תפקידים והרשאות

ב-Google Cloud יש ממשק לניהול זהויות והרשאות גישה (IAM), שמאפשר לתת גישה פרטנית יותר למשאבים ספציפיים ב- Google Cloud ולמנוע גישה למשאבים אחרים. בדף הזה מתוארים התפקידים וההרשאות של Service Extensions.

בעזרת IAM תוכלו לשמור על עקרון האבטחה של הרשאות מינימליות, וכך לתת רק למי שצריך את רמת הגישה שצריך למשאבים השונים.

תפקידים הם אוספים של הרשאות IAM. כדי לתת הרשאות לחשבונות – כולל של משתמשים, קבוצות ושירותים – צריך לתת להם תפקידים. באמצעות כללי המדיניות ב-IAM אתם יכולים לקבוע למי יש אילו הרשאות לאילו משאבים. מדיניות IAM מעניקה תפקידים ספציפיים לחשבונות משתמשים, וכך נותנת להם הרשאות מסוימות.

למידע מפורט על תפקידי IAM, קראו את המאמר תפקידים והרשאות.

תפקידים והרשאות מוגדרים מראש לתוספים של שירותים

בתוספי שירות אפשר להשתמש בהרשאות IAM ברמת הפרויקט.

בטבלה הבאה מפורטים התפקידים של Service Extensions ב-IAM וההרשאות שכל תפקיד כולל.

תפקידים	הרשאות
אדמין של תוספי שירות (roles/networkservices.serviceExtensionsAdmin) הרשאות ליצור, לעדכן, להציג ברשימה, לראות ולמחוק תוספים.	networkservices.authzExtensions.create networkservices.authzExtensions.delete networkservices.authzExtensions.get networkservices.authzExtensions.list networkservices.authzExtensions.update networkservices.authzExtensions.use networkservices.lbEdgeExtensions.create networkservices.lbEdgeExtensions.delete networkservices.lbEdgeExtensions.get networkservices.lbEdgeExtensions.list networkservices.lbEdgeExtensions.update networkservices.lbRouteExtensions.create networkservices.lbRouteExtensions.delete networkservices.lbRouteExtensions.get networkservices.lbRouteExtensions.list networkservices.lbRouteExtensions.update networkservices.lbTrafficExtensions.create networkservices.lbTrafficExtensions.delete networkservices.lbTrafficExtensions.get networkservices.lbTrafficExtensions.list networkservices.lbTrafficExtensions.update networkservices.cdnEdgeExtensions.create networkservices.cdnEdgeExtensions.delete networkservices.cdnEdgeExtensions.get networkservices.cdnEdgeExtensions.list networkservices.cdnEdgeExtensions.update networkservices.wasmPlugins.create networkservices.wasmPlugins.delete networkservices.wasmPlugins.get networkservices.wasmPlugins.list networkservices.wasmPlugins.update networkservices.wasmPlugins.use networkservices.wasmPluginVersions.create networkservices.wasmPluginVersions.delete networkservices.wasmPluginVersions.get networkservices.wasmPluginVersions.list
צפייה בתוספי שירות (roles/networkservices.serviceExtensionsViewer) הרשאות להצגה ולרישום של תוספים.	networkservices.authzExtensions.get networkservices.authzExtensions.list networkservices.lbEdgeExtensions.get networkservices.lbEdgeExtensions.list networkservices.lbRouteExtensions.get networkservices.lbRouteExtensions.list networkservices.lbTrafficExtensions.get networkservices.lbTrafficExtensions.list networkservices.cdnEdgeExtensions.get networkservices.cdnEdgeExtensions.list networkservices.wasmPlugins.get networkservices.wasmPlugins.list networkservices.wasmPluginVersions.get networkservices.wasmPluginVersions.list

בטבלה הבאה מפורטים התפקידים ב-IAM שנדרשים לשירותים אחרים, וההרשאות שכל תפקיד כולל.

תפקידים	הרשאות
אדמין של מאזן עומסים ב-Compute (roles/compute.loadBalancerAdmin) הרשאות לעדכון כללי העברה. חובה כשיוצרים ומעדכנים תוספים שמצורפים לכללי העברה.	compute.forwardingRules.update compute.globalForwardingRules.update
משתמש בשירותים של מאזן העומסים (LB) של Compute (roles/compute.loadBalancerServiceUser) הרשאות לשימוש בשירותים לקצה העורפי. נדרש כשיוצרים ומעדכנים תוספים שמשתמשים בשירותים לקצה העורפי בתור שירותי תוספים.	compute.backendServices.use compute.regionBackendBuckets.use

Role	Permissions
Service Extensions Admin ^Beta (roles/serviceextensions.admin) Grants full access to Service Extensions resources.	resourcemanager.projects.get resourcemanager.projects.list serviceextensions.* serviceextensions.callouts.invoke serviceextensions.locations.get serviceextensions.locations.list
Service Extensions Editor ^Beta (roles/serviceextensions.editor) Grants access to edit Service Extensions resources.	resourcemanager.projects.get resourcemanager.projects.list serviceextensions.* serviceextensions.callouts.invoke serviceextensions.locations.get serviceextensions.locations.list
Service Extensions Viewer ^Beta (roles/serviceextensions.viewer) Grants read access to Service Extensions resources.	resourcemanager.projects.get resourcemanager.projects.list serviceextensions.locations.* serviceextensions.locations.get serviceextensions.locations.list

Service agent roles

Service agent roles should only be granted to service agents.

Role	Permissions
Network Actions Service Agent (roles/networkactions.serviceAgent) Gives Network Actions service account access to read required resources. Warning: Do not grant service agent roles to any principals except service agents.	artifactregistry.files.download artifactregistry.repositories.downloadArtifacts

ניהול בקרת הגישה

כדי להגדיר אמצעי בקרת גישה ברמת הפרויקט:

1. נכנסים לדף IAM במסוף Google Cloud .

   כניסה לדף IAM

2. בוחרים את הפרויקט הרצוי.

3. לוחצים על הוספה.

4. בשדה New principals, מזינים את כתובת האימייל של חשבון המשתמש החדש.

5. בוחרים את התפקיד הנדרש.

6. לוחצים על Save.

7. מוודאים שחשבון המשתמש מופיע עם התפקיד שנתתם לו.

זיהוי ההרשאות בתפקיד

כדי לבדוק אם תפקיד מסוים כולל הרשאה אחת או יותר, אתם יכולים להשתמש באחת מהשיטות הבאות:

• הפניית החיפוש של הרשאות IAM
• הפקודה gcloud iam roles describe
• ה-method‏ roles.get() ב-IAM API

המאמרים הבאים

• סקירה כללית על תוספי שירות
• איך מכינים את קוד הפלאגין כדי ליצור פלאגינים.
• איך יוצרים פלאגין
• איך מנהלים פלאגינים