תנאים ב-IAM לגישה פרטנית

בדף הזה מוסבר איך להגביל את הגישה לחיבורים באמצעות תנאי IAM.

תנאי IAM מאפשר לכם לשלוט באופן מפורט במשאבי Integration Connectors. כברירת מחדל, משתמש או תפקיד ב-Integration Connectors יכולים לבצע את כל הפעולות הנתמכות בחיבור. באמצעות תנאים ב-IAM, אתם יכולים להגביל משתמש או תפקיד ספציפיים כך שיוכלו לבצע רק פעולות נבחרות בחיבור. לדוגמה, אתם יכולים להגביל משתמש כך שהוא יוכל לשנות רק את החיבורים שהשם שלהם מתחיל ב-test-connection, ולא יהיו לו הרשאות אחרות לגבי החיבורים, כמו הרשמה לאירועים או צפייה במטא-נתונים של הסכימה.

לפני שמתחילים

‫Integration Connectors משתמש בניהול זהויות והרשאות גישה (IAM) של Google Cloud כדי לנהל תפקידים והרשאות למשאבים של Integration Connectors. לכן, לפני שמציינים או משנים תנאים ב-IAM למשאבי Integration Connectors, כדאי להכיר את המושגים הבאים ב-IAM:

הוספת תנאים ב-IAM

כדי להוסיף תנאי IAM למשאב של Integration Connectors, צריך את המידע הבא:

  • ‫URI של משאב עם שם – לכל משאב ב-Integration Connectors יש URI משאב ייחודי. לדוגמה, ה-URI של משאב החיבור הוא projects/PROJECT_ID/locations/CONNECTION_LOCATION/connections/{connection_name}. רשימה מלאה של כל כתובות ה-URI הזמינות מופיעה במאמר Integration Connectors REST resources. כדי לשלוט בהרשאות הגישה למשאב ברמה מפורטת, צריך לתת שם למשאב בהתאם למוסכמת שמות. בהתאם לדרישות שלכם, אתם יכולים להחליט על מוסכמת השמות שבה אתם רוצים להשתמש. לדוגמה, אפשר להוסיף את הקידומת marketing- לכל החיבורים שבבעלות צוות השיווק. בדוגמה הזו, מזהה המשאבים האחיד (URI) של החיבורים של צוות השיווק יתחיל ב-projects/PROJECT_ID/locations/CONNECTION_LOCATION/connections/marketing-.
  • הרשאות להורה בלבד – בודקים אם משאב או משאבי צאצא שלו דורשים הרשאה להורה בלבד. מידע נוסף זמין במאמר בנושא הרשאות להורה בלבד.
  • סוג המשאב – כדי לצמצם עוד יותר את היקף המשאבים, אפשר לסנן לפי סוג משאב בתנאי. Integration Connectors תומכים בתנאים למשאבים הבאים:
    שם המשאב סוג המשאב
    חיבור connectors.googleapis.com/Connection
    ManagedZone connectors.googleapis.com/ManagedZone
    EndpointAttachment connectors.googleapis.com/EndpointAttachment
    EventSubscription connectors.googleapis.com/EventSubscription
    ConnectionSchemaMetadata connectors.googleapis.com/ConnectionSchemaMetadata

דוגמאות

בטבלה הבאה מפורטים תנאי המשאבים לדוגמה שאפשר להחיל על משתמש או על תפקיד ב-Integration Connectors.

תנאי משאב ב-IAM תיאור 
(resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/Connection"))
|| resource.type != "connectors.googleapis.com/Connection"
 		משתמש או תפקיד שחל עליהם התנאי הזה יכולים לבצע רק את הפעולות הבאות:
  • הצגת כל החיבורים.
  • ביצוע פעולות get,‏ create,‏ update ו-delete על חיבורים שהשם שלהם מתחיל ב-marketing-. 
(resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/Connection") ||
(resource.name.startsWith ("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/ConnectionSchemaMetadata")
|| (resource.type != "connectors.googleapis.com/Connection" 
&& resource.type != "connectors.googleapis.com/ConnectionSchemaMetadata")
משתמש או תפקיד שחל עליהם התנאי הזה יכולים לבצע רק את הפעולות הבאות:
  • הצגת כל החיבורים.
  • ביצוע פעולות get,‏ create,‏ update ו-delete רק בחיבורים שהשם שלהם מתחיל ב-marketing-.
  • אחזור מטא-נתונים של סכימת חיבור רק לחיבורים שהשם שלהם מתחיל ב-marketing-.

הוספת תנאי IAM לחשבונות שירות של Application Integration

אתם יכולים להחיל תנאים של IAM על חשבון השירות של Application Integration, כדי להגביל את החיבורים שחשבון השירות יכול לגשת אליהם במהלך ההפעלה של השילוב. לדוגמה, אפשר להגביל חשבון שירות כך שתהיה לו גישה רק לחיבורים שהשם שלהם מתחיל ב-marketing-. מידע נוסף מופיע במאמר החלת תנאי IAM על חשבון שירות.

בטבלה הבאה מפורטים תנאי המשאבים לדוגמה שאפשר להחיל על חשבון שירות של Application Integration.

תנאי משאב ב-IAM תיאור 
resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-")
 		חשבון השירות שאליו מחילים את התנאי הזה יכול להפעיל רק את החיבורים שהשם שלהם מתחיל ב-marketing-.

המאמרים הבאים

כדאי לעיין במידע הבא במאמרי העזרה של IAM: