Zugriff gewähren und widerrufen

Console

1. Melden Sie sich in der GDC-Konsole an.
2. Wählen Sie im Bereichsauswahlfeld eine Organisation oder ein Projekt aus.
   • Wenn Sie Rollenbindungen für eine Organisation einrichten möchten, wählen Sie eine Organisation aus.
   • Wählen Sie ein Projekt aus, um Rollenbindungen für ein Projekt einzurichten.
3. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Zugriff.
4. Klicken Sie auf Mitglied hinzufügen.
5. Wählen Sie aus, ob Sie einzelne Nutzer oder Gruppen hinzufügen möchten.
6. Wählen Sie in der Liste Identitätsanbieter einen Identitätsanbieter aus.
7. Geben Sie im Feld Nutzername oder Gruppenalias den Nutzernamen, die E-Mail-Adresse oder den Alias ein.
8. Wählen Sie in der Liste Rolle die Rolle aus, die Sie dem Nutzer oder der Gruppe zuweisen möchten, z. B. Organisationsbetrachter auf Organisationsebene oder Projektersteller auf Projektebene.
9. Klicken Sie auf Hinzufügen.

Das Mitglied wird in der Liste Autorisiertes Mitglied angezeigt.

gdcloud

1. Prüfen Sie, ob die gcloud CLI installiert ist.

2. Melden Sie sich mit dem Befehl gdcloud auth login an, um sich bei Ihrem Identitätsanbieter zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierung für die gcloud CLI.

3. Rollenbindungen einrichten

   • Rollenbindungen für eine Organisation einrichten:

     gdcloud organizations add-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • ORGANIZATION: Der Name der Organisation, für die Sie die Rollenbindung einrichten.
     • USER_ACCOUNT: Das Nutzerkonto, dem Sie die Rolle zuweisen möchten. Für dieses Flag kann entweder eine Nutzer-E-Mail-Adresse mit dem Identitätsanbieterpräfix (user:idpprefix-user@example.com) oder ein Dienstkontoname mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName) angegeben werden.
     • ROLE: der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie dem Nutzer zuweisen möchten.

   • Rollenbindungen für ein Projekt einrichten:

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • PROJECT: der Name des Projekts, für das Sie die Rollenbindung einrichten.
     • USER_ACCOUNT: Das Nutzerkonto, dem Sie die Rolle zuweisen möchten. Für dieses Flag kann entweder eine Nutzer-E-Mail-Adresse mit dem Identitätsanbieterpräfix (user:idpprefix-user@example.com) oder ein Dienstkontoname mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName) angegeben werden.
     • ROLE: der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie dem Nutzer zuweisen möchten.

API

1. Exportieren Sie die Anmeldedaten, die Sie verwenden:

   export GLOBAL_API_SERVER_KUBECONFIG=GLOBAL_API_SERVER_KUBECONFIG
   

2. Exportieren Sie das Nutzerkonto, dem Sie die Rolle zuweisen möchten, einschließlich des Identitätsanbieterpräfixes (z. B. idpprefix-paul@example.com):

   export USERNAME=IDP_PREFIX-USER_EMAIL
   

3. Exportieren Sie den Namen der Rolle, die der Nutzer benötigt, z. B. project-creator. Die entsprechende Rolle finden Sie unter Rollendefinitionen.

   export ROLE_NAME=ROLE_NAME
   

4. Exportieren Sie den Namespace, in dem die Bindung erstellt werden muss:

   export BINDING_NAMESPACE=BINDING_NAMESPACE
   

   Ersetzen Sie BINDING_NAMESPACE durch platform für Rollen mit Organisationsbereich oder durch den Namen des Namespace des Zielprojekts für Rollen mit Projektbereich.

   Eine Liste der Rollen und ihres Bereichs finden Sie unter Rollendefinitionen.

5. Benutzerdefinierte IAMRoleBinding-Ressource erstellen und anwenden:

   cat <<EOF | kubectl --kubeconfig ${GLOBAL_API_SERVER_KUBECONFIG} apply -f -
   apiVersion: iam.global.gdc.goog/v1
   kind: IAMRoleBinding
   metadata:
     name: ${USERNAME}-${ROLE_NAME}-binding
     namespace: ${BINDING_NAMESPACE}
   spec:
     roleRef:
       apiGroup: iam.global.gdc.goog
       kind: IAMRole
       name: ${ROLE_NAME}
     subjects:
     - apiGroup: rbac.authorization.k8s.io
       kind: User
       name: ${USERNAME}
   EOF
   

Console

1. Melden Sie sich in der GDC-Konsole an.
2. Klicken Sie im Navigationsmenü auf Identität und Zugriff > Zugriff.
3. Wählen Sie in der Liste Autorisierte Mitglieder ein Mitglied aus.
4. Klicken Sie auf Mitglied entfernen.
5. Wenn Sie dazu aufgefordert werden, klicken Sie zur Bestätigung auf Mitglied entfernen.

gdcloud

1. Prüfen Sie, ob die gcloud CLI installiert ist.

2. Melden Sie sich mit dem Befehl gdcloud auth login an, um sich bei Ihrem Identitätsanbieter zu authentifizieren. Weitere Informationen finden Sie unter Authentifizierung für die gcloud CLI.

3. Entfernen Sie Rollenbindungen.

   • So entfernen Sie Rollenbindungen für eine Organisation:

     gdcloud organizations remove-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • ORGANIZATION: Der Name der Organisation, aus der Sie die Rollenbindung entfernen.
     • USER_ACCOUNT: Das Nutzerkonto, aus dem Sie die Rolle entfernen möchten. Für dieses Flag kann entweder eine Nutzer-E-Mail-Adresse mit dem Identitätsanbieterpräfix (user:idpprefix-user@example.com) oder ein Dienstkontoname mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName) angegeben werden.
     • ROLE: Der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie aus dem Nutzerkonto entfernen möchten.

   • Rollenbindungen für ein Projekt entfernen:

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Ersetzen Sie die folgenden Variablen:

     • PROJECT: Der Name des Projekts, aus dem Sie die Rollenbindung entfernen.
     • USER_ACCOUNT: Das Nutzerkonto, aus dem Sie die Rolle entfernen möchten. Für dieses Flag kann entweder eine Nutzer-E-Mail-Adresse mit dem Identitätsanbieterpräfix (user:idpprefix-user@example.com) oder ein Dienstkontoname mit dem Dienstkontoprojekt (serviceAccount:projectName:serviceAccountName) angegeben werden.
     • ROLE: Der Name der vordefinierten oder benutzerdefinierten Rolle, die Sie aus dem Nutzerkonto entfernen möchten.

API

Löschen Sie die IAMRoleBinding, um die dem PA-Konto gewährte Berechtigung zu widerrufen:

kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG \
delete iamrolebinding USERNAME-ROLE_NAME-binding -n BINDING_NAMESPACE

Ersetzen Sie Folgendes:

• GLOBAL_API_SERVER_KUBECONFIG: der Pfad zur kubeconfig-Datei für den Zugriff auf den globalen API-Server.
• USERNAME: Das Nutzerkonto, für das Sie die Rolle entfernen möchten, einschließlich des Identitätsanbieter-Präfixes (z. B. idpprefix-paul@example.com).
• ROLE_NAME: Der Name der Rolle, die Sie entfernen möchten, z. B. project-creator.
• BINDING_NAMESPACE: Ersetzen Sie dies durch platform für Rollen auf Organisationsebene oder durch den Namen des Namespace des Zielprojekts für Rollen auf Projektebene.