在 GCP 中管理访问权限

您当前正在查看 Apigee Hybrid 文档的 1.2 版。 此版本已终止服务。您应该升级到更高的版本。如需了解详情，请参阅支持的版本。

安装完成后，您的 Google Cloud 项目已与以下用户相关联：

• 您（所有者）
• 创建服务帐号中列出的服务帐号

收到 Apigee 组织已预配的确认信息后，您可以向 Google Cloud Platform (GCP) 项目添加更多用户帐号。您可以使用 GCP Console 中的 IAM 服务来执行此操作。

本部分介绍如何向 GCP 项目添加新用户帐号并管理他们的访问权限。这些用户帐号可能具有特殊角色，例如创建分析报告的人员，或负责部署和取消部署 API 代理的人员。如需了解 Apigee 角色的说明（包括 API 访问权限详细信息），请参阅使用 Apigee API 管理用户和角色。

注意：在 GCP Console 中向项目添加新用户时，新用户默认可以访问组织中的所有环境。不过，他们对工作角色的功能仍受限。（您很快将在 Hybrid 界面中至少添加一个环境...）

如需优化每个用户的访问权限，您可以在 Hybrid 界面的环境级别替换他们的角色。

对于小型项目，您不得添加任何新用户。对于较大的项目，您可能需要为每个 Apigee 角色至少添加一个新成员。尽量限制您分配的 Apigee Organization Admin 角色的数量，因为此角色拥有最高级别的权限。

注意：虽然您可以创建自定义角色并将其分配给已启用混合项目的用户。不过，Apigee 不建议这样做，并且 目前不支持它们。

如需在 GCP 项目中添加用户并为其分配 Apigee 角色，请执行以下操作：

1. 打开 Google Cloud Console，然后使用您的 GCP 帐号登录。
2. 选择混合启用的项目。
3. 选择 IAM 和管理 > IAM。

   控制台会显示权限视图：

   

4. 如需添加新用户，请点击 +ADD 按钮。

   控制台会显示 添加成员 视图：

   

5. 在 新成员 字段中，输入新用户帐号的电子邮件地址。

   电子邮件地址必须是以下类型之一：

   • Google 帐号（例如 [e-mail]）。所有 Gmail 帐号都是 Google 帐号，但您也可以将网域不同的电子邮件地址注册为 Google 帐号。
   • Google 组的名称。例如，[e-mail]。如果您将某个 Google 组添加为用户，则该组的所有成员都将拥有该角色。
   • 服务帐号。例如 [e-mail]。（您不需要在此处添加服务帐号。）
   • 一个 G Suite 网域。例如，[e-mail]，其中 example.com 是您注册 Google Cloud 服务时使用的网域。

   您可以在新成员字段中指定多个电子邮件地址，并为所有成员分配相同的角色。如需向不同的电子邮件地址分配不同的角色，请为每个新成员执行第 4 步和第 5 步。

6. 为新成员分配至少一个角色：
   1. 展开选择角色下拉列表。
   2. 选择要分配的角色。要决定要分配的角色，请参阅 用户帐号和角色 中的说明。
   3. 如需分配 Apigee 角色，您可以输入“Apigee”作为过滤条件，以便下拉列表仅显示 Apigee 角色，如以下示例所示：

      

   4. 针对您要向用户分配的各个角色重复此过程。
7. 点击保存按钮，将新用户添加到具有已分配角色的 GCP 项目。
8. 对您要添加的每个用户重复此过程。

GCP 现在允许项目的新用户使用已分配的权限访问组织中的所有环境。如需限制用户对特定环境的访问权限，请使用混合界面，如 在混合界面中添加用户帐号 中所述。