Przyznawanie dostępu do projektu za pomocą uprawnień

1. Zanim zaczniesz

Z tego modułu dowiesz się, jak skonfigurować klienta OAuth i jak za pomocą konsoli Google Cloud przyznawać podmiotom zabezpieczeń role Identity and Access Management (IAM) w projekcie.

Wymagania wstępne

• Umiejętność poruszania się po konsoli Cloud.

Czego się nauczysz

• Jak skonfigurować aplikację jako klienta OAuth.
• Jak ograniczać dostęp do aplikacji przy użyciu usługi Identity and Access Management (IAM).

Czego potrzebujesz

• nowoczesną przeglądarkę, np. Google Chrome;
• konto Google, np. konto Gmail lub konto Google Workspace;
• Dostęp do konta Cloud Billing lub karty kredytowej, której można użyć do zarejestrowania się w bezpłatnej wersji próbnej.

2. Tworzenie projektu Google Cloud i konfigurowanie konta rozliczeniowego

Uwaga: jeśli masz już skonfigurowany projekt i konto rozliczeniowe, których chcesz użyć ponownie, możesz pominąć tę sekcję.

1. Zaloguj się w Cloud Console.

Ostrzeżenie: jeśli ponownie użyjesz projektu i wykonasz to ćwiczenie programistyczne, możesz umożliwić niektórym użytkownikom dostęp do zasobów w tym projekcie, jeśli nie wyłączysz go po zakończeniu.

2. Otwórz stronę selektora projektów.
3. Kliknij Utwórz projekt.
4. Nazwij projekt, a potem zanotuj wygenerowany identyfikator projektu.
5. W razie potrzeby zmień inne pola.

Uwaga: jeśli używasz konta Gmail, możesz pozostawić domyślną lokalizację ustawioną na Brak organizacji. Jeśli używasz konta Google Workspace, wybierz lokalizację odpowiednią dla Twojej organizacji.

6. Kliknij Utwórz.
7. Jeśli jeszcze tego nie zrobisz, włącz płatności w konsoli Google Cloud, aby korzystać z zasobów Google Cloud.

Ten przewodnik nie powinien kosztować wiele, ale jeśli chcesz uniknąć opłat po jego ukończeniu, wykonaj instrukcje z sekcji Czyszczenie, aby zamknąć zasoby. Pamiętaj, że nowi użytkownicy Google Cloud mogą skorzystać z bezpłatnego okresu próbnego, w którym mają do dyspozycji środki w wysokości 300 USD.

3. Przyznawanie dostępu za pomocą uprawnień

IAM umożliwia przyznawanie użytkownikom dostępu do projektu i zasobów na podstawie ról. W tej sekcji użyjesz uprawnień, aby przyznać użytkownikowi dostęp do kilku ról w projekcie.

Włączanie interfejsów IAM API i Resource Manager API

1. W menu nawigacyjnym w Cloud Console kliknij Interfejsy API i usługi.

2. Kliknij WŁĄCZ INTERFEJSY API I USŁUGI.

3. Wyszukaj interfejs IAM API i włącz go.
4. Wyszukaj Resource Manager API i włącz tę funkcję.

Przyznawanie roli za pomocą uprawnień

1. Otwórz stronę Uprawnienia.

Nazwa projektu pojawi się w selektorze projektów. Selektor projektów informuje, w którym projekcie się znajdujesz.

Jeśli nie widzisz nazwy projektu, wybierz ją w selektorze projektów.

2. Kliknij Dodaj.
3. Wpisz adres e-mail podmiotu zabezpieczeń.
4. W menu Wybierz rolę kliknij Rejestrowanie > Przeglądający logi > Zapisz.

5. Sprawdź, czy na stronie Uprawnienia wymieniony jest podmiot zabezpieczeń i odpowiednia rola.

To wszystko – rola zarządzania tożsamościami i dostępem została przypisana do podmiotu zabezpieczeń.

Obserwowanie efektów ról zarządzania tożsamościami i dostępem

W tej sekcji sprawdzisz, czy podmiot, któremu przyznano rolę, ma dostęp do oczekiwanych stron konsoli Cloud:

1. Wyślij ten adres URL do podmiotu zabezpieczeń, któremu przypisano rolę:

https://console.cloud.google.com/logs?project=PROJECT_ID

2. Sprawdź, czy podmiot zabezpieczeń może uzyskać dostęp do adresu URL i wyświetlić stronę.

Podmiot zabezpieczeń nie może uzyskać dostępu do strony Cloud Console, do której nie ma odpowiedniej roli. Zamiast tego zobaczą komunikat o błędzie podobny do tego:

You don't have permissions to view logs.

Przyznawanie innych ról temu samemu podmiotowi zabezpieczeń

Ostrzeżenie: role podstawowe obejmują tysiące uprawnień we wszystkich usługach Google Cloud. W środowiskach produkcyjnych nie przyznawaj ról podstawowych, chyba że nie ma innej możliwości. Zamiast tego przyznawaj najbardziej ograniczone wstępnie zdefiniowane role lub role niestandardowe, które spełniają Twoje potrzeby.

1. W Cloud Console otwórz stronę Uprawnienia.
2. Znajdź podmiot zabezpieczeń, któremu chcesz przyznać inną rolę, a następnie kliknij Edytuj .
3. W panelu Edytowanie uprawnień kliknij Dodaj kolejną rolę.

4. W menu Wybierz rolę kliknij Projekt > Wyświetlający > Zapisz.

Podmiot zabezpieczeń ma teraz drugą rolę zarządzania tożsamościami i dostępem.

Cofanie ról przyznanych podmiotowi zabezpieczeń

1. Znajdź podmiot zabezpieczeń, którego rolę chcesz cofnąć, a następnie kliknij Edytuj .
2. W panelu Edytowanie uprawnień kliknij  obok obu ról, które zostały wcześniej przyznane podmiotowi zabezpieczeń.
3. Kliknij Zapisz.

Udało Ci się usunąć podmiot zabezpieczeń z obu ról. Jeśli ta osoba spróbuje wyświetlić którąkolwiek ze stron, do których wcześniej miała dostęp, zobaczy komunikat o błędzie.

4. Czyszczenie danych

Aby uniknąć obciążenia konta Google Cloud opłatami za zasoby użyte w tym laboratorium:

Ostrzeżenie: gdy usuniesz projekt:

• Wszystkie dane projektu zostaną usunięte. Jeśli na potrzeby tego samouczka został przez Ciebie użyty istniejący projekt, usuń też inne wykonane w nim zadania.
• Niestandardowe identyfikatory projektu zostaną utracone. Podczas tworzenia tego projektu możesz utworzyć niestandardowy identyfikator projektu, którego chcesz używać w przyszłości. Aby zachować adresy URL, które używają identyfikatora projektu, np. adres URL appspot.com, usuń wybrane zasoby w projekcie zamiast całego projektu.

Jeśli zamierzasz skorzystać z kilku ćwiczeń z programowania lub krótkich wprowadzeń, możesz ponownie wykorzystać projekty, aby nie przekroczyć limitów związanych z projektami.

1. W Cloud Console otwórz stronę Zarządzanie zasobami.
2. Z listy projektów wybierz projekt do usunięcia, a potem kliknij Usuń.
3. W oknie wpisz identyfikator projektu i kliknij Wyłącz, aby usunąć projekt.

5. Gratulacje

Gratulacje! Dowiedzieliśmy się, jak skonfigurować klienta OAuth i użyć konsoli Google Cloud do przyznawania podmiotom zabezpieczeń ról uprawnień w projekcie.