將政策分析結果寫入 BigQuery

1. 前往 Google Cloud 控制台的「政策分析器」頁面。

   前往 Policy Analyzer

2. 在「分析政策」部分中，找出要使用的查詢範本，然後按一下「建立查詢」。如要建立自訂查詢，請按一下「建立自訂查詢」。

3. 在「選取查詢範圍」欄位中，選取要將查詢範圍限定在其中的專案、資料夾或機構。Policy Analyzer 會分析該專案、資料夾或機構的存取權，以及該專案、資料夾或機構中的任何資源。

4. 確認已設定查詢參數：

   • 如果您使用查詢範本，請確認預先填寫的查詢參數。
   • 如要建立自訂查詢，請設定要查詢的資源、主體、角色和權限。

   如要進一步瞭解可建立的查詢類型，請參閱「分析 IAM 政策」。

5. 在標示查詢名稱的窗格中，依序點選「分析」> 僅匯出結果。「匯出結果」窗格隨即開啟。

6. 在「設定匯出目的地」部分，輸入下列資訊：

   • 專案：BigQuery 資料集所在的專案。
   • 資料集：要將結果匯出至其中的 BigQuery 資料集。
   • 表格：分析結果將寫入的 BigQuery 資料表前置字串。如果沒有指定前置字串的資料表，BigQuery 會建立新資料表。

7. 按一下「繼續」。

8. 選用：在「設定其他設定」部分，選取所需選項：

   • 分區：是否要將資料表分區。如要進一步瞭解分區資料表，請參閱分區資料表簡介。
   • 寫入偏好設定：指定目的地資料表或分區已存在時要執行的動作。根據預設，如果資料表或分區已存在，BigQuery 會將資料附加至資料表或最新分區。

9. 按一下 [匯出]。

政策分析工具會執行查詢，並將結果匯出至指定資料表。

gcloud

您可以使用 AnalyzeIamPolicyLongrunning 方法發出分析要求，並在指定的 BigQuery 目的地取得結果。

使用下方的任何指令資料之前，請先替換以下項目：

• RESOURCE_TYPE：您要將搜尋範圍限定在的資源類型。系統只會分析附加至這項資源及其後代的 IAM 允許政策。請使用 project、folder 或 organization 值。
• RESOURCE_ID：要將搜尋範圍限定於其中的Google Cloud 專案、資料夾或機構的 ID。系統只會分析附加至這項資源及其後代的 IAM 允許政策。專案 ID 是英數字元字串，例如 my-project。資料夾和機構 ID 為數字，例如 123456789012。
• PRINCIPAL：您要分析存取權的主體，格式為 PRINCIPAL_TYPE:ID，例如 user:my-user@example.com。如需主體類型的完整清單，請參閱「主體 ID」。
• PERMISSIONS：以半形逗號分隔的權限清單，列出您要檢查的權限，例如 compute.instances.get,compute.instances.start。如果您列出多項權限，政策分析工具會檢查是否列出任何權限。
• DATASET：BigQuery 資料集，格式為 projects/PROJECT_ID/datasets/DATASET_ID，其中 PROJECT_ID 是專案的英數 ID， Google Cloud 是資料集的 ID。DATASET_ID
• TABLE_PREFIX：要寫入分析結果的 BigQuery 資料表前置字元。如果沒有指定前置字串的資料表，BigQuery 會建立新資料表。
• PARTITION_KEY：選用。BigQuery 分區資料表的分區鍵。Policy Analyzer 僅支援 REQUEST_TIME 分區鍵。
• WRITE_DISPOSITION：選用。指定目的地資料表或分區已存在時的動作。如需可能值的清單，請參閱 writeDisposition。根據預設，如果資料表或分區已存在，BigQuery 會將資料附加至資料表或最新分區。

執行 gcloud asset analyze-iam-policy-longrunning 指令：

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS' \
    --bigquery-dataset=DATASET \
    --bigquery-table-prefix=TABLE_PREFIX \
    --bigquery-partition-key=PARTITION_KEY \
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS' `
    --bigquery-dataset=DATASET `
    --bigquery-table-prefix=TABLE_PREFIX `
    --bigquery-partition-key=PARTITION_KEY `
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS' ^
    --bigquery-dataset=DATASET ^
    --bigquery-table-prefix=TABLE_PREFIX ^
    --bigquery-partition-key=PARTITION_KEY ^
    --bigquery-write-disposition=WRITE_DISPOSITION

您應該會收到類似以下的回應：

Analyze IAM Policy in progress.
Use [gcloud asset operations describe projects/my-project/operations/AnalyzeIamPolicyLongrunning/1195028485971902504711950280359719028666] to check the status of the operation.

REST

您可以使用 AnalyzeIamPolicyLongrunning 方法發出分析要求，並在指定的 BigQuery 目的地取得結果。

如要分析 IAM 允許政策並將結果匯出至 BigQuery，請使用 Cloud Asset Inventory API 的 analyzeIamPolicyLongrunning 方法。

使用任何要求資料之前，請先替換以下項目：

• RESOURCE_TYPE：您要將搜尋範圍限定在的資源類型。系統只會分析附加至這項資源及其後代的 IAM 允許政策。請使用 projects、folders 或 organizations 值。
• RESOURCE_ID：要將搜尋範圍限定於其中的Google Cloud 專案、資料夾或機構的 ID。系統只會分析附加至這項資源及其後代的 IAM 允許政策。專案 ID 是英數字元字串，例如 my-project。資料夾和機構 ID 為數字，例如 123456789012。
• FULL_RESOURCE_NAME：選用。您要分析存取權的資源完整資源名稱。如需完整資源名稱格式清單，請參閱「資源名稱格式」。
• PRINCIPAL：選用。 要分析存取權的主體，格式為 PRINCIPAL_TYPE:ID，例如 user:my-user@example.com。如需主體類型的完整清單，請參閱「主體 ID」。
• PERMISSION_1、 PERMISSION_2... PERMISSION_N：選用。您要檢查的權限，例如 compute.instances.get。如果您列出多項權限，政策分析工具會檢查是否列出任何權限。
• DATASET：BigQuery 資料集，格式為 projects/PROJECT_ID/datasets/DATASET_ID，其中 PROJECT_ID 是專案的英數 ID， Google Cloud DATASET_ID 是資料集的 ID。
• TABLE_PREFIX：要寫入分析結果的 BigQuery 資料表前置字元。如果沒有指定前置字串的資料表，BigQuery 會建立新資料表。
• PARTITION_KEY：選用。BigQuery 分區資料表的分區鍵。Policy Analyzer 僅支援 REQUEST_TIME 分區鍵。
• WRITE_DISPOSITION：選用。指定目的地資料表或分區已存在時的動作。如需可能值的清單，請參閱 writeDisposition。根據預設，如果資料表或分區已存在，BigQuery 會將資料附加至資料表或最新分區。

HTTP 方法和網址：

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning

JSON 要求主體：

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  },
  "outputConfig": {
    "bigqueryDestination": {
      "dataset": "DATASET",
      "tablePrefix": "TABLE_PREFIX",
      "partitionKey": "PARTITION_KEY",
      "writeDisposition": "WRITE_DISPOSITION"
    }
  }
}

如要傳送要求，請展開以下其中一個選項：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning" | Select-Object -Expand Content

您應該會收到如下的 JSON 回應：

{
  "name": "projects/my-project/operations/AnalyzeIamPolicyLongrunning/1206385342502762515812063858425027606003",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.asset.v1.AnalyzeIamPolicyLongrunningMetadata",
    "createTime": "2022-04-12T21:31:10.753173929Z"
  }
}

1. 前往 Google Cloud 控制台的「BigQuery」頁面。

   前往 BigQuery

2. 如要顯示資料集中的資料表和檢視表，請開啟導覽面板。 在「Explorer」部分中，選取專案並展開，然後選取資料集。

3. 從清單中選取含有前置字元的資料表。含有 analysis 後置字串的資料表包含查詢和中繼資料 (例如作業名稱、要求時間和非重大錯誤)。帶有 analysis_result 後置字串的資料表會列出 {identity, role(s)/permission(s), resource} 的元組，以及產生這些元組的 IAM 政策。

4. 如要查看資料樣本，請選取「預覽」分頁標籤。

API

如要瀏覽資料表中的資料，請呼叫 tabledata.list。在 tableId 參數中指定資料表名稱。

您可以設定下列選用參數來控管輸出。

• maxResults 是要傳回的結果數上限。
• selectedFields 是以逗號分隔的資料欄清單，如果未指定，則會傳回所有資料欄。
• startIndex 是讀取的起始列，索引從零開始。

傳回的值會以 JSON 物件包裝，而您必須剖析這個物件，如 tabledata.list 參考說明文件所述。