Предоставьте доступ к вашему проекту с помощью IAM

1. Прежде чем начать

В этой лаборатории кода показано, как настроить клиент OAuth и как использовать Google Cloud Console для предоставления ролей управления идентификацией и доступом (IAM) участникам вашего проекта.

Предварительные условия

• Возможность навигации по облачной консоли.

Что вы узнаете

• Как настроить приложение в качестве клиента OAuth.
• Как ограничить доступ к вашему приложению с помощью управления идентификацией и доступом (IAM).

Что вам понадобится

• Современный веб-браузер, например Google Chrome.
• Учетная запись Google, например учетная запись Gmail или учетная запись Google Workspace .
• Доступ к учетной записи Cloud Billing или кредитной карте, которую можно использовать для подписки на бесплатную пробную версию .

2. Создайте проект Google Cloud и настройте платежный аккаунт.

Примечание. Если вы уже настроили проект и платежную учетную запись, которые хотите использовать повторно, вы можете пропустить этот раздел.

1. Войдите в Cloud Console .

Предупреждение. Если вы повторно используете проект и завершаете эту лабораторную работу, вы можете предоставить некоторым пользователям доступ к ресурсам в этом проекте, если они не будут отключены, когда вы закончите.

2. Перейдите на страницу выбора проекта .
3. Нажмите Создать проект .
4. Назовите свой проект, а затем запишите сгенерированный идентификатор проекта.
5. При необходимости отредактируйте остальные поля.

Примечание. Если вы используете учетную запись Gmail, вы можете оставить для местоположения по умолчанию значение «Нет организации» . Если вы используете учетную запись Google Workspace, выберите местоположение, подходящее для вашей организации.

6. Нажмите Создать .
7. Если вы еще этого не сделали, включите выставление счетов в Cloud Console, чтобы использовать ресурсы Google Cloud.

Хотя эта кодовая лаборатория не должна стоить много, во всяком случае следуйте инструкциям в разделе «Очистка» , чтобы отключить ресурсы и избежать затрат, выходящих за рамки этой кодовой лаборатории. Обратите внимание, что новые пользователи Google Cloud имеют право на бесплатную пробную версию стоимостью 300 долларов США .

3. Предоставьте доступ с помощью IAM.

IAM позволяет предоставлять пользователям доступ на основе ролей к вашему проекту и ресурсам. В этом разделе вы используете IAM, чтобы предоставить пользователю доступ к нескольким ролям вашего проекта.

Включите API-интерфейсы IAM и Resource Manager.

1. В меню навигации Cloud Console выберите API и службы .

2. Выберите ВКЛЮЧИТЬ APIS И СЕРВИСЫ .

3. Найдите IAM API и затем включите его.
4. Найдите Resource Manager API и включите его.

Предоставить роль с помощью IAM

1. Перейдите на страницу IAM .

Название вашего проекта появится в селекторе проектов. Селектор проектов сообщает вам, в каком проекте вы находитесь.

Если вы не видите название своего проекта, выберите его с помощью селектора проектов.

2. Нажмите Добавить .
3. Введите адрес электронной почты руководителя.
4. В раскрывающемся меню «Выберите роль» выберите «Ведение журнала» > «Просмотр журналов» > «Сохранить» .

5. Убедитесь, что участник и роль указаны на странице IAM .

Вот и все — вы предоставили принципалу роль управления идентификацией и доступом!

Наблюдайте за влиянием ролей управления идентификацией и доступом.

В этом разделе вы убедитесь, что субъект, которому вы предоставили роль, может получить доступ к ожидаемым страницам Cloud Console:

1. Отправьте этот URL-адрес субъекту, которому вы предоставили роль:

https://console.cloud.google.com/logs?project= PROJECT_ID

2. Убедитесь, что принципал может получить доступ к URL-адресу и просмотреть его.

Участник не может получить доступ к странице Cloud Console, для которой ему не предоставлена ​​соответствующая роль. Вместо этого они видят сообщение об ошибке, подобное этому примеру:

You don't have permissions to view logs.

Предоставление других ролей тому же принципалу

Внимание: базовые роли включают в себя тысячи разрешений для всех сервисов Google Cloud. В производственных средах не предоставляйте базовые роли, если нет альтернативы. Вместо этого предоставьте наиболее ограниченные предопределенные или настраиваемые роли, соответствующие вашим потребностям.

1. В Cloud Console перейдите на страницу IAM .
2. Найдите участника, которому вы хотите предоставить другую роль, и нажмите « Изменить». .
3. На панели «Изменить разрешения» нажмите « Добавить другую роль» .

4. В раскрывающемся меню «Выберите роль» нажмите «Проект» > «Просмотр» > «Сохранить» .

У принципала теперь есть вторая роль управления идентификацией и доступом.

Отозвать роли, предоставленные принципалу

1. Найдите участника, чью роль вы хотите отозвать, и нажмите кнопку Редактировать .
2. На панели «Изменить разрешения» нажмите рядом с обеими ролями, которые вы ранее предоставили принципалу.
3. Нажмите Сохранить .

Вы удалили участника из обеих ролей. Если этот человек попытается просмотреть любую из страниц, к которым он ранее мог получить доступ, он увидит сообщение об ошибке.

4. Очистка

Чтобы избежать списания средств с вашей учетной записи Google Cloud за ресурсы, используемые в этой лаборатории кода:

Внимание: При удалении проекта:

• Все в проекте удалено. Если для этого руководства вы использовали существующий проект, вы также удалите любую другую работу, выполненную в проекте.
• Пользовательские идентификаторы проектов теряются. Создавая этот проект, вы, возможно, создали собственный идентификатор проекта, который хотите использовать в будущем. Чтобы сохранить URL-адреса, использующие идентификатор проекта, например URL-адрес appspot.com, удалите выбранные ресурсы внутри проекта, а не весь проект.

Если вы планируете изучить несколько лабораторий кода или кратких руководств, вы можете повторно использовать проекты, чтобы не выходить за пределы квоты проекта.

1. В Cloud Console перейдите на страницу «Управление ресурсами» .
2. В списке проектов выберите проект, который хотите удалить, и нажмите «Удалить» .
3. В диалоговом окне введите идентификатор проекта и нажмите «Завершить работу» , чтобы удалить проект.

5. Поздравления

Поздравляем! Вы узнали, как настроить клиент OAuth и использовать Cloud Console для предоставления ролей управления идентификацией и доступом участникам вашего проекта.