הגדרה וניהול של מדיניות IAM לאזורים מנוהלים

בדף הזה מוסבר איך להגדיר הרשאות ניהול זהויות והרשאות גישה (IAM) ספציפיות לקריאה, לכתיבה או לאדמין באזורים מנוהלים שונים באותו פרויקט.

מידע מפורט על כללי מדיניות IAM זמין במאמר הסבר על מדיניות ההרשאות. למידע על API של מדיניות IAM, ראו Policy. במאמר הסבר על תפקידים בהתאמה אישית ב-IAM מוסבר איך יוצרים תפקידים בהתאמה אישית ב-IAM שאפשר להשתמש בהם באזורים המנוהלים.

בתהליך הזה אנחנו יוצאים מנקודת הנחה שכבר יצרתם תחום מנוהל בפרויקט. להוראות ליצירת תחום מנוהל, ראו יצירה, שינוי ומחיקה של תחומים.

הגדרת מדיניות IAM לאזור מנוהל

כדי להגדיר את מדיניות IAM באזור מנוהל ספציפי, פועלים לפי השלבים הבאים.

המסוף

  1. נכנסים לדף Cloud DNS zones במסוף Trusted Cloud .

    כניסה לדפים של תחומים ב-Cloud DNS

  2. בוחרים תחום אחד או יותר שרוצים להוסיף לו הרשאות של בקרת גישה.

  3. בדף Permissions to resources, לוחצים על Add principal.

  4. בדף Grant access to resource, בקטע New principals, מוסיפים את כתובת האימייל של המשתמש, הקבוצה, הדומיין או חשבון השירות שרוצים להוסיף בתור חשבון המשתמש החדש.

  5. ברשימה Assign roles, בוחרים את התפקיד שרוצים להקצות לחשבון המשתמש.

  6. כדי להקצות תפקידים נוספים, לוחצים על Add another role.

  7. לוחצים על שמירה.

gcloud

מריצים את הפקודה gcloud dns managed-zones set-iam-policy:

gcloud dns managed-zones set-iam-policy NAME \
  --policy-file=POLICY-FILE

מחליפים את מה שכתוב בשדות הבאים:

  • NAME: השם של האזור המנוהל שרוצים להגדיר לו את הרשאת ה-IAM
  • POLICY-FILE: הקובץ שמכיל את מדיניות IAM שרוצים לציין לאזור המנוהל. דוגמה לקובץ מדיניות מופיעה בקטע מדיניות

אם הפקודה הזו פועלת בהצלחה, היא מחזירה את מדיניות IAM. אחרת, תוחזר הודעת שגיאה עם ציון השגיאה.

API

שולחים בקשת POST באמצעות השיטה managedZone.setIamPolicy:

POST https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones/MANAGED_ZONE:setIamPolicy

מחליפים את מה שכתוב בשדות הבאים:

  • PROJECT_ID: השם או המזהה של הפרויקט
  • MANAGED_ZONE: השם של האזור המנוהל שרוצים להגדיר לו את הרשאת ה-IAM

למידע מפורט על קריאת ה-API הזו, ראו קישור בדף API של IAM Policy.

אחזור מדיניות IAM של תחום מנוהל

כדי לקבל את מדיניות IAM של תחום מנוהל ספציפי, פועלים לפי השלבים הבאים.

gcloud

מריצים את הפקודה gcloud dns managed-zones get-iam-policy:

gcloud dns managed-zones get-iam-policy NAME

מחליפים את NAME בשם של האזור המנוהל שרוצים לקבל את מדיניות ה-IAM שלו.

אם הפקודה הזו פועלת בהצלחה, היא מחזירה את מדיניות IAM. אחרת, תוחזר הודעת שגיאה עם ציון השגיאה.

API

שולחים בקשת POST באמצעות השיטה managedZone.getIamPolicy:

POST https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones/ManagedZone:getIamPolicy

מחליפים את מה שכתוב בשדות הבאים:

  • PROJECT_ID: השם או המזהה של הפרויקט
  • MANAGED_ZONE: השם של האזור המנוהל שרוצים להגדיר בו את הרשאת ה-IAM

בדיקת הרשאות IAM לאזור מנוהל

שולחים בקשת POST באמצעות השיטה managedZone.testIamPermissions:

POST https://dns.googleapis.com/dns/v1/projects/PROJECT_ID/managedZones/ManagedZone:testIamPermissions

מחליפים את מה שכתוב בשדות הבאים:

  • PROJECT_ID: השם או המזהה של הפרויקט
  • MANAGED_ZONE: השם של האזור המנוהל שרוצים לבדוק את הרשאת ה-IAM שלו

המאמרים הבאים