הענקת גישה למופע למשתמשים

בדף הזה מוסבר איך להעניק למשתמשים גישה למופע של Secure Source Manager באמצעות ניהול זהויות והרשאות גישה (IAM). פרטים נוספים על בקרת גישה ב-Secure Source Manager זמינים במאמר בקרת גישה באמצעות IAM

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות למתן גישה של משתמשים למופע, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Secure Source Manager Instance Owner (roles/securesourcemanager.instanceOwner) במופע Secure Source Manager. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

במאמר בקרת גישה באמצעות IAM מוסבר איך נותנים תפקידים ב-Secure Source Manager.

הענקת גישה למשתמשים באיחוד שירותי אימות הזהויות של כוח העבודה

אם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה כדי לגשת ל-Secure Source Manager, חשבונות המשתמשים מיוצגים בצורה שונה. מידע נוסף על מתן גישה לחשבונות משתמש שמייצגים קבוצות של זהויות זמין במאמר ייצוג משתמשים במאגר זהויות של כוח העבודה בכללי המדיניות של IAM.

לדוגמה, הפקודה הבאה מעניקה למשתמש user@example.com את התפקיד Instance Accessor ‏ (roles/securesourcemanager.instanceAccessor) במאגר כוח האדם my-pool במופע my-instance בפרויקט my-project באזור us-central1:

  gcloud source-manager instances add-iam-policy-binding my-instance \
      --project=my-project \
      --region=us-central1 \
      --member=principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/user@example.com \
      --role=roles/securesourcemanager.instanceAccessor

אתם יכולים להעניק הרשאות למשתמשים או לקבוצות במאגר הזהויות של כוח העבודה על סמך המאפיינים של ספק הזהויות (IdP), או להשתמש ב-Common Expression Language (CEL) כדי למפות את מאפייני ה-OIDC למאפיינים מותאמים אישית, וכך להגדיר אסטרטגיית הרשאות במדיניות IAM. מידע נוסף על מיפוי מאפיינים זמין במאמר מיפוי מאפיינים.

איך מעניקים גישה למופע במסוף Google Cloud

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. לוחצים על הענקת גישה.

  3. בשדה New principals, מזינים את כתובת האימייל של המשתמש או הקבוצה שרוצים להעניק להם גישה.

  4. בוחרים תפקיד מהרשימה Select a role.

    • כדי להעניק גישה לתצוגה בלבד למופע, בוחרים באפשרות Secure Source Manager Instance Accessor (roles/securesourcemanager.instanceAccessor). התפקיד הזה מעניק גישה למופע, אבל לא מעניק הרשאות צפייה במאגר.
    • כדי להעניק גישת קריאה בלבד למאגרי קוד, בוחרים באפשרות Secure Source Manager Repository Reader (roles/securesourcemanager.repoReader). המשתמשים צריכים גם את התפקיד Instance Accessor כדי לגשת למאגרי קוד דרך ממשק האינטרנט של Secure Source Manager.
    • כדי לאפשר יצירה ושינוי של מאגרי מידע, בוחרים באפשרות Secure Source Manager Instance Repository Creator (roles/securesourcemanager.instanceRepositoryCreator).
    • כדי להעניק גישה אדמיניסטרטיבית מלאה למופע, בוחרים באפשרות בעלים של מופע Secure Source Manager (roles/securesourcemanager.instanceOwner).

  5. לוחצים על Save.

הענקת גישה למשתמש יחיד

כדי להעניק למשתמש יחיד גישה למופע, משתמשים בפקודה הבאה של Google Cloud CLI:

  gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
      --project=PROJECT_ID \
      --region=REGION \
      --member=PRINCIPAL_IDENTIFIER \
      --role=roles/securesourcemanager.instanceAccessor

מחליפים את מה שכתוב בשדות הבאים:

  • INSTANCE_ID במזהה המופע.
  • ‫PROJECT_ID עם מזהה הפרויקט או מספר הפרויקט של המופע.
  • REGION עם האזור שבו נמצאת המכונה. אפשר לעיין במאמרי העזרה בנושא מיקומים כדי לראות את האזורים שבהם Secure Source Manager זמין.

  • ‫PRINCIPAL_IDENTIFIER במזהה של החשבון הראשי שרוצים להקצות לו את התפקיד.

    לדוגמה, כדי להעניק את התפקיד למשתמש יחיד באמצעות כתובת האימייל שלו, צריך לעצב את מזהה הגורם המורשה כ-user:EMAIL, כאשר EMAIL היא כתובת האימייל של המשתמש.

    מידע נוסף על מזהי ישויות מורשות נתמכים מופיע במאמר מזהי ישויות מורשות.

לדוגמה, הפקודה הבאה מעניקה למשתמש trusted-user1@gmail.com את התפקיד roles/securesourcemanager.instanceAccessor במופע my-instance, בפרויקט my-project באזור us-central.

  gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
      --project=my-project \
      --region=us-central1 \
      --member=user:trusted-user1@gmail.com \
      --role=roles/securesourcemanager.instanceAccessor

הענקת גישה לכמה משתמשים

כדי להעניק גישה לכמה משתמשים, מומלץ ליצור קבוצת Google שכוללת את כל המשתמשים הפוטנציאליים, כמו כל המפתחים.

לאחר מכן תוכלו להקצות לקבוצה תפקיד אחד או יותר מהתפקידים הבאים:

  • ‫Instance Accessor (roles/securesourcemanager.instanceAccessor): צפייה במופע.
  • יצירת מאגר מופעים (roles/securesourcemanager.instanceRepositoryCreator): יצירה ושינוי של מאגרים.
  • Instance Owner (roles/securesourcemanager.instanceOwner): ניהול מלא של המופע.

הוראות להקצאת תפקידים לקבוצה מופיעות במאמר הענקת גישה למספר חשבונות משתמשים במסמכי התיעוד של IAM.

המאמרים הבאים