Zugriff gewähren und widerrufen

Jedes Subjekt – ein Nutzer oder eine Gruppe – durchläuft einen zweistufigen Prozess, um Zugriff auf den globalen API-Server zu erhalten. Gewähren Sie einem Subjekt mit Berechtigungen im globalen API-Server mithilfe von IAMRoleBinding Zugriff auf eine vordefinierte IAMRole. Alle Rollen und Rollenbindungen sind global.

Hinweis: Sie können ein Subjekt an mehrere Rollen im globalen API-Server und in Kubernetes-Clustern binden. Berechtigungen sind rein additiv und es gibt keine Ablehnungsregeln.

Diese Seite richtet sich an Zielgruppen innerhalb der Gruppe der Plattformadministratoren, die Berechtigungen in ihrer Organisation verwalten. Weitere Informationen finden Sie unter Zielgruppen für die Dokumentation zu GDC mit Air Gap.

Hinweis

Bevor Sie Rollenbindungen verwalten oder den Zugriff widerrufen können, müssen Sie die erforderlichen Berechtigungen anfordern und Ihre Umgebung vorbereiten. Welche Rollen genau erforderlich sind, hängt davon ab, ob Sie Rollenbindungen verwalten oder den Nutzerzugriff widerrufen.

IAM-Rollen anfordern

Wenden Sie sich an Ihren IAM-Admin der Organisation, um die Rollen für die Aufgaben anzufordern, die Sie ausführen müssen:

• IAM-Organisationsadministrator (organization-iam-admin): Erstellen, Aktualisieren und Löschen von Rollenbindungen auf Organisations- und Projektebene.
• Session Org Admin (org-session-admin): Aktive Sitzungen und Zugriff eines Nutzers innerhalb einer bestimmten Zone widerrufen.

Umgebung vorbereiten

Führen Sie die folgende Einrichtung durch, um die Befehlszeilentools zum Verwalten von Rollenbindungen oder zum Widerrufen des Zugriffs zu verwenden.

• Laden Sie die gdcloud CLI herunter und installieren Sie sie, falls noch nicht geschehen.
• Wenn Sie die API mit kubectl verwenden möchten, ist eine zusätzliche Einrichtung erforderlich:
  • Installieren Sie die kubectl-Befehlszeile.
  • kubeconfig-Datei für den globalen API-Server generieren

Rollenbindungen einrichten

Sie können Rollenbindungen einrichten, die Teammitgliedern Zugriff auf Ressourcen auf Organisations- oder Projektebene gewähren.

So weisen Sie einem autorisierten Mitglied eine Rolle zu:

Console

1. Melden Sie sich in der GDC-Konsole an.
2. Wählen Sie in der Bereichsauswahl eine Organisation oder ein Projekt aus.
   • Wählen Sie eine Organisation aus, um Rollenbindungen für sie einzurichten.
   • Wählen Sie ein Projekt aus, um Rollenbindungen für ein Projekt einzurichten.
3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Zugriff.
4. Klicken Sie auf Mitglied hinzufügen.
5. Wählen Sie aus, ob Sie einzelne Nutzer oder Gruppen hinzufügen möchten.
6. Wählen Sie in der Liste Identitätsanbieter einen Identitätsanbieter aus.
7. Geben Sie im Feld Nutzername oder Gruppenalias den Nutzernamen, die E-Mail-Adresse oder den Alias ein.
8. Wählen Sie in der Liste Rolle die Rolle aus, die Sie dem Nutzer oder der Gruppe zuweisen möchten, z. B. Organization Viewer auf Organisationsebene oder Project Creator auf Projektebene.
9. Klicken Sie auf Hinzufügen.

Das Mitglied wird in der Liste Autorisiertes Mitglied angezeigt.

gdcloud

1. Prüfen Sie, ob die gdcloud CLI installiert ist.

2. Melden Sie sich mit dem Befehl gdcloud auth login an, um sich bei Ihrem Identitätsanbieter zu authentifizieren. Weitere Informationen finden Sie unter gdcloud CLI-Authentifizierung.

3. Richten Sie Rollenbindungen ein.

   • Rollenbindungen für eine Organisation einrichten:

     gdcloud organizations add-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role=ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • ORGANIZATION: der Name der Organisation, für die Sie die Rollenbindung einrichten.
     • USER_ACCOUNT: das Nutzerkonto, dem Sie die Rolle zuweisen möchten. Dieses Flag akzeptiert entweder eine Nutzer-E-Mail-Adresse mit dem Identitätsanbieterpräfix (user:[e-mail]) oder einen Dienstkontonamen mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName).
     • ROLE: der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie dem Nutzer zuweisen möchten.

   • Rollenbindungen für ein Projekt einrichten:

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role=ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • PROJECT: der Name des Projekts, für das Sie die Rollenbindung einrichten.
     • USER_ACCOUNT: das Nutzerkonto, dem Sie die Rolle zuweisen möchten. Dieses Flag akzeptiert entweder eine Nutzer-E-Mail-Adresse mit dem Identitätsanbieterpräfix (user:[e-mail]) oder einen Dienstkontonamen mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName).
     • ROLE: der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie dem Nutzer zuweisen möchten.

API

1. Exportieren Sie die Umgebungsvariablen für die Rollenbindung:

   export GLOBAL_API_SERVER_KUBECONFIG=GLOBAL_API_SERVER_KUBECONFIG
   export USERNAME=IDP_PREFIX-USERNAME
   export ROLE_NAME=ROLE_NAME
   export BINDING_NAMESPACE=BINDING_NAMESPACE
   export USER_EMAIL=IDP_PREFIX-USER_EMAIL
   

   Ersetzen Sie Folgendes:

   • GLOBAL_API_SERVER_KUBECONFIG: der Pfad zur kubeconfig-Datei für den globalen API-Server.
   • IDP_PREFIX: das Präfix des Identitätsanbieters.
   • USERNAME: Der Teil des Nutzernamens der E-Mail-Adresse des Nutzers vor dem Symbol @ (z. B. paul von [e-mail]).
   • ROLE_NAME: der Name der Rolle, die der Nutzer benötigt (z. B. project-creator). Eine Liste der Rollen und ihres Umfangs finden Sie unter Rollendefinitionen.
   • BINDING_NAMESPACE: platform für Rollen auf Organisationsebene oder der Name des Namespace des Zielprojekts für Rollen auf Projektebene.
   • USER_EMAIL: Die E-Mail-Adresse des Nutzerkontos, dem Sie die Rolle zuweisen möchten (z. B. [e-mail]).

2. Erstellen Sie eine benutzerdefinierte IAMRoleBinding-Ressource und wenden Sie sie an:

   cat <<EOF | kubectl --kubeconfig ${GLOBAL_API_SERVER_KUBECONFIG} apply -f -
   apiVersion: iam.global.gdc.goog/v1
   kind: IAMRoleBinding
   metadata:
     name: ${USERNAME}-${ROLE_NAME}-binding
     namespace: ${BINDING_NAMESPACE}
   spec:
     roleRef:
       apiGroup: iam.global.gdc.goog
       kind: IAMRole
       name: ${ROLE_NAME}
     subjects:
     - apiGroup: rbac.authorization.k8s.io
       kind: User
       name: ${USER_EMAIL}
   EOF
   

Rollenbindungen entfernen

Wenn der Zugriff nicht mehr erforderlich ist, entfernen Sie ein Mitglied und die zugehörigen Rollen, Berechtigungen und Zugriffsrechte.

So entfernen Sie Mitglieder:

Console

1. Melden Sie sich in der GDC-Konsole an.
2. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Zugriff.
3. Wählen Sie in der Liste Autorisierte Mitglieder ein Mitglied aus.
4. Klicken Sie auf Mitglied entfernen.
5. Klicken Sie bei Aufforderung zur Bestätigung auf Mitglied entfernen.

gdcloud

1. Prüfen Sie, ob die gdcloud CLI installiert ist.

2. Melden Sie sich mit dem Befehl gdcloud auth login an, um sich bei Ihrem Identitätsanbieter zu authentifizieren. Weitere Informationen finden Sie unter gdcloud CLI-Authentifizierung.

3. Rollenbindungen entfernen

   • Rollenbindungen für eine Organisation entfernen:

     gdcloud organizations remove-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role=ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • ORGANIZATION: der Name der Organisation, aus der Sie die Rollenbindung entfernen.
     • USER_ACCOUNT: das Nutzerkonto, aus dem Sie die Rolle entfernen möchten. Dieses Flag akzeptiert entweder eine Nutzer-E-Mail-Adresse mit dem Identitätsanbieterpräfix (user:[e-mail]) oder einen Dienstkontonamen mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName).
     • ROLE: der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie aus dem Nutzerkonto entfernen möchten.

   • Rollenbindungen für ein Projekt entfernen:

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role=ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • PROJECT: der Name des Projekts, aus dem Sie die Rollenbindung entfernen.
     • USER_ACCOUNT: das Nutzerkonto, aus dem Sie die Rolle entfernen möchten. Dieses Flag akzeptiert entweder eine Nutzer-E-Mail-Adresse mit dem Identitätsanbieterpräfix (user:[e-mail]) oder einen Dienstkontonamen mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName).
     • ROLE: der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie aus dem Nutzerkonto entfernen möchten.

kubectl

Löschen Sie IAMRoleBinding, um die dem PA-Konto gewährte Berechtigung zu widerrufen:

kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG \
delete iamrolebinding IDP_PREFIX-USERNAME-ROLE_NAME-binding -n BINDING_NAMESPACE

Ersetzen Sie Folgendes:

• GLOBAL_API_SERVER_KUBECONFIG: der Pfad zur kubeconfig-Datei für den globalen API-Server.
• IDP_PREFIX: das Präfix des Identitätsanbieters.
• USERNAME: Der Teil des Nutzernamens der E-Mail-Adresse des Nutzers vor dem Symbol @ (z. B. paul von [e-mail]).
• ROLE_NAME: der Name der Rolle, die Sie entfernen möchten, z. B. project-creator.
• BINDING_NAMESPACE: Ersetzen Sie dies durch platform für Rollen auf Organisationsebene oder durch den Namen des Namespace des Zielprojekts für Rollen auf Projektebene.

Nutzerzugriff widerrufen

Wenn ein Mitglied Ihre Organisation oder Ihr Team verlässt, können Sie seinen Zugriff auf Google Distributed Cloud (GDC) mit Air Gap widerrufen. Wenn Sie den Zugriff eines Nutzers widerrufen, wird er von Distributed Cloud abgemeldet und seine Rollen und Berechtigungen werden entfernt. Sie können auch die Aktivitäten und Sitzungen des Nutzers anhand ihrer Start- und Endzeit auflisten.

Wenn Sie den Zugriff eines Nutzers auf ein GDC-Universum widerrufen möchten, müssen Sie den Zugriff für jede einzelne Zone separat widerrufen. Führen Sie für jede Zone die folgenden Schritte aus:

1. Achten Sie darauf, dass Sie in der Zone angemeldet sind, für die Sie den Zugriff widerrufen möchten. Legen Sie beispielsweise die zonale URL-Konfiguration für die gdcloud CLI fest und melden Sie sich dann an:

   gdcloud config set organization_console_url ZONE_URL
   gdcloud auth login
   

   Ersetzen Sie ZONE_URL durch die GDC-Console-URL für die Zone, für die Sie den Nutzerzugriff widerrufen möchten. Diese sieht in etwa so aus: https://console.ORG_NAME.ZONE_NAME.ORG_SUFFIX.

   Weitere Informationen zum Wechseln des zonalen Kontexts finden Sie unter Mit Tools auf Zonen zugreifen.

2. Widerrufen Sie den Zugriff des Nutzers für die Zone:

   gdcloud admin auth revoke --accounts USER_EMAIL
   

   Ersetzen Sie USER_EMAIL durch die E-Mail-Adresse des Nutzers, dessen Zugriff widerrufen werden soll.

   Nach der Ausführung des Befehls wird eine Ausgabe angezeigt, die in etwa so aussieht: In diesem Beispiel wird dem Nutzer [e-mail] der Zugriff entzogen:

   Success: NUMBER of sessions revoked for user [e-mail]
   

   In diesem Beispiel bezieht sich die Variable NUMBER auf die Anzahl der aktiven Sitzungen des Nutzers.

3. Bestätigen Sie, dass Sie den Zugriff des Nutzers widerrufen haben, indem Sie den Befehl gdcloud admin auth revoke noch einmal ausführen. Wenn der Vorgang erfolgreich war, wird Folgendes angezeigt:

   No sessions found for account: [e-mail]
   

4. Wiederholen Sie die vorherigen Schritte für jede Zone in Ihrem Universum.