Cấp quyền truy cập vào dự án bằng giải pháp quản lý danh tính và quyền truy cập (IAM)

1. Trước khi bắt đầu

Lớp học lập trình này hướng dẫn bạn cách thiết lập một ứng dụng OAuth và cách sử dụng Google Cloud Console để cấp vai trò Quản lý danh tính và quyền truy cập (IAM) cho các thực thể chính trong dự án của bạn.

Điều kiện tiên quyết

• Có thể điều hướng trong Cloud Console.

Kiến thức bạn sẽ học được

• Cách thiết lập ứng dụng của bạn làm ứng dụng OAuth.
• Cách hạn chế quyền truy cập vào ứng dụng bằng tính năng Quản lý danh tính và quyền truy cập (IAM).

Bạn cần có

• Một trình duyệt web hiện đại, chẳng hạn như Google Chrome.
• Tài khoản Google, chẳng hạn như tài khoản Gmail hoặc tài khoản Google Workspace.
• Có quyền truy cập vào Tài khoản thanh toán trên đám mây hoặc thẻ tín dụng để đăng ký dùng thử miễn phí.

2. Tạo một dự án trên Google Cloud và thiết lập tài khoản thanh toán

Lưu ý: Nếu đã thiết lập một dự án và tài khoản thanh toán mà bạn muốn sử dụng lại, thì bạn có thể bỏ qua phần này.

1. Đăng nhập vào Cloud Console.

Cảnh báo: Nếu dùng lại một dự án và hoàn tất lớp học lập trình này, bạn có thể cho phép một số người dùng truy cập vào các tài nguyên trong dự án đó nếu bạn không tắt các tài nguyên đó khi hoàn tất.

2. Chuyển đến trang project-selector.
3. Nhấp vào Tạo dự án.
4. Đặt tên cho dự án của bạn rồi ghi lại mã dự án đã tạo.
5. Chỉnh sửa các trường khác nếu cần.

Lưu ý: Nếu sử dụng tài khoản Gmail, bạn có thể để vị trí mặc định là Không có tổ chức. Nếu bạn sử dụng tài khoản Google Workspace, hãy chọn một vị trí phù hợp với tổ chức của bạn.

6. Nhấp vào Tạo.
7. Nếu chưa, hãy bật tính năng thanh toán trong Cloud Console để sử dụng các tài nguyên của Google Cloud.

Mặc dù lớp học lập trình này không tốn nhiều chi phí (nếu có), nhưng bạn nên làm theo hướng dẫn trong phần Dọn dẹp để tắt các tài nguyên và tránh phát sinh chi phí ngoài lớp học lập trình này. Xin lưu ý rằng người dùng mới của Google Cloud đủ điều kiện dùng thử miễn phí trị giá 300 USD.

3. Cấp quyền truy cập bằng IAM

IAM cho phép bạn cấp quyền truy cập dựa trên vai trò cho người dùng đối với dự án và tài nguyên của bạn. Trong phần này, bạn sẽ sử dụng IAM để cấp cho người dùng quyền truy cập vào một số vai trò cho dự án của bạn.

Bật API IAM và Resource Manager

1. Trong trình đơn điều hướng của Cloud Console, hãy nhấp vào API và dịch vụ.

2. Chọn BẬT API VÀ DỊCH VỤ.

3. Tìm API IAM rồi bật API đó.
4. Tìm Resource Manager API rồi bật tính năng này.

Cấp vai trò bằng IAM

1. Chuyển đến trang IAM.

Tên dự án của bạn sẽ xuất hiện trong bộ chọn dự án. Bộ chọn dự án cho biết bạn đang ở dự án nào.

Nếu bạn không thấy tên dự án của mình, hãy dùng bộ chọn dự án để chọn dự án đó.

2. Nhấp vào Thêm.
3. Nhập địa chỉ email của một người đại diện.
4. Trong trình đơn thả xuống Chọn một vai trò, hãy chọn Ghi nhật ký > Trình xem nhật ký > Lưu.

5. Xác minh rằng người dùng và vai trò được liệt kê trên trang IAM.

Vậy là bạn đã cấp một vai trò quản lý danh tính và quyền truy cập cho một đối tượng chính!

Quan sát các tác động của vai trò quản lý danh tính và quyền truy cập

Trong phần này, bạn xác minh rằng người dùng mà bạn đã cấp vai trò có thể truy cập vào các trang dự kiến trên Cloud Console:

1. Gửi URL này cho người được bạn cấp vai trò:

https://console.cloud.google.com/logs?project=PROJECT_ID

2. Xác minh rằng người dùng chính có thể truy cập và xem URL.

Chủ thể không thể truy cập vào một trang Cloud Console mà họ chưa được cấp vai trò thích hợp. Thay vào đó, họ sẽ thấy một thông báo lỗi như ví dụ này:

You don't have permissions to view logs.

Cấp các vai trò khác cho cùng một đối tượng chính

Thận trọng: Các vai trò cơ bản bao gồm hàng nghìn quyền trên tất cả các dịch vụ của Google Cloud. Trong môi trường phát hành công khai, đừng cấp các vai trò cơ bản trừ phi không có lựa chọn thay thế. Thay vào đó, hãy cấp vai trò tuỳ chỉnh hoặc vai trò đặt sẵn hạn chế nhất đáp ứng nhu cầu của bạn.

1. Trong Cloud Console, hãy chuyển đến trang IAM.
2. Tìm người dùng mà bạn muốn cấp một vai trò khác, sau đó nhấp vào Chỉnh sửa .
3. Trong ngăn Chỉnh sửa quyền, hãy nhấp vào Thêm một vai trò khác.

4. Trong trình đơn thả xuống Chọn vai trò, hãy nhấp vào Dự án > Người xem > Lưu.

Giờ đây, người dùng chính có vai trò quản lý danh tính và quyền truy cập thứ hai.

Thu hồi các vai trò đã cấp cho đối tượng chính

1. Tìm người dùng mà bạn muốn thu hồi vai trò, sau đó nhấp vào biểu tượng Chỉnh sửa .
2. Trong ngăn Chỉnh sửa quyền, hãy nhấp vào biểu tượng bên cạnh cả hai vai trò mà bạn đã cấp cho người dùng.
3. Nhấp vào Lưu.

Bạn đã xoá đối tượng chính khỏi cả hai vai trò. Nếu người này cố gắng xem bất kỳ trang nào mà trước đây họ có thể truy cập, họ sẽ thấy thông báo lỗi.

4. Dọn dẹp

Để tránh bị tính phí cho tài khoản Google Cloud đối với các tài nguyên được dùng trong lớp học lập trình này, hãy làm như sau:

Thận trọng: Khi bạn xoá một dự án:

• Mọi nội dung trong dự án sẽ bị xoá. Nếu đã sử dụng một dự án hiện có cho hướng dẫn này, bạn cũng sẽ xoá mọi công việc khác mà bạn đã thực hiện trong dự án đó.
• Mã dự án tuỳ chỉnh sẽ bị mất. Khi tạo dự án này, có thể bạn đã tạo một mã dự án tuỳ chỉnh mà bạn muốn sử dụng trong tương lai. Để giữ lại những URL sử dụng mã dự án (chẳng hạn như URL appspot.com), hãy xoá các tài nguyên đã chọn trong dự án thay vì xoá toàn bộ dự án.

Nếu dự định khám phá nhiều lớp học lập trình hoặc hướng dẫn nhanh, bạn có thể sử dụng lại các dự án để không vượt quá hạn mức dự án.

1. Trong Cloud Console, hãy chuyển đến trang Quản lý tài nguyên.
2. Trong danh sách dự án, hãy chọn dự án mà bạn muốn xoá rồi nhấp vào Xoá.
3. Trong hộp thoại, hãy nhập mã dự án rồi nhấp vào Tắt để xoá dự án.

5. Xin chúc mừng

Xin chúc mừng! Bạn đã tìm hiểu cách thiết lập một ứng dụng OAuth và sử dụng Cloud Console để cấp vai trò quản lý danh tính và quyền truy cập cho các thực thể chính trong dự án của mình.