授予和撤消访问权限

控制台

1. 登录 GDC 控制台。
2. 点击选择项目，以选择组织或项目。
   
   • 如需为组织设置角色绑定，请选择一个组织。
   • 如需为项目设置角色绑定，请选择一个项目。
3. 在导航菜单中，依次点击身份和访问权限 > 访问权限。
4. 点击添加成员。
5. 在身份提供方列表中，选择一个身份提供方。
6. 选择是要添加单个用户还是群组。
7. 在用户名或群组别名字段中，输入用户名、电子邮件地址或别名。
8. 在角色列表中，选择要向用户或群组分配的角色，例如组织级层的 Organization Viewer 或项目级层的 Project Creator。
9. 点击 Add（添加）。

相应成员会显示在授权成员列表中。

gdcloud

1. 确保您已安装 gdcloud CLI。

2. 使用 gdcloud auth login 命令登录，以向您的身份提供方进行身份验证。如需了解详情，请参阅 gdcloud CLI 身份验证。

3. 设置角色绑定。

   • 为组织设置角色绑定：

     gdcloud organizations add-iam-policy-binding root \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     执行以下变量替换操作：

     • USER_ACCOUNT：您要向其授予角色的用户账号。此标志接受带有身份提供方前缀 (user:idpprefix-user@example.com) 的用户电子邮件地址或带有服务账号项目 (serviceAccount:projectName:serviceAccountName) 的服务账号名称。
     • ROLE_TYPE：您要为其设置角色绑定的 ClusterRole、Role 或 OrganizationRole。
     • ROLE：您要分配给用户的预定义角色或自定义角色的名称（例如 project-creator）。

   • 为项目设置角色绑定：

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     执行以下变量替换操作：

     • PROJECT：您要为其设置角色绑定的项目的名称。
     • USER_ACCOUNT：您要向其授予角色的用户账号。此标志接受带有身份提供方前缀 (user:idpprefix-user@example.com) 的用户电子邮件地址或带有服务账号项目 (serviceAccount:projectName:serviceAccountName) 的服务账号名称。
     • ROLE_TYPE：您要为其设置角色绑定的 Role 或 ProjectRole。
     • ROLE：您要分配给用户的预定义角色或自定义角色的名称（例如 project-viewer）。

API

1. 导出角色绑定的环境变量：

   export YOUR_IAM_ADMIN_KUBECONFIG=YOUR_IAM_ADMIN_KUBECONFIG
   export USERNAME=IDP_PREFIX-USERNAME
   export ROLE_NAME=ROLE_NAME
   export USER_EMAIL=IDP_PREFIX-USER_EMAIL
   

   替换以下内容：

   • YOUR_IAM_ADMIN_KUBECONFIG：IAM 管理员的 kubeconfig 文件的路径。
   • IDP_PREFIX：身份提供方前缀。
   • USERNAME：用户电子邮件地址中 @ 符号前面的用户名部分（例如 paul@example.com 中的 paul）。
   • ROLE_NAME：用户需要的角色名称（例如 project-creator）。如需详细了解角色，请参阅角色定义。
   • USER_EMAIL：您要为其分配角色的用户账号的电子邮件地址（例如 paul@example.com）。

2. 将用户分配给 ClusterRole、Role、ProjectRole 或 OrganizationRole：

   • 将用户分配给 ClusterRole：

     kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     clusterrolebinding ${USERNAME}-${ROLE_NAME}-binding \
     --clusterrole=${ROLE_NAME} --user=${USER_EMAIL}
     

     如果 ClusterRole 需要 RoleBinding 而不是 ClusterRoleBinding，请参阅角色定义，了解角色需要哪种绑定类型，然后在命名空间 gpc-system 中创建 RoleBinding：

     kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     rolebinding ${USERNAME}-${ROLE_NAME}-binding \
     --clusterrole=${ROLE_NAME} --user=${USER_EMAIL} --namespace=gpc-system
     

   • 将用户分配给 Role：

     1. 导出必须创建绑定的命名空间：

        export BINDING_NAMESPACE=BINDING_NAMESPACE
        

     2. 运行以下命令以创建 RoleBinding：

        kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
        rolebinding ${USERNAME}-${ROLE_NAME}-binding \
        --role=${ROLE_NAME} --user=${USER_EMAIL} --namespace=${BINDING_NAMESPACE}
        

   • 将用户分配给 ProjectRole：

     1. 创建 projectrolebinding.yaml 文件：

        apiVersion: resourcemanager.gdc.goog/v1
        kind: ProjectRoleBinding
        metadata:
          name: BINDING_NAME
          namespace: PROJECT_NAME
        spec:
          roleRef:
            apiGroup: resourcemanager.gdc.goog
            kind: ProjectRole
            name: ROLE_NAME
          subjects:
          - apiGroup: rbac.authorization.k8s.io
            kind: USER_KIND
            name: IDP_PREFIX-USER_EMAIL
        

        替换以下内容：

        • BINDING_NAME：用户可自定义的绑定名称（例如 user-project-creator-binding）。
        • PROJECT_NAME：您要向其授予角色的项目的名称。
        • ROLE_NAME：您要分配给用户的 ProjectRole 的名称。
        • USER_KIND：用户类型，可以是 User、Group 或 ServiceAccount。
        • IDP_PREFIX：身份提供方前缀。
        • USER_EMAIL：您要为其分配角色的用户账号的电子邮件地址（例如 paul@example.com）。

     2. 应用 projectrolebinding.yaml 文件：

        kubectl create -f projectrolebinding.yaml
        

   • 将用户分配给 OrganizationRole：

     1. 创建 organizationrolebinding.yaml 文件：

        apiVersion: resourcemanager.gdc.goog/v1
        kind: OrganizationRoleBinding
        metadata:
          name: BINDING_NAME
          namespace: gpc-system
        spec:
          roleRef:
            apiGroup: resourcemanager.gdc.goog
            kind: OrganizationRole
            name: ROLE_NAME
          subjects:
          - apiGroup: rbac.authorization.k8s.io
            kind: USER_KIND
            name: IDP_PREFIX-USER_EMAIL
        

        替换以下内容：

        • BINDING_NAME：用户可自定义的绑定名称（例如 user-organization-creator-binding）。
        • ROLE_NAME：您要分配给用户的 OrganizationRole 的名称。
        • USER_KIND：用户类型，可以是 User、Group 或 ServiceAccount。
        • IDP_PREFIX：身份提供方前缀。
        • USER_EMAIL：您要为其分配角色的用户账号的电子邮件地址（例如 paul@example.com）。

     2. 应用 organizationrolebinding.yaml YAML 文件：

        kubectl create -f organizationrolebinding.yaml
        

控制台

1. 登录 GDC 控制台。
2. 在导航菜单中，依次点击身份和访问权限 > 访问权限。
3. 在授权成员列表中，选择一个成员。
4. 点击移除成员。
5. 当系统提示时，点击移除成员进行确认。

gdcloud

1. 确保您已安装 gdcloud CLI。

2. 使用 gdcloud auth login 命令登录，以向您的身份提供方进行身份验证。如需了解详情，请参阅 gdcloud CLI 身份验证。

3. 移除角色绑定。

   • 移除组织的角色绑定：

     gdcloud organizations remove-iam-policy-binding root \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     执行以下变量替换操作：

     • USER_ACCOUNT：您要从中移除角色的用户账号。此标志接受带有身份提供方前缀 (user:idpprefix-user@example.com) 的用户电子邮件地址或带有服务账号项目 (serviceAccount:projectName:serviceAccountName) 的服务账号名称。
     • ROLE_TYPE：您要移除角色绑定的 ClusterRole、Role 或 OrganizationRole。
     • ROLE：要从用户账号中移除的预定义角色或自定义角色的名称（例如 project-creator）。

   • 移除项目的角色绑定：

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     执行以下变量替换操作：

     • PROJECT：要从中移除角色绑定的项目的名称。
     • USER_ACCOUNT：您要从中移除角色的用户账号。此标志接受带有身份提供方前缀 (user:idpprefix-user@example.com) 的用户电子邮件地址或带有服务账号项目 (serviceAccount:projectName:serviceAccountName) 的服务账号名称。
     • ROLE_TYPE：您要移除角色绑定的 Role 或 ProjectRole。
     • ROLE：要从用户账号中移除的预定义角色或自定义角色的名称（例如 project-viewer）。

API

1. 导出角色绑定的环境变量：

   export YOUR_IAM_ADMIN_KUBECONFIG=YOUR_IAM_ADMIN_KUBECONFIG
   export USERNAME=IDP_PREFIX-USERNAME
   export BINDING_NAMESPACE=BINDING_NAMESPACE
   

   替换以下内容：

   • YOUR_IAM_ADMIN_KUBECONFIG：IAM 管理员的 kubeconfig 文件的路径。
   • IDP_PREFIX：身份提供方前缀。
   • USERNAME：用户电子邮件地址中 @ 符号前面的用户名部分（例如 paul@example.com 中的 paul）。
   • BINDING_NAMESPACE：要移除绑定的命名空间。

2. 删除 ClusterRoleBinding、RoleBinding、ProjectRoleBinding 或 OrganizationRoleBinding 可撤消授予用户账号的权限：

   • 从用户账号中移除 ClusterRoleBinding：

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete clusterrolebinding ${USERNAME}-pa
     

   • 从用户账号中移除 RoleBinding：

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete rolebinding ${USERNAME}-pa \
     --namespace=${BINDING_NAMESPACE}
     

   • 从用户账号中移除 ProjectRoleBinding：

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete projectrolebinding ${USERNAME}-pa \
     --namespace=${BINDING_NAMESPACE}
     

   • 从用户账号中移除 OrganizationRoleBinding：

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete organizationrolebinding ${USERNAME}-pa \
     --namespace=gpc-system