Autenticación y autorización
La mayoría de las API de Google Cloud otorgan permisos a usuarios, grupos o cuentas de servicio según sus funciones de IAM. Sin embargo, la API de Grupos de Cloud Identity otorga permisos en función de estos tres modos de autorización:
- Autorización de administrador
- Autorización para los que no son administradores
- Autorización de espacio de nombres
En esta guía, se explica cada uno de estos modos de autorización.
Autorización de administrador
El modo de Autorización de administrador otorga a un usuario acceso completo a todos los Grupos de Google de un dominio. Cualquier usuario que tenga el privilegio de administrador de grupos tiene autorización de administrador. Solo el administrador avanzado del dominio puede otorgar al usuario el privilegio de administrador de grupos.
Para obtener más información sobre cómo otorgar privilegios de administrador de grupos, consulta Asigna funciones de administrador a un usuario.
Autorización para los que no son administradores
La autorización para los que no son administradores es un modo de autorización para Grupos de Google que otorga a los usuarios que no son administradores acceso a los Grupos de Google según la configuración de dominio, la configuración del grupo y, en el caso de los permisos de un grupo individual, sus funciones de membresía en ese grupo.
De forma predeterminada, todos los usuarios pueden crear grupos en ese dominio. Sin embargo, los administradores de dominio pueden modificar la configuración de dominio para Grupos de Google mediante la Consola del administrador. Para obtener información sobre cómo modificar la configuración de dominio, consulta Establece opciones de uso compartido de Grupos para empresas.
Los propietarios pueden establecer los permisos para cada función de membresía en un grupo. La configuración predeterminada es la siguiente:
Los usuarios que no son miembros pueden ver el grupo y sus detalles cuando llaman a las API de
GroupsServicede solo lectura. También pueden ver las membresías y sus detalles cuando llaman a las API deMembershipsServicede solo lectura.Los miembros tienen los mismos permisos que las personas que no son miembros.
Los administradores tienen todos los permisos de los miembros, además de permiso para administrar las membresías y las funciones de membresía de los miembros que no son propietarios.
Los propietarios tienen todos los permisos de los administradores, más los permisos para modificar los metadatos del grupo, borrar un grupo y administrar todas las membresías y sus funciones.
Para modificar la configuración del grupo, crea un grupo y elige una configuración de grupo.
Autorización de espacio de nombres
La autorización de espacios de nombres es un modo de autorización para grupos de identidad que otorga a las cuentas de servicio acceso a los grupos de identidad sincronizados desde la misma fuente de identidad. Solo Cloud Search puede otorgar la autorización de espacio de nombres.