Conceder e revogar acesso

Console

1. Faça login no console do GDC.
2. Selecione uma organização ou um projeto no seletor de escopo.
   • Para configurar vinculações de função em uma organização, selecione uma organização.
   • Para configurar vinculações de função em um projeto, selecione um projeto.
3. No menu de navegação, clique em Identidade e acesso > Acesso.
4. clique em Adicionar membro;
5. Escolha se quer adicionar usuários individuais ou grupos.
6. Na lista Provedor de identidade, selecione uma opção.
7. No campo Nome de usuário ou alias do grupo, insira o nome de usuário, o endereço de e-mail ou o alias.
8. Na lista Papel, selecione o papel que você quer atribuir ao usuário ou grupo, como Visualizador da organização no nível da organização ou Criador de projetos no nível do projeto.
9. Clique em Adicionar.

O membro aparece na lista Membro autorizado.

gdcloud

1. Verifique se você instalou a CLI gdcloud.

2. Faça login usando o comando gdcloud auth login para autenticar com seu provedor de identidade. Para mais informações, consulte a autenticação da CLI gdcloud.

3. Configure as vinculações de função.

   • Configurar vinculações de papéis para uma organização:

     gdcloud organizations add-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Substitua as seguintes variáveis:

     • ORGANIZATION: o nome da organização para a qual você está configurando a vinculação de função.
     • USER_ACCOUNT: a conta de usuário a que você quer conceder o papel. Essa flag aceita um endereço de e-mail do usuário com o prefixo do provedor de identidade (user:idpprefix-user@example.com) ou um nome de conta de serviço com o projeto da conta de serviço (serviceAccount:projectName:serviceAccountName).
     • ROLE: o nome da função predefinida ou personalizada que você quer atribuir ao usuário.

   • Configure vinculações de papéis para um projeto:

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Substitua as seguintes variáveis:

     • PROJECT: o nome do projeto para o qual você está configurando a vinculação de função.
     • USER_ACCOUNT: a conta de usuário a que você quer conceder o papel. Essa flag aceita um endereço de e-mail do usuário com o prefixo do provedor de identidade (user:idpprefix-user@example.com) ou um nome de conta de serviço com o projeto da conta de serviço (serviceAccount:projectName:serviceAccountName).
     • ROLE: o nome da função predefinida ou personalizada que você quer atribuir ao usuário.

API

1. Exporte a credencial de usuário que você usa:

   export GLOBAL_API_SERVER_KUBECONFIG=GLOBAL_API_SERVER_KUBECONFIG
   

2. Exporte a conta de usuário a que você quer atribuir a função, incluindo o prefixo do provedor de identidade (como idpprefix-paul@example.com):

   export USERNAME=IDP_PREFIX-USER_EMAIL
   

3. Exporte o nome da função que o usuário precisa, como project-creator. Consulte Definições de papéis para encontrar o papel adequado.

   export ROLE_NAME=ROLE_NAME
   

4. Exporte o namespace em que a vinculação precisa ser criada:

   export BINDING_NAMESPACE=BINDING_NAMESPACE
   

   Substitua BINDING_NAMESPACE por platform para papéis no escopo da organização ou pelo nome do namespace do projeto de destino para papéis no escopo do projeto.

   Consulte Definições de papéis para conferir uma lista de papéis e o escopo deles.

5. Crie e aplique um recurso personalizado IAMRoleBinding:

   cat <<EOF | kubectl --kubeconfig ${GLOBAL_API_SERVER_KUBECONFIG} apply -f -
   apiVersion: iam.global.gdc.goog/v1
   kind: IAMRoleBinding
   metadata:
     name: ${USERNAME}-${ROLE_NAME}-binding
     namespace: ${BINDING_NAMESPACE}
   spec:
     roleRef:
       apiGroup: iam.global.gdc.goog
       kind: IAMRole
       name: ${ROLE_NAME}
     subjects:
     - apiGroup: rbac.authorization.k8s.io
       kind: User
       name: ${USERNAME}
   EOF
   

Console

1. Faça login no console do GDC.
2. No menu de navegação, clique em Identidade e acesso > Acesso.
3. Na lista Membros autorizados, selecione um membro.
4. Clique em Remover membro.
5. Quando solicitado, clique em Remover participante para confirmar.

gdcloud

1. Verifique se você instalou a CLI gdcloud.

2. Faça login usando o comando gdcloud auth login para autenticar com seu provedor de identidade. Para mais informações, consulte a autenticação da CLI gdcloud.

3. Remova as vinculações de papéis.

   • Remover vinculações de papéis de uma organização:

     gdcloud organizations remove-iam-policy-binding ORGANIZATION \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Substitua as seguintes variáveis:

     • ORGANIZATION: o nome da organização de que você está removendo a vinculação de função.
     • USER_ACCOUNT: a conta de usuário de que você quer remover o papel. Essa flag aceita um endereço de e-mail do usuário com o prefixo do provedor de identidade (user:idpprefix-user@example.com) ou um nome de conta de serviço com o projeto da conta de serviço (serviceAccount:projectName:serviceAccountName).
     • ROLE: o nome da função predefinida ou personalizada que você quer remover da conta de usuário.

   • Remova as vinculações de papel de um projeto:

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role= ROLE
     

     Substitua as seguintes variáveis:

     • PROJECT: o nome do projeto de que você está removendo a vinculação de função.
     • USER_ACCOUNT: a conta de usuário de que você quer remover o papel. Essa flag aceita um endereço de e-mail do usuário com o prefixo do provedor de identidade (user:idpprefix-user@example.com) ou um nome de conta de serviço com o projeto da conta de serviço (serviceAccount:projectName:serviceAccountName).
     • ROLE: o nome da função predefinida ou personalizada que você quer remover da conta de usuário.

API

Exclua o IAMRoleBinding para revogar a permissão concedida à conta do PA:

kubectl --kubeconfig GLOBAL_API_SERVER_KUBECONFIG \
delete iamrolebinding USERNAME-ROLE_NAME-binding -n BINDING_NAMESPACE

Substitua:

• GLOBAL_API_SERVER_KUBECONFIG: o caminho para o arquivo kubeconfig para acessar o servidor da API global.
• USERNAME: a conta de usuário de que você quer remover o papel, incluindo o prefixo do provedor de identidade (como idpprefix-paul@example.com).
• ROLE_NAME: o nome do papel que você quer remover, como project-creator.
• BINDING_NAMESPACE: substitua por platform para papéis no escopo da organização ou o nome do namespace do projeto de destino para papéis no escopo do projeto.