在輸入和輸出規則中設定 IAM 角色

控制台

更新服務範圍的入站政策或在建立範圍時設定入站政策時，您可以使用 Google Cloud 主控台設定入站規則，以便使用 IAM 角色：

1. 在 Google Cloud 主控台中建立或編輯外圍時，請選取「入站政策」。

2. 在「Ingress rules」窗格中，選取現有的 ingress 規則，或按一下「Add an ingress rule」。

3. 在「To」部分的「Operations or IAM roles」清單中，選取「Select IAM roles (Preview)」。

4. 按一下「新增 IAM 角色」。

5. 在「新增 IAM 角色」窗格中，選取要允許的 IAM 角色。

   如要瞭解支援的服務和角色，請參閱「支援的產品」。

6. 按一下「新增所選 IAM 角色」。

7. 按一下 [完成]。

如要瞭解其他入站規則屬性，請參閱「入站規則參考資料」。

gcloud

您可以使用 JSON 檔案或 YAML 檔案，設定要使用 IAM 角色的入站規則。以下範例使用 YAML 格式：

- ingressFrom:
    identityType: ANY_IDENTITY | ANY_USER_ACCOUNT | ANY_SERVICE_ACCOUNT
    *OR*
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
      *OR*
    - accessLevel: ACCESS_LEVEL
  ingressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
    *OR*
    roles:
    - ROLE_NAME
    resources:
    - projects/PROJECT_NUMBER

將 ROLE_NAME 替換為定義規則中指定服務存取權範圍的 IAM 角色。指定單一角色或角色組合，其中包含存取服務所需的所有權限。如要指定角色，請使用「角色元件」中提到的角色名稱格式，但不包括以下格式：projects/PROJECT_ID/roles/IDENTIFIER。

如要瞭解支援的服務和角色，請參閱「支援的產品」。

如要瞭解其他入站規則屬性，請參閱「入站規則參考資料」。

更新現有的入站規則來設定 IAM 角色後，您需要更新服務範圍的規則政策：

gcloud access-context-manager perimeters update PERIMETER_ID --set-ingress-policies=RULE_POLICY.yaml

更改下列內容：

• PERIMETER_ID：您要更新的服務範圍 ID。
• RULE_POLICY：已修改的入站規則檔案路徑。

詳情請參閱「更新服務邊界輸入和輸出政策」。

控制台

使用 Google Cloud 主控台更新服務範圍的輸出政策或在建立範圍時設定輸出政策，您可以設定輸出規則以使用 IAM 角色：

1. 在 Google Cloud 主控台中建立或編輯外圍時，請選取「輸出政策」。

2. 在「Egress rules」窗格中，選取現有的輸出規則，或按一下「Add an egress rule」。

3. 在傳出政策的「To」部分，從「操作或 IAM 角色」清單中選取「選取 IAM 角色 (預先發布版)」。

4. 按一下「新增 IAM 角色」。

5. 在「新增 IAM 角色」窗格中，選取要允許的 IAM 角色。

   如要瞭解支援的服務和角色，請參閱「支援的產品」。

6. 按一下「新增所選 IAM 角色」。

7. 按一下 [完成]。

如要瞭解其他輸出規則屬性，請參閱輸出規則參考資料。

gcloud

您可以使用 JSON 檔案或 YAML 檔案，設定要使用 IAM 角色的出口規則。以下範例使用 YAML 格式：

- egressTo:
    operations:
    - serviceName: SERVICE_NAME
      methodSelectors:
      - method: METHOD_NAME
    *OR*
    roles:
    - ROLE_NAME
    resources:
    - projects/PROJECT_NUMBER
  egressFrom:
    identityType: ANY_IDENTITY | ANY_USER_ACCOUNT | ANY_SERVICE_ACCOUNT
    *OR*
    identities:
    - PRINCIPAL_IDENTIFIER
    sources:
    - resource: RESOURCE
      *OR*
    - accessLevel: ACCESS_LEVEL
    sourceRestriction: RESTRICTION_STATUS

將 ROLE_NAME 替換為定義規則中指定服務存取權範圍的 IAM 角色。指定單一角色或角色組合，其中包含存取服務所需的所有權限。如要指定角色，請使用「角色元件」中提到的角色名稱格式，但不包括以下格式：projects/PROJECT_ID/roles/IDENTIFIER。

如要瞭解支援的服務和角色，請參閱「支援的產品」。

如要瞭解其他輸出規則屬性，請參閱輸出規則參考資料。

更新現有的外出規則來設定 IAM 角色後，您需要更新服務範圍的規則政策：

gcloud access-context-manager perimeters update PERIMETER_ID --set-egress-policies=RULE_POLICY.yaml

更改下列內容：

• PERIMETER_ID：您要更新的服務範圍 ID。
• RULE_POLICY：已修改的輸出規則檔案路徑。

詳情請參閱「更新服務邊界輸入和輸出政策」。