תנאי IAM לבקרת גישה פרטנית

בדף הזה מוסבר איך להגביל את הגישה לחיבורים באמצעות תנאי IAM.

תנאי IAM מאפשר לכם לשלוט באופן מפורט במשאבים של Integration Connectors. כברירת מחדל, משתמש או תפקיד ב-Integration Connectors יכולים לבצע את כל הפעולות הנתמכות בחיבור. באמצעות תנאי IAM, אתם יכולים להגביל משתמש או תפקיד ספציפיים כך שיבצעו רק פעולות מסוימות בחיבור. לדוגמה, אפשר להגביל משתמש כך שהוא יוכל לשנות רק את החיבורים שהשם שלהם מתחיל ב-test-connection, ולא יהיו לו הרשאות אחרות בחיבורים, כמו הרשמה לאירועים או צפייה במטא-נתונים של הסכימה.

לפני שמתחילים

ב-Integration Connectors משתמשים בניהול זהויות והרשאות גישה (IAM) של Google Cloud כדי לנהל את התפקידים וההרשאות למשאבים של Integration Connectors. לכן, לפני שאתם מציינים או משנים תנאים ב-IAM למשאבים של Integration Connectors, כדאי שתכירו את המושגים הבאים ב-IAM:

הוספת תנאי IAM

כדי להוסיף תנאי IAM למשאב של Integration Connectors, צריך את הפרטים הבאים:

  • ‫Named Resource URI – לכל משאב ב-Integration Connectors יש מזהה URI ייחודי. לדוגמה, ה-URI של משאב החיבור הוא projects/PROJECT_ID/locations/CONNECTION_LOCATION/connections/{connection_name}. לרשימה המלאה של כל מזהי ה-URI הזמינים, ראו משאבי REST של Integration Connectors. כדי לשלוט בהרשאות הגישה למשאב ברמה פרטנית, צריך לתת למשאב שם לפי מוסכמה למתן שמות. אתם יכולים לבחור את מוסכמת מתן השמות שבה תרצו להשתמש, בהתאם לדרישות שלכם. לדוגמה, אפשר להוסיף את הקידומת marketing- לכל החיבורים שבבעלות צוות השיווק. בדוגמה הזו, מזהה ה-URI של המשאב לחיבורים של צוות השיווק יתחיל ב-projects/PROJECT_ID/locations/CONNECTION_LOCATION/connections/marketing-.
  • הרשאות להורה בלבד – בודקים אם משאב או אחד מהמשאבים הצאצאים שלו דורשים הרשאה להורה בלבד. מידע נוסף זמין במאמר הרשאות להורה בלבד.
  • סוג המשאב – אפשר לצמצם עוד יותר את היקף המשאבים על ידי סינון לפי סוג המשאב בתנאי. ב-Integration Connectors יש תמיכה בתנאים למשאבים הבאים:
    שם המשאב סוג המשאב
    חיבור connectors.googleapis.com/Connection
    ManagedZone connectors.googleapis.com/ManagedZone
    EndpointAttachment connectors.googleapis.com/EndpointAttachment
    EventSubscription connectors.googleapis.com/EventSubscription
    ConnectionSchemaMetadata connectors.googleapis.com/ConnectionSchemaMetadata

דוגמאות

בטבלה הבאה מפורטים התנאים לדוגמה של משאבים שאפשר להחיל על משתמש או על תפקיד ב-Integration Connectors.

תנאי למשאב ב-IAM תיאור 
(resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/Connection")
|| (resource.type != "connectors.googleapis.com/Connection"
&& resource.name.extract("/operations/{operation}") == "")
 		משתמש או תפקיד שהתנאי הזה חל עליהם יכולים לבצע רק את הפעולות הבאות:
  • מציגים את כל החיבורים והפעולות שנמשכות זמן רב.
  • לבצע פעולות של אחזור, יצירה, עדכון ומחיקה בחיבורים שהשם שלהם מתחיל ב-marketing-.

המשתמש לא יכול לראות, לבטל או למחוק פעולות ספציפיות שנמשכות זמן רב. כדי לאפשר למשתמש לעקוב אחרי התקדמות הפעולות, קראו את המאמר איך מאפשרים למשתמשים עם הרשאות מוגבלות לעקוב אחרי פעולות.

 
(resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/Connection") ||
(resource.name.startsWith ("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/ConnectionSchemaMetadata")
|| (resource.type != "connectors.googleapis.com/Connection"
&& resource.type != "connectors.googleapis.com/ConnectionSchemaMetadata"
&& resource.name.extract("/operations/{operation}") == "")
 		משתמש או תפקיד שהתנאי הזה חל עליהם יכולים לבצע רק את הפעולות הבאות:
  • הצגת רשימה של כל החיבורים והפעולות הממושכות.
  • לבצע פעולות של קבלה, יצירה, עדכון ומחיקה רק בחיבורים שהשם שלהם מתחיל ב-marketing-.
  • אחזור מטא-נתונים של סכימת חיבור רק לחיבורים שהשם שלהם מתחיל ב-marketing-.

המשתמש לא יכול לראות, לבטל או למחוק פעולות ספציפיות שנמשכות זמן רב.

איך משתמשים עם הרשאות מוגבלות יכולים לעקוב אחרי פעולות

כשהתנאים בדוגמאות הקודמות מחריגים פעולות, משתמש מוגבל עדיין יכול ליצור, לעדכן ולמחוק את החיבורים שהוא מורשה לנהל, אבל הוא לא יכול לבדוק את הסטטוס של הפעולות הארוכות שנובעות מכך. אם משתמש מוגבל צריך לעקוב אחרי פעולות, צריך לתת לו תפקיד נפרד בהתאמה אישית ללא תנאי, שמכיל רק את ההרשאה connectors.operations.get.

משתמשים עם התפקיד הזה יכולים לראות את כל הפעולות בפרויקט, כולל פעולות בחיבורים שאין להם גישה אליהם. אלה אותם פרטי חיבור שהמשתמש כבר יכול לראות כי הוא יכול להציג את כל החיבורים. אל תתנו את ההרשאות connectors.operations.cancel או connectors.operations.delete למשתמשים שהגישה שלהם מוגבלת על ידי תנאי, כי ההרשאות האלה יאפשרו להם לבטל או למחוק פעולות בכל חיבור בפרויקט.

הוספת תנאי IAM לחשבונות שירות של Application Integration

אתם יכולים להחיל תנאי IAM על חשבון השירות של Application Integration, וכך להגביל את החיבורים שחשבון השירות יכול לגשת אליהם במהלך הפעלת השילוב. לדוגמה, אתם יכולים להגביל חשבון שירות כך שתהיה לו גישה רק לחיבורים שהשם שלהם מתחיל ב-marketing-. מידע נוסף מופיע במאמר החלת תנאי IAM על חשבון שירות.

בטבלה הבאה מפורטים תנאי המשאבים לדוגמה שאפשר להחיל על חשבון שירות של Application Integration.

תנאי למשאב ב-IAM תיאור 
resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-")
 		חשבון השירות שעליו מחילים את התנאי הזה יכול להריץ רק את החיבורים שהשם שלהם מתחיל ב-marketing-.

המאמרים הבאים

עיינו במידע הבא במאמרי העזרה של IAM: