Przyznawanie dostępu do projektu za pomocą uprawnień

1. Zanim zaczniesz

Z tego ćwiczenia w Codelabs dowiesz się, jak skonfigurować klienta OAuth i jak za pomocą Google Cloud Console przypisywać role uprawnień Identity and Access Management do podmiotów zabezpieczeń w projekcie.

Wymagania wstępne

• Możliwość poruszania się po konsoli Google Cloud.

Czego się nauczysz

• Jak skonfigurować aplikację jako klienta OAuth.
• Jak ograniczyć dostęp do aplikacji za pomocą Identity and Access Management (IAM).

Czego potrzebujesz

• Nowoczesna przeglądarka internetowa, taka jak Google Chrome.
• Mieć konto Google, np. konto Gmail lub konto Google Workspace.
• Dostęp do konta Cloud BIlling lub karty kredytowej, za pomocą których możesz zarejestrować się, aby skorzystać z bezpłatnej wersji próbnej.

2. Tworzenie projektu Google Cloud i konfigurowanie konta rozliczeniowego

Uwaga: jeśli masz już skonfigurowany projekt i konto rozliczeniowe, których chcesz użyć ponownie, możesz pominąć tę sekcję.

1. Zaloguj się w konsoli Google Cloud.

Ostrzeżenie: jeśli użyjesz ponownie projektu i wykonasz to ćwiczenie w programowaniu, możesz zezwolić niektórym użytkownikom na dostęp do zasobów w tym projekcie, o ile nie zostaną wyłączone po zakończeniu tego ćwiczenia.

2. Otwórz stronę selektora projektów.
3. Kliknij Utwórz projekt.
4. Nazwij swój projekt i zanotuj wygenerowany identyfikator.
5. W razie potrzeby zmodyfikuj pozostałe pola.

Uwaga: jeśli używasz konta Gmail, jako domyślną lokalizację możesz pozostawić ustawienie Brak organizacji. Jeśli używasz konta Google Workspace, wybierz lokalizację odpowiednią dla Twojej organizacji.

6. Kliknij Utwórz.
7. Aby korzystać z zasobów Google Cloud, włącz płatności w Cloud Console, jeśli nie jest jeszcze włączone.

Ćwiczenie z programowania nie powinno kosztować, ale możesz wykonać czynności opisane w sekcji Czyszczenie, aby wyłączyć zasoby i uniknąć kosztów, które nie wystarczą. Pamiętaj, że nowi użytkownicy Google Cloud mogą skorzystać z bezpłatnego okresu próbnego o wartości 300 USD.

3. Przyznaj dostęp za pomocą uprawnień

Uprawnienia umożliwiają przyznawanie użytkownikom dostępu na podstawie ról w projekcie i zasobach. W tej sekcji użyjesz uprawnień, aby przyznać użytkownikowi dostęp do kilku ról w projekcie.

Włączanie interfejsów IAM API i interfejsów Resource Manager API

1. W menu nawigacyjnym w konsoli Cloud kliknij Interfejsy API i Usługi.

2. Kliknij WŁĄCZ INTERFEJSY API I USŁUGI.

3. Wyszukaj interfejs IAM API i włącz go.
4. Wyszukaj aplikację Resource Manager API i włącz ją.

Przypisywanie roli z użyciem uprawnień

1. Otwórz stronę Uprawnienia.

Nazwa projektu pojawi się w selektorze projektów. Selektor projektów pokazuje, w jakim projekcie jesteś.

Jeśli nie widzisz nazwy swojego projektu, wybierz go za pomocą selektora projektów.

2. Kliknij Dodaj.
3. Wpisz adres e-mail podmiotu zabezpieczeń.
4. W menu Wybierz rolę kliknij Logowanie >. Przeglądarka logów > Zapisz.

5. Sprawdź, czy podmiot zabezpieczeń i rola są wymienione na stronie IAM.

To wszystko – podmiotowi zabezpieczeń przyznano rolę zarządzania tożsamościami i dostępem.

Obserwowanie efektów ról zarządzania tożsamościami i dostępem

W tej sekcji sprawdzisz, czy podmiot zabezpieczeń, któremu przypisano rolę, ma dostęp do oczekiwanych stron Cloud Console:

1. Wyślij ten adres URL do podmiotu zabezpieczeń, któremu przyznano rolę:

https://console.cloud.google.com/logs?project=PROJECT_ID

2. Sprawdź, czy podmiot zabezpieczeń może uzyskać dostęp do adresu URL i go wyświetlić.

Podmiot zabezpieczeń nie ma dostępu do strony konsoli Cloud, do której nie przypisano odpowiedniej roli. Zamiast tego zobaczą komunikat o błędzie podobny do tego:

You don't have permissions to view logs.

Przypisz inne role temu samemu podmiotowi zabezpieczeń

Uwaga: role podstawowe obejmują tysiące uprawnień we wszystkich usługach Google Cloud. W środowiskach produkcyjnych nie przyznawaj podstawowych ról, chyba że nie ma innej możliwości. Zamiast tego możesz przypisać im najbardziej ograniczone role wstępnie zdefiniowane lub role niestandardowe, które odpowiadają Twoim potrzebom.

1. W konsoli Cloud otwórz stronę IAM.
2. Znajdź podmiot zabezpieczeń, któremu chcesz przypisać inną rolę, i kliknij Edytuj .
3. W panelu Edytowanie uprawnień kliknij Dodaj kolejną rolę.

4. W menu Wybierz rolę kliknij Projekt > Wyświetlający > Zapisz.

Podmiot zabezpieczeń ma teraz drugą rolę do zarządzania tożsamościami i dostępem.

Unieważnij role przypisane do podmiotu zabezpieczeń

1. Znajdź podmiot zabezpieczeń, którego rolę chcesz unieważnić, i kliknij Edytuj .
2. W panelu Edytowanie uprawnień kliknij obok obu ról, które zostały Ci wcześniej przypisane do podmiotu zabezpieczeń.
3. Kliknij Zapisz.

Podmiot zabezpieczeń został usunięty z obu ról. Jeśli ta osoba spróbuje wyświetlić dowolną stronę, do której miała wcześniej dostęp, zobaczy komunikat o błędzie.

4. Czyszczenie danych

Aby uniknąć opłat na Twoim koncie Google Cloud za zasoby zużyte w tym ćwiczeniu z programowania:

Uwaga – gdy usuniesz projekt:

• Wszystkie dane projektu zostaną usunięte. Jeśli w tym samouczku użyto istniejącego projektu, spowoduje to też usunięcie wszystkich innych zadań wykonanych w tym projekcie.
• Niestandardowe identyfikatory projektu zostaną utracone. Być może w trakcie tworzenia tego projektu został utworzony niestandardowy identyfikator projektu, którego chcesz używać w przyszłości. Aby zachować adresy URL, które używają identyfikatora projektu, na przykład adres URL appspot.com, usuń wybrane zasoby w projekcie, a nie cały projekt.

Jeśli planujesz skorzystać z wielu ćwiczeń z programowania lub krótkich wprowadzeń, możesz ponownie wykorzystywać projekty, aby nie przekraczać limitów projektów.

1. W konsoli Cloud otwórz stronę Zarządzanie zasobami.
2. Na liście projektów wybierz projekt do usunięcia, a następnie kliknij Usuń.
3. W oknie wpisz identyfikator projektu i kliknij Wyłącz, aby usunąć projekt.

5. Gratulacje

Gratulacje! Wiesz już, jak skonfigurować klienta OAuth oraz za pomocą Cloud Console przypisywać role zarządzania tożsamościami i dostępem do podmiotów zabezpieczeń w projekcie.