Concedere e revocare l'accesso

Console

1. Accedi alla console GDC.
2. Seleziona un'organizzazione o un progetto dal selettore di ambito.
   • Per configurare i binding dei ruoli per un'organizzazione, seleziona un'organizzazione.
   • Per configurare i binding dei ruoli per un progetto, seleziona un progetto.
3. Nel menu di navigazione, fai clic su Identity and Access Management > Accesso.
4. Fai clic su Aggiungi membro.
5. Scegli se aggiungere singoli utenti o gruppi.
6. Nell'elenco Provider di identità, seleziona un provider di identità.
7. Nel campo Nome utente o alias del gruppo, inserisci il nome utente, l'indirizzo email o l'alias.
8. Nell'elenco Ruolo, seleziona il ruolo che vuoi assegnare all'utente o al gruppo, ad esempio Visualizzatore organizzazione a livello di organizzazione o Creatore progetto a livello di progetto.
9. Fai clic su Aggiungi.

Il membro viene visualizzato nell'elenco Membri autorizzati.

gdcloud

1. Assicurati di aver installato gcloud CLI.

2. Accedi utilizzando il comando gdcloud auth login per autenticarti con il tuo provider di identità. Per ulteriori informazioni, consulta l'autenticazione di gcloud CLI.

3. Configura le associazioni di ruoli.

   • Configura i binding dei ruoli per un'organizzazione:

     gdcloud organizations add-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Sostituisci le seguenti variabili:

     • ORGANIZATION: il nome dell'organizzazione per cui stai configurando l'associazione del ruolo.
     • USER_ACCOUNT: l'account utente a cui vuoi concedere il ruolo. Questo flag accetta un indirizzo email utente con il prefisso del provider di identità (user:idpprefix-user@example.com) o un nome account di servizio con il progetto del account di servizio (serviceAccount:projectName:serviceAccountName).
     • ROLE: il nome del ruolo predefinito o personalizzato che vuoi assegnare all'utente.

   • Configura le associazioni di ruoli per un progetto:

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Sostituisci le seguenti variabili:

     • PROJECT: il nome del progetto per cui stai configurando l'associazione di ruoli.
     • USER_ACCOUNT: l'account utente a cui vuoi concedere il ruolo. Questo flag accetta un indirizzo email utente con il prefisso del provider di identità (user:idpprefix-user@example.com) o un nome account di servizio con il progetto del account di servizio (serviceAccount:projectName:serviceAccountName).
     • ROLE: il nome del ruolo predefinito o personalizzato che vuoi assegnare all'utente.

API

1. Esporta le credenziali utente che utilizzi:

   export GLOBAL_API_SERVER_KUBECONFIG=GLOBAL_API_SERVER_KUBECONFIG
   

2. Esporta l'account utente a cui vuoi assegnare il ruolo, incluso il prefisso del provider di identità (ad esempio idpprefix-paul@example.com):

   export USERNAME=IDP_PREFIX-USER_EMAIL
   

3. Esporta il nome del ruolo di cui ha bisogno l'utente, ad esempio project-creator. Consulta le definizioni dei ruoli per trovare il ruolo corrispondente.

   export ROLE_NAME=ROLE_NAME
   

4. Esporta lo spazio dei nomi in cui deve essere creato il binding:

   export BINDING_NAMESPACE=BINDING_NAMESPACE
   

   Sostituisci BINDING_NAMESPACE con platform per i ruoli con ambito organizzazione o con il nome dello spazio dei nomi del progetto di destinazione per i ruoli con ambito progetto.

   Consulta Definizioni dei ruoli per un elenco dei ruoli e del loro ambito.

5. Crea e applica una risorsa personalizzata IAMRoleBinding:

   cat <<EOF | kubectl --kubeconfig ${GLOBAL_API_SERVER_KUBECONFIG} apply -f -
   apiVersion: iam.global.gdc.goog/v1
   kind: IAMRoleBinding
   metadata:
     name: ${USERNAME}-${ROLE_NAME}-binding
     namespace: ${BINDING_NAMESPACE}
   spec:
     roleRef:
       apiGroup: iam.global.gdc.goog
       kind: IAMRole
       name: ${ROLE_NAME}
     subjects:
     - apiGroup: rbac.authorization.k8s.io
       kind: User
       name: ${USERNAME}
   EOF
   

Console

1. Accedi alla console GDC.
2. Nel menu di navigazione, fai clic su Identity and Access Management > Accesso.
3. Nell'elenco Membri autorizzati, seleziona un membro.
4. Fai clic su Rimuovi membro.
5. Quando richiesto, fai clic su Rimuovi membro per confermare.

gdcloud

1. Assicurati di aver installato gcloud CLI.

2. Accedi utilizzando il comando gdcloud auth login per autenticarti con il tuo provider di identità. Per ulteriori informazioni, consulta l'autenticazione di gcloud CLI.

3. Rimuovi le associazioni di ruolo.

   • Rimuovi le associazioni di ruolo per un'organizzazione:

     gdcloud organizations remove-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Sostituisci le seguenti variabili:

     • ORGANIZATION: il nome dell'organizzazione da cui stai rimuovendo l'associazione di ruolo.
     • USER_ACCOUNT: l'account utente da cui vuoi rimuovere il ruolo. Questo flag accetta un indirizzo email utente con il prefisso del provider di identità (user:idpprefix-user@example.com) o un nome account di servizio con il progetto del account di servizio (serviceAccount:projectName:serviceAccountName).
     • ROLE: il nome del ruolo predefinito o personalizzato che vuoi rimuovere dall'account utente.

   • Rimuovi le associazioni di ruolo per un progetto:

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Sostituisci le seguenti variabili:

     • PROJECT: il nome del progetto da cui stai rimuovendo l'associazione del ruolo.
     • USER_ACCOUNT: l'account utente da cui vuoi rimuovere il ruolo. Questo flag accetta un indirizzo email utente con il prefisso del provider di identità (user:idpprefix-user@example.com) o un nome account di servizio con il progetto del account di servizio (serviceAccount:projectName:serviceAccountName).
     • ROLE: il nome del ruolo predefinito o personalizzato che vuoi rimuovere dall'account utente.

API

Elimina IAMRoleBinding per revocare l'autorizzazione concessa all'account PA:

kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG \
delete iamrolebinding USERNAME-ROLE_NAME-binding -n BINDING_NAMESPACE

Sostituisci quanto segue:

• GLOBAL_API_SERVER_KUBECONFIG: il percorso del file kubeconfig per accedere al server API globale.
• USERNAME: l'account utente per il quale vuoi rimuovere il ruolo, incluso il prefisso del provider di identità (ad esempio idpprefix-paul@example.com).
• ROLE_NAME: il nome del ruolo che vuoi rimuovere, ad esempio project-creator.
• BINDING_NAMESPACE: sostituisci con platform per i ruoli con ambito organizzazione o con il nome dello spazio dei nomi del progetto di destinazione per i ruoli con ambito progetto.