Controlo de acesso com a IAM

Esta página descreve as funções de gestão de identidade e de acesso (IAM) necessárias para usar a aprovação de acesso.

Funções necessárias

As secções seguintes mencionam as funções e as autorizações do IAM necessárias para realizar várias ações com a aprovação de acesso. As secções também fornecem instruções sobre como conceder as funções necessárias.

Veja os pedidos e a configuração da aprovação de acesso

A tabela seguinte lista as autorizações de IAM necessárias para ver os pedidos e a configuração da aprovação de acesso:

Função de IAM predefinida Autorizações e funções necessárias
roles/accessapproval.viewer
  • accessapproval.requests.get
  • accessapproval.requests.list
  • accessapproval.serviceAccounts.get
  • accessapproval.settings.get
  • resourcemanager.projects.get
  • resourcemanager.projects.list

Para conceder a função de leitor da aprovação de acesso (roles/accessapproval.viewer), faça o seguinte:

Consola

Para conceder esta função do IAM a si próprio, faça o seguinte:

  1. Aceda à página IAM na Google Cloud consola.

    Aceda ao IAM

  2. No separador Ver por responsáveis, clique em Conceder acesso.
  3. No campo Novos membros no painel do lado direito, introduza o seu endereço de email.
  4. Clique no campo Selecionar uma função e selecione a função Visualizador de aprovação de acesso no menu.
  5. Clique em Guardar.

gcloud

Execute o seguinte comando:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member='user:EMAIL_ID' \
  --role='roles/accessapproval.viewer'

Substitua o seguinte:

  • ORGANIZATION_ID: o ID da organização.
  • EMAIL_ID: o ID de email do utilizador.

Para mais informações sobre o comando, consulte gcloud organizations add-iam-policy-binding.

Veja e aprove um pedido de aprovação de acesso

A tabela seguinte lista as autorizações de IAM necessárias para ver e aprovar um pedido de aprovação de acesso:

Função de IAM predefinida Autorizações e funções necessárias
roles/accessapproval.approver
  • accessapproval.requests.approve
  • accessapproval.requests.dismiss
  • accessapproval.requests.get
  • accessapproval.requests.invalidate
  • accessapproval.requests.list
  • accessapproval.serviceAccounts.get
  • accessapproval.settings.get
  • resourcemanager.projects.get
  • resourcemanager.projects.list

Para conceder a função de aprovador da aprovação de acesso (roles/accessapproval.approver), faça o seguinte:

Consola

Para conceder esta função do IAM a si próprio, faça o seguinte:

  1. Aceda à página IAM na Google Cloud consola.

    Aceda ao IAM

  2. No separador Ver por responsáveis, clique em Conceder acesso.
  3. No campo Novos membros no painel do lado direito, introduza o seu endereço de email.
  4. Clique no campo Selecionar uma função e selecione a função Aprovador da aprovação de acesso no menu.
  5. Clique em Guardar.

gcloud

Execute o seguinte comando:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member='user:EMAIL_ID' \
  --role='roles/accessapproval.approver'

Substitua o seguinte:

  • ORGANIZATION_ID: o ID da organização.
  • EMAIL_ID: o ID de email do utilizador.

Atualize a configuração da aprovação de acesso

A tabela seguinte lista as autorizações da IAM necessárias para atualizar a configuração da aprovação de acesso:

Função de IAM predefinida Autorizações e funções necessárias
roles/accessapproval.configEditor
  • accessapproval.serviceAccounts.get
  • accessapproval.settings.delete
  • accessapproval.settings.get
  • accessapproval.settings.update
  • resourcemanager.projects.get
  • resourcemanager.projects.list

Para conceder a função Editor de configuração da aprovação de acesso (roles/accessapproval.configEditor), faça o seguinte:

Consola

Para conceder esta função do IAM a si próprio, faça o seguinte:

  1. Aceda à página IAM na Google Cloud consola.

    Aceda ao IAM

  2. No separador Ver por responsáveis, clique em Conceder acesso.
  3. No campo Novos membros no painel do lado direito, introduza o seu endereço de email.
  4. Clique no campo Selecionar uma função e selecione a função Editor de configuração de aprovação de acesso no menu.
  5. Clique em Guardar.

gcloud

Execute o seguinte comando:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member='user:EMAIL_ID' \
  --role='roles/accessapproval.approver'

Substitua o seguinte:

  • ORGANIZATION_ID: o ID da organização.
  • EMAIL_ID: o ID de email do utilizador.

Invalide os pedidos de aprovação de acesso existentes

A tabela seguinte indica as autorizações de IAM necessárias para invalidar pedidos de aprovação de acesso existentes que foram aprovados:

Função de IAM predefinida Autorizações e funções necessárias
roles/accessapproval.invalidator
  • accessapproval.requests.get
  • accessapproval.requests.list
  • accessapproval.serviceAccounts.get
  • accessapproval.settings.get
  • resourcemanager.projects.get
  • resourcemanager.projects.list

Para conceder a função Access Approval Invalidator (roles/accessapproval.invalidator), faça o seguinte:

Consola

Para conceder esta função do IAM a si próprio, faça o seguinte:

  1. Aceda à página IAM na Google Cloud consola.

    Aceda ao IAM

  2. No separador Ver por responsáveis, clique em Conceder acesso.
  3. No campo Novos membros no painel do lado direito, introduza o seu endereço de email.
  4. Clique no campo Selecionar uma função e selecione a função Invalidador de aprovação de acesso no menu.
  5. Clique em Guardar.

gcloud

Execute o seguinte comando:

gcloud organizations add-iam-policy-binding ORGANIZATION_ID \
  --member='user:EMAIL_ID' \
  --role='roles/accessapproval.invalidator'

Substitua o seguinte:

  • ORGANIZATION_ID: o ID da organização.
  • EMAIL_ID: o ID de email do utilizador.

O que se segue?