בקרת גישה באמצעות IAM

בדף הזה מוסבר על התפקידים וההרשאות במערכת לניהול הזהויות והרשאות הגישה (IAM) שנדרשים כדי לרכוש ולנהל מוצרים מסחריים ב-Cloud Marketplace.

באמצעות IAM תוכלו לשלוט בגישה למשאבים: להגדיר למי (זהות) תהיה גישה למשאב מסוים ואיזה סוג של גישה (תפקיד) תהיה לו. כדי להירשם לתוכניות ב-Cloud Marketplace ולבצע שינויים בתוכניות החיוב, משתמשים ב Google Cloud ארגון שלכם צריכים תפקידי IAM לאפליקציות מסחריות ב-Cloud Marketplace.

• מידע על ניהול החיוב על מוצרים ב-Cloud Marketplace
• מידע נוסף על הגורמים שמשפיעים על החשבון
• מידע על המושגים הבסיסיים של IAM
• מידע על ההיררכיה של Google Cloudמשאבים

לפני שמתחילים

• כדי להעניק תפקידים והרשאות ב-Cloud Marketplace באמצעות gcloud, צריך להתקין את gcloud CLI. אחרת, אפשר להקצות תפקידים באמצעות המסוף Google Cloud .

רכישה וניהול של תפקידים

מומלץ להקצות את תפקיד ה-IAM‏ Billing Account Administrator למשתמשים שרוכשים שירותים מ-Cloud Marketplace.

למשתמשים שרוצים לגשת לשירותים צריכה להיות לפחות הרשאת צפייה.

כדי לקבל שליטה פרטנית יותר בהרשאות של המשתמשים, אתם יכולים ליצור תפקידים בהתאמה אישית עם ההרשאות שאתם רוצים להעניק.

דרישות ספציפיות למוצר

כדי להשתמש בשירותים הבאים ב Google Cloud פרויקט, צריך להיות לכם תפקיד עורך הפרויקט:

• ‫Google Cloud Dataprep by Trifacta
• Neo4j Aura Professional
• ‫Redis Enterprise Cloud

רשימה של תפקידים והרשאות ב-IAM

אפשר להעניק למשתמשים תפקיד IAM אחד או יותר מהתפקידים הבאים. בהתאם לתפקיד שאתם מקצים למשתמשים, אתם צריכים להקצות את התפקיד גם ל Google Cloud חשבון לחיוב, לארגון או לפרויקט. פרטים נוספים מופיעים בקטע הענקת תפקידי IAM למשתמשים.

Role	Permissions
Consumer Procurement Entitlement Manager (roles/consumerprocurement.entitlementManager) Allows managing entitlements and enabling, disabling, and inspecting service states for a consumer project.	commerceoffercatalog.offers.get consumerprocurement.consents.check consumerprocurement.consents.grant consumerprocurement.consents.list consumerprocurement.consents.revoke consumerprocurement.entitlements.* consumerprocurement.entitlements.get consumerprocurement.entitlements.list consumerprocurement.freeTrials.* consumerprocurement.freeTrials.create consumerprocurement.freeTrials.get consumerprocurement.freeTrials.list orgpolicy.policy.get resourcemanager.projects.get resourcemanager.projects.list serviceusage.consumerpolicy.* serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.consumerpolicy.update serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.operations.get serviceusage.services.disable serviceusage.services.enable serviceusage.services.get serviceusage.services.list serviceusage.values.test
Consumer Procurement Entitlement Viewer (roles/consumerprocurement.entitlementViewer) Allows inspecting entitlements and service states for a consumer project.	commerceoffercatalog.offers.get consumerprocurement.consents.check consumerprocurement.consents.list consumerprocurement.entitlements.* consumerprocurement.entitlements.get consumerprocurement.entitlements.list consumerprocurement.freeTrials.get consumerprocurement.freeTrials.list orgpolicy.policy.get resourcemanager.projects.get resourcemanager.projects.list serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.values.test
Consumer Procurement Events Viewer (roles/consumerprocurement.eventsViewer) Allows viewing key events for an offer	consumerprocurement.events.* consumerprocurement.events.get consumerprocurement.events.list
Consumer Procurement License Pool Editor (roles/consumerprocurement.licensePoolEditor) Allows managing license pools and license assignments.	consumerprocurement.licensePools.* consumerprocurement.licensePools.assign consumerprocurement.licensePools.enumerateLicensedUsers consumerprocurement.licensePools.get consumerprocurement.licensePools.unassign consumerprocurement.licensePools.update
Consumer Procurement License Pool Viewer (roles/consumerprocurement.licensePoolViewer) Allows viewing license pools and license assignments.	consumerprocurement.licensePools.enumerateLicensedUsers consumerprocurement.licensePools.get
Consumer Procurement Order Administrator (roles/consumerprocurement.orderAdmin) Allows managing purchases.	billing.accounts.get billing.accounts.getIamPolicy billing.accounts.list billing.accounts.redeemPromotion billing.credits.list billing.resourceAssociations.create commerceoffercatalog.* commerceoffercatalog.agreements.get commerceoffercatalog.agreements.list commerceoffercatalog.documents.get commerceoffercatalog.documents.list commerceoffercatalog.offers.get consumerprocurement.accounts.* consumerprocurement.accounts.create consumerprocurement.accounts.delete consumerprocurement.accounts.get consumerprocurement.accounts.list consumerprocurement.consents.check consumerprocurement.consents.grant consumerprocurement.consents.list consumerprocurement.consents.revoke consumerprocurement.events.* consumerprocurement.events.get consumerprocurement.events.list consumerprocurement.licensePools.* consumerprocurement.licensePools.assign consumerprocurement.licensePools.enumerateLicensedUsers consumerprocurement.licensePools.get consumerprocurement.licensePools.unassign consumerprocurement.licensePools.update consumerprocurement.orderAttributions.* consumerprocurement.orderAttributions.get consumerprocurement.orderAttributions.list consumerprocurement.orderAttributions.update consumerprocurement.orders.* consumerprocurement.orders.cancel consumerprocurement.orders.get consumerprocurement.orders.list consumerprocurement.orders.modify consumerprocurement.orders.place discoveryengine.billingAccountLicenseConfigs.* discoveryengine.billingAccountLicenseConfigs.distribute discoveryengine.billingAccountLicenseConfigs.get discoveryengine.billingAccountLicenseConfigs.list discoveryengine.billingAccountLicenseConfigs.retract
Consumer Procurement Order Viewer (roles/consumerprocurement.orderViewer) Allows inspecting purchases.	billing.accounts.get billing.accounts.getIamPolicy billing.accounts.list billing.credits.list commerceoffercatalog.* commerceoffercatalog.agreements.get commerceoffercatalog.agreements.list commerceoffercatalog.documents.get commerceoffercatalog.documents.list commerceoffercatalog.offers.get consumerprocurement.accounts.get consumerprocurement.accounts.list consumerprocurement.consents.check consumerprocurement.consents.list consumerprocurement.licensePools.enumerateLicensedUsers consumerprocurement.licensePools.get consumerprocurement.orderAttributions.get consumerprocurement.orderAttributions.list consumerprocurement.orders.get consumerprocurement.orders.list discoveryengine.billingAccountLicenseConfigs.get discoveryengine.billingAccountLicenseConfigs.list
Consumer Procurement Administrator (roles/consumerprocurement.procurementAdmin) Allows managing purchases, consents at both billing account and project level.	billing.accounts.get billing.accounts.getIamPolicy billing.accounts.list billing.accounts.redeemPromotion billing.credits.list billing.resourceAssociations.create commerceoffercatalog.* commerceoffercatalog.agreements.get commerceoffercatalog.agreements.list commerceoffercatalog.documents.get commerceoffercatalog.documents.list commerceoffercatalog.offers.get consumerprocurement.* consumerprocurement.accounts.create consumerprocurement.accounts.delete consumerprocurement.accounts.get consumerprocurement.accounts.list consumerprocurement.consents.allowProjectGrant consumerprocurement.consents.check consumerprocurement.consents.grant consumerprocurement.consents.list consumerprocurement.consents.revoke consumerprocurement.entitlements.get consumerprocurement.entitlements.list consumerprocurement.events.get consumerprocurement.events.list consumerprocurement.freeTrials.create consumerprocurement.freeTrials.get consumerprocurement.freeTrials.list consumerprocurement.licensePools.assign consumerprocurement.licensePools.enumerateLicensedUsers consumerprocurement.licensePools.get consumerprocurement.licensePools.unassign consumerprocurement.licensePools.update consumerprocurement.orderAttributions.get consumerprocurement.orderAttributions.list consumerprocurement.orderAttributions.update consumerprocurement.orders.cancel consumerprocurement.orders.get consumerprocurement.orders.list consumerprocurement.orders.modify consumerprocurement.orders.place discoveryengine.billingAccountLicenseConfigs.* discoveryengine.billingAccountLicenseConfigs.distribute discoveryengine.billingAccountLicenseConfigs.get discoveryengine.billingAccountLicenseConfigs.list discoveryengine.billingAccountLicenseConfigs.retract orgpolicy.policy.get resourcemanager.projects.get resourcemanager.projects.list serviceusage.consumerpolicy.* serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.consumerpolicy.update serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.operations.get serviceusage.services.disable serviceusage.services.enable serviceusage.services.get serviceusage.services.list serviceusage.values.test
Consumer Procurement Viewer (roles/consumerprocurement.procurementViewer) Allows inspecting purchases, consents and entitlements and service states for a consumer project.	billing.accounts.get billing.accounts.getIamPolicy billing.accounts.list billing.credits.list commerceoffercatalog.* commerceoffercatalog.agreements.get commerceoffercatalog.agreements.list commerceoffercatalog.documents.get commerceoffercatalog.documents.list commerceoffercatalog.offers.get consumerprocurement.accounts.get consumerprocurement.accounts.list consumerprocurement.consents.check consumerprocurement.consents.list consumerprocurement.entitlements.* consumerprocurement.entitlements.get consumerprocurement.entitlements.list consumerprocurement.freeTrials.get consumerprocurement.freeTrials.list consumerprocurement.licensePools.enumerateLicensedUsers consumerprocurement.licensePools.get consumerprocurement.orderAttributions.get consumerprocurement.orderAttributions.list consumerprocurement.orders.get consumerprocurement.orders.list discoveryengine.billingAccountLicenseConfigs.get discoveryengine.billingAccountLicenseConfigs.list orgpolicy.policy.get resourcemanager.projects.get resourcemanager.projects.list serviceusage.consumerpolicy.analyze serviceusage.consumerpolicy.get serviceusage.effectivepolicy.get serviceusage.groups.* serviceusage.groups.list serviceusage.groups.listExpandedMembers serviceusage.groups.listMembers serviceusage.services.get serviceusage.services.list serviceusage.values.test

הענקת תפקידי IAM למשתמשים

מתוך התפקידים בטבלה שלמעלה, צריך להקצות את התפקידים consumerprocurement.orderAdmin ו-consumerprocurement.orderViewer ברמת החשבון לחיוב או ברמת הארגון, ואת התפקידים consumerprocurement.entitlementManager ו-consumerprocurement.entitlementViewer ברמת הפרויקט או ברמת הארגון.

כדי להקצות תפקידים למשתמשים באמצעות gcloud, מריצים אחת מהפקודות הבאות:

ארגון

כדי להקצות תפקידים ברמת הארגון, צריך להיות לכם התפקיד resourcemanager.organizationAdmin.

gcloud organizations add-iam-policy-binding organization-id \
--member=member --role=role-id

הערכים הזמניים לשמירת מקום (placeholders) הם:

• ‫organization-id: המזהה המספרי של הארגון שרוצים להעניק לו את התפקיד.
• ‫member: המשתמש שרוצים להעניק לו גישה.
• ‫role-id: מזהה התפקיד, מהטבלה הקודמת.

חשבון לחיוב

כדי להקצות תפקידים ברמת החשבון לחיוב, צריך להיות לכם תפקיד billing.admin.

gcloud beta billing accounts set-iam-policy account-id \
policy-file

הערכים הזמניים לשמירת מקום (placeholders) הם:

• ‫account-id: מספר החשבון לחיוב, שאפשר למצוא בדף 'ניהול חשבונות לחיוב'.
• ‫policy-file: קובץ מדיניות IAM, בפורמט JSON או YAML. קובץ המדיניות צריך להכיל את מזהי התפקידים מהטבלה הקודמת, ואת המשתמשים שאתם מקצים להם את התפקידים.

פרויקט

כדי להקצות תפקידים ברמת הפרויקט, צריך להיות לכם תפקיד resourcemanager.folderAdmin.

gcloud projects add-iam-policy-binding project-id \
--member=member --role=role-id

הערכים הזמניים לשמירת מקום (placeholders) הם:

• ‫project-id: הפרויקט שבו אתם מעניקים את התפקיד.
• ‫member: המשתמש שרוצים להעניק לו גישה.
• ‫role-id: מזהה התפקיד, מהטבלה הקודמת.

במאמר הענקה, שינוי וביטול גישה למשתמשים בחומרי העזר של IAM מוסבר איך להקצות תפקידים למשתמשים באמצעות Google Cloud המסוף.

שימוש בתפקידים בהתאמה אישית ב-Cloud Marketplace

אם אתם רוצים שליטה פרטנית בהרשאות שאתם מעניקים למשתמשים, אתם יכולים ליצור תפקידים בהתאמה אישית עם ההרשאות שאתם רוצים להעניק.

אם אתם יוצרים תפקיד בהתאמה אישית למשתמשים שרוכשים שירותים מ-Cloud Marketplace, התפקיד צריך לכלול את ההרשאות האלה בחשבון לחיוב שבו הם משתמשים כדי לרכוש שירותים:

• ‫billing.accounts.get, שבדרך כלל ניתנת עם התפקיד roles/consumerprocurement.orderAdmin.
• ‫consumerprocurement.orders.get, שבדרך כלל ניתנת עם התפקיד roles/consumerprocurement.orderAdmin.
• ‫consumerprocurement.orders.list, שבדרך כלל ניתנת עם התפקיד roles/consumerprocurement.orderAdmin.
• ‫consumerprocurement.orders.place, שבדרך כלל ניתנת עם התפקיד roles/consumerprocurement.orderAdmin.
• ‫consumerprocurement.accounts.get, שבדרך כלל ניתנת עם התפקיד roles/consumerprocurement.orderAdmin.
• ‫consumerprocurement.accounts.list, שבדרך כלל ניתנת עם התפקיד roles/consumerprocurement.orderAdmin.
• ‫consumerprocurement.accounts.create, שבדרך כלל ניתנת עם התפקיד roles/consumerprocurement.orderAdmin.
• ‫consumerprocurement.consents.grant, שבדרך כלל ניתנת עם התפקיד roles/consumerprocurement.orderAdmin.

גישה לאתרים של שותפים באמצעות כניסה יחידה (SSO)

מוצרי API מסוימים ב-Cloud Marketplace תומכים בכניסה יחידה (SSO) לאתר חיצוני של שותף. למשתמשים מורשים בארגון יש גישה ללחצן 'ניהול אצל הספק' בדף פרטי המוצר. הלחצן הזה מפנה את המשתמשים לאתר של השותף. במקרים מסוימים, המשתמשים מתבקשים להיכנס באמצעות חשבון Google. במקרים אחרים, המשתמשים מחוברים בהקשר של חשבון משותף.

כדי לגשת ליכולת הכניסה היחידה, המשתמשים עוברים לדף פרטי המוצר ובוחרים פרויקט מתאים. הפרויקט צריך להיות מקושר לחשבון לחיוב שבו נרכשה התוכנית. פרטים על ניהול תוכניות ב-Cloud Marketplace API זמינים במאמר ניהול תוכניות חיוב.

בנוסף, למשתמש צריכות להיות הרשאות IAM מספיקות בפרויקט שנבחר. לרוב המוצרים נדרש התפקיד roles/consumerprocurement.entitlementManager (או roles/editor התפקיד הבסיסי).

הרשאות מינימליות למוצרים ספציפיים

המוצרים הבאים יכולים לפעול עם קבוצה שונה של הרשאות לגישה ליכולות של SSO:

• ‫Apache Kafka ב-Confluent Cloud
• ‫DataStax Astra for Apache Cassandra
• Elastic Cloud
• Neo4j Aura Professional
• ‫Redis Enterprise Cloud

עבור המוצרים האלה, אפשר להשתמש בהרשאות המינימליות הבאות:

• consumerprocurement.entitlements.get
• consumerprocurement.entitlements.list
• serviceusage.services.get
• serviceusage.services.list
• resourcemanager.projects.get

ההרשאות האלה מוענקות בדרך כלל עם התפקידים roles/consumerprocurement.entitlementManager או roles/consumerprocurement.entitlementViewer.