Condizioni IAM per l'accesso granulare

In questa pagina viene descritto come limitare l'accesso alle connessioni utilizzando le condizioni IAM.

Una condizione IAM consente di avere un controllo granulare sulle risorse di Integration Connectors. Per impostazione predefinita, Un utente o un ruolo di Integration Connectors eseguire tutte le operazioni supportate su una connessione. Utilizzando le condizioni IAM, puoi consente a un utente o a un ruolo specifico di eseguire solo operazioni selezionate su una connessione. Ad esempio, puoi limitare un utente in modo che possa modificare solo le connessioni il cui nome inizia con test-connection e non avrà altre autorizzazioni sulle connessioni, ad esempio l'iscrizione agli eventi o la visualizzazione dei metadati dello schema.

Prima di iniziare

Integration Connectors utilizza Identity and Access Management (IAM) di Google Cloud gestire ruoli e autorizzazioni per le risorse di Integration Connectors. Pertanto, prima di specificare modificare le condizioni in IAM per le risorse di Integration Connectors, acquisisci familiarità con i seguenti concetti di IAM:

Aggiunta di condizioni IAM

Per aggiungere una condizione IAM a una risorsa Integration Connectors, sono necessarie le seguenti informazioni:

  • URI risorsa con nome: ogni risorsa in Integration Connectors ha un URI della risorsa. Ad esempio, l'URI per la risorsa di connessione è projects/PROJECT_ID/locations/CONNECTION_LOCATION/connections/{connection_name}. Per l'elenco completo di tutti gli URI disponibili, vedi Risorse REST di Integration Connectors. Per controllare le autorizzazioni di accesso per una risorsa a livello granulare, devi assegnare un nome alla risorsa in base a una convenzione di denominazione. In base ai tuoi requisiti, puoi decidi la convenzione di denominazione che vuoi utilizzare. Ad esempio, puoi anteporre la parola marketing- per tutti i contatti di proprietà del team di marketing. In questo esempio, l'URI della risorsa per le connessioni del team di marketing inizierà con projects/PROJECT_ID/locations/CONNECTION_LOCATION/connections/marketing-.
  • Autorizzazioni solo per i genitori: controlla se una risorsa o una delle relative risorse figlio richiede l'autorizzazione solo per i genitori. Per ulteriori informazioni, consulta le Autorizzazioni solo per i genitori.
  • Tipo di risorsa: puoi restringere ulteriormente l'ambito delle risorse filtrando in base a un tipo di risorsa nella condizione. Integration Connectors supporta le condizioni per le seguenti risorse:
    Nome risorsa Tipo di risorsa
    Connessione connectors.googleapis.com/Connection
    ManagedZone connectors.googleapis.com/ManagedZone
    EndpointAttachment connectors.googleapis.com/EndpointAttachment
    EventSubscription connectors.googleapis.com/EventSubscription
    ConnectionSchemaMetadata connectors.googleapis.com/ConnectionSchemaMetadata

Esempi

La tabella seguente elenca le condizioni delle risorse di esempio che puoi applicare a un utente o a un ruolo di Integration Connectors.

Condizione della risorsa IAM Descrizione 
(resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/Connection"))
|| resource.type != "connectors.googleapis.com/Connection"
 		Un utente o un ruolo a cui applichi questa condizione può eseguire solo le seguenti operazioni:
  • Elenca tutte le connessioni.
  • Esegui operazioni di recupero, creazione, aggiornamento ed eliminazione sulle connessioni il cui nome inizia con marketing-. 
(resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/Connection") ||
(resource.name.startsWith ("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-") && resource.type == "connectors.googleapis.com/ConnectionSchemaMetadata")
|| (resource.type != "connectors.googleapis.com/Connection" 
&& resource.type != "connectors.googleapis.com/ConnectionSchemaMetadata")
Un utente o un ruolo a cui applichi questa condizione può eseguire soltanto le seguenti operazioni:
  • Elenca tutte le connessioni.
  • Eseguire operazioni di recupero, creazione, aggiornamento ed eliminazione solo per le connessioni il cui nome inizia con marketing-.
  • Ottieni i metadati dello schema di connessione solo per le connessioni il cui nome inizia con marketing-.

Aggiunta di condizioni IAM per gli account di servizio di integrazione delle applicazioni

Puoi applicare le condizioni IAM all'account di servizio di integrazione delle applicazioni, in modo da limitare le connessioni a cui l'account di servizio può accedere durante l'esecuzione dell'integrazione. Ad esempio, puoi limitare una account di servizio in modo da poter accedere solo alle connessioni il cui nome inizia con marketing-. Per ulteriori informazioni, vedi Applicare condizioni IAM a un account di servizio.

La tabella seguente elenca le condizioni delle risorse di esempio che puoi applicare per un account di servizio Application Integration.

Condizione della risorsa IAM Descrizione 
resource.name.startsWith
("projects/PROJECT_ID/locations/CONNECTION_LOCATION/
connections/marketing-")
 		L'account di servizio a cui applichi questa condizione può eseguire solo le connessioni il cui nome inizia con marketing-.

Passaggi successivi

Esamina le seguenti informazioni nella documentazione IAM: