Hierarki izin IAM di Ruang Apigee

Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.

Halaman ini berlaku untuk Apigee dan Apigee hybrid.

Baca dokumentasi Apigee Edge.

Halaman ini menjelaskan cara hierarki izin Identity and Access Management (IAM) diterapkan ke resource Apigee API (proxy API, alur bersama, dan produk API) dan turunannya saat menggunakan Ruang Apigee.

Interaksi IAM dengan Apigee Spaces

Secara umum, kebijakan IAM yang mengatur akses ke resource diwariskan melalui Google Cloud hierarki resource. Kebijakan IAM spesifik yang berlaku untuk resource tertentu mencakup kedua hal berikut:

• Kebijakan apa pun yang diterapkan langsung ke resource
• Kebijakan apa pun yang diwarisi resource dari ancestor-nya

Hierarki resource dan izin di Apigee

Di Apigee, bagian atas hierarki resource adalah resource organisasi. Resource turunan organisasi mencakup proxy API, alur bersama, dan produk API. Saat Anda menggunakan Apigee tanpa Ruang, izin diterapkan ke project Google Cloud , yang berkorelasi langsung dengan resource organisasi Apigee. Akibatnya, kebijakan IAM yang mengatur akses ke proxy API, alur bersama, atau produk API tertentu mencakup kebijakan apa pun yang diwarisi dari organisasi, selain kebijakan apa pun yang diterapkan langsung ke resource tertentu.

Hierarki resource dan izin dengan Ruang

Saat Anda menggunakan Apigee dengan Ruang, resource Ruang akan ditambahkan ke hierarki. Pertimbangkan skenario saat organisasi Apigee memiliki tiga proxy API, proxy-a, proxy-b, dan proxy-c. Dalam contoh ini, proxy-b dan proxy-c masing-masing dikaitkan dengan space-red dan space-blue. Saat Anda mengaitkan resource API dengan Ruang, atribut space akan ditetapkan pada resource.

Saat Anda melakukan panggilan API untuk mendapatkan detail proxy-c, endpoint API Anda akan mencerminkan hierarki resource yang sebenarnya, dengan proxy API adalah turunan organisasi dengan atribut Ruang, seperti yang ditunjukkan dalam contoh berikut:

curl -X GET -H "Authorization: Bearer $TOKEN" "https://apigee.googleapis.com/v1/organizations/org1/apis/proxy-c"
{
  "metaData": {
    "createdAt": "1725665197737",
    "lastModifiedAt": "1725665462105",
    "subType": "Proxy"
  },
  "name": "proxy-c",
  "revision": [
    "1"
  ],
  "apiProxyType": "PROGRAMMABLE",
  "space": "space-blue"
}

Meskipun jalur ke resource API yang terkait dengan Ruang tetap sama, hierarki izin IAM yang efektif akan berubah. Dalam contoh skenario kami, pemeriksaan izin IAM akan berperilaku seolah-olah resource API adalah turunan Ruang. Akibatnya, kebijakan IAM yang berlaku untuk resource API mencakup kebijakan yang diwarisi dari Ruang, selain kebijakan apa pun yang diterapkan langsung ke Ruang, seperti yang ditunjukkan pada gambar berikut:

Pemeriksaan kebijakan IAM untuk resource Ruang

Seperti yang disebutkan di bagian sebelumnya, saat proxy API, alur bersama, dan produk API dikaitkan dengan Ruang, resource tersebut akan diperlakukan sebagai resource turunan Ruang selama pemeriksaan kebijakan IAM. Hierarki resource yang efektif ini berlaku untuk semua sub-turunan proxy API, alur bersama, dan produk API.

Misalnya, Atribut Produk API adalah resource turunan dari produk API. Untuk mencantumkan semua atribut produk API product-a di organisasi Apigee org1, yang dikaitkan dengan ruang Apigee space-blue, jalur resource yang sebenarnya adalah GET organizations/org1/apiproduct/product-a/attributes. Namun, jalur yang diperiksa untuk izin IAM adalah organizations/org1/spaces/space-blue/apiproduct/product-a/attributes.

Pemeriksaan kebijakan IAM untuk deployment

Resource Environment tidak dikaitkan dengan Ruang. Namun, beberapa API yang ada telah diperbarui untuk mengaktifkan akses terperinci ke deployment dan sesi debug untuk proxy API dan alur bersama.

Perubahan pada pemeriksaan izin IAM untuk operasi deployment berikut pada resource di Ruang dijelaskan di bawah:

Pemeriksaan izin untuk sesi debug

Jika proxy API dikaitkan dengan Ruang, pemeriksaan izin IAM untuk sesi debug proxy telah berubah, seperti yang dijelaskan dalam tabel berikut: