אישור גישה באמצעות IAM (דור ראשון)

משתמשים בניהול זהויות והרשאות גישה (IAM) כדי לתת לזהויות הרשאה לבצע פעולות ניהוליות בפונקציות, כמו יצירה, עדכון ומחיקה שלהן. מוסיפים חשבונות משתמש (הזהויות שרוצים להפעיל, בדרך כלל כתובת אימייל של משתמש או של חשבון שירות) לפונקציה, ואז מקצים לחשבונות המשתמש האלה את התפקידים המתאימים ב-IAM. התפקידים האלה כוללים הרשאות שמגדירות את הפעולות שמותר להם לבצע.

הערה: כברירת מחדל, ישויות שצריכות להפעיל פונקציית HTTP צריכות להציג במפורש פרטי אימות (הוכחת זהות) וגם את ההרשאות הנדרשות. עם זאת, אפשר להשבית את דרישת האימות.

הפעלת גישה לפונקציה

אפשר לשלוט בפעולות בפונקציה על ידי הקצאה או הגבלה של תפקידים לזהויות בודדות באמצעות IAM.

הוספת חשבונות משתמש והקצאת תפקידים

המסוף

1. נכנסים למסוף Google Cloud :

   כניסה למסוף Google Cloud

2. לוחצים על תיבת הסימון שליד הפונקציה שרוצים להשתמש בה.

3. לוחצים על הרשאות בחלק העליון של המסך. נפתחת החלונית הרשאות.

4. לוחצים על Add principal.

5. בשדה New principals, מזינים את הזהות (או הזהויות) שצריכה גישה לפונקציה. בדרך כלל זו כתובת אימייל של משתמש או של חשבון שירות.

6. בוחרים תפקיד (או תפקידים) בתפריט הנפתח Select a rol. התפקידים שבחרתם יופיעו בחלונית עם תיאור קצר של ההרשאות שהם מעניקים.

   הערה: רשימת התפקידים הזמינים וההרשאות שהם מעניקים מופיעה בדף העיון בנושא תפקידי IAM בפונקציות Cloud Run

7. לוחצים על Save.

gcloud

משתמשים בפקודה gcloud functions add-iam-policy-binding:

gcloud functions add-iam-policy-binding FUNCTION_NAME \
  --member=PRINCIPAL_ID \
  --role=ROLE

כאשר FUNCTION_NAME הוא שם הפונקציה, PRINCIPAL_ID הוא המזהה של חשבון המשתמש, בדרך כלל כתובת אימייל, ו-ROLE הוא התפקיד.

רשימת המקורות שיכולים לספק PRINCIPAL_ID מופיעה במאמר מזהים של חשבונות משתמשים. רשימת הערכים הקבילים ל-ROLE מופיעה בדף העיון בנושא תפקידי IAM ב-Cloud Run functions.

הסרת תפקידים מחשבונות משתמשים

המסוף

1. נכנסים למסוף Google Cloud :

   כניסה למסוף Google Cloud

2. לוחצים על תיבת הסימון שליד הפונקציה שרוצים להשתמש בה.

3. לוחצים על הרשאות בחלק העליון של המסך. נפתחת החלונית הרשאות.

4. מחפשים את חשבון המשתמש שרוצים להסיר. יש לבדוק בכל תפקיד שהוקצה לישות המורשית.

5. כשמוצאים את חשבון המשתמש בתפקיד שרוצים למחוק, לוחצים על סמל פח האשפה לצדו. אם רוצים להסיר לחלוטין את הגישה של החשבון, צריך לעשות את זה לכל תפקיד שהוקצה לו.

הערה: אפשר גם לשנות את התפקיד של חשבון משתמש כאן.

gcloud

משתמשים בפקודה gcloud functions remove-iam-policy-binding:

  gcloud functions remove-iam-policy-binding FUNCTION_NAME \
    --member=PRINCIPAL_ID \
    --role=ROLE

כאשר FUNCTION_NAME הוא שם הפונקציה, PRINCIPAL_ID הוא כתובת האימייל שמזהה את חשבון השירות עם הקידומת serviceAccount:, ו-ROLE הוא התפקיד.

רשימת המקורות הקבילים ל-PRINCIPAL_ID מופיעה במאמר מזהים של חשבונות משתמשים. רשימת הערכים האפשריים של ROLE מופיעה בדף העזר בנושא תפקידי IAM ב-Cloud Run Functions.

אם לחשבון המשתמש הראשי הוקצו כמה תפקידים, צריך לציין את התפקיד שרוצים להסיר.

הוספה של חשבונות משתמשים בכמות גדולה

המסוף

1. נכנסים למסוף Google Cloud :

   כניסה למסוף Google Cloud

2. לוחצים על תיבות הסימון לצד הפונקציות שרוצים לתת או להגביל אליהן גישה.

3. לוחצים על הרשאות בחלק העליון של המסך. נפתחת החלונית הרשאות.

כדי להוסיף חשבונות ראשיים:

1. לוחצים על Add principal.

2. בשדה New principals, מזינים את הזהויות שצריכות גישה לפונקציה.

3. בוחרים תפקיד (או תפקידים) בתפריט הנפתח Select a rol. התפקידים שבחרתם יופיעו בחלונית עם תיאור קצר של ההרשאות שהם מעניקים.

4. לוחצים על Save.

gcloud

יוצרים מדיניות IAM בשם, לדוגמה, policy.json:

{
  "bindings": [
    {
      "role": ROLE,
      "members": [
        PRINCIPAL_ID
      ]
    }
  ]
}

משתמשים בפקודה gcloud functions set-iam-policy:

gcloud functions set-iam-policy FUNCTION_NAME policy.json

רשימת המקורות הקבילים ל-PRINCIPAL_ID מופיעה במאמר מזהים של חשבונות משתמשים. רשימת הערכים הקבילים ל-ROLE מופיעה בדף העיון בנושא תפקידי IAM ב-Cloud Run functions.

הצגת חשבונות ראשיים

המסוף

1. נכנסים למסוף Google Cloud :

   כניסה למסוף Google Cloud

2. לוחצים על שם הפונקציה שרוצים לראות.

3. לוחצים על הכרטיסייה הרשאות. נפתחת החלונית הרשאות.

4. לוחצים על הכרטיסייה View by principals כדי לראות רשימה של כל החשבונות הראשיים עם הרשאות לפונקציה שנבחרה.

gcloud

משתמשים בפקודה gcloud functions get-iam-policy:

gcloud functions get-iam-policy FUNCTION_NAME

אישור להפעלה של פונקציית HTTP לא מאומתת

החל מ-15 בינואר 2020, פונקציות HTTP ללא ההגדרה Allow unauthenticated invocations (מתן אפשרות להפעלת קריאות ללא אימות) מופעלת, מגבילות את הגישה למשתמשי קצה ולחשבונות שירות שאין להם הרשאות מתאימות.

כדי לאפשר הפעלות לא מאומתות, צריך לציין זאת במהלך הפריסה או אחריה.

אתם משתמשים בגרסה מיוחדת של הגישה שמתוארת למעלה כדי להעניק למשתמשים שקוראים לפונקציה ללא אימות את היכולת להפעיל פונקציית HTTP.

הערה: פונקציות מבוססות-אירועים יכולות להיות מופעלות רק על ידי מקור האירוע שאליו הן רשומות.

בזמן הפריסה

המסוף

בקטע Authentication (אימות) בחלונית Trigger (טריגר), בוחרים באפשרות Allow unauthenticated invocations (מתן הרשאה להפעלות לא מאומתות).

gcloud

הפקודה gcloud functions deploy כוללת הנחיה שתעזור לכם להגדיר הרשאות הפעלה במהלך יצירת הפונקציה. הוא יכול לכלול גם את הדגל --allow-unauthenticated:

gcloud functions deploy FUNCTION_NAME \
  --no-gen2 \
  --trigger-http \
--allow-unauthenticated \
...

פריסות עוקבות של אותה פונקציה לא משנות את הסטטוס שלה, גם אם לא משתמשים בדגל הזה.

הערה: השימוש בדגל --allow-unauthenticated משנה את הרשאות ה-IAM. כדי לוודא שמפתחים לא מורשים לא יכולים לשנות את הרשאות הפונקציה, למשתמש או לשירות שפורסים את הפונקציה צריכה להיות הרשאת cloudfunctions.functions.setIamPolicy. ההרשאה הזו כלולה בתפקידים 'בעלים' ו'אדמין של פונקציות'. רשימה מלאה של התפקידים וההרשאות שמשויכות אליהם מופיעה במאמר תפקידי IAM בפונקציות של Cloud Run.

אחרי הפריסה

כדי לאפשר הפעלה לא מאומתת של פונקציה, מקצים את התפקיד Cloud Functions Invoker לחשבון המשתמש המיוחד allUsers בפונקציה:

המסוף

1. נכנסים למסוף Google Cloud :

   כניסה למסוף Google Cloud

2. לוחצים על תיבת הסימון לצד הפונקציה המקבלת. (לא לוחצים על הפונקציה עצמה).

3. לוחצים על הרשאות בחלק העליון של המסך. נפתחת החלונית הרשאות.

4. לוחצים על Add principal.

5. בשדה New principals, מקלידים allUsers.

6. בתפריט הנפתח Select a role, בוחרים את התפקיד Cloud Functions > Cloud Functions Invoker.

7. בתגובה לתיבת הדו-שיח, לוחצים על Allow public access.

gcloud

כדי לתת את התפקיד roles/cloudfunctions.invoker לחשבון הראשי המיוחד allUsers בפונקציה, משתמשים בפקודה gcloud functions add-iam-policy-binding:

gcloud functions add-iam-policy-binding FUNCTION_NAME \
 --member="allUsers" \
 --role="roles/cloudfunctions.invoker"

מידע נוסף על השדות האלה מופיע במאמר gcloud functions add-iam-policy-bindingהפניה.

שיתוף מוגבל לדומיין

אם אתם מפתחים פונקציות בפרויקט שחל עליו מדיניות הארגון 'שיתוף מוגבל לדומיין', לא תוכלו לאפשר הפעלה לא מאומתת של פונקציה. המדיניות הזו מגבילה את השיתוף של נתונים עם הציבור כדי לצמצם את הסיכון לזליגת נתונים.

אם רוצים לפרוס פונקציות שמאפשרות הפעלה לא מאומתת, מומלץ להסיר את מדיניות הארגון 'שיתוף מוגבל של דומיינים' מהפרויקט. אפשר להגדיר מדיניות ארגונית ברמת הארגון, התיקייה או הפרויקט.

אחרי שיוצרים את הפונקציות שמאפשרות הפעלה לא מאומתת, אפשר להפעיל מחדש את מדיניות הארגון:

• פונקציות שנפרסו לפני הפעלה מחדש של מדיניות הארגון ימשיכו לאפשר הפעלה לא מאומתת.
• אפשר לפרוס גרסאות חדשות של הפונקציות הקיימות האלה בלי לדרוש הפעלה מאומתת.
• אי אפשר לפרוס פונקציות חדשות שמאפשרות הפעלות לא מאומתות.

שליטה בגישה לכל הפונקציות בפרויקט

אם רוצים להעניק תפקידים לכל הפונקציות בפרויקט, אפשר להעניק את התפקידים האלה בפרויקט.

הערה: אי אפשר להקצות תפקידים ל-allUsers ול-allAuthenticatedUsers ברמת הפרויקט.