הענקת גישה למופע למשתמשים

בדף הזה מוסבר איך לתת למשתמשים גישה למכונה של Secure Source Manager באמצעות ניהול זהויות והרשאות גישה (IAM). למידע נוסף על בקרת גישה ב-Secure Source Manager, קראו את המאמר בקרת גישה באמצעות IAM.

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות כדי לתת למשתמשים גישה למכונה, צריך לבקש מהאדמין להקצות לכם את התפקיד בעלים של מכונה ב-Secure Source Manager (roles/securesourcemanager.instanceOwner) ב-IAM במכונה של Secure Source Manager. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

במאמר בקרת גישה באמצעות IAM מוסבר איך נותנים תפקידים ב-Secure Source Manager.

מתן גישה למשתמשים באיחוד שירותי אימות הזהות של כוח העבודה

אם אתם משתמשים באיחוד שירותי אימות הזהות של כוח העבודה כדי לגשת ל-Secure Source Manager, חשבונות המשתמשים מיוצגים באופן שונה. למידע נוסף על מתן גישה לחשבונות משתמשים שמייצגים קבוצות של זהויות, קראו את המאמר ייצוג המשתמשים במאגרי כוח עבודה בכללי מדיניות IAM.

לדוגמה, הפקודה הבאה נותנת למשתמש user@example.com את התפקיד "גישה למכונה" (roles/securesourcemanager.instanceAccessor) במאגר כוח העבודה my-pool במכונה my-instance בפרויקט my-project באזור us-central1:

  gcloud source-manager instances add-iam-policy-binding my-instance \
      --project=my-project \
      --region=us-central1 \
      --member=principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/user@example.com \
      --role=roles/securesourcemanager.instanceAccessor

אתם יכולים להקצות למשתמשים או לקבוצות במאגר הזהויות של כוח העבודה, על סמך המאפיינים של ספק הזהויות (IdP), או להשתמש ב-Common Expression Language (CEL) כדי למפות את מאפייני ה-OIDC למאפיינים בהתאמה אישית, כדי להגדיר אסטרטגיית הרשאות במדיניות ה-IAM. מידע נוסף על מיפוי מאפיינים זמין במאמר מיפוי מאפיינים.

איך נותנים גישה למכונה במסוף Google Cloud

  1. נכנסים לדף IAM במסוף Google Cloud .

    כניסה לדף IAM

  2. לוחצים על הענקת גישה.

  3. בשדה New principals, מזינים את כתובת האימייל של המשתמש או הקבוצה שרוצים לתת להם גישה.

  4. בוחרים תפקיד מהרשימה Select a role.

    • כדי לתת גישה לצפייה בלבד למכונה, בוחרים באפשרות Secure Source Manager Instance Accessor ‏(roles/securesourcemanager.instanceAccessor). התפקיד הזה נותן גישה למכונה, אבל לא נותן הרשאות צפייה במאגר.
    • כדי לתת הרשאת קריאה בלבד למאגרים, בוחרים באפשרות Secure Source Manager Repository Reader (roles/securesourcemanager.repoReader). המשתמשים צריכים גם את התפקיד Instance Accessor כדי לגשת למאגרים דרך ממשק האינטרנט של Secure Source Manager.
    • כדי לאפשר יצירה ושינוי של מאגרים, בוחרים באפשרות Secure Source Manager Instance Repository Creator (roles/securesourcemanager.instanceRepositoryCreator).
    • כדי לתת הרשאת אדמין מלאה למכונה, בוחרים באפשרות Secure Source Manager Instance Owner (roles/securesourcemanager.instanceOwner).

  5. לוחצים על Save.

איך נותנים גישה למשתמש יחיד

כדי לתת למשתמש אחד גישה למכונה, משתמשים בפקודה הבאה של Google Cloud CLI:

  gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
      --project=PROJECT_ID \
      --region=REGION \
      --member=PRINCIPAL_IDENTIFIER \
      --role=roles/securesourcemanager.instanceAccessor

מחליפים את מה שכתוב בשדות הבאים:

  • ‫INSTANCE_ID במזהה המכונה.
  • ‫PROJECT_ID במזהה הפרויקט או במספר הפרויקט של המכונה.
  • ‫REGION באזור שבו נמצא המכונה. במאמרי העזרה בנושא מיקומים מפורטים האזורים שבהם Secure Source Manager זמין.

  • ‫PRINCIPAL_IDENTIFIER במזהה של החשבון הראשי שרוצים לתת לו את התפקיד.

    לדוגמה, כדי להקצות את התפקיד למשתמש יחיד באמצעות כתובת האימייל שלו, צריך להזין את מזהה החשבון בפורמט user:EMAIL, כאשר EMAIL היא כתובת האימייל של המשתמש.

    מידע נוסף על מזהי חשבונות משתמשים נתמכים מופיע במאמר מזהים של חשבונות משתמשים.

לדוגמה, הפקודה הבאה נותנת למשתמש trusted-user1@gmail.com את התפקיד roles/securesourcemanager.instanceAccessor במכונה my-instance, בפרויקט my-project באזור us-central.

  gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
      --project=my-project \
      --region=us-central1 \
      --member=user:trusted-user1@gmail.com \
      --role=roles/securesourcemanager.instanceAccessor

מתן גישה לריבוי משתמשים

כדי לתת גישה למספר משתמשים, מומלץ ליצור קבוצה ב-Google שכוללת את כל המשתמשים הפוטנציאליים, כמו כל המפתחים.

אחרי זה, אתם יכולים להקצות לקבוצה אחד או יותר מהתפקידים הבאים:

  • גישה למכונה (roles/securesourcemanager.instanceAccessor): צפייה במכונה.
  • יצירת מאגרים של מכונות (roles/securesourcemanager.instanceRepositoryCreator): יצירה ושינוי של מאגרים.
  • בעלי המכונה (roles/securesourcemanager.instanceOwner): ניהול מלא של המכונה.

במאמר מתן גישה למספר חשבונות משתמשים שבמסמכי התיעוד של IAM מוסבר איך נותנים תפקידים לקבוצה.

המאמרים הבאים