向用户授予实例访问权限

本页介绍了如何使用 Identity and Access Management (IAM) 授予用户对 Secure Source Manager 实例的访问权限。如需详细了解 Secure Source Manager 中的访问权限控制，请参阅使用 IAM 进行访问权限控制

所需的角色

如需获得向用户授予实例访问权限所需的权限，请让您的管理员为您授予 Secure Source Manager 实例的 Secure Source Manager 实例所有者角色 (roles/securesourcemanager.instanceOwner) IAM 角色。如需详细了解如何授予角色，请参阅管理对项目、文件夹和组织的访问权限。

您也可以通过自定义角色或其他预定义角色来获取所需的权限。

如需了解如何授予 Secure Source Manager 角色，请参阅使用 IAM 进行访问权限控制。

向员工身份联合用户授予访问权限

如果您使用员工身份联合来访问 Secure Source Manager，则主账号的表示方式会有所不同。如需详细了解如何向表示身份群组的主账号授予访问权限，请参阅在 IAM 政策中表示员工池用户。

例如，以下命令向用户 user@example.com 授予了工作区池 my-pool 中项目 my-project 内 us-central1 区域中实例 my-instance 的 Instance Accessor 角色 (roles/securesourcemanager.instanceAccessor)：

  gcloud source-manager instances add-iam-policy-binding my-instance \
      --project=my-project \
      --region=us-central1 \
      --member=principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/user@example.com \
      --role=roles/securesourcemanager.instanceAccessor

您可以根据身份提供方 (IdP) 属性向员工身份池中的用户或群组授予权限，也可以使用通用表达式语言 (CEL) 将 OIDC 属性映射到自定义属性，以便在 IAM 政策中定义授权策略。如需详细了解属性映射，请参阅属性映射。

在 Google Cloud 控制台中授予实例访问权限

  1. 在 Google Cloud 控制台中，前往 IAM 页面。

    前往 IAM

  2. 点击授予访问权限。

  3. 在新的正文字段中，输入您要向其授予访问权限的用户或群组的电子邮件地址。

  4. 从选择角色列表中选择一个角色。

    • 如需授予对实例的“只能查看”权限，请选择 Secure Source Manager Instance Accessor (roles/securesourcemanager.instanceAccessor)。此角色授予对实例的访问权限，但不授予代码库查看权限。
    • 如需授予对代码库的只读访问权限，请选择 Secure Source Manager Repository Reader (roles/securesourcemanager.repoReader)。用户还需要 Instance Accessor 角色才能通过 Secure Source Manager 网页界面访问代码库。
    • 如需允许创建和修改代码库，请选择 Secure Source Manager Instance Repository Creator (roles/securesourcemanager.instanceRepositoryCreator)。
    • 如需授予对实例的完整管理员权限，请选择 Secure Source Manager Instance Owner (roles/securesourcemanager.instanceOwner)。

  5. 点击保存。

向单个用户授予访问权限

如需向单个用户授予对实例的访问权限，请使用以下 Google Cloud CLI 命令：

  gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
      --project=PROJECT_ID \
      --region=REGION \
      --member=PRINCIPAL_IDENTIFIER \
      --role=roles/securesourcemanager.instanceAccessor

替换以下内容：

  • 将 INSTANCE_ID 替换为实例 ID。
  • 将 PROJECT_ID 替换为实例的项目 ID 或项目编号。
  • 将 REGION 替换为实例所在的区域。如需查看可用的 Secure Source Manager 区域，请参阅位置文档。

  • 将 PRINCIPAL_IDENTIFIER 替换为您要向其授予相应角色的主账号的标识符。

    例如，要向电子邮件地址为 EMAIL 的单个用户授予角色，您需要将正文标识符的格式设置为 user:EMAIL，其中 EMAIL 是用户的电子邮件地址。

    如需详细了解支持的主账号标识符，请参阅主账号标识符。

例如，以下命令向 us-central 区域中项目 my-project 内的实例 my-instance 授予 trusted-user1@gmail.com 用户 roles/securesourcemanager.instanceAccessor 角色。

  gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
      --project=my-project \
      --region=us-central1 \
      --member=user:trusted-user1@gmail.com \
      --role=roles/securesourcemanager.instanceAccessor

向多位用户授予访问权限

如需向多位用户授予访问权限，我们建议您创建一个 Google 群组，其中包含所有潜在用户，例如所有开发者。

然后，您可以向该群组授予以下一个或多个角色：

  • Instance Accessor (roles/securesourcemanager.instanceAccessor)：查看实例。
  • 实例代码库创建者 (roles/securesourcemanager.instanceRepositoryCreator)：创建和修改代码库。
  • 实例所有者 (roles/securesourcemanager.instanceOwner)：对实例拥有完全管理权限。

如需了解如何向群组授予角色，请参阅 IAM 文档中的向多个正文授予访问权限。

后续步骤