הפצת שינויים בהרשאות הגישה

ב-IAM, שינויים בהרשאות גישה, כמו מתן תפקיד או דחיית הרשאה, הם עקביים באופן הדרגתי. המשמעות היא שלוקח זמן עד ששינויי גישה מתעדכנים במערכת. בינתיים, יכול להיות ששינויים שבוצעו לאחרונה בהרשאות הגישה עדיין לא נכנסו לתוקף בכל מקום. לדוגמה, יכול להיות שחשבונות משתמשים עדיין יכולים להשתמש בתפקיד שבוטל לאחרונה או בהרשאה שנדחתה לאחרונה. לחלופין, יכול להיות שהם לא יכולים עדיין להשתמש בתפקיד שקיבלו לאחרונה או בהרשאה שעד לאחרונה לא הייתה להם.

משך הזמן שחולף עד ששינוי הגישה ייכנס לתוקף מלא משתנה בהתאם לאופן שבו מבצעים את השינוי:

השינוי דוגמאות זמן הפצה

שינוי במדיניות

שינוי הרשאות הגישה של חשבון משתמש על ידי עריכת מדיניות הרשאה או מדיניות דחייה.

כשמבצעים שינויים במדיניות, אי אפשר לחרוג מהמגבלות הקיימות במדיניות לגבי מספר חשבונות המשתמשים המורשים.

  • אתם עורכים את מדיניות ההרשאה של הארגון כדי לתת לחשבון משתמש את התפקיד 'אדמין ארגוני' (roles/resourcemanager.organizationAdmin).
  • אתם עורכים מדיניות דחייה ברמת הארגון כדי להסיר מחשבון משתמש את ההרשאה cloudresourcemanager.googleapis.com/projects.setIamPolicy.
בדרך כלל 2 דקות אבל גם עשוי להימשך 7 דקות ויותר

שינוי בחברות בקבוצה

שינוי רמת הגישה של חשבון משתמש על ידי הוספה שלו לקבוצת Google שכלולה במדיניות ההרשאה או הדחייה, או הסרה שלו ממנה.

  • יש לכם קבוצה בשם org-admins@example.com, שמקבלת את התפקיד 'אדמין ארגוני' בארגון שלכם. אתם מוסיפים לקבוצה חשבון משתמש כדי לתת לו את התפקיד 'אדמין ארגוני'.
  • יש לכם קבוצה בשם eng@example.com, שההרשאה cloudresourcemanager.googleapis.com/projects.setIamPolicy ברמת הארגון נדחתה בה. אתם מוסיפים לקבוצה חשבון משתמש כדי לדחות בו את ההרשאה cloudresourcemanager.googleapis.com/projects.setIamPolicy.
בדרך כלל כמה דקות אבל גם עשוי להימשך כמה שעות ואפילו יותר

שינוי החברות של קבוצה בתוך קבוצה

כדי לשנות את רמת הגישה של חשבון משתמש, מוסיפים אותו לקבוצה בתוך קבוצה (או מסירים ממנה) שקבוצת ההורה שלה כלולה במדיניות הרשאה או במדיניות דחייה.

  • יש לכם קבוצה בשם admins@example.com, שמקבלת את התפקיד 'צפייה בתגים' (roles/resourcemanager.tagViewer) בארגון שלכם. החברות בקבוצה הזו מורכבת מכמה קבוצות אחרות, כולל הקבוצה org-admins@example.com. אתם מוסיפים לקבוצה org-admins@example.com חשבון משתמש כדי לתת לו את התפקיד 'צפייה בתגים'.
  • יש לכם קבוצה בשם eng@example.com, שההרשאה cloudresourcemanager.googleapis.com/projects.setIamPolicy ברמת הארגון נדחתה בה. החברות בקבוצה הזו מורכבת מכמה קבוצות אחרות, כולל הקבוצה eng-prod@example.com. אתם מוסיפים לקבוצה eng-prod@example.com חשבון משתמש כדי לדחות ממנו את ההרשאה cloudresourcemanager.googleapis.com/projects.setIamPolicy.
בדרך כלל כמה דקות אבל גם עשוי להימשך כמה שעות ואפילו יותר

חשוב גם לזכור את הפרטים הבאים לגבי אופן ההפצה של שינויים בחברות של קבוצות:

  • באופן כללי, הוספה של חשבון משתמש לקבוצה מופץ מהר יותר מהסרת חשבון משתמש מקבוצה.
  • באופן כללי, שינויים בחברות בקבוצה מופצים מהר יותר משינויים של חברות בקבוצה בתוך קבוצה.

על סמך הזמנים המשוערים האלו תוכלו לאמוד את משך ההפצה של שינויים בהרשאות הגישה של חשבונות המשתמשים.