הענקת גישה לפרויקט באמצעות IAM

1. לפני שמתחילים

ב-Codelab הזה נראה לכם איך להגדיר לקוח OAuth ואיך להשתמש במסוף Google Cloud כדי להעניק לחשבונות משתמשים תפקידים בניהול הזהויות והרשאות הגישה (IAM) בפרויקט.

דרישות מוקדמות

• יכולת ניווט ב-Cloud Console.

מה תלמדו

• איך להגדיר את האפליקציה כלקוח OAuth.
• איך מגבילים את הגישה לאפליקציה באמצעות ניהול זהויות והרשאות גישה (IAM).

הדרישות

• דפדפן אינטרנט מודרני, כמו Google Chrome.
• חשבון Google, כמו חשבון Gmail או חשבון Google Workspace.
• גישה לחשבון לחיוב ב-Cloud או לכרטיס אשראי כדי להירשם לתקופת ניסיון בחינם.

2. יצירת פרויקט בענן ב-Google Cloud והגדרת חשבון לחיוב

הערה: אם כבר הגדרתם פרויקט וחשבון לחיוב שבהם אתם רוצים להשתמש שוב, אתם יכולים לדלג על הקטע הזה.

1. נכנסים ל-Cloud Console.

אזהרה: אם תשתמשו בפרויקט קיים ותשלימו את ה-Codelab הזה, יכול להיות שתאפשרו למשתמשים מסוימים לגשת למשאבים באותו פרויקט אם לא תשביתו אותם בסיום.

2. עוברים לדף project- selector.
3. לוחצים על יצירת פרויקט.
4. נותנים שם לפרויקט ורושמים את מזהה הפרויקט שנוצר.
5. עורכים את שאר השדות לפי הצורך.

הערה: אם אתם משתמשים בחשבון Gmail, אתם יכולים להשאיר את המיקום שמוגדר כברירת מחדל כללא ארגון. אם אתם משתמשים בחשבון Google Workspace, אתם צריכים לבחור מיקום שמתאים לארגון שלכם.

6. לוחצים על יצירה.
7. אם עדיין לא עשיתם זאת, אתם צריכים להפעיל את החיוב במסוף Cloud כדי להשתמש במשאבי Google Cloud.

למרות שה-codelab הזה לא אמור לעלות הרבה, אם בכלל, כדאי לפעול לפי ההוראות שבקטע ניקוי כדי להשבית את המשאבים ולמנוע עלויות מעבר ל-codelab הזה. שימו לב: משתמשים חדשים ב-Google Cloud זכאים לתקופת ניסיון בחינם בשווי 300$.

3. הענקת גישה באמצעות IAM

בעזרת IAM תוכלו להעניק למשתמשים גישה מבוססת-תפקידים לפרויקט ולמשאבים שלכם. בקטע הזה, משתמשים ב-IAM כדי להעניק למשתמש גישה לכמה תפקידים בפרויקט.

הפעלת ממשקי ה-API של IAM ושל מנהל המשאבים

1. בתפריט הניווט ב-Cloud Console, לוחצים על APIs & Services (ממשקי API ושירותים).

2. לוחצים על הפעלת ממשקי API ושירותים.

3. מחפשים את IAM API ומפעילים אותו.
4. מחפשים את Resource Manager API ומפעילים אותו.

מתן תפקיד באמצעות IAM

1. נכנסים לדף IAM.

שם הפרויקט מופיע בבורר הפרויקטים. בבורר הפרויקטים אפשר לראות באיזה פרויקט אתם נמצאים.

אם שם הפרויקט לא מופיע, משתמשים בבורר הפרויקטים כדי לבחור אותו.

2. לוחצים על הוספה.
3. מזינים את כתובת האימייל של חשבון משתמש.
4. בתפריט הנפתח Select a role, בוחרים באפשרות Logging > Logs Viewer > Save.

5. מוודאים שחשבון המשתמש והתפקיד מופיעים בדף IAM.

זהו – נתתם לחשבון משתמש תפקיד בניהול הזהויות והרשאות הגישה (IAM).

בדיקת ההשפעות של תפקידים בניהול זהויות והרשאות גישה

בקטע הזה תבדקו שלחשבון המשתמש שנתתם לו את התפקיד יש גישה לדפים במסוף Cloud:

1. שולחים את כתובת ה-URL הזו לחשבון המשתמש שנתתם לו את התפקיד:

https://console.cloud.google.com/logs?project=PROJECT_ID

2. מוודאים שלחשבון המשתמש יש גישה לכתובת ה-URL ושהדף נפתח.

למשתמש הראשי אין גישה לדף ב-Cloud Console שלא הוקצה לו בו תפקיד מתאים. במקום זאת, הם רואים הודעת שגיאה כמו בדוגמה הזו:

You don't have permissions to view logs.

הקצאת תפקידים אחרים לאותה ישות מורשית

שימו לב: התפקידים הבסיסיים כוללים אלפי הרשאות בכל השירותים של Google Cloud. בסביבות ייצור, מקצים תפקידים בסיסיים רק אם אין חלופה אחרת. במקום זאת, צריך להקצות את התפקידים המוגדרים מראש שמוגבלים ביותר או תפקידים מותאמים אישית שמתאימים לצרכים.

1. במסוף Cloud, עוברים לדף IAM.
2. מוצאים את הישות המורשית שרוצים לתת לה תפקיד נוסף ולוחצים על עריכה .
3. בחלונית Edit permissions לוחצים על Add another role.

4. בתפריט הנפתח Select a role, לוחצים על Project > Viewer > Save.

זהו! לחשבון המשתמש יש עכשיו תפקיד נוסף ב-IAM.

ביטול התפקידים שניתנו לחשבון המשתמש

1. מוצאים את חשבון המשתמש שרוצים לבטל את התפקיד שלו ולוחצים על עריכה .
2. בחלונית Edit permissions, לוחצים על ליד שני התפקידים שנתתם לחשבון המשתמש.
3. לוחצים על שמירה.

הסרתם את שני התפקידים מחשבון המשתמש. אם האדם הזה ינסה לצפות באחד מהדפים שהייתה לו גישה אליהם בעבר, תופיע הודעת שגיאה.

4. הסרת המשאבים

כדי להימנע מחיובים בחשבון Google Cloud על המשאבים שבהם השתמשתם ב-codelab הזה:

זהירות: כשמוחקים פרויקט:

• התוכן של הפרויקט נמחק כולו. אם השתמשתם בפרויקט קיים כדי לתרגל את המדריך הזה, כשתמחקו אותו תימחק גם כל העבודה שביצעתם באותו פרויקט.
• מאבדים את מזהה הפרויקט בהתאמה אישית. כשיצרתם את הפרויקט, יכולתם לבחור לו מזהה פרויקט בהתאמה אישית כדי להשתמש בו בעתיד. כדי לשמור על כתובות ה-URL שמשתמשות במזהה הפרויקט, כמו כתובת URL של appspot.com, צריך למחוק את המשאבים שנבחרו בפרויקט אבל לא את הפרויקט כולו.

אם אתם מתכננים להיעזר בכמה סדנאות קוד או מדריכים למתחילים, מומלץ להשתמש שוב באותו פרויקט כדי לא לחרוג ממכסות הפרויקטים.

1. במסוף Cloud, נכנסים לדף Manage resources.
2. ברשימת הפרויקטים, בוחרים את הפרויקט שרוצים למחוק ולוחצים על מחיקה.
3. כדי למחוק את הפרויקט, כותבים את מזהה הפרויקט בתיבת הדו-שיח ולוחצים על Shut down.

5. מזל טוב

מעולה! למדתם איך להגדיר לקוח OAuth ואיך להשתמש במסוף Cloud כדי להעניק תפקידים של ניהול זהויות והרשאות גישה לחשבונות ראשיים בפרויקט.