Google Cloud / الأساسي: حدود الموارد والوصول / الدرس 3

IAM والتفويض الفعال

حلل الهوية والصلاحية والمورد والسياق ولا تعد اسم دور واحد إثبات وصول.

وقت القراءة التقريبي: 4 دقيقةتاريخ مراجعة المحتوى 2026-10-25

في هذه الصفحة

أهداف الدرس

تمييز الهوية والدور والصلاحية ورابط السياسة.
شرح التوريث والشروط وتفاعل المنع.
مراجعة المنح الواسعة دون ادعاء تقييم فعلي محلي.

يسأل التفويض من يفعل ماذا وعلى أي مورد

تحدد المصادقة هوية الطرف ويقرر IAM سماح العملية. قد تكون الهوية إنسانا أو مجموعة أوحساب خدمة أواتحادا. يجمع الدور صلاحيات ويربطها بمنفذين عند مورد؛ فلا يحدد تسجيل الدخول وحده صلاحية الحمل.

ابدأ بالصلاحية الدقيقة والمورد. قد يختلف محتوى الدور عن اسمه ويتطور المسبق، فراجع تعريفه وأصغر نطاق مفيد. لا تختصر بمنح واسعة إذا ناسب دور مخصص للمهمة أومخصص مصان.

قراءة رابط سياسة دون تطبيقه

تصف JSON التوضيحية مجموعة اصطناعية بدور قراءة كائنات عند موضع إرفاق السياسة لاحقا. لا ترسل إلى API ولا تثبت الوصول؛ يحتاج الإصدار والشروط ورموز التزامن ومتطلبات الخدمة عقد الواجهة. لا يمنح تحرير الملف شيئا.

قد يؤثر دور المشروع على الأدنى، ويقل النطاق عند مورد أضيق مدعوم. حدد الحد أولا، وراجع ملكية المجموعة وأعضاءها المتغيرين ضمن الحوكمة.

json رابط سياسة سماح توضيحي

{
  "bindings": [
    {
      "role": "roles/storage.objectViewer",
      "members": ["group:readers@example.invalid"]
    }
  ]
}

يصف المستند غير القابل للتشغيل شكل الرابط دون إنشاء سياسة أو فحصها على مورد سحابي.

تشمل السياسة الفعالة أكثر من السماح المحلي

قد تؤثر منح الأسلاف والمنع والشروط وتقييد الهوية وضوابط الخدمة. لذلك ليست قائمة سماح محلية قرارا كاملا. تعتمد الشروط على سمات وسياق مدعومين، وللمنع نطاق صلاحيات وموارد موثق.

ميز رفض IAM من قيد المؤسسة أو API معطلة أو إعداد ناقص أوفشل شبكة؛ قد يتشابه العجز وتختلف الأدلة. قد تزيد توسيع الصلاحية الخطر دون إصلاح السبب.

يكشف الفحص المحلي الاتساع ولا يثبت الفرض

يجد Python دور Owner في روابط مخترعة فيشير لمراجعة لا يحكم على أمن سياسة فعلية. قد تقصد سلطة واسعة باستثناء مضبوط مع تبرير ونطاق وانقضاء ومراجع؛ وأقل صلاحية علاقة تصان بين العمل والسلطة.

لا تسم قاموس صلاحيات صغيرا محاكي IAM؛ تصان الأدوار والقواعد خدميا. تفحص المحلي أعراف الفريق كمالك الاستثناء بينما يحتاج الفرض دليلا مخولا وأداة واعية بالخدمة.

python تحديد بند مراجعة لدور اصطناعي واسع

bindings = [{"role": "roles/viewer", "members": ["group:readers@example.invalid"]}, {"role": "roles/owner", "members": ["group:exception@example.invalid"]}]
review = [binding["role"] for binding in bindings if binding["role"] in {"roles/owner", "roles/editor"}]
print("broad-role review", ",".join(review))

الناتج المتوقع

broad-role review roles/owner

يشير العرف المحلي إلى roles/owner دون حساب صلاحيات هوية حقيقية.

يحتاج تغيير الوصول سياق هوية ورجوع

سجل طالب المنحة والهوية والنطاق والعمل والمراجع وسبب الإزالة، وافصل إدارة الأدوار عن البيانات. قد تدعم المدة المحددة والانتحال عملا مضبوطا بسياسة وموافقة مدعومتين لا بملف اعتماد مشترك.

راجع المفترض سماحه ومنعه ووثق ما يحتاجه اختبار فعلي. لا تصلح الرفض بنشر اعتماد أوبجعل المورد عاما. لا تغير الدورة وصولا؛ سجل المراجعة هو الأثر التعليمي.

الأخطاء الشائعة وإصلاحها

يعد الدخول الناجح تفويضا.

لماذا يحدث؟: اختلطت الهوية بالصلاحية.
كيف تصلحه؟: حدد هوية الحمل وصلاحية المورد الدقيقة.
كيف تتجنب تكراره؟: افصل الدليلين.

تبدو منحة المشروع بلا أثر.

لماذا يحدث؟: قد يسببها ضبط أوسياق أوهدف آخر.
كيف تصلحه؟: شخص الرفض قبل إضافة الأدوار.
كيف تتجنب تكراره؟: سجل المورد والسياق.

تعد قائمة محلية اختبار وصول فعال.

لماذا يحدث؟: يغفل النموذج قواعد فعلية.
كيف تصلحه؟: سمها فحص عرف محلي.
كيف تتجنب تكراره؟: استخدم دليلا واعيا للخدمة للفرض.

اختبر فهمك

1. يرى مستخدم بيانات الدلو الوصفية ولا يقرأ كائنا. ماذا يفحص قبل Owner؟

اعرض الحل المشروح

حدد الهوية الفعلية، ومورد الدلو أو الكائن، والصلاحية المرفوضة بالضبط، وتوريث السياسة وشروطها وأي ضوابط خدمية مرتبطة. قد تحتاج عمليات البيانات الوصفية وعمليات الكائن صلاحيات مختلفة. تحقق أيضا من أن التطبيق يستخدم بيانات الاعتماد المتوقعة لا هوية تسجيل دخول أخرى. قد تخفي منحة واسعة هذا التمييز وتظل عاجزة عن إصلاح الطلب إذا منعته طبقة سياسة أخرى. لذلك يبدأ الإصلاح بالتشخيص لا بترقية الدور.

2. لماذا لا يسجل رابط المجموعة كل البشر عبر الزمن؟