REST Resource: roleAssignments

资源:RoleAssignment

定义角色的分配。

JSON 表示法
{
  "roleAssignmentId": string,
  "roleId": string,
  "kind": string,
  "etag": string,
  "assignedTo": string,
  "assigneeType": enum (AssigneeType),
  "scopeType": string,
  "orgUnitId": string,
  "condition": string
}
字段
roleAssignmentId

string (int64 format)

此 rolesAssignment 的 ID。

roleId

string (int64 format)

分配的角色的 ID。

kind

string

API 资源的类型。始终为 admin#directory#roleAssignment

etag

string

资源的 ETag。

assignedTo

string

分配了此角色的实体的唯一 ID,可以是用户的 userId、群组的 groupId 或服务帐号的 uniqueId(如 Identity and Access Management (IAM) 中定义)。

assigneeType

enum (AssigneeType)

仅供输出。分配对象的类型(USERGROUP)。

scopeType

string

分配此角色的范围。

可接受的值为:

  • CUSTOMER
  • ORG_UNIT
orgUnitId

string

如果角色仅限在某个组织部门内使用,则此字段包含行使此角色限制的组织部门的 ID。

condition

string

可选。(公开 Beta 版 - 适用于 /admin/directory/v1.1beta1 版 API)

注意:此功能仅适用于企业标准版、企业 Plus 版、Google Workspace 教育 Plus 版和 Cloud Identity 专业版客户。无需进行额外设置即可使用该功能。目前在 Beta 版中,管理控制台 (http://admin.google.com) 尚不支持与 condition 关联的 RoleAssignment

与此角色分配关联的条件。仅当所访问的资源满足相应条件时,设置了 condition 字段的 RoleAssignment 才会生效。如果 condition 为空,则角色 (roleId) 将无条件地应用于范围 (scopeType) 内的操作者 (assignedTo)。

目前仅支持两种条件:

  • 如需使 RoleAssignment 仅适用于安全群组,请执行以下操作:api.getAttribute('cloudidentity.googleapis.com/groups.labels', []).hasAny(['groups.security']) && resource.type == 'cloudidentity.googleapis.com/Group'

  • 如需使 RoleAssignment 不适用于安全群组,请执行以下操作:!api.getAttribute('cloudidentity.googleapis.com/groups.labels', []).hasAny(['groups.security']) && resource.type == 'cloudidentity.googleapis.com/Group'

目前,这两个条件字符串必须一字不差,并且仅适用于以下预构建的管理员角色

  • 群组编辑器
  • 群组读取者

条件遵循 Cloud IAM 条件语法

AssigneeType

角色被分配到的身份类型。

枚举
USER 网域中的单个用户。
GROUP 网域内的群组。

方法

delete

删除角色分配。

get

检索角色分配。

insert

创建角色分配。

list

检索所有 rolesAssignment 的分页列表。