Ruoli di sistema del controllo dell'accesso granulari

Anteprima — Fine-grained access control

Questa funzionalità è regolata dai Termini delle offerte pre-GA dei Termini di servizio di Google Cloud. Le funzionalità pre-GA potrebbero avere supporto limitato e le modifiche a queste funzionalità potrebbero non essere compatibili con altre versioni pre-GA. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

Nota sull'interfaccia PostgreSQL: La release di anteprima del controllo dell'accesso granulare non supporta l'interfaccia PostgreSQL per Cloud Spanner.

Nota: per la release in anteprima del controllo dell'accesso granulare, l'assistenza verrà fornita direttamente dal team di tecnici anziché da richieste di assistenza. Puoi interagire con noi all'indirizzo [e-mail]. Quando il controllo dell'accesso granulare sarà generalmente disponibile, verrà fornito assistenza tramite i normali canali.

Questa pagina definisce le caratteristiche, i vincoli e l'uso previsto dei tre ruoli di sistema predefiniti che il controllo dell'accesso granulare fornisce per ogni database. Ogni ruolo di sistema ha un insieme di privilegi diverso, che non può essere revocato.

public

• Per impostazione predefinita, tutti gli utenti con controllo granulare degli accessi hanno un'appartenenza IAM in public.

• Tutti i ruoli del database ereditano i privilegi da questo ruolo.

• Inizialmente, public non ha privilegi, ma puoi concedergli privilegi. Se concedi un privilegio a public, questo sarà disponibile per tutti i ruoli del database, inclusi i ruoli del database creati in seguito.

spanner_info_reader

• Questo ruolo ha il privilegio SELECT nelle tabelle INFORMATION_SCHEMA.

• Non puoi concedere altri privilegi a spanner_info_reader.

• Concedi l'appartenenza a questo ruolo a qualsiasi ruolo di database che deve avere accesso in lettura non filtrato allo schema INFORMATION_SCHEMA.

spanner_sys_reader

• Questo ruolo ha il privilegio SELECT per le tabelle SPANNER_SYS.

• Non puoi concedere altri privilegi a spanner_sys_reader.

• Concedi l'appartenenza a questo ruolo a qualsiasi ruolo di database che deve avere accesso in lettura allo schema SPANNER_SYS.

Limitazioni relative ai ruoli di sistema

• Non puoi eliminare un ruolo di sistema utilizzando un'istruzione DROP ROLE.

• I ruoli di sistema non possono essere membri di altri ruoli del database.

  Questo significa che la seguente affermazione non è valida.

  GRANT ROLE pii_access TO ROLE spanner_info_reader;

• Non puoi concedere l'appartenenza al ruolo public ai ruoli del tuo database. Ad esempio, anche la seguente affermazione non è valida.

  GRANT ROLE public TO ROLE pii_access;

  Tuttavia, puoi concedere l'appartenenza ai ruoli spanner_info_reader e spanner_sys_reader. Di seguito sono riportate alcune dichiarazioni valide.

  GRANT ROLE spanner_info_reader TO ROLE pii_access;
  GRANT ROLE spanner_sys_reader TO ROLE pii_access;
  

Informazioni dettagliate

Per ulteriori informazioni, vedi:

• Configurare un controllo dell'accesso granulare
• Informazioni su controllo granulare degli accessi