Benutzerdefinierte Rolle erstellen

Auf dieser Seite wird beschrieben, wie Sie benutzerdefinierte Rollen in Google Distributed Cloud (GDC) mit Air Gap erstellen und verwalten. Mit benutzerdefinierten Rollen können Sie den Zugriff über die Standardberechtigungssätze hinaus verwalten, die in vordefinierten Rollen verfügbar sind. So können Sie Berechtigungen so konfigurieren, dass sie Ihren spezifischen Kriterien entsprechen.

Benutzerdefinierte Rollen folgen dem Prinzip der geringsten Berechtigung und sind nützlich, um den geringsten Zugriff zu gewähren, der für sensible Aufgaben erforderlich ist. Dadurch werden Sicherheitsrisiken minimiert und Interessenkonflikte vermieden.

Mit einer benutzerdefinierten Rolle können Sie:

  • Zugriffsumfang definieren: Sie können Berechtigungen für Ihre gesamte Organisation, für alle Projekte oder nur für bestimmte Projekte festlegen.
  • Detaillierten Zugriff anpassen: Wählen Sie eine oder mehrere Berechtigungen aus, die bereits über vordefinierte Rollen verfügbar sind, um den Zugriff auf bestimmte Aufgaben oder Verantwortlichkeiten anzupassen.

Benutzerdefinierte Rollen sind an den Bereich gebunden, in dem sie erstellt werden. Der Zugriff auf die benutzerdefinierte Rolle kann nur innerhalb derselben Organisation oder desselben Projekts gewährt werden, in der bzw. dem die benutzerdefinierte Rolle erstellt wurde.

Diese Seite richtet sich an Zielgruppen innerhalb der Gruppe der Plattformadministratoren, z. B. IT-Administratoren oder Sicherheitstechniker, die den Zugriff auf Organisationsressourcen sicher verwalten möchten. Weitere Informationen finden Sie unter Dokumentation zu Zielgruppen für GDC mit Air Gap.

Weitere Informationen zu Rollen finden Sie unter Vordefinierte Rollenbeschreibungen und Rollendefinitionen.

Hinweis

Bevor Sie benutzerdefinierte Rollen erstellen oder verwalten können, müssen Sie die erforderlichen Berechtigungen anfordern und Ihre Umgebung vorbereiten.

IAM-Organisationsrollen anfordern

Wenn Sie benutzerdefinierte Rollen in einer Organisation oder innerhalb eines Projekts erstellen, aktualisieren und löschen möchten, wenden Sie sich an den IAM-Administrator Ihrer Organisation, um die Rolle Administrator für benutzerdefinierte Rollen (custom-role-org-admin) anzufordern.

Weitere Informationen zum Zuweisen von Rollenberechtigungen für Organisationen

IAM-Projektrollen anfordern

Wenn Sie benutzerdefinierte Rollen in einem bestimmten Projekt erstellen, aktualisieren und löschen möchten, wenden Sie sich an Ihren IAM-Projektadministrator, um die Rolle Benutzerdefinierte Rollen-Projektadministrator (custom-role-project-admin) anzufordern.

Weitere Informationen zum Zuweisen von Rollenberechtigungen für Projekte

Umgebung vorbereiten

Führen Sie die folgende Einrichtung durch, um benutzerdefinierte Rollen mit den Befehlszeilentools zu erstellen oder zu verwalten:

Rollen und ihre Berechtigungen ansehen

Eine benutzerdefinierte Rolle besteht aus einer Gruppe von Berechtigungen, die Sie Nutzern zuweisen können. Wenn Sie eine benutzerdefinierte Rolle erstellen möchten, wählen Sie Berechtigungen aus vorhandenen vordefinierten Rollen aus und kombinieren Sie sie nach Bedarf. Welche Berechtigungen Sie in eine benutzerdefinierte Rolle aufnehmen können, hängt vom Bereich ab, in dem Sie die Rolle erstellen: Organisation oder Projekt.

In diesem Abschnitt wird erläutert, wie Sie verfügbare Rollen (vordefinierte und benutzerdefinierte) auflisten und die darin enthaltenen Berechtigungen aufrufen. Sie können diese Informationen für Folgendes verwenden:

  • Berechtigungen für neue benutzerdefinierte Rollen identifizieren: Hier erfahren Sie, welche Berechtigungsstrings für das Flag --permissions erforderlich sind, wenn Sie die gdcloud CLI verwenden, um eine benutzerdefinierte Rolle zu erstellen.
  • Vorhandene Rollen prüfen: Prüfen Sie die Berechtigungen, die mit einer vordefinierten oder benutzerdefinierten Rolle im ausgewählten Bereich (Organisation oder Projekt) verknüpft sind.

Listen Sie Rollen auf und prüfen Sie ihre Berechtigungen mit der GDC-Konsole oder der gdcloud CLI:

Console

  1. Melden Sie sich in der GDC-Konsole an.
  2. Wählen Sie in der Projektauswahl die Organisation oder das Projekt aus, für die bzw. das Sie Rollen aufrufen möchten.

  3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Rollen.

    Eine Liste der verfügbaren vordefinierten und benutzerdefinierten Rollen wird angezeigt.

  4. Klicken Sie auf den Namen einer Rolle, um die zugehörigen Details aufzurufen, einschließlich der zugewiesenen Berechtigungen.

    Die Berechtigungen, die für vordefinierte Rollen im aktuellen Bereich (Organisation oder Projekt) aufgeführt sind, können in eine neue benutzerdefinierte Rolle aufgenommen werden.

gdcloud

  1. Prüfen Sie, ob die gdcloud CLI installiert ist. Weitere Informationen finden Sie auf der Seite Übersicht über die gdcloud CLI.

  2. Listen Sie die verfügbaren Rollen auf:

    gdcloud iam roles list \
  --type=ROLE_TYPE \
  --project=PROJECT

    Ersetzen Sie Folgendes:

    • ROLE_TYPE: Der Typ der aufzulistenden Rollen. Gültige Werte sind predefined, custom oder all.
    • PROJECT: der Projekt-Namespace, in dem Sie Rollen aufrufen möchten. Lassen Sie das Flag --project für Rollen auf Organisationsebene weg.

  3. So rufen Sie die spezifischen Berechtigungen innerhalb einer Rolle auf:

    gdcloud iam roles describe ROLE_NAME \
  --project=PROJECT

    Ersetzen Sie Folgendes:

    • ROLE_NAME: der Kubernetes-Ressourcenname der Rolle
    • PROJECT: der Projekt-Namespace, in dem Sie Rollenberechtigungen aufrufen möchten. Lassen Sie das Flag --project für Rollen auf Organisationsebene weg.

Weitere Informationen zu Befehlen und Anwendungsbeispiele finden Sie unter gdcloud iam roles list und gdcloud iam roles describe.

Benutzerdefinierte Rolle erstellen

Erstellen Sie eine neue benutzerdefinierte Rolle, indem Sie Berechtigungen aus vordefinierten Rollen gruppieren. Benutzerdefinierte Rollen übernehmen die IAM-Multizonenfunktionen der vordefinierten Rollen, auf denen sie basieren. Nachdem Sie eine benutzerdefinierte Rolle erstellt haben, können Sie Nutzern Zugriff gewähren.

Erstellen Sie eine benutzerdefinierte Rolle mit der GDC-Konsole, der gdcloud CLI oder der API:

Console

  1. Melden Sie sich in der GDC-Konsole an.
  2. Wählen Sie in der Projektauswahl die Organisation oder das Projekt aus, in der bzw. dem Sie eine benutzerdefinierte Rolle erstellen möchten.
  3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Rollen.
  4. Klicken Sie auf Benutzerdefinierte Rolle erstellen.
  5. Geben Sie im Feld Titel den Titel der benutzerdefinierten Rolle ein.
  6. Geben Sie im Feld Beschreibung eine Beschreibung des Zwecks Ihrer benutzerdefinierten Rolle ein.

  7. Geben Sie im Feld ID die eindeutige Kennung für Ihre benutzerdefinierte Rolle ein.

    Benutzerdefinierte Rollen-IDs können bis zu 10 alphanumerische Zeichen in Kleinbuchstaben enthalten und nach dem Erstellen der Rolle nicht mehr geändert werden.

  8. Wählen Sie eine Startphase aus.

  9. Wählen Sie den Bereich für die benutzerdefinierte Rolle aus.

    Wenn Sie Organisation auswählen, gilt die benutzerdefinierte Rolle für alle Ressourcen in der Organisation. Wenn Sie Projekte auswählen, gilt die benutzerdefinierte Rolle für alle aktuellen und zukünftigen Projekte in der Organisation. Sie können Auf ausgewählte Projekte beschränken auswählen, wenn Sie angeben möchten, welche Projekte auf die benutzerdefinierte Rolle zugreifen können.

  10. Klicken Sie auf Berechtigungen hinzufügen.

  11. Klicken Sie auf das Kästchen neben einer oder mehreren der unterstützten Berechtigungen, die Sie Ihrer benutzerdefinierten Rolle zuweisen möchten.

    Die verfügbaren Berechtigungen sind auf den ausgewählten Bereich beschränkt. Wenn Sie den Bereich nach dem Hinzufügen von Berechtigungen ändern, müssen Sie bestätigen, dass alle zuvor zugewiesenen Berechtigungen zurückgesetzt werden.

  12. Klicken Sie auf Speichern.

  13. Klicken Sie auf Erstellen.

    Die neue benutzerdefinierte Rolle wird auf der Seite Rollen angezeigt.

gdcloud

  1. Prüfen Sie, ob die gdcloud CLI installiert ist. Weitere Informationen finden Sie auf der Seite Übersicht über die gdcloud CLI.

  2. Benutzerdefinierte Rolle erstellen:

    gdcloud iam roles create ROLE_ID \
  --title=TITLE \
  --description=DESCRIPTION \
  --permissions=PERMISSIONS
  --stage=LAUNCH_STAGE

    Ersetzen Sie Folgendes:

    • ROLE_ID: die eindeutige Kennung für Ihre benutzerdefinierte Rolle. Benutzerdefinierte Rollen-IDs können bis zu 10 alphanumerische Zeichen in Kleinschreibung und Bindestriche enthalten. Benutzerdefinierte Rollen-IDs können nach dem Erstellen der Rolle nicht mehr geändert werden.
    • TITLE: ein nutzerfreundlicher Titel für die benutzerdefinierte Rolle
    • DESCRIPTION: eine Beschreibung des Zwecks der benutzerdefinierten Rolle

    • PERMISSIONS: eine durch Kommas getrennte Liste von Berechtigungen, die Sie für die benutzerdefinierte Rolle gewähren möchten

      Weitere Informationen zum Ermitteln der richtigen Berechtigungsstrings finden Sie unter Rollen und ihre Berechtigungen ansehen. Jeder Berechtigungsstring muss gemäß der Anleitung unter gdcloud iam roles create formatiert sein, wobei iamRoleName der Kubernetes-Ressourcenname der vordefinierten Rolle ist, die die Berechtigung enthält. Sie finden den Kubernetes-Ressourcennamen einer Rolle auf der Seite Rollendefinitionen oder mit dem Befehl gdcloud iam roles list.

    • LAUNCH_STAGE: Optional. Die Releasephase der benutzerdefinierten Rolle. Gültige Werte sind ALPHA, BETA, GA oder DISABLED. Wenn dieses Flag weggelassen wird, ist der Standardwert ALPHA.

    Eine vollständige Liste der erforderlichen und optionalen Flags sowie Anwendungsbeispiele finden Sie unter gdcloud iam roles create.

    Alternativ können Sie die benutzerdefinierte Rolle in einer YAML-Datei definieren und das Flag --file verwenden:

    gdcloud iam roles create ROLE_ID --file=YAML_FILE_PATH

    Ersetzen Sie YAML_FILE_PATH durch den Pfad zur YAML-Datei, die die erforderlichen und optionalen Flags enthält. Wenn Sie das Flag --file verwenden, werden alle anderen Flags wie --title, --description und --permissions ignoriert.

API

Erstellen Sie die benutzerdefinierte Ressource CustomRole und wenden Sie sie mit kubectl an:

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: LAUNCH_STAGE
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

Ersetzen Sie Folgendes:

  • ROLE_NAME: der Kubernetes-Ressourcenname der Rolle
  • NAMESPACE: der Namespace für die benutzerdefinierte Rolle. Verwenden Sie platform für Rollen auf Organisationsebene und für mehrere Projekte. Verwenden Sie den Projekt-Namespace (z. B. my-project) für Rollen mit Projektbereich und einzelne Projekte.
  • DESCRIPTION: eine Beschreibung des Zwecks der benutzerdefinierten Rolle
  • ROLE_ID: die eindeutige Kennung für Ihre benutzerdefinierte Rolle. Benutzerdefinierte Rollen-IDs können bis zu 10 alphanumerische Zeichen in Kleinschreibung und Bindestriche enthalten. Benutzerdefinierte Rollen-IDs können nach dem Erstellen der Rolle nicht mehr geändert werden.
  • SCOPE: Verwenden Sie organization für Rollen, die im Namespace platform erstellt wurden. Verwenden Sie project für Rollen, die in einem Projekt-Namespace erstellt wurden.
  • LAUNCH_STAGE: Optional. Die Releasephase der benutzerdefinierten Rolle. Gültige Werte sind ALPHA, BETA, GA oder DISABLED. Wenn dieses Feld weggelassen wird, ist der Standardwert ALPHA.
  • TITLE: ein nutzerfreundlicher Titel für die benutzerdefinierte Rolle
  • RULES_TYPE: der Bereich der Regeln. Ersetzen Sie durch globalRules (für Berechtigungen in der globalen API), zonalRules (für Berechtigungen in der zonalen API) oder beides.

  • RULES_LIST: Eine eingerückte Liste von Standard-Kubernetes-RBAC-Regelobjekten. Jedes Objekt in der Liste gewährt Berechtigungen. Sie können die richtigen apiGroups, resources und verbs ermitteln, indem Sie die Berechtigungen in vordefinierten Rollen mit gdcloud iam roles describe prüfen, wie unter Rollen und ihre Berechtigungen ansehen beschrieben.

    Das folgende Beispiel zeigt die Struktur eines einzelnen Elements in einem globalRules-Objekt:

    globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]

    Sie können mehrere Elemente in die Liste aufnehmen, die jeweils einen anderen Satz von Berechtigungen definieren.

Benutzerdefinierte Rolle verwalten

Sie sind für die Verwaltung des Lebenszyklus Ihrer benutzerdefinierten Rollen verantwortlich. Wenn Distributed Cloud neue Berechtigungen, Features oder Dienste hinzufügt, werden vordefinierte Rollen aktualisiert. Aktualisierungen wie das Löschen einer vordefinierten Rolle oder das Entfernen von Berechtigungen aus einer vordefinierten Rolle können dazu führen, dass die benutzerdefinierten Rollen, die auf diesen Berechtigungen basieren, nicht mehr funktionieren. Sie müssen diese Aktualisierungen im Blick behalten und betroffene benutzerdefinierte Rollen manuell anpassen, damit sie weiterhin wie erwartet funktionieren.

Sie können eine benutzerdefinierte Rolle bearbeiten, deaktivieren oder löschen. Eine vordefinierte Rolle können Sie jedoch nicht bearbeiten, deaktivieren oder löschen. Eine Liste aller Rollen und ihrer spezifischen Berechtigungen finden Sie unter Rollen und ihre Berechtigungen ansehen.

Benutzerdefinierte Rolle bearbeiten

Bearbeiten Sie eine benutzerdefinierte Rolle mit der GDC Console, der gdcloud CLI oder der API:

Console

  1. Melden Sie sich in der GDC-Konsole an.
  2. Wählen Sie in der Projektauswahl die Organisation oder das Projekt aus, in der bzw. dem Sie eine benutzerdefinierte Rolle bearbeiten möchten.
  3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Rollen.
  4. Wählen Sie in der Liste der Rollen die benutzerdefinierte Rolle aus, die Sie bearbeiten möchten.
  5. Klicken Sie auf der Detailseite der benutzerdefinierten Rolle auf Bearbeiten.
  6. Bearbeiten Sie die Details Ihrer benutzerdefinierten Rolle, z. B. Titel, Beschreibung, ID oder Einführungsphase.
  7. Optional können Sie zugewiesene Berechtigungen hinzufügen oder entfernen.
    1. Klicken Sie auf Berechtigungen hinzufügen, um eine Auswahl aus der Liste der verfügbaren Berechtigungen zu treffen.
    2. Wenn Sie eine zugewiesene Berechtigung entfernen möchten, klicken Sie auf das Kästchen neben der Berechtigung, die Sie entfernen möchten, und dann auf Entfernen.

  8. Klicken Sie auf Speichern.

    Es wird eine Meldung angezeigt, die bestätigt, dass die Änderungen gespeichert wurden.

gdcloud

  1. Prüfen Sie, ob die gdcloud CLI installiert ist. Weitere Informationen finden Sie auf der Seite Übersicht über die gdcloud CLI.

  2. Benutzerdefinierte Rolle bearbeiten:

    gdcloud iam roles update ROLE_ID \
  --title=TITLE \
  --description=DESCRIPTION \
  --permissions=PERMISSIONS
  --stage=LAUNCH_STAGE

    Ersetzen Sie Folgendes:

    • ROLE_ID: die eindeutige Kennung für Ihre benutzerdefinierte Rolle
    • TITLE: ein nutzerfreundlicher Titel für die benutzerdefinierte Rolle
    • DESCRIPTION: eine Beschreibung des Zwecks der benutzerdefinierten Rolle

    • PERMISSIONS: eine durch Kommas getrennte Liste von Berechtigungen, die Sie für die benutzerdefinierte Rolle gewähren möchten

      Weitere Informationen zum Ermitteln der richtigen Berechtigungsstrings finden Sie unter Rollen und ihre Berechtigungen ansehen. Jeder Berechtigungsstring muss gemäß der Anleitung unter gdcloud iam roles create formatiert sein, wobei iamRoleName der Kubernetes-Ressourcenname der vordefinierten Rolle ist, die die Berechtigung enthält. Sie finden den Kubernetes-Ressourcennamen einer Rolle auf der Seite Rollendefinitionen oder mit dem Befehl gdcloud iam roles list.

    • LAUNCH_STAGE: Optional. Die Releasephase der benutzerdefinierten Rolle. Gültige Werte sind ALPHA, BETA, GA oder DISABLED. Wenn dieses Flag weggelassen wird, ist der Standardwert ALPHA.

    Eine vollständige Liste der erforderlichen und optionalen Flags sowie Anwendungsbeispiele finden Sie unter gdcloud iam roles update.

    Alternativ können Sie die benutzerdefinierte Rolle in ihrer YAML-Datei aktualisieren und das Flag --file verwenden:

    gdcloud iam roles update ROLE_ID --file=YAML_FILE_PATH

    Ersetzen Sie YAML_FILE_PATH durch den Pfad zur YAML-Datei, die die aktualisierten erforderlichen und optionalen Flags enthält. Wenn Sie das Flag --file verwenden, werden alle anderen Flags wie --title, --description und --permissions ignoriert.

API

Bearbeiten Sie eine benutzerdefinierte CustomRole-Ressource mit kubectl:

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: LAUNCH_STAGE
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

Ersetzen Sie Folgendes:

  • ROLE_NAME: der Kubernetes-Ressourcenname der Rolle
  • NAMESPACE: der Namespace für die benutzerdefinierte Rolle. Verwenden Sie platform für Rollen auf Organisationsebene und für mehrere Projekte. Verwenden Sie den Projekt-Namespace (z. B. my-project) für Rollen mit Projektbereich und einzelne Projekte.
  • DESCRIPTION: eine Beschreibung des Zwecks der benutzerdefinierten Rolle
  • ROLE_ID: die eindeutige Kennung für Ihre benutzerdefinierte Rolle. Benutzerdefinierte Rollen-IDs können bis zu 10 alphanumerische Zeichen in Kleinschreibung und Bindestriche enthalten. Benutzerdefinierte Rollen-IDs können nach dem Erstellen der Rolle nicht mehr geändert werden.
  • SCOPE: Verwenden Sie organization für Rollen, die im Namespace platform erstellt wurden. Verwenden Sie project für Rollen, die in einem Projekt-Namespace erstellt wurden.
  • LAUNCH_STAGE: Optional. Die Releasephase der benutzerdefinierten Rolle. Gültige Werte sind ALPHA, BETA, GA oder DISABLED. Wenn dieses Feld weggelassen wird, ist der Standardwert ALPHA.
  • TITLE: ein nutzerfreundlicher Titel für die benutzerdefinierte Rolle
  • RULES_TYPE: der Bereich der Regeln. Ersetzen Sie durch globalRules (für Berechtigungen in der globalen API), zonalRules (für Berechtigungen in der zonalen API) oder beides.

  • RULES_LIST: Eine eingerückte Liste von Standard-Kubernetes-RBAC-Regelobjekten. Jedes Objekt in der Liste gewährt Berechtigungen. Sie können die richtigen apiGroups, resources und verbs ermitteln, indem Sie die Berechtigungen in vordefinierten Rollen mit gdcloud iam roles describe prüfen, wie unter Rollen und ihre Berechtigungen ansehen beschrieben.

    Das folgende Beispiel zeigt die Struktur eines einzelnen Elements in einem globalRules-Objekt:

    globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]

    Sie können mehrere Elemente in die Liste aufnehmen, die jeweils einen anderen Satz von Berechtigungen definieren.

Benutzerdefinierte Rolle deaktivieren

Deaktivierte benutzerdefinierte Rollen bleiben in der Liste der Rollen und können weiterhin Nutzern zugewiesen werden. Die Rolle hat jedoch keine Auswirkungen. Sie können die benutzerdefinierte Rolle jederzeit wieder aktivieren.

Deaktivieren Sie eine benutzerdefinierte Rolle über die GDC Console, die gdcloud CLI oder die API:

Console

  1. Melden Sie sich in der GDC-Konsole an.
  2. Wählen Sie in der Projektauswahl die Organisation oder das Projekt aus, in der bzw. dem Sie eine benutzerdefinierte Rolle deaktivieren möchten.
  3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Rollen.
  4. Wählen Sie in der Liste der Rollen die benutzerdefinierte Rolle aus, die Sie deaktivieren möchten.
  5. Klicken Sie auf der Detailseite der benutzerdefinierten Rolle auf Deaktivieren.

gdcloud

  1. Prüfen Sie, ob die gdcloud CLI installiert ist. Weitere Informationen finden Sie auf der Seite Übersicht über die gdcloud CLI.

  2. Benutzerdefinierte Rolle deaktivieren:

    gdcloud iam roles update ROLE_ID --stage=DISABLED

    Ersetzen Sie Folgendes:

    • ROLE_ID: die eindeutige Kennung für Ihre benutzerdefinierte Rolle

    Weitere Informationen finden Sie unter gdcloud iam roles update.

API

Deaktivieren Sie eine benutzerdefinierte CustomRole-Ressource, indem Sie das Feld stage in DISABLED ändern. Achten Sie darauf, dass alle anderen Felder mit den aktuellen Werten für die benutzerdefinierte Rolle übereinstimmen, die Sie deaktivieren möchten.

kubectl apply -f - <<EOF
apiVersion: iam.global.gdc.goog/v1
kind: CustomRole
metadata:
  name: ROLE_NAME
  namespace: NAMESPACE
spec:
  metadata:
    description: DESCRIPTION
    id: ROLE_ID
    scope: SCOPE
    stage: DISABLED
    title: TITLE
  RULES_TYPE:
  - RULES_LIST
EOF

Ersetzen Sie Folgendes:

  • ROLE_NAME: der Kubernetes-Ressourcenname der Rolle
  • NAMESPACE: der Namespace für die benutzerdefinierte Rolle. Verwenden Sie platform für Rollen auf Organisationsebene und für mehrere Projekte. Verwenden Sie den Projekt-Namespace (z. B. my-project) für Rollen mit Projektbereich und einzelne Projekte.
  • DESCRIPTION: eine Beschreibung des Zwecks der benutzerdefinierten Rolle
  • ROLE_ID: die eindeutige Kennung für Ihre benutzerdefinierte Rolle. Benutzerdefinierte Rollen-IDs können bis zu 10 alphanumerische Zeichen in Kleinschreibung und Bindestriche enthalten. Benutzerdefinierte Rollen-IDs können nach dem Erstellen der Rolle nicht mehr geändert werden.
  • SCOPE: Verwenden Sie organization für Rollen, die im Namespace platform erstellt wurden. Verwenden Sie project für Rollen, die in einem Projekt-Namespace erstellt wurden.
  • TITLE: ein nutzerfreundlicher Titel für die benutzerdefinierte Rolle
  • RULES_TYPE: der Bereich der Regeln. Ersetzen Sie durch globalRules (für Berechtigungen in der globalen API), zonalRules (für Berechtigungen in der zonalen API) oder beides.

  • RULES_LIST: Eine eingerückte Liste von Standard-Kubernetes-RBAC-Regelobjekten. Jedes Objekt in der Liste gewährt Berechtigungen. Sie können die richtigen apiGroups, resources und verbs ermitteln, indem Sie die Berechtigungen in vordefinierten Rollen mit gdcloud iam roles describe prüfen, wie unter Rollen und ihre Berechtigungen ansehen beschrieben.

    Das folgende Beispiel zeigt die Struktur eines einzelnen Elements in einem globalRules-Objekt:

    globalRules:
- apiGroups: ["storage.global.gdc.goog"]
  resources: ["buckettypes"]
  verbs: ["get", "list", "watch"]

    Sie können mehrere Elemente in die Liste aufnehmen, die jeweils einen anderen Satz von Berechtigungen definieren.

Benutzerdefinierte Rollen löschen

Gelöschte Rollen werden endgültig aus dem System entfernt. Sie können jedoch eine neue Rolle mit demselben Namen erstellen.

Löschen Sie eine benutzerdefinierte Rolle mit der gdcloud CLI oder der API:

gdcloud

  1. Prüfen Sie, ob die gdcloud CLI installiert ist. Weitere Informationen finden Sie auf der Seite Übersicht über die gdcloud CLI.

  2. Benutzerdefinierte Rolle löschen:

    gdcloud iam roles delete ROLE_ID --project=PROJECT

    Ersetzen Sie Folgendes:

    • ROLE_ID: die eindeutige Kennung für Ihre benutzerdefinierte Rolle
    • PROJECT: der Projekt-Namespace, in dem Sie die benutzerdefinierte Rolle löschen möchten. Wenn das Flag --project nicht angegeben ist, wird die Rolle auf Organisationsebene gelöscht.

    Weitere Informationen und Anwendungsbeispiele finden Sie unter gdcloud iam roles delete.

API

Löschen Sie eine benutzerdefinierte CustomRole-Ressource mit kubectl:

kubectl delete -f CUSTOM_ROLE

Ersetzen Sie CUSTOM_ROLE durch den Pfad zur YAML-Datei CustomRole. Dies ist dieselbe Datei, die Sie zum Erstellen oder Aktualisieren der Rolle verwendet haben.