הענקת גישה לפרויקט באמצעות IAM

1. לפני שמתחילים

בשיעור ה-Lab הזה תלמדו איך להגדיר לקוח OAuth ואיך להשתמש במסוף Google Cloud כדי להעניק לחשבונות משתמשים תפקידים ב-IAM בפרויקט.

דרישות מוקדמות

• יכולת ניווט ב-Cloud Console.

מה תלמדו

• איך להגדיר את האפליקציה כלקוח OAuth.
• איך מגבילים את הגישה לאפליקציה באמצעות ניהול זהויות והרשאות גישה (IAM).

הדרישות

• דפדפן אינטרנט מודרני, כמו Google Chrome.
• חשבון Google, כמו חשבון Gmail או חשבון Google Workspace.
• גישה לחשבון לחיוב ב-Cloud או לכרטיס אשראי שאפשר להשתמש בו כדי להירשם לתקופת ניסיון בחינם.

2. יצירת פרויקט ב-Google Cloud והגדרת חשבון לחיוב

הערה: אם כבר הגדרתם פרויקט וחשבון לחיוב שבהם אתם רוצים להשתמש שוב, אתם יכולים לדלג על הקטע הזה.

1. נכנסים ל-Cloud Console.

אזהרה: אם תשתמשו בפרויקט קיים ותשלימו את ה-Codelab הזה, יכול להיות שתאפשרו למשתמשים מסוימים לגשת למשאבים באותו פרויקט אם לא תשביתו אותם בסיום.

2. עוברים לדף project- selector.
3. לוחצים על יצירת פרויקט.
4. נותנים שם לפרויקט ורושמים את מזהה הפרויקט שנוצר.
5. עורכים את שאר השדות לפי הצורך.

הערה: אם אתם משתמשים בחשבון Gmail, אתם יכולים להשאיר את המיקום שמוגדר כברירת מחדל כללא ארגון. אם אתם משתמשים בחשבון Google Workspace, אתם צריכים לבחור מיקום שמתאים לארגון שלכם.

6. לוחצים על יצירה.
7. אם עדיין לא עשיתם זאת, אתם צריכים להפעיל את החיוב במסוף Cloud כדי להשתמש במשאבי Google Cloud.

למרות שה-codelab הזה לא אמור לעלות הרבה, אם בכלל, כדאי לפעול לפי ההוראות שבקטע ניקוי כדי להשבית משאבים ולמנוע עלויות מעבר ל-codelab הזה. שימו לב שמשתמשים חדשים ב-Google Cloud זכאים לתקופת ניסיון בחינם בשווי 300$.

3. הענקת גישה באמצעות IAM

בעזרת IAM תוכלו להעניק למשתמשים גישה מבוססת-תפקידים לפרויקט ולמשאבים שלכם. בקטע הזה, משתמשים ב-IAM כדי להעניק למשתמש גישה לכמה תפקידים בפרויקט.

הפעלת ממשקי ה-API של IAM ו-Resource Manager

1. בתפריט הניווט ב-Cloud Console, לוחצים על APIs & Services (ממשקי API ושירותים).

2. לוחצים על הפעלת ממשקי API ושירותים.

3. מחפשים את IAM API ומפעילים אותו.
4. מחפשים את Resource Manager API ומפעילים אותו.

מתן תפקיד באמצעות IAM

1. נכנסים לדף IAM.

שם הפרויקט מופיע בבורר הפרויקטים. בכלי לבחירת פרויקטים אפשר לראות באיזה פרויקט אתם נמצאים.

אם שם הפרויקט לא מופיע, משתמשים בבורר הפרויקטים כדי לבחור אותו.

2. לוחצים על הוספה.
3. מזינים את כתובת האימייל של חשבון משתמש.
4. בתפריט הנפתח Select a role, בוחרים באפשרות Logging > Logs Viewer > Save.

5. מוודאים שחשבון המשתמש והתפקיד מופיעים בדף IAM.

זהו – הענקתם תפקיד בניהול הזהויות והרשאות הגישה לחשבון משתמש!

בדיקת ההשפעות של תפקידים בניהול זהויות והרשאות גישה

בקטע הזה תבדקו שלחשבון המשתמש שנתתם לו את התפקיד יש גישה לדפים במסוף Cloud:

1. שולחים את כתובת ה-URL הזו לחשבון המשתמש שנתתם לו את התפקיד:

https://console.cloud.google.com/logs?project=PROJECT_ID

2. מוודאים שלחשבון המשתמש יש גישה לכתובת ה-URL ושהדף נפתח.

למשתמש אין גישה לדף ב-Cloud Console אם לא הוקצה לו התפקיד המתאים. במקום זאת, הם רואים הודעת שגיאה כמו בדוגמה הזו:

You don't have permissions to view logs.

איך נותנים עוד תפקידים לאותו חשבון ראשי

שימו לב: התפקידים הבסיסיים כוללים אלפי הרשאות בכל השירותים של Google Cloud. בסביבות ייצור, לא מקצים תפקידים בסיסיים אלא אם אין ברירה אחרת. במקום זאת, צריך להקצות את התפקידים המוגדרים מראש שמוגבלים ביותר או תפקידים מותאמים אישית שמתאימים לצרכים.

1. במסוף Cloud, עוברים לדף IAM.
2. מוצאים את החשבון הראשי שרוצים לתת לו תפקיד נוסף ולוחצים על עריכה .
3. בחלונית Edit permissions לוחצים על Add another role.

4. בתפריט הנפתח Select a role, לוחצים על Project > Viewer > Save.

זהו! לחשבון המשתמש יש עכשיו תפקיד נוסף ב-IAM.

ביטול התפקידים שניתנו לחשבון המשתמש

1. מוצאים את חשבון המשתמש שרוצים לבטל את התפקיד שלו ולוחצים על עריכה .
2. בחלונית Edit permissions, לוחצים על ליד שני התפקידים שנתתם לחשבון המשתמש.
3. לוחצים על שמירה.

הסרתם את שני התפקידים מחשבון המשתמש. אם האדם הזה ינסה לצפות באחד מהדפים שהייתה לו גישה אליהם בעבר, תופיע הודעת שגיאה.

4. הסרת המשאבים

כדי להימנע מחיובים בחשבון Google Cloud על המשאבים שבהם השתמשתם ב-codelab הזה:

זהירות: כשמוחקים פרויקט:

• התוכן של הפרויקט נמחק כולו. אם השתמשתם בפרויקט קיים כדי לתרגל את המדריך הזה, כשתמחקו אותו תימחק גם כל העבודה שביצעתם באותו פרויקט.
• מאבדים את מזהה הפרויקט בהתאמה אישית. כשיצרתם את הפרויקט, יכולתם לבחור לו מזהה פרויקט בהתאמה אישית כדי להשתמש בו בעתיד. כדי לשמור על כתובות ה-URL שמשתמשות במזהה הפרויקט, כמו כתובת URL של appspot.com, צריך למחוק את המשאבים שנבחרו בפרויקט אבל לא את הפרויקט כולו.

אם אתם מתכננים להיעזר בכמה סדנאות קוד או מדריכים למתחילים, מומלץ להשתמש שוב באותו פרויקט כדי לא לחרוג ממכסות הפרויקטים.

1. במסוף Cloud, נכנסים לדף Manage resources.
2. ברשימת הפרויקטים, בוחרים את הפרויקט שרוצים למחוק ולוחצים על מחיקה.
3. כדי למחוק את הפרויקט, כותבים את מזהה הפרויקט בתיבת הדו-שיח ולוחצים על Shut down.

5. מזל טוב

מעולה! למדתם איך להגדיר לקוח OAuth ואיך להשתמש במסוף Cloud כדי להעניק תפקידים של ניהול זהויות והרשאות גישה לחשבונות ראשיים בפרויקט.