이 페이지에서는 Spanner 데이터베이스의 세분화된 액세스 제어를 구성하는 방법을 설명합니다.
세분화된 액세스 제어에 대한 자세한 내용은 세분화된 액세스 제어 정보를 참조하세요.
세분화된 액세스 제어 구성에는 다음 단계가 포함됩니다.
세분화된 액세스 제어 사용자가 데이터베이스에 대한 쿼리, DML 또는 행 작업을 수행할 데이터베이스 역할을 지정해야 합니다.
시작하기 전에
세분화된 액세스 제어 사용자가 될 각 주 구성원에게 Cloud Spanner Viewer
IAM 역할(roles/spanner.viewer
)이 부여되었는지 확인합니다. 이 역할은 Google Cloud 콘솔에서 Spanner 리소스와 상호작용해야 하는 사용자를 위해 프로젝트 수준에서 권장됩니다.
자세한 내용은 주 구성원에게 권한 부여를 참조하세요.
데이터베이스 역할 만들기 및 권한 부여
데이터베이스 역할은 세분화된 액세스 권한 모음입니다. 데이터베이스마다 최대 100개의 데이터베이스 역할을 만들 수 있습니다.
데이터베이스의 역할 및 역할 계층 구조를 결정하고 DDL로 인코딩합니다. Spanner에서 다른 스키마 변경과 마찬가지로, 스키마 변경을 개별적으로 실행하는 대신 일괄적으로 실행하는 것이 좋습니다. 자세한 내용은 스키마 업데이트의 실행 빈도 제한을 참조하세요.
콘솔
데이터베이스 역할을 만들고 여기에 세분화된 액세스 권한을 부여하려면 다음 단계를 따르세요.
Google Cloud console에서 인스턴스 페이지로 이동합니다.
역할을 추가할 데이터베이스가 포함된 인스턴스를 선택합니다.
데이터베이스를 선택합니다.
개요 페이지에서 Spanner 스튜디오를 클릭합니다.
Spanner 스튜디오 페이지에서 권한을 만들고 부여할 각 데이터베이스 역할에 다음 단계를 수행합니다.
역할을 만들려면 다음 문을 입력합니다.
CREATE ROLE ROLE_NAME;
아직은 제출을 클릭하지 마세요.
역할에 권한을 부여하려면
CREATE ROLE
문 다음 줄에GRANT
문을 입력합니다.GRANT
문의 구문 세부정보는 GoogleSQL 데이터 정의 언어를 참조하세요. 권한에 대한 자세한 내용은 세분화된 액세스 제어 권한을 참조하세요.예를 들어 데이터베이스 역할
hr_manager
에 테이블employees
및contractors
에 대한SELECT
,INSERT
,UPDATE
권한을 부여하려면 다음 문을 입력합니다.GoogleSQL
GRANT SELECT, INSERT, UPDATE ON TABLE employees, contractors TO ROLE hr_manager;
PostgreSQL
GRANT SELECT, INSERT, UPDATE ON TABLE employees, contractors TO hr_manager;
GRANT
문에 DDL 템플릿을 사용할 수 있습니다. 탐색기 창에서 권한을 부여할 역할로 이동합니다. 작업 보기를 클릭하고 이 역할에 대한 액세스 권한을 부여하려는 권한 유형을 선택합니다. 새 편집기 탭에GRANT
템플릿 문이 채워집니다.
제출을 클릭합니다.
DDL에 오류가 있으면 Google Cloud 콘솔이 오류를 반환합니다.
gcloud
데이터베이스 역할을 만들고 여기에 세분화된 액세스 권한을 부여하려면 CREATE ROLE
및 GRANT
문과 함께 gcloud spanner databases ddl update
명령어를 사용합니다.
CREATE ROLE
및 GRANT
문의 구문 세부정보는 GoogleSQL 데이터 정의 언어를 참조하세요.
예를 들어 다음 명령어를 사용하여 데이터베이스 역할을 만들고 하나 이상의 테이블에 대한 권한을 부여합니다.
GoogleSQL
gcloud spanner databases ddl update DATABASE_NAME --instance=INSTANCE_NAME \ --ddl='CREATE ROLE ROLE_NAME; GRANT PRIVILEGES ON TABLE TABLES TO ROLE ROLE_NAME;'
PostgreSQL
gcloud spanner databases ddl update DATABASE_NAME --instance=INSTANCE_NAME \ --ddl='CREATE ROLE ROLE_NAME; GRANT PRIVILEGES ON TABLE TABLES TO ROLE_NAME;'
다음을 바꿉니다.
PRIVILEGES
는 세분화된 액세스 제어 권한의 쉼표로 구분된 목록입니다. 권한에 대한 자세한 내용은 세분화된 액세스 제어 권한을 참조하세요.TABLES
는 쉼표로 구분된 테이블 목록입니다.
employees
및 contractors
테이블에 대한 SELECT
, INSERT
, UPDATE
를 hr
인스턴스의 hrdb1
데이터베이스에 있는 데이터베이스 역할 hr_analyst
에 부여하려면 다음 문을 입력합니다.
GoogleSQL
gcloud spanner databases ddl update hrdb1 --instance=hr \ --ddl='CREATE ROLE hr_analyst; GRANT SELECT, INSERT, UPDATE ON TABLE employees, contractors TO ROLE hr_analyst;'
PostgreSQL
gcloud spanner databases ddl update hrdb1 --instance=hr \ --ddl='CREATE ROLE hr_analyst; GRANT SELECT, INSERT, UPDATE ON TABLE employees, contractors TO hr_analyst;'
클라이언트 라이브러리
모두 데이터베이스 역할을 만들고 삭제하는 코드 샘플입니다.
C++
C#
Go
Java
Node.js
PHP
Python
Ruby
상속을 사용하여 역할 계층 구조 만들기
한 데이터베이스 역할을 다른 데이터베이스 역할에 부여하여 데이터베이스 역할의 계층 구조를 만들 수 있습니다. 하위 역할(구성원 역할)은 상위 역할의 권한을 상속합니다.
다른 데이터베이스 역할에 데이터베이스 역할을 부여하려면 다음 문을 사용합니다.
GoogleSQL
GRANT ROLE role1 TO ROLE role2;
PostgreSQL
GRANT role1 TO role2;
자세한 내용은 데이터베이스 역할 계층 및 상속을 참조하세요.
IAM 주 구성원에게 데이터베이스 역할에 대한 액세스 권한 부여
주 구성원이 데이터베이스 역할을 사용하여 Spanner 리소스에 액세스하려면 먼저 데이터베이스 역할에 대한 액세스 권한을 부여해야 합니다.
콘솔
IAM 주 구성원에게 데이터베이스 역할에 대한 액세스 권한을 부여하려면 다음 단계를 수행합니다.
데이터베이스 개요 페이지에서 정보 패널이 아직 열려 있지 않으면 정보 패널 표시를 클릭합니다.
주 구성원 추가를 클릭합니다.
database_name에 액세스 권한 부여 패널의 주 구성원 추가에서 IAM 주 구성원을 하나 이상 지정합니다.
역할 할당의 역할 선택 메뉴에서 Cloud Spanner > Cloud Spanner의 세분화된 액세스 권한 사용자를 선택합니다.
이 역할은 각각의 주 구성원에 대해 한 번만 부여해야 합니다. 주 구성원을 세분화된 액세스 제어 사용자로 만듭니다.
다른 역할 추가를 클릭합니다.
역할 선택 메뉴에서 Cloud Spanner > Cloud Spanner 데이터베이스 역할 사용자를 선택합니다.
다음 단계를 수행하여 부여할 역할을 지정하는 IAM 조건을 만듭니다.
Cloud Spanner 데이터베이스 역할 사용자 역할 옆에 있는 IAM 조건 추가를 클릭합니다.
조건 추가 패널에서 조건의 제목 및 설명(선택사항)을 입력합니다.
단일 데이터베이스 역할을 부여하는 경우 일반적으로 조건 제목에 역할 이름을 포함합니다. 여러 역할을 부여하는 경우 역할 집합에 대해 표시할 수 있습니다.
조건 편집기를 클릭합니다.
표현식 필드에 다음 코드를 입력합니다.
resource.type == "spanner.googleapis.com/DatabaseRole" && resource.name.endsWith("/ROLE")
ROLE
을 역할 이름으로 바꿉니다.또는 둘 이상의 역할에 대한 액세스 권한을 주 구성원에 부여하려면 다음 예시와 같이 or(
||
) 연산자를 사용하여 조건을 추가합니다.resource.type == "spanner.googleapis.com/DatabaseRole" && (resource.name.endsWith("/ROLE1") || resource.name.endsWith("/ROLE2"))
이 코드는 두 가지 역할을 부여합니다.
ROLE1
및ROLE2
를 역할 이름으로 바꿉니다. 셋 이상의 역할을 부여하려면 or 조건을 더 추가합니다.IAM에서 지원되는 모든 조건 표현식을 사용할 수 있습니다. 자세한 내용은 IAM 조건 개요를 참조하세요.
저장을 클릭합니다.
이전 패널로 돌아가서 역할 필드 옆에 있는 IAM 조건 열 아래에 조건이 표시되는지 확인합니다.
저장을 클릭합니다.
정보 패널로 돌아가서 역할/주 구성원 아래에 정의된 각 조건에 대해 Cloud Spanner 데이터베이스 역할 사용자가 표시됩니다.
조건 옆에 있는 괄호 안의 숫자는 해당 조건에 따라 데이터베이스 역할이 부여된 주 구성원 수를 나타냅니다. 펼치기 화살표를 클릭하여 주 구성원 목록을 볼 수 있습니다.
데이터베이스 역할 이름 또는 조건의 오류를 수정하거나 주 구성원에 추가로 데이터베이스 역할을 추가하려면 다음 단계를 따르세요.
원하는 조건을 나열하는 Cloud Spanner 데이터베이스 역할 사용자 항목을 펼칩니다.
주 구성원 옆에 있는 수정(연필) 아이콘을 클릭합니다.
database_name에 대한 액세스 수정 패널에서 다음 중 하나를 수행합니다.
다른 역할 추가를 클릭합니다.
조건을 수정하려면 조건 이름 옆에 있는 수정(연필) 아이콘을 클릭합니다. 그런 다음 조건 수정 페이지에서 조건 편집기를 클릭하고 수정한 후 저장을 두 번 클릭합니다.
gcloud
IAM 주 구성원에게 데이터베이스 역할에 대한 액세스 권한을 부여하려면 다음 단계를 따르세요.
다음과 같이
gcloud spanner databases add-iam-policy-binding
명령어를 사용하여 주 구성원에게 세분화된 액세스 제어를 사용 설정합니다.gcloud spanner databases add-iam-policy-binding DATABASE_NAME \ --instance=INSTANCE_NAME \ --role=roles/spanner.fineGrainedAccessUser \ --member=MEMBER_NAME \ --condition=None
MEMBER_NAME
은 주 구성원의 식별자입니다.user|group|serviceAccount:email
또는domain:domain
형식이어야 합니다.이 명령어는 주 구성원을 세분화된 액세스 제어 사용자로 만듭니다. 이 명령어는 각각의 주 구성원에 대해 한 번만 제출하세요.
성공하면 명령어에서 데이터베이스의 전체 정책을 출력합니다.
다음과 같이
gcloud spanner databases add-iam-policy-binding
명령어를 사용하여 데이터베이스 역할을 하나 이상 사용할 수 있는 권한을 부여합니다.gcloud spanner databases add-iam-policy-binding DATABASE_NAME \ --instance=INSTANCE_NAME \ --role=roles/spanner.databaseRoleUser \ --member=MEMBER_NAME \ --condition=CONDITION
MEMBER_NAME
은 주 구성원의 식별자입니다.user|group|serviceAccount:email
또는domain:domain
형식이어야 합니다.CONDITION
은 주 구성원에게 부여할 역할을 지정하는 IAM 조건 표현식입니다.CONDITION
의 형식은 다음과 같습니다.--condition='expression=(resource.type == "spanner.googleapis.com/DatabaseRole" && resource.name.endsWith("/ROLE1")),title=TITLE,description=DESCRIPTION'
또는 둘 이상의 역할에 대한 액세스 권한을 주 구성원에 부여하려면 다음 예시와 같이 or(
||
) 연산자를 사용하여 조건을 추가합니다.--condition='expression=(resource.type == "spanner.googleapis.com/DatabaseRole" && (resource.name.endsWith("/ROLE1") || resource.name.endsWith("/ROLE2"))),title=TITLE,description=DESCRIPTION'
이 코드는 두 가지 역할을 부여합니다.
ROLE1
및ROLE2
를 역할 이름으로 바꿉니다. 셋 이상의 역할을 부여하려면||
연산자를 사용하여 or 조건을 더 추가합니다.IAM에서 지원되는 모든 조건 표현식을 사용할 수 있습니다. 자세한 내용은 IAM 조건 개요를 참조하세요.
성공하면 명령어에서 데이터베이스의 전체 정책을 출력합니다.
다음 예시에서는 데이터베이스 역할
hr_rep
및hr_manager
을 주 구성원jsmith@example.com
에 부여합니다.gcloud spanner databases add-iam-policy-binding myDatabase \ --instance=myInstance \ --role=roles/spanner.databaseRoleUser \ --member=user:jsmith@example.com \ --condition='expression=(resource.type == "spanner.googleapis.com/DatabaseRole" && (resource.name.endsWith("/hr_rep") || resource.name.endsWith("/hr_manager"))),title=HR roles,description=Grant permissions on HR roles'
클라이언트 라이브러리
C++
C#
Go
Java
Node.js
PHP
Python
Ruby
사용자와 개발자에게 데이터베이스 역할 사용 시작 안내
초기 세분화된 액세스 제어 구성이 완료되면 사용자와 애플리케이션 개발자에게 데이터베이스 역할을 사용해야 한다고 알립니다.
세분화된 액세스 제어 사용자는 Google Cloud 콘솔 또는 Google Cloud CLI를 통해 Spanner 데이터베이스에 액세스할 때 데이터베이스 역할을 지정해야 합니다.
세분화된 액세스 제어를 사용하는 애플리케이션은 데이터베이스에 액세스할 때 데이터베이스 역할을 지정해야 합니다.
자세한 내용은 세분화된 액세스 제어로 데이터베이스 액세스를 참조하세요.
세분화된 액세스 제어로 주 구성원 전환
IAM 주 구성원을 데이터베이스 수준 액세스 제어에서 세분화된 액세스 제어로 전환하려면 다음 단계를 수행합니다.
IAM 주 구성원에게 데이터베이스 역할에 대한 액세스 권한 부여에 설명된 대로 주 구성원에게 세분화된 액세스 제어를 사용 설정하고 모든 필수 데이터베이스 역할에 대한 액세스 권한을 부여합니다.
이 주 구성원으로 실행되는 모든 애플리케이션을 업데이트합니다. 클라이언트 라이브러리 메서드에 대한 호출에서 적절한 데이터베이스 역할을 지정합니다.
주 구성원의 모든 IAM 데이터베이스 수준 역할을 취소합니다. 이렇게 하면 주 구성원에 대한 액세스는 하나의 메서드로만 관리됩니다.
예외: Google Cloud 콘솔에서 Spanner 리소스와 상호작용하려면 모든 사용자에게
roles/spanner.viewer
IAM 역할이 있어야 합니다.IAM 데이터베이스 수준 역할을 취소하려면 데이터베이스 수준 권한 삭제의 안내를 따릅니다.
데이터베이스 역할 나열
데이터베이스와 연결된 데이터베이스 역할을 나열할 수 있습니다.
콘솔
데이터베이스 역할을 나열하려면 다음 쿼리를 데이터베이스의 Spanner 스튜디오 페이지에 입력합니다.
GoogleSQL
SELECT * FROM INFORMATION_SCHEMA.ROLES;
PostgreSQL
SELECT * FROM information_schema.enabled_roles;
응답에는 현재 역할과 현재 역할이 상속을 통해 사용할 수 있는 권한을 가진 역할이 포함됩니다. 모든 역할을 가져오려면 Google Cloud CLI 명령어를 사용합니다.
gcloud
필터링되지 않은 데이터베이스 역할 목록을 가져오려면 다음 명령어를 입력합니다.
spanner.databaseRoles.list
권한이 필요합니다.
gcloud spanner databases roles list --database=DATABASE_NAME --instance=INSTANCE_NAME
클라이언트 라이브러리
C++
C#
Go
Java
Node.js
PHP
Python
Ruby
데이터베이스 역할에 부여된 권한 보기
역할에 부여된 권한을 보려면 다음 쿼리를 실행합니다.
GoogleSQL
SELECT * FROM INFORMATION_SCHEMA.TABLE_PRIVILEGES WHERE grantee = 'ROLE_NAME'; SELECT * FROM INFORMATION_SCHEMA.COLUMN_PRIVILEGES WHERE grantee = 'ROLE_NAME'; SELECT * FROM INFORMATION_SCHEMA.CHANGE_STREAM_PRIVILEGES WHERE grantee = 'ROLE_NAME';
INFORMATION_SCHEMA.TABLE_PRIVILEGES
는 테이블과 뷰 모두에 대한 권한을 반환합니다.
TABLE_PRIVILEGES
의 SELECT
, INSERT
, UPDATE
권한은 COLUMN_PRIVILEGES
에도 표시됩니다.
PostgreSQL
SELECT * FROM information_schema.table_privileges WHERE grantee = 'ROLE_NAME'; SELECT * FROM information_schema.column_privileges WHERE grantee = 'ROLE_NAME'; SELECT * FROM information_schema.change_stream_privileges WHERE grantee = 'ROLE_NAME';
information_schema.table_privileges
는 테이블과 뷰 모두에 대한 권한을 반환합니다.
table_privileges
의 SELECT
, INSERT
, UPDATE
권한은 column_privileges
에도 표시됩니다.
세분화된 액세스 제어 사용자 보기
세분화된 액세스 제어 사용자에 해당하는 주 구성원 목록을 보려면 다음 명령어를 실행합니다. 명령어를 실행하려면 프로젝트에 Cloud Asset API가 사용 설정되어 있고 cloudasset.assets.searchAllIamPolicies
IAM 권한이 있어야 합니다.
gcloud asset search-all-iam-policies \ --scope=projects/PROJECT_NAME \ --query='roles=roles/spanner.fineGrainedAccessUser AND resource=//spanner.googleapis.com/projects/PROJECT_NAME/instances/INSTANCE_NAME/databases/DATABASE_NAME' \ --flatten=policy.bindings[].members[] \ --format='table(policy.bindings.members)'
출력은 다음과 비슷합니다.
MEMBERS user:222larabrown@gmail.com user:baklavainthebalkans@gmail.com serviceAccount:cs-fgac-sa-1@cloud-spanner-demo.google.com.iam.gserviceaccount.com serviceAccount:cs-fgac-sa-2@cloud-spanner-demo.google.com.iam.gserviceaccount.com
자세한 내용은 Google Cloud 프로젝트에서 API 사용 설정을 참조하세요.
데이터베이스 역할에 대한 액세스 권한이 있는 IAM 주 구성원 보기
특정 데이터베이스 역할에 대한 액세스 권한이 부여된 주 구성원 목록을 보려면 다음 명령어를 실행합니다. 명령어를 실행하려면 프로젝트에 Cloud Asset API가 사용 설정되어 있고 cloudasset.assets.searchAllIamPolicies
IAM 권한이 있어야 합니다.
gcloud asset search-all-iam-policies \ --scope=projects/PROJECT_NAME \ --query='roles=roles/spanner.databaseRoleUser AND policy:"resource.name" AND policy:/ROLE_NAME AND resource=//spanner.googleapis.com/projects/PROJECT_NAME/instances/INSTANCE_NAME/databases/DATABASE_NAME' \ --flatten=policy.bindings[].members[] \ --format='table(policy.bindings.members)'
출력은 다음과 비슷합니다.
MEMBERS 222larabrown@gmail.com
주 구성원의 IAM 조건 보기
Cloud Spanner 데이터베이스 역할 사용자 역할을 주 구성원에게 부여할 때 지정된 IAM 조건 목록을 보려면 다음 명령어를 실행합니다.
gcloud asset search-all-iam-policies \ --scope=projects/PROJECT_NAME \ --query='roles=roles/spanner.databaseRoleUser AND policy:resource.name AND policy:"PRINCIPAL_IDENTIFIER" AND resource=//spanner.googleapis.com/projects/PROJECT_NAME/instances/INSTANCE_NAME/databases/DATABASE_NAME' \ --flatten=policy.bindings[] \ --format='table(policy.bindings.condition.expression)'
여기서 PRINCIPAL_IDENTIFIER은 다음과 같습니다.
{ user:user-account-name | serviceAccount:service-account-name }
예시 PRINCIPAL_IDENTIFIER:
user:222larabrown@gmail.com serviceAccount:cs-fgac-sa-1@cloud-spanner-demo.google.com.iam.gserviceaccount.com
다음 샘플 출력에서는 조건 표현식 2개를 보여줍니다.
EXPRESSION resource.type == "spanner.googleapis.com/DatabaseRole" && resource.name.endsWith("/hr_analyst") resource.type == "spanner.googleapis.com/DatabaseRole" && resource.name.endsWith("/hr_manager")
IAM 정책에서 누락된 데이터베이스 역할 조건 확인
주 구성원에 데이터베이스 역할에 대한 액세스 권한을 부여한 후 각 IAM 바인딩에 지정된 조건이 있는지 확인하는 것이 좋습니다.
이 검사를 수행하려면 다음 명령어를 실행합니다.
gcloud asset search-all-iam-policies \ --scope=projects/PROJECT_NAME \ --query='roles:roles/spanner.databaseRoleUser AND resource=//spanner.googleapis.com/projects/PROJECT_NAME/instances/INSTANCE_NAME/databases/DATABASE_NAME' --flatten=policy.bindings[].members[]
출력은 다음과 비슷합니다.
ROLE MEMBERS EXPRESSION roles/spanner.databaseRoleUser serviceAccount:cs-fgac-sa-1@... roles/spanner.databaseRoleUser serviceAccount:cs-fgac-sa-2@... resource.type == "spanner…"
첫 번째 결과에는 조건이 없으므로 이 바인딩의 주 구성원이 모든 데이터베이스 역할에 액세스할 수 있습니다.
데이터베이스 역할 삭제
데이터베이스 역할을 삭제하면 해당 역할에서 다른 역할의 멤버십이 자동으로 취소되고 다른 역할에서 이 역할의 멤버십도 취소됩니다.
데이터베이스 역할을 삭제하려면 먼저 다음을 수행해야 합니다.
- 역할에서 세분화된 모든 액세스 제어 권한을 취소합니다.
- 나중에 같은 이름으로 생성된 데이터베이스 역할에서 IAM 정책 바인딩을 상속하지 않도록 해당 역할을 참조하는 모든 IAM 정책 바인딩을 삭제합니다.
콘솔
데이터베이스 역할을 삭제하려면 다음 단계를 따르세요.
데이터베이스 개요 페이지에서 Spanner 스튜디오를 클릭합니다.
역할에서 권한을 취소하려면
REVOKE
문을 입력합니다.GoogleSQL
REVOKE
문의 구문 세부정보는 GoogleSQL 데이터 정의 언어를 참조하세요. 권한에 대한 자세한 내용은 세분화된 액세스 제어 권한을 참조하세요.예를 들어 데이터베이스 역할
hr_manager
에서 테이블employees
및contractors
에 대한SELECT
,INSERT
,UPDATE
권한을 취소하려면 다음 문을 입력합니다.REVOKE SELECT, INSERT, UPDATE ON TABLE employees, contractors FROM ROLE hr_manager;
PostgreSQL
REVOKE
문의 구문 세부정보는 PostgreSQL 데이터 정의 언어를 참조하세요. 권한에 대한 자세한 내용은 세분화된 액세스 제어 권한을 참조하세요.예를 들어 데이터베이스 역할
hr_manager
에서employees
및contractors
테이블에 대한SELECT
,INSERT
,UPDATE
권한을 취소하려면 다음 문을 입력합니다.REVOKE SELECT, INSERT, UPDATE ON TABLE employees, contractors FROM hr_manager;
REVOKE
문에 DDL 템플릿을 사용할 수 있습니다. 탐색기 창에서 권한을 취소하려는 역할로 이동합니다. 작업 보기를 클릭하고 이 역할에 대한 액세스 권한을 취소하려는 권한 유형을 선택합니다. 새 편집기 탭에REVOKE
템플릿 문이 채워집니다.역할과 연결된 모든 IAM 조건을 삭제합니다.
정보 패널의 역할 목록에서 인접한 조건 제목이 있는 Cloud Spanner 데이터베이스 역할 사용자 역할을 찾은 다음 역할을 확장하여 역할에 대한 액세스 권한이 있는 주 구성원을 확인합니다.
주 구성원 중 하나에 대해 주 구성원 수정(연필) 아이콘을 클릭합니다.
액세스 수정 페이지에서 Cloud Spanner 데이터베이스 역할 사용자 역할 옆에 있는 역할 삭제(휴지통) 아이콘을 클릭합니다.
저장을 클릭합니다.
조건에 나열된 다른 주 구성원에 이전 세 단계를 반복합니다.
역할을 삭제하려면 Spanner 스튜디오 페이지로 이동하여 다음 문을 입력합니다.
DROP ROLE ROLE_NAME;
제출을 클릭합니다.
gcloud
역할의 모든 권한을 취소한 다음 역할을 삭제하려면 다음과 같이
gcloud spanner databases ddl update
명령어를 사용합니다.GoogleSQL
gcloud spanner databases ddl update DATABASE_NAME \ --instance=INSTANCE_NAME \ --ddl='REVOKE PERMISSIONS ON TABLE TABLE_NAME FROM ROLE ROLE_NAME; DROP ROLE ROLE_NAME;'
PostgreSQL
gcloud spanner databases ddl update DATABASE_NAME \ --instance=INSTANCE_NAME \ --ddl='REVOKE PERMISSIONS ON TABLE TABLE_NAME FROM ROLE_NAME; DROP ROLE ROLE_NAME;'
유효한
PERMISSIONS
값은SELECT
,INSERT
,UPDATE
,DELETE
입니다.관련 IAM 조건을 삭제하려면 다음과 같이
gcloud spanner databases remove-iam-policy-binding
명령어를 사용합니다.gcloud spanner databases remove-iam-policy-binding DATABASE_NAME \ --instance=INSTANCE_NAME \ --role=ROLE_NAME \ --member=MEMBER_NAME \ --condition=CONDITION
MEMBER_NAME
은 주 구성원의 식별자입니다.user|group|serviceAccount:email
또는domain:domain
형식이어야 합니다.CONDITION
은 주 구성원에게 부여할 역할을 지정하는 IAM 조건 표현식입니다.CONDITION
의 형식은 다음과 같습니다.--condition='expression=(resource.type == "spanner.googleapis.com/DatabaseRole" && (resource.name.endsWith("/ROLE1") || resource.name.endsWith("/ROLE2"))),title=TITLE,description=DESCRIPTION'
전체 조건 사양은 권한을 부여한 명령어에 사용된 조건 사양과 제목 및 설명 등이 정확히 일치해야 합니다.
클라이언트 라이브러리
모두 데이터베이스 역할을 만들고 삭제하는 코드 샘플입니다.
C++
C#
Go
Java
Node.js
PHP
Python
Ruby