Accorder et révoquer l'accès

Console

1. Connectez-vous à la console GDC.
2. Sélectionnez une organisation ou un projet dans le sélecteur de couverture.
   • Pour configurer des liaisons de rôle pour une organisation, sélectionnez-la.
   • Pour configurer des liaisons de rôle pour un projet, sélectionnez-le.
3. Dans le menu de navigation, cliquez sur Identité et accès > Accès.
4. Cliquez sur Ajouter un membre.
5. Indiquez si vous souhaitez ajouter des utilisateurs individuels ou des groupes.
6. Dans la liste Fournisseur d'identité, sélectionnez un fournisseur d'identité.
7. Dans le champ Nom d'utilisateur ou alias de groupe, saisissez le nom d'utilisateur, l'adresse e-mail ou l'alias.
8. Dans la liste Rôle, sélectionnez le rôle que vous souhaitez attribuer à l'utilisateur ou au groupe, par exemple Lecteur d'organisation au niveau de l'organisation ou Créateur de projet au niveau du projet.
9. Cliquez sur Ajouter.

Le membre apparaît dans la liste Membre autorisé.

gdcloud

1. Assurez-vous d'avoir installé gdcloud CLI.

2. Connectez-vous à l'aide de la commande gdcloud auth login pour vous authentifier auprès de votre fournisseur d'identité. Pour en savoir plus, consultez la section Authentification gdcloud CLI.

3. Configurez les liaisons de rôle.

   • Configurez des liaisons de rôle pour une organisation :

     gdcloud organizations add-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Remplacez les variables suivantes :

     • ORGANIZATION : nom de l'organisation pour laquelle vous configurez l'association de rôle.
     • USER_ACCOUNT : compte utilisateur auquel vous souhaitez attribuer le rôle. Cet indicateur accepte une adresse e-mail d'utilisateur avec le préfixe du fournisseur d'identité (user:idpprefix-user@example.com) ou un nom de compte de service avec le projet de compte de service (serviceAccount:projectName:serviceAccountName).
     • ROLE : nom du rôle prédéfini ou personnalisé que vous souhaitez attribuer à l'utilisateur.

   • Configurez des liaisons de rôle pour un projet :

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Remplacez les variables suivantes :

     • PROJECT : nom du projet pour lequel vous configurez l'association de rôle.
     • USER_ACCOUNT : compte utilisateur auquel vous souhaitez attribuer le rôle. Cet indicateur accepte une adresse e-mail d'utilisateur avec le préfixe du fournisseur d'identité (user:idpprefix-user@example.com) ou un nom de compte de service avec le projet de compte de service (serviceAccount:projectName:serviceAccountName).
     • ROLE : nom du rôle prédéfini ou personnalisé que vous souhaitez attribuer à l'utilisateur.

API

1. Exportez les identifiants utilisateur que vous utilisez :

   export GLOBAL_API_SERVER_KUBECONFIG=GLOBAL_API_SERVER_KUBECONFIG
   

2. Exportez le compte utilisateur auquel vous souhaitez attribuer le rôle, y compris le préfixe du fournisseur d'identité (par exemple, idpprefix-paul@example.com) :

   export USERNAME=IDP_PREFIX-USER_EMAIL
   

3. Exportez le nom du rôle dont l'utilisateur a besoin, par exemple project-creator. Consultez les définitions des rôles pour trouver le rôle correspondant.

   export ROLE_NAME=ROLE_NAME
   

4. Exportez l'espace de noms dans lequel la liaison doit être créée :

   export BINDING_NAMESPACE=BINDING_NAMESPACE
   

   Remplacez BINDING_NAMESPACE par platform pour les rôles à l'échelle de l'organisation, ou par le nom de l'espace de noms du projet cible pour les rôles à l'échelle du projet.

   Pour obtenir la liste des rôles et de leur champ d'application, consultez Définitions des rôles.

5. Créez et appliquez une ressource personnalisée IAMRoleBinding :

   cat <<EOF | kubectl --kubeconfig ${GLOBAL_API_SERVER_KUBECONFIG} apply -f -
   apiVersion: iam.global.gdc.goog/v1
   kind: IAMRoleBinding
   metadata:
     name: ${USERNAME}-${ROLE_NAME}-binding
     namespace: ${BINDING_NAMESPACE}
   spec:
     roleRef:
       apiGroup: iam.global.gdc.goog
       kind: IAMRole
       name: ${ROLE_NAME}
     subjects:
     - apiGroup: rbac.authorization.k8s.io
       kind: User
       name: ${USERNAME}
   EOF
   

Console

1. Connectez-vous à la console GDC.
2. Dans le menu de navigation, cliquez sur Identité et accès > Accès.
3. Dans la liste Membres autorisés, sélectionnez un membre.
4. Cliquez sur Supprimer le membre.
5. Lorsque vous y êtes invité, cliquez sur Supprimer le membre pour confirmer.

gdcloud

1. Assurez-vous d'avoir installé gdcloud CLI.

2. Connectez-vous à l'aide de la commande gdcloud auth login pour vous authentifier auprès de votre fournisseur d'identité. Pour en savoir plus, consultez la section Authentification gdcloud CLI.

3. Supprimez les liaisons de rôle.

   • Supprimez les liaisons de rôle pour une organisation :

     gdcloud organizations remove-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Remplacez les variables suivantes :

     • ORGANIZATION : nom de l'organisation à partir de laquelle vous supprimez l'association de rôle.
     • USER_ACCOUNT : compte utilisateur dont vous souhaitez supprimer le rôle. Cet indicateur accepte une adresse e-mail d'utilisateur avec le préfixe du fournisseur d'identité (user:idpprefix-user@example.com) ou un nom de compte de service avec le projet de compte de service (serviceAccount:projectName:serviceAccountName).
     • ROLE : nom du rôle prédéfini ou personnalisé que vous souhaitez supprimer du compte utilisateur.

   • Supprimez les liaisons de rôle pour un projet :

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Remplacez les variables suivantes :

     • PROJECT : nom du projet à partir duquel vous supprimez l'association de rôle.
     • USER_ACCOUNT : compte utilisateur dont vous souhaitez supprimer le rôle. Cet indicateur accepte une adresse e-mail d'utilisateur avec le préfixe du fournisseur d'identité (user:idpprefix-user@example.com) ou un nom de compte de service avec le projet de compte de service (serviceAccount:projectName:serviceAccountName).
     • ROLE : nom du rôle prédéfini ou personnalisé que vous souhaitez supprimer du compte utilisateur.

API

Supprimez IAMRoleBinding pour révoquer l'autorisation accordée au compte PA :

kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG \
delete iamrolebinding USERNAME-ROLE_NAME-binding -n BINDING_NAMESPACE

Remplacez les éléments suivants :

• GLOBAL_API_SERVER_KUBECONFIG : chemin d'accès au fichier kubeconfig pour accéder au serveur d'API mondial.
• USERNAME : compte utilisateur pour lequel vous souhaitez supprimer le rôle, y compris le préfixe du fournisseur d'identité (par exemple, idpprefix-paul@example.com).
• ROLE_NAME : nom du rôle que vous souhaitez supprimer, par exemple project-creator.
• BINDING_NAMESPACE : remplacez par platform pour les rôles à portée d'organisation ou par le nom de l'espace de noms du projet cible pour les rôles à portée de projet.