Предоставьте доступ к вашему проекту с помощью IAM

1. Прежде чем начать

В этом практическом занятии показано, как настроить клиент OAuth и как использовать консоль Google Cloud для предоставления ролей управления идентификацией и доступом (IAM) субъектам для вашего проекта.

Предварительные требования

• Умение ориентироваться в облачной консоли.

Что вы узнаете

• Как настроить ваше приложение в качестве клиента OAuth.
• Как ограничить доступ к вашему приложению с помощью управления идентификацией и доступом (IAM).

Что вам понадобится

• Современный веб-браузер, например, Google Chrome.
• Учетная запись Google, например, учетная запись Gmail или учетная запись Google Workspace .
• Для регистрации на бесплатную пробную версию необходимо иметь доступ к учетной записи Cloud Billing или кредитной карте.

2. Создайте проект в Google Cloud и настройте учетную запись для выставления счетов.

Примечание: Если вы уже создали проект и учетную запись для выставления счетов, которые хотите использовать повторно, вы можете пропустить этот раздел.

1. Войдите в облачную консоль .

Внимание: если вы используете один и тот же проект и выполняете это практическое задание, вы можете разрешить некоторым пользователям доступ к ресурсам этого проекта, если они не будут отключены после завершения работы.

2. Перейдите на страницу выбора проекта .
3. Нажмите «Создать проект» .
4. Назовите свой проект, а затем запишите сгенерированный идентификатор проекта.
5. При необходимости отредактируйте остальные поля.

Примечание: Если вы используете учетную запись Gmail, вы можете оставить значение по умолчанию « Без организации» . Если вы используете учетную запись Google Workspace, выберите местоположение, которое подходит для вашей организации.

6. Нажмите «Создать» .
7. Если вы еще этого не сделали, включите оплату в консоли Cloud, чтобы использовать ресурсы Google Cloud.

Хотя выполнение этого практического задания не должно стоить дорого, следуйте инструкциям в разделе «Очистка ресурсов», чтобы отключить ресурсы и избежать дополнительных расходов после завершения задания. Обратите внимание, что новые пользователи Google Cloud имеют право на бесплатную пробную версию стоимостью 300 долларов США .

3. Предоставьте доступ с помощью IAM.

IAM позволяет предоставлять пользователям доступ к вашему проекту и ресурсам на основе ролей. В этом разделе вы используете IAM для предоставления пользователю доступа к нескольким ролям в вашем проекте.

Включите API IAM и Resource Manager.

1. В навигационном меню консоли Cloud Console нажмите «API и сервисы» .

2. Выберите «Включить API и сервисы» .

3. Найдите API IAM и включите его.
4. Найдите Resource Manager API и включите его.

Предоставьте роль в IAM.

1. Перейдите на страницу IAM .

Название вашего проекта отображается в селекторе проектов. Селектор проектов показывает, в каком проекте вы находитесь.

Если вы не видите название своего проекта, воспользуйтесь селектором проектов, чтобы выбрать его.

2. Нажмите «Добавить» .
3. Введите адрес электронной почты директора.
4. В раскрывающемся меню «Выберите роль» выберите «Ведение журналов» > «Просмотр журналов» > «Сохранить» .

5. Убедитесь, что на странице IAM указаны субъект и роль.

Вот и все — вы предоставили роль управления идентификацией и доступом субъекту!

Проанализируйте влияние ролей в управлении идентификацией и доступом.

В этом разделе вы проверяете, имеет ли субъект, которому вы предоставили роль, доступ к ожидаемым страницам Cloud Console:

1. Отправьте эту ссылку руководителю, которому вы предоставили роль:

https://console.cloud.google.com/logs?project= PROJECT_ID

2. Убедитесь, что у пользователя есть доступ к URL-адресу и он может его просмотреть.

Управляющий пользователь не может получить доступ к странице Cloud Console, поскольку ему не предоставлена ​​соответствующая роль. Вместо этого он видит сообщение об ошибке, подобное этому примеру:

You don't have permissions to view logs.

Предоставьте этому же руководителю другие должности.

Внимание: базовые роли включают тысячи разрешений для всех сервисов Google Cloud. В производственных средах не предоставляйте базовые роли, если нет альтернативы. Вместо этого предоставляйте наиболее ограниченные предопределенные роли или пользовательские роли, соответствующие вашим потребностям.

1. В консоли Cloud перейдите на страницу IAM .
2. Найдите руководителя, которому вы хотите предоставить другую роль, и нажмите «Редактировать». .
3. В панели «Изменение разрешений» нажмите «Добавить еще одну роль» .

4. В раскрывающемся меню «Выберите роль» нажмите «Проект» > «Просмотрщик» > «Сохранить» .

Теперь у директора есть еще одна должность, связанная с управлением идентификацией и доступом.

Отменить полномочия, предоставленные директору.

1. Найдите руководителя, чью должность вы хотите аннулировать, и затем нажмите кнопку. Редактировать .
2. В панели «Изменение разрешений» нажмите рядом с обеими ролями, которые вы ранее предоставили директору.
3. Нажмите « Сохранить ».

Вы удалили этого пользователя из обеих ролей. Если он попытается просмотреть какие-либо страницы, к которым ранее имел доступ, он увидит сообщение об ошибке.

4. Уборка

Чтобы избежать списания средств с вашего аккаунта Google Cloud за ресурсы, использованные в этом практическом задании:

Внимание: При удалении проекта:

• Все данные в проекте будут удалены. Если вы использовали существующий проект для этого урока, вы также удалите всю остальную работу, выполненную в этом проекте.
• Пользовательские идентификаторы проектов будут потеряны. При создании этого проекта вы могли создать пользовательский идентификатор проекта, который хотите использовать в будущем. Чтобы сохранить URL-адреса, использующие этот идентификатор проекта, например, URL-адрес appspot.com, удалите выбранные ресурсы внутри проекта, а не весь проект целиком.

Если вы планируете изучить несколько практических заданий или быстрых стартов, вы можете повторно использовать проекты, чтобы не превышать лимит квот по проектам.

1. В консоли Cloud перейдите на страницу «Управление ресурсами» .
2. В списке проектов выберите проект, который хотите удалить, и нажмите кнопку «Удалить» .
3. В диалоговом окне введите идентификатор проекта, а затем нажмите «Завершить» , чтобы удалить проект.

5. Поздравляем!

Поздравляем! Вы научились настраивать OAuth-клиент и использовать Cloud Console для предоставления ролей управления идентификацией и доступом субъектам вашего проекта.