הם ALPHA,‏ BETA,‏ GA או DISABLED. אם משמיטים את השדה הזה, ערך ברירת המחדל הוא ALPHA.
‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
‫RULES_TYPE: היקף הכללים. מחליפים את הערך של ב-globalRules (להרשאות ב-API הגלובלי), ב-zonalRules (להרשאות ב-API האזורי) או בשניהם.
‫RULES_LIST: רשימה עם כניסה של אובייקטים רגילים של כללי RBAC ב-Kubernetes. כל אובייקט ברשימה מעניק הרשאות. כדי לקבוע מהם הערכים הנכונים של apiGroups, ‏resources ו-verbs, אתם יכולים לבדוק את ההרשאות בתפקידים המוגדרים מראש באמצעות gdcloud iam roles describe, כמו שמוסבר במאמר הצגת תפקידים וההרשאות שלהם.

בדוגמה הבאה מוצג המבנה של פריט אחד באובייקט globalRules:
```
globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]
```
אפשר לכלול כמה פריטים ברשימה, כשכל אחד מהם מגדיר קבוצת הרשאות שונה.

השבתת תפקיד בהתאמה אישית

תפקידים מושבתים בהתאמה אישית נשארים ברשימת התפקידים ואפשר להקצות אותם למשתמשים, אבל אין להם השפעה. אפשר להפעיל מחדש את התפקיד בהתאמה אישית בכל שלב.

כדי להשבית תפקיד בהתאמה אישית, משתמשים במסוף GDC, ב-gdcloud CLI או ב-API:

המסוף

נכנסים למסוף GDC.
בוחרים את הארגון או הפרויקט שבהם רוצים להשבית את התפקיד בהתאמה אישית.
בתפריט הניווט, לוחצים על Identity & Access > Roles.
ברשימת התפקידים, בוחרים את התפקיד בהתאמה אישית שרוצים להשבית.
בדף הפרטים של התפקיד בהתאמה אישית, לוחצים על Disable.

gdcloud

מוודאים שמותקן gdcloud CLI. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
השבתת תפקיד בהתאמה אישית:
```
gdcloud iam roles update ROLE_ID --stage=DISABLED
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית
למידע נוסף, ראו gdcloud iam roles update.

API

כדי להשבית משאב בהתאמה אישית של CustomRole, משנים את השדה stage לערך DISABLED. מוודאים שכל שאר השדות תואמים לערכים הנוכחיים של התפקיד בהתאמה אישית שרוצים להשבית.

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: DISABLED
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

מחליפים את מה שכתוב בשדות הבאים:

‫ROLE_NAME: שם המשאב של התפקיד ב-Kubernetes
‫NAMESPACE: מרחב השמות של התפקיד בהתאמה אישית. משתמשים ב-platform לתפקידים ברמת הארגון ולכמה פרויקטים. משתמשים במרחב השמות של הפרויקט (למשל my-project) לתפקידים ברמת הפרויקט ולפרויקטים בודדים.
‫DESCRIPTION: תיאור המטרה של התפקיד בהתאמה אישית
‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית. מזהי התפקידים בהתאמה אישית יכולים להכיל עד 10 תווים אלפאנומריים קטנים ומקפים. אי אפשר לשנות את המזהים של תפקידים בהתאמה אישית אחרי שיוצרים את התפקיד.
‫SCOPE: משתמשים ב-organization לתפקידים שנוצרו במרחב השמות platform. משתמשים ב-project לתפקידים שנוצרו במרחב שמות של פרויקט.
‫TITLE: שם ידידותי למשתמש של התפקיד בהתאמה אישית
‫RULES_TYPE: היקף הכללים. מחליפים את הערך של ב-globalRules (להרשאות ב-API הגלובלי), ב-zonalRules (להרשאות ב-API האזורי) או בשניהם.
‫RULES_LIST: רשימה עם כניסה של אובייקטים רגילים של כללי RBAC ב-Kubernetes. כל אובייקט ברשימה מעניק הרשאות. כדי לקבוע מהם הערכים הנכונים של apiGroups, ‏resources ו-verbs, אתם יכולים לבדוק את ההרשאות בתפקידים מוגדרים מראש באמצעות gdcloud iam roles describe, כמו שמוסבר במאמר הצגת תפקידים וההרשאות שלהם.

בדוגמה הבאה מוצג המבנה של פריט אחד באובייקט globalRules:
```
globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]
```
אפשר לכלול כמה פריטים ברשימה, כשכל אחד מהם מגדיר קבוצת הרשאות שונה.

מחיקה של תפקיד בהתאמה אישית

תפקידים שנמחקו מוסרים מהמערכת באופן סופי, אבל אפשר ליצור תפקיד חדש עם אותו שם.

מוחקים תפקיד בהתאמה אישית באמצעות gdcloud CLI או ה-API:

gdcloud

מוודאים שמותקן gdcloud CLI. מידע נוסף מופיע בדף סקירה כללית על gdcloud CLI.
מחיקה של תפקיד בהתאמה אישית:
```
gdcloud iam roles delete ROLE_ID --project=PROJECT
```
מחליפים את מה שכתוב בשדות הבאים:
- ‫ROLE_ID: המזהה הייחודי של התפקיד בהתאמה אישית
- ‫PROJECT: מרחב השמות של הפרויקט שבו רוצים למחוק את התפקיד בהתאמה אישית. אם לא מציינים את הדגל --project, התפקיד ברמת הארגון נמחק.
למידע נוסף ולדוגמאות לשימוש, ראו gdcloud iam roles delete.

API

מחיקת משאב בהתאמה אישית של CustomRole באמצעות kubectl:

kubectl delete -f CUSTOM_ROLE

מחליפים את הערך של CUSTOM_ROLE בנתיב לקובץ ה-YAML של CustomRole. זה אותו קובץ שבו השתמשתם כדי ליצור או לעדכן את התפקיד.

יצירת תפקיד בהתאמה אישית קל לארגן דפים בעזרת אוספים אפשר לשמור ולסווג תוכן על סמך ההעדפות שלך.

לפני שמתחילים

בקשת תפקידים ב-IAM ברמת הארגון

בקשת תפקידי IAM בפרויקט

הכנת הסביבה

הצגת התפקידים וההרשאות שלהם

המסוף

gdcloud

יצירת תפקיד בהתאמה אישית

המסוף

gdcloud

API

ניהול תפקיד בהתאמה אישית

עריכה של תפקיד בהתאמה אישית

המסוף

gdcloud

API

השבתת תפקיד בהתאמה אישית

המסוף

gdcloud

API

מחיקה של תפקיד בהתאמה אישית

gdcloud

API

יצירת תפקיד בהתאמה אישית