授予及撤銷存取權

控制台

1. 登入 GDC 控制台。
2. 按一下「選取專案」，選取機構或專案。
   
   • 如要為機構設定角色繫結，請選取機構。
   • 如要為專案設定角色繫結，請選取專案。
3. 在導覽選單中，依序點選「Identity and Access」>「Access」。
4. 按一下「新增成員」。
5. 在「Identity provider」(識別資訊提供者) 清單中，選取識別資訊提供者。
6. 選擇要新增個別使用者或群組。
7. 在「使用者名稱或群組別名」欄位中，輸入使用者名稱、電子郵件地址或別名。
8. 在「角色」清單中，選取要指派給使用者或群組的角色，例如機構層級的「機構檢視者」或專案層級的「專案建立者」。
9. 按一下「新增」。

該成員會顯示在「授權成員」清單中。

gdcloud

1. 確認已安裝 gdcloud CLI。

2. 使用 gdcloud auth login 指令登入，向身分識別提供者驗證身分。詳情請參閱「gcloud CLI 驗證」。

3. 設定角色繫結。

   • 為機構設定角色繫結：

     gdcloud organizations add-iam-policy-binding root \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     請替換下列變數：

     • USER_ACCOUNT：要授予角色的使用者帳戶。這個旗標接受使用者電子郵件地址 (含身分識別提供者前置字元 user:idpprefix-user@example.com)，或服務帳戶名稱 (含服務帳戶專案 serviceAccount:projectName:serviceAccountName)。
     • ROLE_TYPE：您要設定角色繫結的 ClusterRole、Role 或 OrganizationRole。
     • ROLE：要指派給使用者的預先定義或自訂角色名稱 (例如 project-creator)。

   • 為專案設定角色繫結：

     gdcloud projects add-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     請替換下列變數：

     • PROJECT：要設定角色綁定的專案名稱。
     • USER_ACCOUNT：要授予角色的使用者帳戶。這個旗標接受使用者電子郵件地址 (含身分識別提供者前置字元 user:idpprefix-user@example.com)，或服務帳戶名稱 (含服務帳戶專案 serviceAccount:projectName:serviceAccountName)。
     • ROLE_TYPE：您要設定角色繫結的 Role 或 ProjectRole。
     • ROLE：要指派給使用者的預先定義或自訂角色名稱 (例如 project-viewer)。

API

1. 匯出角色繫結的環境變數：

   export YOUR_IAM_ADMIN_KUBECONFIG=YOUR_IAM_ADMIN_KUBECONFIG
   export USERNAME=IDP_PREFIX-USERNAME
   export ROLE_NAME=ROLE_NAME
   export USER_EMAIL=IDP_PREFIX-USER_EMAIL
   

   更改下列內容：

   • YOUR_IAM_ADMIN_KUBECONFIG：IAM 管理員的 kubeconfig 檔案路徑。
   • IDP_PREFIX：身分識別提供者前置字元。
   • USERNAME：使用者電子郵件地址中 @ 符號前的使用者名稱部分 (例如 paul@example.com 中的 paul)。
   • ROLE_NAME：使用者需要的角色名稱 (例如 project-creator)。如要瞭解角色詳細資料，請參閱「角色定義」。
   • USER_EMAIL：要指派角色的使用者帳戶電子郵件地址 (例如 paul@example.com)。

2. 將使用者指派給 ClusterRole、Role、ProjectRole 或 OrganizationRole：

   • 將使用者指派給 ClusterRole：

     kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     clusterrolebinding ${USERNAME}-${ROLE_NAME}-binding \
     --clusterrole=${ROLE_NAME} --user=${USER_EMAIL}
     

     如果 ClusterRole 需要 RoleBinding 而非 ClusterRoleBinding，請參閱「角色定義」，瞭解角色需要哪種繫結類型，並在 gpc-system 命名空間中建立 RoleBinding：

     kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     rolebinding ${USERNAME}-${ROLE_NAME}-binding \
     --clusterrole=${ROLE_NAME} --user=${USER_EMAIL} --namespace=gpc-system
     

   • 將使用者指派給 Role：

     1. 匯出必須建立繫結的命名空間：

        export BINDING_NAMESPACE=BINDING_NAMESPACE
        

     2. 執行下列指令來建立 RoleBinding：

        kubectl create --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
        rolebinding ${USERNAME}-${ROLE_NAME}-binding \
        --role=${ROLE_NAME} --user=${USER_EMAIL} --namespace=${BINDING_NAMESPACE}
        

   • 將使用者指派給 ProjectRole：

     1. 建立 projectrolebinding.yaml 檔案：

        apiVersion: resourcemanager.gdc.goog/v1
        kind: ProjectRoleBinding
        metadata:
          name: BINDING_NAME
          namespace: PROJECT_NAME
        spec:
          roleRef:
            apiGroup: resourcemanager.gdc.goog
            kind: ProjectRole
            name: ROLE_NAME
          subjects:
          - apiGroup: rbac.authorization.k8s.io
            kind: USER_KIND
            name: IDP_PREFIX-USER_EMAIL
        

        更改下列內容：

        • BINDING_NAME：使用者可自訂的繫結名稱 (例如 user-project-creator-binding)。
        • PROJECT_NAME：您要授予角色的專案名稱。
        • ROLE_NAME：您要指派給使用者的ProjectRole名稱。
        • USER_KIND：使用者類型，可以是 User、Group 或 ServiceAccount。
        • IDP_PREFIX：身分提供者前置字元。
        • USER_EMAIL：要指派角色的使用者帳戶電子郵件地址 (例如 paul@example.com)。

     2. 套用 projectrolebinding.yaml 檔案：

        kubectl create -f projectrolebinding.yaml
        

   • 將使用者指派給 OrganizationRole：

     1. 建立 organizationrolebinding.yaml 檔案：

        apiVersion: resourcemanager.gdc.goog/v1
        kind: OrganizationRoleBinding
        metadata:
          name: BINDING_NAME
          namespace: gpc-system
        spec:
          roleRef:
            apiGroup: resourcemanager.gdc.goog
            kind: OrganizationRole
            name: ROLE_NAME
          subjects:
          - apiGroup: rbac.authorization.k8s.io
            kind: USER_KIND
            name: IDP_PREFIX-USER_EMAIL
        

        更改下列內容：

        • BINDING_NAME：使用者可自訂的繫結名稱 (例如 user-organization-creator-binding)。
        • ROLE_NAME：您要指派給使用者的OrganizationRole名稱。
        • USER_KIND：使用者類型，可以是 User、Group 或 ServiceAccount。
        • IDP_PREFIX：身分提供者前置字元。
        • USER_EMAIL：要指派角色的使用者帳戶電子郵件地址 (例如 paul@example.com)。

     2. 套用 organizationrolebinding.yaml YAML 檔案：

        kubectl create -f organizationrolebinding.yaml
        

控制台

1. 登入 GDC 控制台。
2. 在導覽選單中，依序點選「Identity and Access」>「Access」。
3. 在「授權成員」清單中，選取成員。
4. 按一下 [Remove member]。
5. 系統提示時，按一下「移除成員」確認。

gdcloud

1. 確認已安裝 gdcloud CLI。

2. 使用 gdcloud auth login 指令登入，向身分識別提供者驗證身分。詳情請參閱「gcloud CLI 驗證」。

3. 移除角色繫結。

   • 移除機構的角色繫結：

     gdcloud organizations remove-iam-policy-binding root \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     請替換下列變數：

     • USER_ACCOUNT：要移除角色的使用者帳戶。這個旗標接受使用者電子郵件地址 (含身分識別提供者前置字元 user:idpprefix-user@example.com)，或服務帳戶名稱 (含服務帳戶專案 serviceAccount:projectName:serviceAccountName)。
     • ROLE_TYPE：要移除角色繫結的 ClusterRole、Role 或 OrganizationRole。
     • ROLE：要從使用者帳戶移除的預先定義或自訂角色名稱 (例如 project-creator)。

   • 移除專案的角色繫結：

     gdcloud projects remove-iam-policy-binding PROJECT \
       --member=USER_ACCOUNT \
       --role=ROLE_TYPE/ROLE
     

     請替換下列變數：

     • PROJECT：要移除角色綁定的專案名稱。
     • USER_ACCOUNT：要移除角色的使用者帳戶。這個旗標接受使用者電子郵件地址 (含身分識別提供者前置字元 user:idpprefix-user@example.com)，或服務帳戶名稱 (含服務帳戶專案 serviceAccount:projectName:serviceAccountName)。
     • ROLE_TYPE：要移除角色繫結的 Role 或 ProjectRole。
     • ROLE：要從使用者帳戶移除的預先定義或自訂角色名稱 (例如 project-viewer)。

API

1. 匯出角色繫結的環境變數：

   export YOUR_IAM_ADMIN_KUBECONFIG=YOUR_IAM_ADMIN_KUBECONFIG
   export USERNAME=IDP_PREFIX-USERNAME
   export BINDING_NAMESPACE=BINDING_NAMESPACE
   

   更改下列內容：

   • YOUR_IAM_ADMIN_KUBECONFIG：IAM 管理員的 kubeconfig 檔案路徑。
   • IDP_PREFIX：身分識別提供者前置字元。
   • USERNAME：使用者電子郵件地址中 @ 符號前的使用者名稱部分 (例如 paul@example.com 中的 paul)。
   • BINDING_NAMESPACE：要移除繫結的命名空間。

2. 刪除 ClusterRoleBinding、RoleBinding、ProjectRoleBinding 或 OrganizationRoleBinding，即可撤銷授予使用者帳戶的權限：

   • 從使用者帳戶中移除 ClusterRoleBinding：

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete clusterrolebinding ${USERNAME}-pa
     

   • 從使用者帳戶中移除 RoleBinding：

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete rolebinding ${USERNAME}-pa \
     --namespace=${BINDING_NAMESPACE}
     

   • 從使用者帳戶中移除 ProjectRoleBinding：

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete projectrolebinding ${USERNAME}-pa \
     --namespace=${BINDING_NAMESPACE}
     

   • 從使用者帳戶中移除 OrganizationRoleBinding：

     kubectl --kubeconfig ${YOUR_IAM_ADMIN_KUBECONFIG} \
     delete organizationrolebinding ${USERNAME}-pa \
     --namespace=gpc-system