Concedere l'accesso ad altri utenti

Per consentire a un account utente o service account Google Cloud di gestire, visualizzare o connettersi alle risorse AlloyDB per PostgreSQL in un progetto, puoi concedere all'account i ruoli Identity and Access Management (IAM) predefiniti.

A seconda dell'ambito di controllo che vuoi assegnare all'account, concedi uno di questi ruoli IAM predefiniti:

  • AlloyDB Admin (roles/alloydb.admin) per concedere il controllo completo di tutte le risorse AlloyDB

  • Editor AlloyDB (roles/alloydb.editor) per concedere l'accesso in lettura e scrittura per creare, modificare ed eliminare le risorse AlloyDB, senza l'autorizzazione per gestire le associazioni dei tag o i piani di backup del servizio di Backup e DR

  • Client AlloyDB (roles/alloydb.client) e Service Usage Consumer (roles/serviceusage.serviceUsageConsumer) per concedere l'accesso per la connettività alle istanze AlloyDB dai client che si connettono con il proxy di autenticazione AlloyDB o con gli AlloyDB Language Connector

  • Utente database AlloyDB (roles/alloydb.databaseUser) per concedere l'accesso per l'accesso degli utenti al database basato su IAM e l'accesso alle query di AlloyDB Studio alle istanze AlloyDB

  • Visualizzatore AlloyDB (roles/alloydb.viewer) per concedere l'accesso di sola lettura a tutte le risorse AlloyDB

  • AlloyDB Admin for BackupDR (roles/alloydb.backupDrAdmin) per concedere l'accesso per gestire i backup e i ripristini dei cluster AlloyDB utilizzando Backup e RE

Per informazioni dettagliate sulle autorizzazioni IAM specifiche fornite da questi ruoli, consulta Ruoli IAM AlloyDB predefiniti.

Prima di iniziare

  • Il progetto Google Cloud che stai utilizzando deve essere stato abilitato per accedere ad AlloyDB.
  • Devi disporre del ruolo IAM di base Proprietario (roles/owner) nel progetto Google Cloud che stai utilizzando o di un ruolo che conceda queste autorizzazioni:
    • resourcemanager.projects.get
    • resourcemanager.projects.getIamPolicy
    • resourcemanager.projects.setIamPolicy

    Per ottenere queste autorizzazioni seguendo il principio del privilegio minimo, chiedi all'amministratore di concederti il ruolo Project IAM Admin (roles/resourcemanager.projectIamAdmin).

  • Abilita l'API Cloud Resource Manager nel progetto Google Cloud che stai utilizzando.

    Abilita l'API

Procedura

Console

  1. Nella console Google Cloud vai alla pagina IAM.

    Vai a IAM

  2. Seleziona il progetto abilitato per accedere ad AlloyDB.
  3. Seleziona un'entità (utente o account di servizio) a cui concedere l'accesso:
    • Per concedere un ruolo a un'entità che ha già altri ruoli nel progetto, individua la riga contenente l'indirizzo email dell'entità, fai clic su Modifica entità in quella riga e fai clic su Aggiungi un altro ruolo.
    • Per concedere un ruolo a un'entità che non ha già altri ruoli nel progetto, fai clic su Concedi l'accesso, quindi inserisci l'indirizzo email dell'entità.
  4. Dall'elenco a discesa, seleziona uno dei seguenti ruoli:
    • AlloyDB Admin
    • AlloyDB Editor
    • AlloyDB Viewer
    • AlloyDB Client e Service Usage Consumer
    • AlloyDB Database User
    • AlloyDB Admin for BackupDR
  5. Fai clic su Salva. All'entità viene concesso il ruolo.

gcloud

Per utilizzare gcloud CLI, puoi installare e inizializzare Google Cloud CLI oppure puoi utilizzare Cloud Shell.

Utilizza il comando add-iam-policy-binding per concedere un ruolo predefinito di AlloyDB a un'entità IAM (account utente o account di servizio).

gcloud projects add-iam-policy-binding PROJECT_ID \
    --member=PRINCIPAL \
    --role=ALLOYDB_ROLE

Sostituisci quanto segue:

  • PROJECT_ID: l'ID del progetto abilitato ad accedere ad AlloyDB.
  • PRINCIPAL: il tipo e l'ID email (indirizzo email) dell'entità:
    • Per gli account utente: user:EMAIL_ID
    • Per i service account: serviceAccount:EMAIL_ID

  • ALLOYDB_ROLE: il ruolo che vuoi concedere all'entità. Il valore deve essere uno dei seguenti:

    • roles/alloydb.admin
    • roles/alloydb.editor
    • roles/alloydb.viewer
    • roles/alloydb.client. Concedi anche roles/serviceusage.serviceUsageConsumer in un comando separato.
    • roles/alloydb.databaseUser
    • roles/alloydb.backupDrAdmin

    Per informazioni dettagliate sulle autorizzazioni concesse da questi ruoli, consulta Ruoli IAM AlloyDB predefiniti.