Cómo otorgar y revocar el acceso

Console

1. Accede a la consola de GDC.
2. Selecciona una organización o un proyecto en el selector de alcance.
   • Para configurar vinculaciones de roles para una organización, selecciona una organización.
   • Para configurar vinculaciones de roles para un proyecto, selecciona uno.
3. En el menú de navegación, haz clic en Identidad y acceso > Acceso.
4. Haz clic en Agregar miembro.
5. Elige si quieres agregar usuarios individuales o grupos.
6. En la lista Proveedor de identidad, selecciona un proveedor de identidad.
7. En el campo Nombre de usuario o alias de grupo, ingresa el nombre de usuario, la dirección de correo electrónico o el alias.
8. En la lista Rol, selecciona el rol que deseas asignar al usuario o grupo, como Visualizador de la organización a nivel de la organización o Creador de proyecto a nivel del proyecto.
9. Haz clic en Agregar.

El miembro aparecerá en la lista Miembro autorizado.

gdcloud

1. Asegúrate de tener instalada la CLI de gcloud.

2. Accede con el comando gdcloud auth login para autenticarte con tu proveedor de identidad. Para obtener más información, consulta la autenticación de la CLI de gdcloud.

3. Configura las vinculaciones de roles.

   • Configura vinculaciones de roles para una organización:

     gdcloud organizations add-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Reemplaza las siguientes variables:

     • ORGANIZATION: Es el nombre de la organización para la que configuras la vinculación del rol.
     • USER_ACCOUNT: Es la cuenta de usuario a la que deseas otorgar el rol. Esta marca acepta una dirección de correo electrónico del usuario con el prefijo del proveedor de identidad (user:idpprefix-user@example.com) o un nombre de cuenta de servicio con el proyecto de la cuenta de servicio (serviceAccount:projectName:serviceAccountName).
     • ROLE: Es el nombre del rol predefinido o personalizado que deseas asignar al usuario.

   • Configura vinculaciones de roles para un proyecto:

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Reemplaza las siguientes variables:

     • PROJECT: Es el nombre del proyecto para el que configuras la vinculación del rol.
     • USER_ACCOUNT: Es la cuenta de usuario a la que deseas otorgar el rol. Esta marca acepta una dirección de correo electrónico del usuario con el prefijo del proveedor de identidad (user:idpprefix-user@example.com) o un nombre de cuenta de servicio con el proyecto de la cuenta de servicio (serviceAccount:projectName:serviceAccountName).
     • ROLE: Es el nombre del rol predefinido o personalizado que deseas asignar al usuario.

API

1. Exporta la credencial de usuario que usas:

   export GLOBAL_API_SERVER_KUBECONFIG=GLOBAL_API_SERVER_KUBECONFIG
   

2. Exporta la cuenta de usuario a la que deseas asignar el rol, incluido el prefijo del proveedor de identidad (como idpprefix-paul@example.com):

   export USERNAME=IDP_PREFIX-USER_EMAIL
   

3. Exporta el nombre del rol que necesita el usuario, como project-creator. Consulta Definiciones de roles para encontrar el rol correspondiente.

   export ROLE_NAME=ROLE_NAME
   

4. Exporta el espacio de nombres en el que se debe crear la vinculación:

   export BINDING_NAMESPACE=BINDING_NAMESPACE
   

   Reemplaza BINDING_NAMESPACE por platform para los roles con alcance en la organización o por el nombre del espacio de nombres del proyecto de destino para los roles con alcance en el proyecto.

   Consulta Definiciones de roles para obtener una lista de los roles y su alcance.

5. Crea y aplica un recurso personalizado IAMRoleBinding:

   cat <<EOF | kubectl --kubeconfig ${GLOBAL_API_SERVER_KUBECONFIG} apply -f -
   apiVersion: iam.global.gdc.goog/v1
   kind: IAMRoleBinding
   metadata:
     name: ${USERNAME}-${ROLE_NAME}-binding
     namespace: ${BINDING_NAMESPACE}
   spec:
     roleRef:
       apiGroup: iam.global.gdc.goog
       kind: IAMRole
       name: ${ROLE_NAME}
     subjects:
     - apiGroup: rbac.authorization.k8s.io
       kind: User
       name: ${USERNAME}
   EOF
   

Console

1. Accede a la consola de GDC.
2. En el menú de navegación, haz clic en Identidad y acceso > Acceso.
3. En la lista Miembros autorizados, selecciona un miembro.
4. Haz clic en Quitar miembro.
5. Cuando se te solicite, haz clic en Quitar miembro para confirmar.

gdcloud

1. Asegúrate de tener instalada la CLI de gcloud.

2. Accede con el comando gdcloud auth login para autenticarte con tu proveedor de identidad. Para obtener más información, consulta la autenticación de la CLI de gdcloud.

3. Quita las vinculaciones de roles.

   • Para quitar vinculaciones de roles de una organización, haz lo siguiente:

     gdcloud organizations remove-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Reemplaza las siguientes variables:

     • ORGANIZATION: Es el nombre de la organización de la que quitarás la vinculación del rol.
     • USER_ACCOUNT: Es la cuenta de usuario de la que deseas quitar el rol. Esta marca acepta una dirección de correo electrónico del usuario con el prefijo del proveedor de identidad (user:idpprefix-user@example.com) o un nombre de cuenta de servicio con el proyecto de la cuenta de servicio (serviceAccount:projectName:serviceAccountName).
     • ROLE: Es el nombre del rol predefinido o personalizado que deseas quitar de la cuenta de usuario.

   • Quita las vinculaciones de roles de un proyecto:

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Reemplaza las siguientes variables:

     • PROJECT: Es el nombre del proyecto del que quitas la vinculación del rol.
     • USER_ACCOUNT: Es la cuenta de usuario de la que deseas quitar el rol. Esta marca acepta una dirección de correo electrónico del usuario con el prefijo del proveedor de identidad (user:idpprefix-user@example.com) o un nombre de cuenta de servicio con el proyecto de la cuenta de servicio (serviceAccount:projectName:serviceAccountName).
     • ROLE: Es el nombre del rol predefinido o personalizado que deseas quitar de la cuenta de usuario.

API

Borra el IAMRoleBinding para revocar el permiso otorgado a la cuenta de PA:

kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG \
delete iamrolebinding USERNAME-ROLE_NAME-binding -n BINDING_NAMESPACE

Reemplaza lo siguiente:

• GLOBAL_API_SERVER_KUBECONFIG: Es la ruta de acceso al archivo kubeconfig para acceder al servidor de la API global.
• USERNAME: Es la cuenta de usuario para la que deseas quitar el rol, incluido el prefijo del proveedor de identidad (como idpprefix-paul@example.com).
• ROLE_NAME: Es el nombre del rol que deseas quitar, como project-creator.
• BINDING_NAMESPACE: Reemplaza con platform para los roles con alcance en la organización o con el nombre del espacio de nombres del proyecto de destino para los roles con alcance en el proyecto.