הענקת גישה לפרויקט באמצעות IAM

1. לפני שמתחילים

בשיעור הזה תלמדו איך להגדיר לקוח OAuth ואיך להשתמש במסוף Google Cloud כדי להקצות תפקידים לניהול זהויות והרשאות גישה (IAM) לחשבונות משתמשים בפרויקט שלכם.

דרישות מוקדמות

• יכולת לנווט במסוף Cloud.

מה תלמדו

• איך להגדיר את האפליקציה כלקוח OAuth.
• איך להגביל את הגישה לאפליקציה באמצעות ניהול זהויות והרשאות גישה (IAM).

למה תזדקק?

• דפדפן אינטרנט מודרני, כמו Google Chrome.
• חשבון Google (כמו חשבון Gmail או חשבון Google Workspace).
• גישה לחשבון Cloud Billing או לכרטיס אשראי שישמשו להרשמה לתקופת ניסיון בחינם.

2. יצירת פרויקט ב-Google Cloud והגדרת חשבון לחיוב

הערה: אם כבר הגדרתם פרויקט וחשבון לחיוב שאתם רוצים לעשות בהם שימוש חוזר, אתם יכולים לדלג על הקטע הזה.

1. נכנסים למסוף Cloud.

אזהרה: אם אתם עושים שימוש חוזר בפרויקט ומשלימים את Codelab הזה, יכול להיות שחלק מהמשתמשים יוכלו לגשת למשאבים בפרויקט הזה אם הם לא יכבו אותם בסיום.

2. עוברים לדף בורר הפרויקטים.
3. לוחצים על Create project.
4. נותנים שם לפרויקט ורושמים לעצמכם את מזהה הפרויקט שנוצר.
5. עורכים את שאר השדות לפי הצורך.

הערה: אם משתמשים בחשבון Gmail, אפשר להשאיר את מיקום ברירת המחדל בהגדרה ללא ארגון. אם אתם משתמשים בחשבון Google Workspace, חשוב לבחור מיקום שמתאים לארגון שלכם.

6. לוחצים על יצירה.
7. אם עדיין לא עשיתם זאת, עליכם להפעיל את החיוב במסוף Cloud כדי להשתמש במשאבים של Google Cloud.

אמנם ה-Codelab הזה לא אמור לעלות הרבה, אבל למעשה פועלים לפי ההוראות בקטע ניקוי כדי להשבית משאבים ולהימנע מעלויות מעבר ל-Codelab הזה. משתמשים חדשים ב-Google Cloud זכאים לתקופת ניסיון בחינם בסכום של 300 דולר ארה"ב.

3. הענקת גישה באמצעות IAM

בעזרת IAM תוכלו לתת למשתמשים גישה מבוססת-תפקידים בפרויקט ובמשאבים. בחלק הזה תשתמשו ב-IAM כדי להעניק למשתמש גישה לכמה תפקידים בפרויקט שלכם.

הפעלת ממשקי ה-API של IAM ושל מנהל המשאבים

1. בתפריט הניווט שבמסוף Cloud, לוחצים על APIs & שירותים.

2. בוחרים באפשרות ENABLE APIS & SERVICES.

3. מחפשים את IAM API ומפעילים אותו.
4. צריך לחפש את Resource Manager API ולהפעיל אותו.

מתן תפקידים באמצעות IAM

1. נכנסים לדף IAM.

שם הפרויקט יופיע בבורר הפרויקטים. באמצעות בורר הפרויקטים אתם יכולים לראות באיזה פרויקט אתם עובדים.

אם שם הפרויקט לא מופיע, בוחרים אותו באמצעות בורר הפרויקטים.

2. לוחצים על הוספה.
3. מזינים את כתובת האימייל של חשבון משתמש.
4. בתפריט הנפתח Select a role, בוחרים Logging > מציג היומנים > שמירה.

5. מוודאים שחשבונות המשתמשים והתפקידים מופיעים בדף IAM.

זהו — נתתם לחשבון משתמש תפקיד של ניהול זהויות והרשאות גישה!

בדיקת ההשפעות של תפקידי ניהול זהויות והרשאות גישה (IAM)

בקטע הזה מאמתים שלחשבון המשתמש שנתתם לו את התפקיד יש גישה לדפים הרצויים במסוף Cloud:

1. שולחים את כתובת ה-URL הבאה לחשבון המשתמש שנתתם לו את התפקיד:

https://console.cloud.google.com/logs?project=PROJECT_ID

2. מוודאים שלחשבון המשתמש יש גישה לכתובת ה-URL ושהדף נפתח.

חשבון המשתמש לא יכול להיכנס לדף במסוף Cloud שלא הוקצה לו התפקיד המתאים. במקום זאת, הם יראו הודעת שגיאה כמו הדוגמה הבאה:

You don't have permissions to view logs.

איך נותנים תפקידים אחרים לאותו חשבון ראשי

זהירות: התפקידים הבסיסיים כוללים אלפי הרשאות בכל שירותי Google Cloud. בסביבות ייצור מקצים תפקידים בסיסיים רק אם אין חלופה אחרת. במקום זאת, צריך להקצות את התפקידים המוגדרים מראש שמוגבלים ביותר או תפקידים מותאמים אישית שמתאימים לצרכים.

1. נכנסים לדף IAM במסוף Cloud.
2. מאתרים את חשבון המשתמש שרוצים לתת לו תפקיד נוסף ולוחצים על Edit (עריכה).
3. בחלונית Edit permissions לוחצים על Add another role.

4. בתפריט הנפתח Select a role, לוחצים על Project > צופה > שמירה.

לחשבון המשתמש יש עכשיו תפקיד נוסף בניהול זהויות והרשאות גישה.

ביטול התפקידים שהוקצו לחשבון המשתמש

1. מוצאים את חשבון המשתמש שאת התפקיד שלו רוצים לבטל ולוחצים על Edit .
2. בחלונית Edit permissions לוחצים על לצד שני התפקידים שהקציתם בעבר לחשבון המשתמש.
3. לוחצים על שמירה.

הסרתם את שני התפקידים מחשבון המשתמש. אם המשתמש הזה ינסה לצפות בדפים שאליהם הייתה לו גישה בעבר, תוצג לו הודעת שגיאה.

4. הסרת המשאבים

כדי להימנע מחיובים בחשבון Google Cloud עבור המשאבים ששימשו ב-Codelab הזה:

זהירות: כשמוחקים פרויקט:

• התוכן של הפרויקט נמחק כולו. אם השתמשתם בפרויקט קיים בשביל המדריך הזה, תמחקו גם את כל העבודות האחרות שביצעתם בפרויקט.
• מאבדים את מזהה הפרויקט בהתאמה אישית. כשיצרתם את הפרויקט, יכול להיות שיצרתם מזהה פרויקט מותאם אישית שבו תרצו להשתמש בעתיד. כדי לשמור על כתובות ה-URL שמשתמשות במזהה הפרויקט, כמו כתובת ה-URL של appspot.com, צריך למחוק את המשאבים שנבחרו בפרויקט ולא את הפרויקט כולו.

אם אתם מתכננים להיעזר בכמה מעבדי קוד או מדריכים למתחילים, תוכלו להשתמש שוב בפרויקטים כדי לא לחרוג ממכסות הפרויקטים.

1. במסוף Cloud, עוברים לדף Manage resources.
2. ברשימת הפרויקטים, בוחרים את הפרויקט שרוצים למחוק ואז לוחצים על Delete.
3. כדי למחוק את הפרויקט, כותבים את מזהה הפרויקט בתיבת הדו-שיח ולוחצים על Shut down.

5. מזל טוב

מעולה! למדנו איך להגדיר לקוח OAuth ולהשתמש במסוף Cloud כדי להקצות תפקידי ניהול זהויות והרשאות גישה לחשבונות משתמשים בפרויקט.