授予使用者執行個體存取權

本頁面說明如何使用 Identity and Access Management (IAM)，授予使用者 Secure Source Manager 執行個體的存取權。如要進一步瞭解 Secure Source Manager 的存取控管機制，請參閱「使用 IAM 控管存取權」。

必要的角色

如要取得授予使用者執行個體存取權所需的權限，請要求管理員授予您 Secure Source Manager 執行個體的 Secure Source Manager 執行個體擁有者角色 (roles/securesourcemanager.instanceOwner) IAM 角色。如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和組織的存取權」。

您或許也能透過自訂角色或其他預先定義的角色，取得必要權限。

如要瞭解如何授予 Secure Source Manager 角色，請參閱「使用 IAM 控管存取權」。

授予員工身分聯盟使用者存取權

如果您使用員工身分聯盟存取 Secure Source Manager，主體的表示方式會有所不同。如要進一步瞭解如何將存取權授予代表身分群組的主體，請參閱「在 IAM 政策中代表員工集區使用者」。

舉例來說，下列指令會將執行個體存取者角色 (roles/securesourcemanager.instanceAccessor) 授予使用者 user@example.com，該角色位於 us-central1 區域中 my-project 專案的 my-instance 執行個體上的 my-pool 工作團隊集區：

  gcloud source-manager instances add-iam-policy-binding my-instance \
      --project=my-project \
      --region=us-central1 \
      --member=principal://iam.googleapis.com/locations/global/workforcePools/my-pool/subject/user@example.com \
      --role=roles/securesourcemanager.instanceAccessor

您可以根據識別資訊提供者 (IdP) 屬性，將存取權授予員工身分集區中的使用者或群組，或使用一般運算語言 (CEL) 將 OIDC 屬性對應至自訂屬性，在 IAM 政策中定義授權策略。如要進一步瞭解屬性對應，請參閱「屬性對應」。

在 Google Cloud 控制台中授予執行個體存取權

  1. 前往 Google Cloud 控制台的「IAM」(身分與存取權管理) 頁面。

    前往「IAM」頁面

  2. 按一下「授予存取權」。

  3. 在「New principals」(新增主體) 欄位中，輸入要授予存取權的使用者或群組電子郵件地址。

  4. 從「Select a role」(選取角色) 清單中選取角色。

    • 如要授予執行個體的僅供檢視存取權，請選取「Secure Source Manager Instance Accessor」(Secure Source Manager 執行個體存取者) (roles/securesourcemanager.instanceAccessor)。這個角色會授予執行個體的存取權，但不會授予存放區檢視權限。
    • 如要授予存放區的唯讀存取權，請選取「Secure Source Manager Repository Reader」(Secure Source Manager 存放區讀取者) (roles/securesourcemanager.repoReader)。使用者也必須具備執行個體存取者角色，才能透過 Secure Source Manager 網頁介面存取存放區。
    • 如要允許建立及修改存放區，請選取「Secure Source Manager Instance Repository Creator」(Secure Source Manager 執行個體存放區建立者) (roles/securesourcemanager.instanceRepositoryCreator)。
    • 如要授予執行個體的完整管理員權限，請選取「Secure Source Manager Instance Owner」(Secure Source Manager 執行個體擁有者) (roles/securesourcemanager.instanceOwner)。

  5. 按一下「儲存」。

授予單一使用者存取權

如要授予單一使用者執行個體存取權，請使用下列 Google Cloud CLI 指令：

  gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
      --project=PROJECT_ID \
      --region=REGION \
      --member=PRINCIPAL_IDENTIFIER \
      --role=roles/securesourcemanager.instanceAccessor

更改下列內容：

  • 將 INSTANCE_ID 替換為執行個體 ID。
  • PROJECT_ID：執行個體的專案 ID 或專案編號。
  • 將 REGION 替換為執行個體所在的區域。如要瞭解可用的 Secure Source Manager 區域，請參閱位置說明文件。

  • PRINCIPAL_IDENTIFIER：要授予角色的主體 ID。

    舉例來說，如要使用電子郵件地址將角色授予單一使用者，請將主體 ID 格式設為 user:EMAIL，其中 EMAIL 是使用者的電子郵件地址。

    如要進一步瞭解支援的主體 ID，請參閱「主體 ID」。

例如，下列指令會將 roles/securesourcemanager.instanceAccessor 角色授予 trusted-user1@gmail.com 使用者，該角色位於 us-central 區域中 my-project 專案的 my-instance 執行個體。

  gcloud source-manager instances add-iam-policy-binding INSTANCE_ID \
      --project=my-project \
      --region=us-central1 \
      --member=user:trusted-user1@gmail.com \
      --role=roles/securesourcemanager.instanceAccessor

將存取權授予多位使用者

如要向多位使用者授予存取權，建議您建立 Google 群組，納入所有潛在使用者，例如所有開發人員。

接著，您可以將下列一或多個角色授予群組：

  • 執行個體存取者 (roles/securesourcemanager.instanceAccessor)：查看執行個體。
  • 執行個體存放區建立者 (roles/securesourcemanager.instanceRepositoryCreator)：建立及修改存放區。
  • 執行個體擁有者 (roles/securesourcemanager.instanceOwner)：可完整管理執行個體。

如需將角色授予群組的操作說明，請參閱 IAM 說明文件中的「將存取權授予多個主體」。

後續步驟