将政策分析写入 BigQuery

1. 在 Google Cloud 控制台中，前往“政策分析器”页面。

   前往政策分析器

2. 在分析政策部分，找到要使用的查询模板，然后点击创建查询。如果您想创建自定义查询，请点击创建自定义查询。

3. 在选择查询范围字段中，选择要将查询范围限定到的项目、文件夹或组织。政策分析器将分析该项目、文件夹或组织的访问权限，以及该项目、文件夹或组织中的任何资源。

4. 确保设置了查询参数：

   • 如果您使用的是查询模板，请确认预先填充的查询参数。
   • 如果您要创建自定义查询，请设置要查询的资源、正文、角色和权限。

   如需详细了解您可以创建的查询类型，请参阅分析 IAM 政策。

5. 在标有查询名称的窗格中，依次点击分析 > 仅导出结果。系统随即会打开导出结果窗格。

6. 在设置导出目标位置部分，输入以下信息：

   • 项目：BigQuery 数据集所在的项目。
   • 数据集：您要将结果导出到的 BigQuery 数据集。
   • 表：要将分析结果写入到的 BigQuery 表的前缀。如果不存在具有指定前缀的表，BigQuery 会创建一个新表。

7. 点击继续。

8. 可选：在配置其他设置部分，选择所需的选项：

   • 分区：是否对表进行分区。如需详细了解分区表，请参阅分区表简介。
   • 写入偏好设置：指定目标表或分区已存在时执行的操作。默认情况下，如果表或分区已存在，BigQuery 会将数据附加到表或最新分区。

9. 点击导出。

政策分析器会运行您的查询，并将结果导出到指定表。

gcloud

使用 AnalyzeIamPolicyLongrunning 方法，您可以发出分析请求，并在指定的 BigQuery 目标中获取结果。

在使用下面的命令数据之前，请先进行以下替换：

• RESOURCE_TYPE：您要将搜索范围限定为的资源类型。系统只会分析附加在此资源及其后代资源的 IAM 允许政策。使用值 project、folder 或 organization。
• RESOURCE_ID：要将搜索范围限定为的 Google Cloud 项目、文件夹或组织的 ID。系统只会分析附加在此资源及其后代资源的 IAM 允许政策。项目 ID 是字母数字字符串，例如 my-project。文件夹和组织 ID 是数字，例如 123456789012。
• PRINCIPAL：您要分析其访问权限的主账号，格式为 PRINCIPAL_TYPE:ID，例如 user:my-user@example.com。如需查看主账号类型的完整列表，请参阅主账号标识符。
• PERMISSIONS：您要检查的权限的逗号分隔列表，例如 compute.instances.get,compute.instances.start。如果您列出了多项权限，政策分析器会检查所列的任何权限。
• DATASET：BigQuery 数据集，格式为 projects/PROJECT_ID/datasets/DATASET_ID，其中 PROJECT_ID 是 Google Cloud 项目的字母数字 ID，DATASET_ID 是数据集的 ID。
• TABLE_PREFIX：将写入分析结果的 BigQuery 表的前缀。如果不存在具有指定前缀的表，BigQuery 会创建一个新表。
• PARTITION_KEY：可选。BigQuery 分区表的分区键。政策分析器仅支持 REQUEST_TIME 分区键。
• WRITE_DISPOSITION：可选。指定目标表或分区已存在时执行的操作。如需查看可能值的列表，请参阅 writeDisposition。默认情况下，如果表或分区已存在，BigQuery 会将数据附加到该表或最新的分区。

执行 gcloud asset analyze-iam-policy-longrunning 命令：

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS' \
    --bigquery-dataset=DATASET \
    --bigquery-table-prefix=TABLE_PREFIX \
    --bigquery-partition-key=PARTITION_KEY \
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS' `
    --bigquery-dataset=DATASET `
    --bigquery-table-prefix=TABLE_PREFIX `
    --bigquery-partition-key=PARTITION_KEY `
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS' ^
    --bigquery-dataset=DATASET ^
    --bigquery-table-prefix=TABLE_PREFIX ^
    --bigquery-partition-key=PARTITION_KEY ^
    --bigquery-write-disposition=WRITE_DISPOSITION

您应该会收到类似如下所示的响应：

Analyze IAM Policy in progress.
Use [gcloud asset operations describe projects/my-project/operations/AnalyzeIamPolicyLongrunning/1195028485971902504711950280359719028666] to check the status of the operation.

REST

使用 AnalyzeIamPolicyLongrunning 方法，您可以发出分析请求，并在指定的 BigQuery 目标中获取结果。

如需分析 IAM 允许政策并将结果导出到 BigQuery，请使用 Cloud Asset Inventory API 的 analyzeIamPolicyLongrunning 方法。

在使用任何请求数据之前，请先进行以下替换：

• RESOURCE_TYPE：您要将搜索范围限定为的资源类型。系统只会分析附加在此资源及其后代资源的 IAM 允许政策。使用值 projects、folders 或 organizations。
• RESOURCE_ID：要将搜索范围限定为的 Google Cloud 项目、文件夹或组织的 ID。系统只会分析附加在此资源及其后代资源的 IAM 允许政策。项目 ID 是字母数字字符串，例如 my-project。文件夹和组织 ID 是数字，例如 123456789012。
• FULL_RESOURCE_NAME：可选。要分析其访问权限的资源的完整资源名称。如需完整的资源名称格式列表，请参阅资源名称格式。
• PRINCIPAL：可选。 您要分析其访问权限的主账号，格式为 PRINCIPAL_TYPE:ID，例如 user:my-user@example.com。如需查看主账号类型的完整列表，请参阅主账号标识符。
• PERMISSION_1、PERMISSION_2... PERMISSION_N：可选。您要检查的权限，例如 compute.instances.get。如果您列出了多个权限，政策分析器会检查列出的任何权限。
• DATASET：BigQuery 数据集，格式为 projects/PROJECT_ID/datasets/DATASET_ID，其中 PROJECT_ID 是 Google Cloud 项目的字母数字 ID，DATASET_ID 是数据集的 ID。
• TABLE_PREFIX：将写入分析结果的 BigQuery 表的前缀。如果不存在具有指定前缀的表，BigQuery 会创建一个新表。
• PARTITION_KEY：可选。BigQuery 分区表的分区键。政策分析器仅支持 REQUEST_TIME 分区键。
• WRITE_DISPOSITION：可选。指定目标表或分区已存在时执行的操作。如需查看可能值的列表，请参阅 writeDisposition。默认情况下，如果表或分区已存在，BigQuery 会将数据附加到该表或最新的分区。

HTTP 方法和网址：

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning

请求 JSON 正文：

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  },
  "outputConfig": {
    "bigqueryDestination": {
      "dataset": "DATASET",
      "tablePrefix": "TABLE_PREFIX",
      "partitionKey": "PARTITION_KEY",
      "writeDisposition": "WRITE_DISPOSITION"
    }
  }
}

如需发送您的请求，请展开以下选项之一：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning" | Select-Object -Expand Content

您应该收到类似以下内容的 JSON 响应：

{
  "name": "projects/my-project/operations/AnalyzeIamPolicyLongrunning/1206385342502762515812063858425027606003",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.asset.v1.AnalyzeIamPolicyLongrunningMetadata",
    "createTime": "2022-04-12T21:31:10.753173929Z"
  }
}

1. 在 Google Cloud 控制台中，转到 BigQuery 页面。

   前往 BigQuery

2. 要显示数据集中的表和视图，请打开导航面板。在浏览器部分，选择项目以将其展开，然后选择数据集。

3. 从列表中选择具有您前缀的表。带有 analysis 后缀的表包含查询和元数据（例如操作名称、请求时间和非严重错误）。带有 analysis_result 后缀的表是 {identity, role(s)/permission(s), resource} 的结果列表元组以及生成这些元组的 IAM 政策。

4. 如需查看一组数据示例，请选择预览标签页。

API

如需浏览表的数据，请调用 tabledata.list。在 tableId 参数中，指定表的名称。

您可以配置以下可选参数来控制输出。

• maxResults 是要返回的结果数上限。
• selectedFields 是要返回的列的逗号分隔列表；如果未指定此参数，则会返回所有列。
• startIndex 是要读取的起始行的索引（从零开始）。

返回的值会封装在一个 JSON 对象中，您必须对此对象进行解析，具体请参阅 tabledata.list 参考文档。