Permitir acesso

Como administrador do hub, você pode conceder a usuários específicos a capacidade de criar spokes em outros projetos associados ao hub e manter controle total sobre quais spokes são aceitos no hub. Os spokes não se tornam ativos até que você os aceite explicitamente. Também é possível rejeitar spokes a qualquer momento, se necessário.

Para conceder a outro usuário a capacidade de criar spokes em outros projetos associados ao hub, conceda o papel roles/networkconnectivity.groupUser a esse usuário. Um usuário com o papel groupUser em um hub tem automaticamente o papel em todos os grupos no hub por meio da hierarquia de recursos do Identity and Access Management (IAM). Como administrador do hub, você também pode revogar o acesso de um usuário.

Antes de começar

Antes de começar, leia as seções a seguir.

Criar ou selecionar um projeto

Para facilitar a configuração do NCC, identifique um projeto válido.

Faça login na sua conta do Google Cloud . Se você começou a usar o Google Cloudagora, crie uma conta para avaliar o desempenho dos nossos produtos em situações reais. Clientes novos também recebem US $300 em créditos para executar, testar e implantar cargas de trabalho.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Install the Google Cloud CLI.

If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

To initialize the gcloud CLI, run the following command:

gcloud init

1. Se você estiver usando a Google Cloud CLI, defina o ID do projeto usando o comando gcloud config set.

   gcloud config set project PROJECT_ID

   Substitua PROJECT_ID pelo ID exclusivo do seu projeto.

   As instruções da CLI gcloud nesta página presumem que você tenha definido o ID do projeto.

2. Para confirmar se você definiu o ID do projeto corretamente, use o comando gcloud config list.

   gcloud config list --format='text(core.project)'

Ativar a API Network Connectivity

Antes de executar qualquer tarefa usando o Network Connectivity Center (NCC), é necessário ativar a API Network Connectivity.

Console

Para ativar a API Network Connectivity:

1. No console do Google Cloud , acesse a página Network Connectivity Center.

   Acessar o Network Connectivity Center

2. Clique em Ativar.

Como alternativa, é possível ativar a API usando a biblioteca de APIs do console doGoogle Cloud , conforme descrito em Como ativar APIs.

Permissões exigidas para a tarefa

Para executar esta tarefa, são necessárias as seguintes permissões ou papéis do IAM.

Permissões

• networkconnectivity.hubs.getIamPolicy
• networkconnectivity.hubs.setIamPolicy

Papéis

• roles/networkconnectivity.hubAdmin

Gerenciar o acesso para criar spokes em hubs em projetos

Nas seções a seguir, descrevemos como conceder, revogar ou visualizar permissões para criar spokes em projetos diferentes de um hub.

Conceder o papel groupUser em um hub a outro usuário

Para conceder o papel networkconnectivity.groupUser em um hub a outro usuário, siga estas etapas.

Console

1. No console do Google Cloud , acesse a página Network Connectivity Center.

   Acessar o Network Connectivity Center

2. No menu do projeto, selecione um projeto.

3. Clique na guia Hubs.

4. Na lista de hubs, selecione o hub ao qual você quer adicionar o acesso.

5. Clique em Permissões.

6. Na caixa de diálogo Permissões, clique em Adicionar participante.

7. Digite o nome de usuário do administrador que você quer adicionar.

8. Na caixa de diálogo Gerenciar papéis, na lista de papéis do Conectividade de rede, selecione o papel que você quer atribuir, como Administrador de spoke.

9. Clique em Save.

gcloud

Execute o comando gcloud network-connectivity hubs add-iam-policy-binding.

gcloud network-connectivity hubs add-iam-policy-binding HUB_NAME \
    --member=MEMBER_DETAILS \
    --role='roles/networkconnectivity.groupUser'

Substitua:

• HUB_NAME: o hub do spoke, como my-hub.
• MEMBER_DETAILS: detalhes sobre o usuário a quem você quer conceder acesso. Para informações detalhadas sobre identificadores e formato, consulte Identificadores principais.

Revogar o papel groupUser de um usuário de um hub

Para revogar o papel roles/networkconnectivity.groupUser de um usuário em um hub, siga estas etapas.

gcloud

Execute o comando gcloud network-connectivity hubs remove-iam-policy-binding.

gcloud network-connectivity hubs remove-iam-policy-binding HUB_NAME \
    --member=MEMBER_DETAILS \
    --role='roles/networkconnectivity.groupUser'

Substitua:

• HUB_NAME: o hub do spoke, como my-hub.
• MEMBER_DETAILS: detalhes sobre o usuário do qual você quer remover o acesso. Para informações detalhadas sobre identificadores e formato, consulte Identificadores principais.

Visualizar as permissões de um usuário

Para ver as permissões concedidas a um usuário em um hub, siga estas etapas.

gcloud

Execute o comando gcloud network-connectivity hubs get-iam-policy.

gcloud network-connectivity hubs get-iam-policy HUB_NAME

Substitua HUB_NAME pelo nome do hub com as permissões que você quer visualizar, como my-hub.

A seguir

• Para criar hubs e spokes, consulte Como trabalhar com hubs e spokes.
• Para uma lista de parceiros com soluções integradas ao NCC, consulte Parceiros do NCC.
• Para encontrar soluções para problemas comuns, consulte Solução de problemas.
• Para ver detalhes sobre os comandos da API e do gcloud, consulte APIs e referência.