Cette page explique comment configurer un contrôle précis des accès pour les bases de données Spanner.
Pour en savoir plus sur le contrôle ultraprécis des accès, consultez la page À propos du contrôle ultraprécis des accès.
Pour configurer un contrôle des accès ultraprécis, procédez comme suit:
Les utilisateurs du contrôle des accès ultraprécis doivent ensuite spécifier un rôle de base de données pour effectuer des requêtes, des opérations LMD ou des opérations de ligne sur la base de données.
Avant de commencer
Assurez-vous que chaque compte principal devant être un utilisateur précis du contrôle des accès dispose du rôle IAM Cloud Spanner Viewer
(roles/spanner.viewer
). Ce rôle est recommandé au niveau du projet pour les utilisateurs qui doivent interagir avec les ressources Spanner dans la console Google Cloud.
Pour obtenir des instructions, consultez Accorder des autorisations aux comptes principaux.
Créer des rôles de base de données et accorder des droits
Un rôle de base de données est un ensemble de droits d'accès précis. Vous pouvez créer jusqu'à 100 rôles de base de données pour chaque base de données.
Déterminez les rôles et les hiérarchies de rôles dans votre base de données, et encodez-les en LDD. Comme pour les autres modifications de schéma dans Spanner, nous vous recommandons vivement de publier les modifications de schéma par lot plutôt que séparément. Pour en savoir plus, consultez Limiter la fréquence des mises à jour du schéma.
Console
Pour créer un rôle de base de données et lui accorder des droits d'accès précis, procédez comme suit:
Accédez à la page Instances de la console Google Cloud.
Sélectionnez l'instance contenant la base de données à laquelle vous souhaitez ajouter le rôle.
Sélectionnez la base de données.
Sur la page Présentation, cliquez sur Spanner Studio.
Sur la page Spanner Studio, pour chaque rôle de base de données que vous souhaitez créer et accorder des droits, procédez comme suit:
Pour créer le rôle, saisissez l'instruction suivante:
CREATE ROLE ROLE_NAME;
Ne cliquez pas encore sur Envoyer.
Pour accorder des droits au rôle, saisissez une instruction
GRANT
sur la ligne suivante, après l'instructionCREATE ROLE
.Pour en savoir plus sur la syntaxe de l'instruction
GRANT
, consultez la section Langage de définition de données GoogleSQL. Pour en savoir plus sur les droits, consultez Contrôle précis des contrôle des accès des accès.Par exemple, pour accorder
SELECT
,INSERT
etUPDATE
sur les tablesemployees
etcontractors
au rôle de base de donnéeshr_manager
, saisissez l'instruction suivante:GoogleSQL
GRANT SELECT, INSERT, UPDATE ON TABLE employees, contractors TO ROLE hr_manager;
PostgreSQL
GRANT SELECT, INSERT, UPDATE ON TABLE employees, contractors TO hr_manager;
Vous pouvez utiliser un modèle LDD pour l'instruction
GRANT
. Dans le volet Explorateur, accédez au rôle pour lequel vous souhaitez accorder des droits. Cliquez sur Afficher les actions, puis sélectionnez le type de droit auquel vous souhaitez accorder l'accès pour ce rôle. L'instruction de modèleGRANT
est insérée dans un nouvel onglet de l'éditeur.
Cliquez sur Envoyer.
Si votre LDD comporte des erreurs, la console Google Cloud renvoie une erreur.
gcloud
Pour créer un rôle de base de données et lui accorder des droits d'accès précis, exécutez la commande gcloud spanner databases ddl update
avec les instructions CREATE ROLE
et GRANT
.
Pour en savoir plus sur la syntaxe des instructions CREATE ROLE
et GRANT
, consultez la page Langage de définition de données GoogleSQL.
Par exemple, utilisez la commande suivante pour créer un rôle de base de données et lui accorder des droits sur une ou plusieurs tables.
GoogleSQL
gcloud spanner databases ddl update DATABASE_NAME --instance=INSTANCE_NAME \ --ddl='CREATE ROLE ROLE_NAME; GRANT PRIVILEGES ON TABLE TABLES TO ROLE ROLE_NAME;'
PostgreSQL
gcloud spanner databases ddl update DATABASE_NAME --instance=INSTANCE_NAME \ --ddl='CREATE ROLE ROLE_NAME; GRANT PRIVILEGES ON TABLE TABLES TO ROLE_NAME;'
Remplacez les éléments suivants :
PRIVILEGES
est une liste de droits de contrôle des accès ultraprécis, séparés par une virgule. Pour en savoir plus sur les droits, consultez la section Contrôle précis des contrôle des accès accès.TABLES
est une liste de tables séparées par une virgule.
Par exemple, pour accorder SELECT
, INSERT
et UPDATE
sur les tables employees
et contractors
au rôle de base de données hr_analyst
dans la base de données hrdb1
de l'instance hr
, saisissez l'instruction suivante:
GoogleSQL
gcloud spanner databases ddl update hrdb1 --instance=hr \ --ddl='CREATE ROLE hr_analyst; GRANT SELECT, INSERT, UPDATE ON TABLE employees, contractors TO ROLE hr_analyst;'
PostgreSQL
gcloud spanner databases ddl update hrdb1 --instance=hr \ --ddl='CREATE ROLE hr_analyst; GRANT SELECT, INSERT, UPDATE ON TABLE employees, contractors TO hr_analyst;'
Bibliothèques clientes
Ces exemples de code permettent de créer et de supprimer un rôle de base de données.
C++
C#
Go
Java
Node.js
PHP
Python
Ruby
Créer une hiérarchie de rôles avec héritage
Vous pouvez créer une hiérarchie de rôles de base de données en attribuant un rôle de base de données à un autre. Les rôles enfants (appelés rôles de membre) héritent des droits du parent.
Pour attribuer un rôle de base de données à un autre rôle de base de données, utilisez l'instruction suivante:
GoogleSQL
GRANT ROLE role1 TO ROLE role2;
PostgreSQL
GRANT role1 TO role2;
Pour en savoir plus, consultez la section Hiérarchies et héritage des rôles de base de données.
Accorder aux comptes principaux IAM l'accès aux rôles de base de données
Pour qu'un compte principal puisse utiliser un rôle de base de données pour accéder aux ressources Spanner, vous devez lui accorder l'accès au rôle de base de données.
Console
Pour accorder à un compte principal IAM l'accès aux rôles de base de données, procédez comme suit:
Sur la page Vue d'ensemble de la base de données, cliquez sur AFFICHER LE PANNEAU D'INFORMATIONS si le panneau d'informations n'est pas déjà ouvert.
Cliquez sur AJOUTER UN COMPTE PRINCIPAL.
Dans le panneau Accorder l'accès à database_name, sous Ajouter des comptes principaux, spécifiez un ou plusieurs comptes principaux IAM.
Sous Attribuer des rôles, dans le menu Sélectionner un rôle, sélectionnez Cloud Spanner > Utilisateur de l'accès précis Cloud Spanner.
Vous ne devez attribuer ce rôle qu'une seule fois à chaque compte principal. Le compte principal est alors un utilisateur du contrôle des accès ultraprécis.
Cliquez sur AJOUTER UN AUTRE RÔLE.
Dans le menu Sélectionner un rôle, sélectionnez Cloud Spanner > Utilisateur de rôle de base de données Cloud Spanner.
Procédez comme suit pour créer la condition IAM qui spécifie les rôles à attribuer.
À côté du rôle Utilisateur de rôle de base de données Cloud Spanner, cliquez sur AJOUTER UNE CONDITION IAM.
Dans le panneau Ajouter une condition, saisissez un titre et une description facultative pour la condition.
Si vous attribuez un rôle de base de données unique, vous devez généralement inclure le nom du rôle dans le titre de la condition. Si vous attribuez plusieurs rôles, vous pouvez fournir des informations sur l'ensemble des rôles.
Cliquez sur ÉDITEUR DE CONDITIONS.
Dans le champ Expression, saisissez le code suivant:
resource.type == "spanner.googleapis.com/DatabaseRole" && resource.name.endsWith("/ROLE")
Remplacez
ROLE
par le nom de votre rôle.Pour accorder l'accès au compte principal à plusieurs rôles, ajoutez d'autres conditions avec l'opérateur or (
||
), comme illustré dans l'exemple suivant:resource.type == "spanner.googleapis.com/DatabaseRole" && (resource.name.endsWith("/ROLE1") || resource.name.endsWith("/ROLE2"))
Ce code attribue deux rôles. Remplacez
ROLE1
etROLE2
par les noms de vos rôles. Pour attribuer plus de deux rôles, ajoutez des conditions or.Vous pouvez utiliser n'importe quelle expression de condition compatible avec IAM. Pour en savoir plus, consultez la page Présentation des conditions IAM.
Cliquez sur Enregistrer.
Revenez dans le panneau précédent, vérifiez que la condition apparaît dans la colonne Condition IAM, à côté du champ Rôle.
Cliquez sur Enregistrer.
Dans le panneau d'informations, sous Rôle/Compte principal, notez que l'option Utilisateur de rôle de base de données Cloud Spanner s'affiche pour chaque condition définie.
Le nombre entre parenthèses à côté de la condition indique le nombre de comptes principaux auxquels cette condition attribue le rôle de base de données. Cliquez sur la flèche de développement pour afficher la liste des comptes principaux.
Pour corriger les erreurs dans les noms ou les conditions de rôle de base de données, ou pour ajouter des rôles de base de données supplémentaires pour un compte principal, procédez comme suit:
Développez l'entrée Utilisateur de rôle de base de données Cloud Spanner qui répertorie la condition souhaitée.
Cliquez sur l'icône Modifier (en forme de crayon) à côté d'un compte principal.
Dans le panneau Modifier l'accès à database_name, effectuez l'une des opérations suivantes:
Cliquez sur AJOUTER UN AUTRE RÔLE.
Pour modifier la condition, cliquez sur l'icône Modifier (en forme de crayon) à côté du nom de la condition. Sur la page Modifier la condition, cliquez sur ÉDITEUR DE CONDITION, apportez les corrections nécessaires, puis cliquez deux fois sur Enregistrer.
gcloud
Pour accorder l'accès aux rôles de base de données à un compte principal IAM, procédez comme suit:
Activez un contrôle des accès précis pour le compte principal à l'aide de la commande
gcloud spanner databases add-iam-policy-binding
comme suit:gcloud spanner databases add-iam-policy-binding DATABASE_NAME \ --instance=INSTANCE_NAME \ --role=roles/spanner.fineGrainedAccessUser \ --member=MEMBER_NAME \ --condition=None
MEMBER_NAME
est l'identifiant du compte principal. Il doit être au formatuser|group|serviceAccount:email
oudomain:domain
.Cette commande fait du compte principal un utilisateur de contrôle des accès ultraprécis. N'envoyez cette commande qu'une seule fois pour chaque compte principal.
Si la commande est bien exécutée, elle génère l'intégralité de la règle pour la base de données.
Accordez l'autorisation d'utiliser un ou plusieurs rôles de base de données à l'aide de la commande
gcloud spanner databases add-iam-policy-binding
comme suit:gcloud spanner databases add-iam-policy-binding DATABASE_NAME \ --instance=INSTANCE_NAME \ --role=roles/spanner.databaseRoleUser \ --member=MEMBER_NAME \ --condition=CONDITION
MEMBER_NAME
est l'identifiant du compte principal. Il doit être au formatuser|group|serviceAccount:email
oudomain:domain
.CONDITION
est une expression de condition IAM qui spécifie les rôles à attribuer au compte principal.CONDITION
se présente sous la forme suivante:--condition='expression=(resource.type == "spanner.googleapis.com/DatabaseRole" && resource.name.endsWith("/ROLE1")),title=TITLE,description=DESCRIPTION'
Pour accorder l'accès au compte principal à plusieurs rôles, ajoutez d'autres conditions avec l'opérateur or (
||
), comme illustré dans l'exemple suivant:--condition='expression=(resource.type == "spanner.googleapis.com/DatabaseRole" && (resource.name.endsWith("/ROLE1") || resource.name.endsWith("/ROLE2"))),title=TITLE,description=DESCRIPTION'
Ce code attribue deux rôles. Remplacez
ROLE1
etROLE2
par les noms de vos rôles. Pour attribuer plus de deux rôles, ajoutez des conditions or avec l'opérateur||
.Vous pouvez utiliser n'importe quelle expression de condition compatible avec IAM. Pour en savoir plus, consultez la page Présentation des conditions IAM.
Si la commande est bien exécutée, elle génère l'intégralité de la règle pour la base de données.
L'exemple suivant attribue les rôles de base de données
hr_rep
ethr_manager
au compte principaljsmith@example.com
.gcloud spanner databases add-iam-policy-binding myDatabase \ --instance=myInstance \ --role=roles/spanner.databaseRoleUser \ --member=user:jsmith@example.com \ --condition='expression=(resource.type == "spanner.googleapis.com/DatabaseRole" && (resource.name.endsWith("/hr_rep") || resource.name.endsWith("/hr_manager"))),title=HR roles,description=Grant permissions on HR roles'
Bibliothèques clientes
C++
C#
Go
Java
Node.js
PHP
Python
Ruby
Demander aux utilisateurs et aux développeurs de commencer à utiliser les rôles de base de données
Une fois la configuration initiale du contrôle des accès ultraprécise terminée, informez les utilisateurs et les développeurs d'applications qu'ils doivent commencer à utiliser les rôles de base de données.
Les utilisateurs du contrôle des accès ultraprécis doivent commencer à spécifier un rôle de base de données lorsqu'ils accèdent aux bases de données Spanner via la console Google Cloud ou la Google Cloud CLI.
Les applications qui utilisent un contrôle des accès ultraprécis doivent spécifier un rôle de base de données lorsqu'elles accèdent à la base de données.
Pour en savoir plus, consultez la section Accéder à une base de données avec un contrôle des accès ultraprécis.
Effectuer la transition d'un compte principal vers un contrôle des accès ultraprécis
Pour faire passer un compte principal IAM du contrôle des accès au niveau de la base de données à un contrôle plus précis des accès, procédez comme suit:
Activez un contrôle des accès précis pour le compte principal et accordez l'accès à tous les rôles de base de données requis, comme décrit dans la section Accorder l'accès aux rôles de base de données aux comptes principaux IAM.
Mettez à jour toutes les applications exécutées en tant que compte principal. Spécifiez les rôles de base de données appropriés dans les appels aux méthodes de la bibliothèque cliente.
Révoquez pour le compte principal tous les rôles IAM au niveau de la base de données. De cette façon, l'accès au compte principal est régi par une seule méthode.
Exception: Pour interagir avec les ressources Spanner dans la console Google Cloud, tous les utilisateurs doivent disposer du rôle IAM
roles/spanner.viewer
.Pour révoquer des rôles IAM au niveau de la base de données, suivez les instructions de la section Supprimer des autorisations au niveau de la base de données.
Répertorier les rôles de base de données
Vous pouvez répertorier les rôles associés à une base de données.
Console
Pour répertorier les rôles de base de données, saisissez la requête suivante sur la page Spanner Studio de la base de données:
GoogleSQL
SELECT * FROM INFORMATION_SCHEMA.ROLES;
PostgreSQL
SELECT * FROM information_schema.enabled_roles;
La réponse inclut le rôle actuel et les rôles dont le rôle actuel peut utiliser les droits par héritage. Pour récupérer tous les rôles, utilisez la commande Google Cloud CLI.
gcloud
Pour obtenir une liste non filtrée des rôles de base de données, saisissez la commande suivante.
L'autorisation spanner.databaseRoles.list
est requise.
gcloud spanner databases roles list --database=DATABASE_NAME --instance=INSTANCE_NAME
Bibliothèques clientes
C++
C#
Go
Java
Node.js
PHP
Python
Ruby
Afficher les droits accordés à un rôle de base de données
Pour afficher les droits accordés à un rôle, exécutez les requêtes suivantes:
GoogleSQL
SELECT * FROM INFORMATION_SCHEMA.TABLE_PRIVILEGES WHERE grantee = 'ROLE_NAME'; SELECT * FROM INFORMATION_SCHEMA.COLUMN_PRIVILEGES WHERE grantee = 'ROLE_NAME'; SELECT * FROM INFORMATION_SCHEMA.CHANGE_STREAM_PRIVILEGES WHERE grantee = 'ROLE_NAME';
INFORMATION_SCHEMA.TABLE_PRIVILEGES
renvoie des droits sur les tables et les vues.
Les droits SELECT
, INSERT
et UPDATE
dans TABLE_PRIVILEGES
s'affichent également dans COLUMN_PRIVILEGES
.
PostgreSQL
SELECT * FROM information_schema.table_privileges WHERE grantee = 'ROLE_NAME'; SELECT * FROM information_schema.column_privileges WHERE grantee = 'ROLE_NAME'; SELECT * FROM information_schema.change_stream_privileges WHERE grantee = 'ROLE_NAME';
information_schema.table_privileges
renvoie des droits sur les tables et les vues.
Les droits SELECT
, INSERT
et UPDATE
dans table_privileges
s'affichent également dans column_privileges
.
Afficher des utilisateurs bénéficiant d'un contrôle des accès précis
Pour afficher la liste des comptes principaux qui sont des utilisateurs ultraprécis de contrôle des accès, exécutez la commande suivante. Pour exécuter la commande, l'API Cloud Asset doit être activée sur votre projet et vous devez disposer de l'autorisation IAM cloudasset.assets.searchAllIamPolicies
.
gcloud asset search-all-iam-policies \ --scope=projects/PROJECT_NAME \ --query='roles=roles/spanner.fineGrainedAccessUser AND resource=//spanner.googleapis.com/projects/PROJECT_NAME/instances/INSTANCE_NAME/databases/DATABASE_NAME' \ --flatten=policy.bindings[].members[] \ --format='table(policy.bindings.members)'
Le résultat ressemble à ce qui suit :
MEMBERS user:222larabrown@gmail.com user:baklavainthebalkans@gmail.com serviceAccount:cs-fgac-sa-1@cloud-spanner-demo.google.com.iam.gserviceaccount.com serviceAccount:cs-fgac-sa-2@cloud-spanner-demo.google.com.iam.gserviceaccount.com
Pour en savoir plus, consultez la page Activer une API dans votre projet Google Cloud.
Afficher les comptes principaux IAM ayant accès à un rôle de base de données
Pour afficher la liste des comptes principaux disposant d'un accès à un rôle de base de données particulier, exécutez la commande suivante. Pour exécuter la commande, l'API Cloud Asset doit être activée sur votre projet et vous devez disposer de l'autorisation IAM cloudasset.assets.searchAllIamPolicies
.
gcloud asset search-all-iam-policies \ --scope=projects/PROJECT_NAME \ --query='roles=roles/spanner.databaseRoleUser AND policy:"resource.name" AND policy:/ROLE_NAME AND resource=//spanner.googleapis.com/projects/PROJECT_NAME/instances/INSTANCE_NAME/databases/DATABASE_NAME' \ --flatten=policy.bindings[].members[] \ --format='table(policy.bindings.members)'
Le résultat ressemble à ce qui suit :
MEMBERS 222larabrown@gmail.com
Afficher les conditions IAM pour un compte principal
Pour afficher la liste des conditions IAM spécifiées lors de l'attribution du rôle Utilisateur de rôle de base de données Cloud Spanner à un compte principal, exécutez la commande suivante:
gcloud asset search-all-iam-policies \ --scope=projects/PROJECT_NAME \ --query='roles=roles/spanner.databaseRoleUser AND policy:resource.name AND policy:"PRINCIPAL_IDENTIFIER" AND resource=//spanner.googleapis.com/projects/PROJECT_NAME/instances/INSTANCE_NAME/databases/DATABASE_NAME' \ --flatten=policy.bindings[] \ --format='table(policy.bindings.condition.expression)'
où PRINCIPAL_IDENTIFIER est:
{ user:user-account-name | serviceAccount:service-account-name }
Exemples de PRINCIPAL_IDENTIFIER:
user:222larabrown@gmail.com serviceAccount:cs-fgac-sa-1@cloud-spanner-demo.google.com.iam.gserviceaccount.com
L'exemple de résultat suivant montre deux expressions de condition.
EXPRESSION resource.type == "spanner.googleapis.com/DatabaseRole" && resource.name.endsWith("/hr_analyst") resource.type == "spanner.googleapis.com/DatabaseRole" && resource.name.endsWith("/hr_manager")
Vérifier les conditions de rôle de base de données manquantes dans les stratégies IAM
Une fois que vous avez accordé aux comptes principaux l'accès aux rôles de base de données, nous vous recommandons de vous assurer que chaque liaison IAM comporte une condition spécifiée.
Pour effectuer cette vérification, exécutez la commande suivante:
gcloud asset search-all-iam-policies \ --scope=projects/PROJECT_NAME \ --query='roles:roles/spanner.databaseRoleUser AND resource=//spanner.googleapis.com/projects/PROJECT_NAME/instances/INSTANCE_NAME/databases/DATABASE_NAME' --flatten=policy.bindings[].members[]
Le résultat ressemble à ce qui suit :
ROLE MEMBERS EXPRESSION roles/spanner.databaseRoleUser serviceAccount:cs-fgac-sa-1@... roles/spanner.databaseRoleUser serviceAccount:cs-fgac-sa-2@... resource.type == "spanner…"
Notez qu'il manque une condition dans le premier résultat. Par conséquent, les comptes principaux de cette liaison ont accès à tous les rôles de base de données.
Supprimer un rôle de base de données
La suppression d'un rôle de base de données révoque automatiquement l'appartenance à d'autres rôles et l'appartenance à d'autres rôles.
Pour supprimer un rôle de base de données, vous devez d'abord procéder comme suit:
- Révoquez tous les droits relatifs au contrôle ultraprécis des accès du rôle.
- Supprimez toutes les liaisons de stratégie IAM faisant référence à ce rôle, afin qu'un rôle de base de données créé ultérieurement avec le même nom n'hérite pas de ces liaisons.
Console
Pour supprimer un rôle de base de données, procédez comme suit:
Sur la page Présentation de la base de données, cliquez sur Spanner Studio.
Pour révoquer les droits du rôle, saisissez une instruction
REVOKE
.GoogleSQL
Pour en savoir plus sur la syntaxe de l'instruction
REVOKE
, consultez la section Langage de définition de données GoogleSQL. Pour en savoir plus sur les droits, consultez Contrôle précis des contrôle des accès des accès.Par exemple, pour révoquer
SELECT
,INSERT
etUPDATE
sur les tablesemployees
etcontractors
du rôle de base de donnéeshr_manager
, saisissez l'instruction suivante:REVOKE SELECT, INSERT, UPDATE ON TABLE employees, contractors FROM ROLE hr_manager;
PostgreSQL
Pour en savoir plus sur la syntaxe de l'instruction
REVOKE
, consultez la section Langage de définition de données PostgreSQL. Pour en savoir plus sur les droits, consultez Contrôle précis des contrôle des accès des accès.Par exemple, pour révoquer les droits
SELECT
,INSERT
etUPDATE
sur les tablesemployees
etcontractors
du rôle de base de donnéeshr_manager
, saisissez l'instruction suivante:REVOKE SELECT, INSERT, UPDATE ON TABLE employees, contractors FROM hr_manager;
Vous pouvez utiliser un modèle LDD pour l'instruction
REVOKE
. Dans le volet Explorateur, accédez au rôle pour lequel vous souhaitez révoquer le droit. Cliquez sur Afficher les actions, puis sélectionnez le type de droit auquel vous souhaitez révoquer l'accès à ce rôle. L'instruction de modèleREVOKE
est insérée dans un nouvel onglet de l'éditeur.Supprimez toute condition IAM associée au rôle.
Dans la liste des rôles du panneau d'informations, recherchez le rôle Utilisateur de rôle de base de données Cloud Spanner associé au titre de la condition qui vous intéresse, puis développez le rôle pour afficher les comptes principaux ayant accès au rôle.
Pour l'un des comptes principaux, cliquez sur l'icône en forme de crayon Modifier le compte principal.
Sur la page Modifier l'accès, cliquez sur l'icône Supprimer le rôle (corbeille) située à côté du rôle Utilisateur du rôle de base de données Cloud Spanner.
Cliquez sur Enregistrer.
Répétez les trois étapes précédentes pour les autres comptes principaux répertoriés dans la condition.
Pour supprimer le rôle, accédez à la page Spanner Studio et saisissez l'instruction suivante:
DROP ROLE ROLE_NAME;
Cliquez sur Envoyer.
gcloud
Pour révoquer tous les droits d'un rôle, puis supprimer ce rôle, utilisez la commande
gcloud spanner databases ddl update
comme suit:GoogleSQL
gcloud spanner databases ddl update DATABASE_NAME \ --instance=INSTANCE_NAME \ --ddl='REVOKE PERMISSIONS ON TABLE TABLE_NAME FROM ROLE ROLE_NAME; DROP ROLE ROLE_NAME;'
PostgreSQL
gcloud spanner databases ddl update DATABASE_NAME \ --instance=INSTANCE_NAME \ --ddl='REVOKE PERMISSIONS ON TABLE TABLE_NAME FROM ROLE_NAME; DROP ROLE ROLE_NAME;'
Les valeurs valides pour
PERMISSIONS
sontSELECT
,INSERT
,UPDATE
etDELETE
.Pour supprimer des conditions IAM associées, utilisez la commande
gcloud spanner databases remove-iam-policy-binding
comme suit:gcloud spanner databases remove-iam-policy-binding DATABASE_NAME \ --instance=INSTANCE_NAME \ --role=ROLE_NAME \ --member=MEMBER_NAME \ --condition=CONDITION
MEMBER_NAME
est l'identifiant du compte principal. Il doit être au formatuser|group|serviceAccount:email
oudomain:domain
.CONDITION
est une expression de condition IAM qui spécifie les rôles à attribuer au compte principal.CONDITION
se présente sous la forme suivante:--condition='expression=(resource.type == "spanner.googleapis.com/DatabaseRole" && (resource.name.endsWith("/ROLE1") || resource.name.endsWith("/ROLE2"))),title=TITLE,description=DESCRIPTION'
L'ensemble de la spécification de condition doit correspondre exactement à la spécification de condition utilisée dans la commande qui a accordé l'autorisation, y compris le titre et la description.
Bibliothèques clientes
Ces exemples de code permettent de créer et de supprimer un rôle de base de données.
C++
C#
Go
Java
Node.js
PHP
Python
Ruby
Informations complémentaires
- À propos du contrôle ultraprécis des accès
- Contrôle précis des contrôle des accès aux flux de modifications
- Contrôle précis des contrôle des accès accès
- Documentation de référence sur GoogleSQL LDD
- Mettre à jour le schéma