设置为内部许可的Google Project /谁是“我的组织的成员”以及如何管理成员?

免责声明:https://console.cloud.google.com/support/community在这里领先。 Google的文档太恐怖了,所以给了我一次机会,让我不会被深深吸引到dev / null

出于紧急需要,我正在将监视我们的Gmail帐户的私人应用程序迁移到OAuth 2,并且在此过程中,有必要创建一个 OAuth同意屏幕。由于此应用程序仅在内部使用,因此为“应用程序类型”选择“ 内部”是最有意义的-如下所述:

  

只有在您的组织中拥有Google帐户的用户才能授予对此应用程序请求的范围的访问权限。

该项目的用户由两个“所有者”组成-我自己使用我的个人Gmail帐户, 属于公司G Suite帐户一部分的另一名员工。

我的问题是 是“我组织中的用户”?这是基于项目所有者吗?我的非G-Suite帐户(该项目的所有者)是否符合条件? G Suite帐户中包含一个成员是否会自动关联其他员工帐户?是可以实际看到这些用户或直接对其进行管理的地方吗?

我实际上想添加其他几个帐户,但仍将应用程序保持私有状态,但是我对Google如何确定哪些gmail帐户将能够授权该应用程序感到困惑。

更新:为澄清起见,当我以G Suite成员的身份登录到项目所有者的同一域时访问同意页面时,一切都很好。但是,我们在同一G Suite帐户中管理着其他成员,这些成员位于不同的域下,因此我得到以下消息:

  

错误403:org_internal   该客户端仅限于其组织内的用户。

此外,我什至无法使用我自己的电子邮件( 是应用程序的创建者和所有者) 授予访问权限。我想知道如何添加自己和其他G Suite成员,以能够在不公开使用的情况下授予对该应用程序的访问权限。下面建议我将它们(或它们的域)添加到Google Cloud IAM中,但是我不清楚如何使它工作。我自己的电子邮件已经在IAM中以“所有者”的角色存在,并且显然不满足要求。

zwlyuan 回答:设置为内部许可的Google Project /谁是“我的组织的成员”以及如何管理成员?

  

谁是我组织的成员?

您为项目,文件夹或组织级别添加到Google Cloud IAM的任何人。其中可以包括Google帐户(Gmail电子邮件地址),G Suite和Google身份。后两个使用域名(example.com)以及在该域中具有身份的任何人(someone@example.com)。

Google的目标是加强Google Cloud Platform的安全性。过去,拥有Google帐户电子邮件地址的任何人都可以使用您的项目OAuth来请求访问权限。访问级别由OAuth范围控制。今天,授予该访问权限会导致“同意”屏幕中出现未经验证的应用程序警告。要超越(消除)警告,通常需要对您的应用程序进行安全审核,估计费用为75,000美元。

  

如何管理会员?

通过Google Cloud IAM。您可以添加和删除成员。分配和删除附加到成员ID的IAM角色。通过添加或删除会员帐户通过G Suite或Google身份。不要忘记,成员可以是Google网上论坛的一部分,也可以是Domain的一部分,而每一个域在Google Cloud Platform中也是身份。

,

对于GSuite用户:

Cloud IAM仅处理授权,您需要在其他地方处理身份验证。默认情况下,GSuite与CloudIAM集成为默认身份验证提供程序。

对于非GSuite用户:

您可以使用cloud identity free edition,但用户将必须管理单独的凭据集。

没有GSuite的单点登录

如果您要单一登录选项,还可以使用Google Cloud Directory Sync与本地Active Directory或LDAP服务器同步以进行身份​​验证。因此,用户可以保留其登录详细信息。

这就是身份验证在GCP上的工作方式。作为获得授权的人员,您拥有CloudIAM ,您可以在其中通过预定义角色,原始角色和自定义角色来管理访问。

云IAM和授权

通常,您使用Google网上论坛和resource hierarchy分配访问权限,以便更轻松地管理用户访问权限。但是请记住,如果您通过资源层次结构中的ascenstor文件夹授予对某些内容的访问权限,则不能拒绝对下游的访问。因此,您需要相应地计划访问层次结构。

要回答您的问题谁是“我组织中的用户”?,每个人都可以登录,但是默认情况下,他们不能访问任何项目,资源或api,除非他们被授予单独访问权限或through a group

希望这可以为您澄清一些事情。

,

为了将内部应用程序用于OAuth,项目必须属于与所有用户都与同一GSuite客户关联的组织。

非GSuite帐户不能由内部应用程序使用。这里有更多有关此的信息:https://support.google.com/cloud/answer/6158849#public-and-internal

本文链接:https://www.f2er.com/2903421.html

大家都在问