Zugriffsteuerung

In diesem Dokument werden die Zugriffssteuerungsoptionen für Pub/Sub Lite beschrieben. Pub/Sub Lite verwendet Cloud Identity and Access Management für die Zugriffssteuerung.

Wenn Sie einem Nutzer oder einer Anwendung Zugriff auf Pub/Sub Lite-Ressourcen gewähren möchten, weisen Sie dem Nutzer oder dem von der Anwendung verwendeten Dienstkonto mindestens eine vordefinierte oder benutzerdefinierte Rolle zu. Die Rollen enthalten Berechtigungen zum Ausführen bestimmter Aktionen für Pub/Sub Lite-Ressourcen.

Vordefinierte Rollen

In der folgenden Tabelle sind die vordefinierten Rollen aufgeführt, die den Zugriff auf Pub/Sub Lite-Ressourcen ermöglichen:

Role Titel Beschreibung Permissions
roles/pubsublite.admin Pub/Sub Lite-Administrator Beta Vollständiger Zugriff auf Lite-Themen und Lite-Abos pubsublite.*
roles/pubsublite.editor Pub/Sub Lite-Editor Beta Lite-Themen und Lite-Abos ändern, Nachrichten in Lite-Themen veröffentlichen und Nachrichten aus Lite-Abos empfangen pubsublite.*
roles/pubsublite.publisher Pub/Sub Lite-PublisherBeta Nachrichten in Lite-Themen veröffentlichen. pubsublite.topics.publish
roles/pubsublite.subscriber Pub/Sub Lite-Abonnent Beta Nachrichten von Lite-Abos empfangen
  • pubsublite.subscriptions.getCursor
  • pubsublite.subscriptions.setCursor
  • pubsublite.subscriptions.subscribe
  • pubsublite.topics.getPartitions
  • pubsublite.topics.subscribe
roles/pubsublite.viewer Pub/Sub Lite-BetrachterBeta Lite-Themen und Lite-Abos ansehen
  • pubsublite.subscriptions.get
  • pubsublite.subscriptions.getCursor
  • pubsublite.subscriptions.list
  • pubsublite.topics.get
  • pubsublite.topics.getPartitions
  • pubsublite.topics.list
  • pubsublite.topics.listSubscriptions

Benutzerdefinierte Rollen

Benutzerdefinierte Rollen können alle von Ihnen angegebenen Berechtigungen enthalten. Sie können benutzerdefinierte Rollen erstellen, die Berechtigungen zum Ausführen bestimmter Verwaltungsvorgänge enthalten, z. B. zum Aktualisieren von Lite-Themen oder zum Löschen von Lite-Abos. Informationen zum Erstellen benutzerdefinierter Rollen finden Sie unter Benutzerdefinierte Rollen erstellen und verwalten.

In der folgenden Tabelle sind Beispiele für benutzerdefinierte Rollen aufgeführt:

Beschreibung Permissions
Lite-Themen erstellen und verwalten
  • pubsublite.topics.create
  • pubsublite.topics.update
  • pubsublite.topics.get
  • pubsublite.topics.getPartitions
  • pubsublite.topics.list
  • pubsublite.topics.listSubscriptions
  • pubsublite.topics.delete
Lite-Abos erstellen und verwalten
  • pubsublite.subscriptions.create
  • pubsublite.topics.subscribe
  • pubsublite.subscriptions.update
  • pubsublite.subscriptions.get
  • pubsublite.subscriptions.list
  • pubsublite.subscriptions.delete
Lite-Themen und Lite-Abos erstellen
  • pubsublite.topics.create
  • pubsublite.subscriptions.create
  • pubsublite.topics.subscribe
Lite-Themen und Lite-Abos ändern
  • pubsublite.topics.update
  • pubsublite.subscriptions.update
Lite-Themen und Lite-Abos löschen
  • pubsublite.topics.delete
  • pubsublite.subscriptions.delete

Rollen zuweisen

Sie können Rollen für den Zugriff auf Pub/Sub Lite-Ressourcen auf Projektebene zuweisen. Sie können einem Dienstkonto beispielsweise die Möglichkeit geben, alle Lite-Themen in einem Projekt aufzurufen, aber nicht einem Dienstkonto den Zugriff zur Anzeige eines einzelnen Lite-Themas gewähren.

Um eine Rolle für ein Projekt zuzuweisen, können Sie die Cloud Console oder das gcloud-Befehlszeilentool verwenden.

Console

So weisen Sie einem Nutzer, einem Dienstkonto oder einem anderen Mitglied eine Rolle zu:

  1. Wechseln Sie in der Cloud Console zur Seite Cloud IAM.

    Cloud IAM aufrufen

  2. Klicken Sie auf Hinzufügen.

  3. Geben Sie die E-Mail-Adresse eines Nutzers, eines Dienstkontos oder eines anderen Mitglieds ein.

  4. Wählen Sie eine Rolle aus.

  5. Klicken Sie auf Speichern.

gcloud

Wenn Sie einem Nutzer, Dienstkonto oder einem anderen Mitglied eine Rolle zuweisen möchten, führen Sie den Befehl gcloud projects add-iam-policy-binding aus:

gcloud projects add-iam-policy-binding PROJECT_ID \
  --member=MEMBER \
  --role=ROLE_ID

Dabei gilt:

Sie können auch eine JSON- oder YAML-Datei mit der aktuellen Cloud IAM-Richtlinie abrufen, der Datei mehrere Rollen oder Mitglieder hinzufügen und dann die Richtlinie aktualisieren. Verwenden Sie zum Lesen und Verwalten der Richtlinie das gcloud-Befehlszeilentool, die Cloud IAM API oder Cloud IAM. Weitere Informationen finden Sie unter Zugriff programmatisch steuern.

Nächste Schritte