Analiza las políticas de permisos

Console

1. En la consola de Google Cloud , ve a la página Analizador de políticas.

   Ir a la página de Analizador de políticas

2. En la sección Analiza las políticas, busca el panel etiquetado como Consulta personalizada y haz clic en Crear consulta personalizada en ese panel.

3. En el campo Seleccionar el alcance de la consulta, selecciona el proyecto, la carpeta o la organización a los que deseas limitar el alcance de la consulta. El Analizador de políticas analizará el acceso a ese proyecto, carpeta u organización, así como cualquier recurso dentro de ese proyecto, organización o carpeta.

4. Elige el recurso que deseas verificar y la función o el permiso que deseas verificar:

   1. En el campo Parámetro 1, selecciona Recurso en el menú desplegable.
   2. En el campo Recurso, ingresa el nombre completo del recurso del que deseas analizar el acceso. Si no conoces el nombre completo del recurso, comienza a escribir su nombre visible y, luego, selecciónalo en la lista de recursos proporcionados.
   3. Haz clic en add Agregar selector.
   4. En el campo Parámetro 2, selecciona Función o Permiso.
   5. En el campo Selecciona una función o Selecciona un permiso, selecciona la función o el permiso que deseas verificar.
   6. Opcional: Para comprobar las funciones y los permisos adicionales, continúa agregando selectores de Función y Permiso hasta que aparezcan todas las funciones y los permisos que deseas verificar.

5. Opcional: Haz clic en Continuar y, luego, selecciona las opciones avanzadas que deseas habilitar para esta consulta.

6. En el panel Consulta personalizada, haz clic en Analizar > Ejecutar consulta. La página de informes muestra los parámetros de búsqueda que ingresaste y una tabla de resultados de todas las principales con las funciones o permisos especificados en el recurso especificado.

   Las consultas de análisis de políticas en la consola de Google Cloud se ejecutan durante un máximo de un minuto. Después de un minuto, la consola Google Cloud detiene la consulta y muestra todos los resultados disponibles. Si la consulta no finalizó en ese tiempo, la consola de Google Cloud muestra un banner que indica que los resultados están incompletos. Para obtener más resultados para estas búsquedas, exporta los resultados a BigQuery.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor project, folder o organization.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas limitar tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• FULL_RESOURCE_NAME: Es el nombre completo del recurso para el que deseas analizar el acceso. Para obtener una lista de los formatos de nombres de recursos completos, consulta Formato de nombre de recurso.
• PERMISSIONS: Es una lista separada por comas de los permisos que deseas verificar, por ejemplo, compute.instances.get,compute.instances.start. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.

Ejecuta el comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS'

Recibirás una respuesta en formato YAML con los resultados del análisis. Cada resultado del análisis enumera un conjunto de accesos, identidades y recursos que son relevantes para tu consulta, seguido de la vinculación del rol de IAM relacionado. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado es CONDITIONAL.

Las principales que tienen cualquiera de los permisos especificados en el recurso especificado se enumeran en los campos identities de la respuesta. En el siguiente ejemplo, se muestra un solo resultado del análisis con el campo identities destacado.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyze-iam-policy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

REST

Para determinar qué principales tienen ciertos permisos en un recurso, usa el método analyzeIamPolicy de la API de Cloud Asset Inventory.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor projects, folders o organizations.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas limitar tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• FULL_RESOURCE_NAME: Es el nombre completo del recurso para el que deseas analizar el acceso. Para obtener una lista de los formatos de nombres de recursos completos, consulta Formato de nombre de recurso.
• PERMISSION_1, PERMISSION_2… PERMISSION_N: Son los permisos que deseas verificar, por ejemplo, compute.instances.get. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.

Método HTTP y URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Cuerpo JSON de la solicitud:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Recibirás una respuesta JSON con los resultados del análisis. Cada resultado del análisis describe una vinculación de rol de IAM pertinente y, luego, enumera el recurso, los accesos y las principales en esa vinculación. Si la vinculación del rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado se muestra como CONDITIONAL.

Las principales que tienen cualquiera de los permisos especificados en el recurso especificado se enumeran en los campos identities de la respuesta. En el siguiente ejemplo, se muestra un solo resultado del análisis con el campo identities destacado.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyzeIamPolicy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

Console

1. En la consola de Google Cloud , ve a la página Analizador de políticas.

   Ir a la página de Analizador de políticas

2. En la sección Analiza las políticas, busca el panel etiquetado como Consulta personalizada y haz clic en Crear consulta personalizada en ese panel.

3. En el campo Seleccionar el alcance de la consulta, selecciona el proyecto, la carpeta o la organización a los que deseas limitar el alcance de la consulta. El Analizador de políticas analizará el acceso a ese proyecto, carpeta u organización, así como cualquier recurso dentro de ese proyecto, organización o carpeta.

4. En el campo Parámetro 1, selecciona Función o Permiso.

5. En el campo Selecciona una función o Selecciona un permiso, selecciona la función o el permiso que deseas verificar.

6. Opcional: Para verificar las funciones y los permisos adicionales, haz lo siguiente:

   1. Haz clic en add Agregar selector.
   2. En el campo Parámetro 2, selecciona Función o Permiso.
   3. En el campo Selecciona una función o Selecciona un permiso, selecciona la función o el permiso que deseas verificar.
   4. Sigue agregando selectores de Función y Permiso hasta que se muestren todas las funciones y los permisos que deseas verificar.

7. Opcional: Haz clic en Continuar y, luego, selecciona las opciones avanzadas que deseas habilitar para esta consulta.

8. En el panel Consulta personalizada, haz clic en Analizar > Ejecutar consulta. En la página de informes, se muestran los parámetros de búsqueda que ingresaste y una tabla de resultados de todas las principales con las funciones o permisos especificados en cualquier recurso dentro del alcance.

   Las consultas de análisis de políticas en la consola de Google Cloud se ejecutan durante un máximo de un minuto. Después de un minuto, la consola Google Cloud detiene la consulta y muestra todos los resultados disponibles. Si la consulta no finalizó en ese tiempo, la consola de Google Cloud muestra un banner que indica que los resultados están incompletos. Para obtener más resultados para estas búsquedas, exporta los resultados a BigQuery.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor project, folder o organization.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas limitar tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• ROLES: Es una lista separada por comas de los roles que deseas verificar, por ejemplo, roles/compute.admin,roles/compute.imageUser. Si enumeras varios roles, el Analizador de políticas verificará cualquiera de los roles enumerados.
• PERMISSIONS: Es una lista separada por comas de los permisos que deseas verificar, por ejemplo, compute.instances.get,compute.instances.start. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.

Ejecuta el comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --roles='ROLES' \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --roles='ROLES' `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --roles='ROLES' ^
    --permissions='PERMISSIONS'

Recibirás una respuesta JSON con los resultados del análisis. Cada resultado del análisis describe una vinculación de rol de IAM pertinente y, luego, enumera el recurso, los accesos y las principales en esa vinculación. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado se muestra como CONDITIONAL.

Las principales que tienen cualquiera de los roles o permisos especificados se enumeran en los campos identities de la respuesta. En el siguiente ejemplo, se muestra un solo resultado del análisis con el campo identities destacado.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  - role: roles/compute.admin
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyze-iam-policy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

REST

Para determinar qué principales tienen ciertos roles o permisos, usa el método analyzeIamPolicy de la API de Cloud Asset Inventory.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor projects, folders o organizations.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas definir el alcance de tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• ROLE_1, ROLE_2… ROLE_N: Roles que deseas verificar, por ejemplo, roles/compute.admin. Si enumeras varios roles, el Analizador de políticas verificará cualquiera de los roles enumerados.
• PERMISSION_1, PERMISSION_2… PERMISSION_N: Son los permisos que deseas verificar, por ejemplo, compute.instances.get. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.

Método HTTP y URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Cuerpo JSON de la solicitud:

{
  "analysisQuery": {
    "accessSelector": {
      "roles": [
        "ROLE_1",
        "ROLE_2",
        "ROLE_N"
      ],
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Recibirás una respuesta JSON con los resultados del análisis. Cada resultado del análisis describe una vinculación de rol de IAM pertinente y, luego, enumera el recurso, los accesos y las principales en esa vinculación. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado se muestra como CONDITIONAL.

Las principales que tienen cualquiera de los roles o permisos especificados se enumeran en los campos identities de la respuesta. En el siguiente ejemplo, se muestra un solo resultado del análisis con el campo identities destacado.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "role": "roles/compute.admin"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyzeIamPolicy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

Console

1. En la consola de Google Cloud , ve a la página Analizador de políticas.

   Ir a la página de Analizador de políticas

2. En la sección Analiza las políticas, busca el panel etiquetado como Consulta personalizada y haz clic en Crear consulta personalizada en ese panel.

3. En el campo Seleccionar el alcance de la consulta, selecciona el proyecto, la carpeta o la organización a los que deseas limitar el alcance de la consulta. El Analizador de políticas analizará el acceso a ese proyecto, carpeta u organización, así como cualquier recurso dentro de ese proyecto, organización o carpeta.

4. Elige el recurso y la principal que deseas verificar:

   1. En el campo Parámetro 1, selecciona Recurso en el menú desplegable.
   2. En el campo Recurso, ingresa el nombre completo del recurso del que deseas analizar el acceso. Si no conoces el nombre completo del recurso, comienza a escribir su nombre visible y, luego, selecciónalo en la lista de recursos proporcionados.
   3. Haz clic en add Agregar selector.
   4. En el campo Parámetro 2, selecciona Principal en el menú desplegable.
   5. En el campo Principal, comienza a escribir el nombre de un usuario, una cuenta de servicio o un grupo. Luego, en la lista de principales que se proporciona, selecciona el usuario, la cuenta de servicio o el grupo cuyo acceso deseas analizar.

5. Opcional: Haz clic en Continuar y, luego, selecciona las opciones avanzadas que deseas habilitar para esta consulta.

6. En el panel Consulta personalizada, haz clic en Analizar > Ejecutar consulta. La página de informes muestra los parámetros de búsqueda que ingresaste y una tabla de resultados de todas las funciones que la principal especificada tiene en el recurso especificado.

   Las consultas de análisis de políticas en la consola de Google Cloud se ejecutan durante un máximo de un minuto. Después de un minuto, la consola Google Cloud detiene la consulta y muestra todos los resultados disponibles. Si la consulta no finalizó en ese tiempo, la consola de Google Cloud muestra un banner que indica que los resultados están incompletos. Para obtener más resultados para estas búsquedas, exporta los resultados a BigQuery.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor project, folder o organization.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas definir el alcance de tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• FULL_RESOURCE_NAME: Es el nombre completo del recurso para el que deseas analizar el acceso. Para obtener una lista de los formatos de nombres de recursos completos, consulta Formato de nombre de recurso.
• PRINCIPAL: Es la principal cuyo acceso deseas analizar, con el formato PRINCIPAL_TYPE:ID, por ejemplo, user:my-user@example.com. Para obtener una lista completa de los tipos de principal, consulta Identificadores de principal.

Ejecuta el comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL

Recibirás una respuesta en formato YAML con los resultados del análisis. Cada resultado del análisis enumera un conjunto de accesos, identidades y recursos que son relevantes para tu consulta, seguido de la vinculación del rol de IAM relacionado. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado es CONDITIONAL.

Los roles que tiene el principal en el recurso especificado se enumeran en los campos accesses de la respuesta. En el siguiente ejemplo, se muestra un solo resultado del análisis con el campo accesses destacado.

...
---
ACLs:
- accesses:
  - roles/iam.serviceAccountUser
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/iam.serviceAccountUser
---
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyze-iam-policy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

REST

Para determinar qué acceso tiene un principal en un recurso, usa el método analyzeIamPolicy de la API de Cloud Asset Inventory.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor projects, folders o organizations.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas limitar tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• FULL_RESOURCE_NAME: Es el nombre completo del recurso para el que deseas analizar el acceso. Para obtener una lista de los formatos de nombres de recursos completos, consulta Formato de nombre de recurso.
• PRINCIPAL: Es la principal cuyo acceso deseas analizar, con el formato PRINCIPAL_TYPE:ID, por ejemplo, user:my-user@example.com. Para obtener una lista completa de los tipos de principal, consulta Identificadores de principal.

Método HTTP y URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Cuerpo JSON de la solicitud:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Recibirás una respuesta JSON con los resultados del análisis. Cada resultado del análisis describe una vinculación de rol de IAM pertinente y, luego, enumera el recurso, los accesos y las principales en esa vinculación. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado se muestra como CONDITIONAL.

Los roles que tiene el principal en el recurso especificado se enumeran en los campos accesses de la respuesta. En el siguiente ejemplo, se muestra un solo resultado del análisis con el campo accesses destacado.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/iam.serviceAccountUser",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "roles": "iam.serviceAccountUser"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyzeIamPolicy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

Console

1. En la consola de Google Cloud , ve a la página Analizador de políticas.

   Ir a la página de Analizador de políticas

2. En la sección Analiza las políticas, busca el panel etiquetado como Consulta personalizada y haz clic en Crear consulta personalizada en ese panel.

3. En el campo Seleccionar el alcance de la consulta, selecciona el proyecto, la carpeta o la organización a los que deseas limitar el alcance de la consulta. El Analizador de políticas analizará el acceso a ese proyecto, carpeta u organización, así como cualquier recurso dentro de ese proyecto, organización o carpeta.

4. Elige la principal que deseas verificar y la función o el permiso que deseas comprobar:

   1. En el campo Parámetro 1, selecciona Principal en el menú desplegable.
   2. En el campo Principal, comienza a escribir el nombre de un usuario, una cuenta de servicio o un grupo. Luego, en la lista de principales que se proporciona, selecciona el usuario, la cuenta de servicio o el grupo cuyo acceso deseas analizar.
   3. Haz clic en add Agregar selector.
   4. En el campo Parámetro 2, selecciona Función o Permiso.
   5. En el campo Selecciona una función o Selecciona un permiso, selecciona la función o el permiso que deseas verificar.
   6. Opcional: Para comprobar las funciones y los permisos adicionales, continúa agregando selectores de Función y Permiso hasta que aparezcan todas las funciones y los permisos que deseas verificar.

5. Opcional: Haz clic en Continuar y, luego, selecciona las opciones avanzadas que deseas habilitar para esta consulta.

6. En el panel Consulta personalizada, haz clic en Analizar > Ejecutar consulta. La página de informes muestra los parámetros de búsqueda que ingresaste y una tabla de resultados de todos los recursos en los que la principal especificada tiene las funciones o los permisos indicados.

   Las consultas de análisis de políticas en la consola de Google Cloud se ejecutan durante un máximo de un minuto. Después de un minuto, la consola Google Cloud detiene la consulta y muestra todos los resultados disponibles. Si la consulta no finalizó en ese tiempo, la consola de Google Cloud muestra un banner que indica que los resultados están incompletos. Para obtener más resultados para estas búsquedas, exporta los resultados a BigQuery.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor project, folder o organization.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas definir el alcance de tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• PRINCIPAL: Es la principal cuyo acceso deseas analizar, con el formato PRINCIPAL_TYPE:ID, por ejemplo, user:my-user@example.com. Para obtener una lista completa de los tipos de principal, consulta Identificadores de principal.
• PERMISSIONS: Es una lista separada por comas de los permisos que deseas verificar, por ejemplo, compute.instances.get,compute.instances.start. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.

Ejecuta el comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS'

Recibirás una respuesta en formato YAML con los resultados del análisis. Cada resultado del análisis enumera un conjunto de accesos, identidades y recursos que son relevantes para tu consulta, seguido de la vinculación del rol de IAM relacionado. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado es CONDITIONAL.

Los recursos en los que el principal especificado tiene cualquiera de los permisos especificados se enumeran en los campos resources de la respuesta. En el siguiente ejemplo, se muestra un solo resultado del análisis con el campo resources destacado.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //compute.googleapis.com/projects/my-project/global/images/my-image
policy:
  attachedResource: //compute.googleapis.com/projects/my-project/global/images/my-image
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyze-iam-policy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

REST

Para determinar a qué recursos puede acceder una principal, usa el método analyzeIamPolicy de la API de Cloud Asset Inventory.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor projects, folders o organizations.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas definir el alcance de tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• PRINCIPAL: Es la principal cuyo acceso deseas analizar, con el formato PRINCIPAL_TYPE:ID, por ejemplo, user:my-user@example.com. Para obtener una lista completa de los tipos de principal, consulta Identificadores de principal.
• PERMISSION_1, PERMISSION_2… PERMISSION_N: Son los permisos que deseas verificar, por ejemplo, compute.instances.get. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.

Método HTTP y URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Cuerpo JSON de la solicitud:

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Recibirás una respuesta JSON con los resultados del análisis. Cada resultado del análisis describe una vinculación de rol de IAM pertinente y, luego, enumera el recurso, los accesos y las principales en esa vinculación. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado se muestra como CONDITIONAL.

Los recursos sobre los que el principal especificado tiene cualquiera de los permisos especificados se enumeran en los campos resources de la respuesta. En el siguiente ejemplo, se muestra un solo resultado del análisis con el campo resources destacado.

...
{
  "attachedResourceFullName": "//compute.googleapis.com/projects/my-project/global/images/my-image",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//compute.googleapis.com/projects/my-project/global/images/my-image"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyzeIamPolicy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

gcloud

Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor project, folder o organization.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas limitar tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• PERMISSIONS: Opcional. Es una lista separada por comas de los permisos que deseas verificar, por ejemplo, compute.instances.get,compute.instances.start. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.
• FULL_RESOURCE_NAME: Opcional Es el nombre completo del recurso del que deseas analizar el acceso. Para obtener una lista de los formatos de nombres de recursos completos, consulta Formato de nombre de recurso.
• PERMISSIONS: Opcional. Es una lista separada por comas de los permisos que deseas verificar, por ejemplo, compute.instances.get,compute.instances.start. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.
• ACCESS_TIME: Es la fecha y hora que deseas verificar. Esta hora debe ser posterior a la actual. Usa una marca de tiempo en formato RFC 3339, por ejemplo, 2099-02-01T00:00:00Z.

Ejecuta el comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS' \
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS' `
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS' ^
    --access-time=ACCESS_TIME

Recibirás una respuesta en formato YAML con los resultados del análisis. Cada resultado del análisis enumera un conjunto de accesos, identidades y recursos que son relevantes para tu consulta, seguido de la vinculación del rol de IAM relacionado. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado es CONDITIONAL.

Cuando incluyes la hora de acceso en la solicitud, el Analizador de políticas puede evaluar las condiciones de fecha y hora. Si la condición se evalúa como falsa, ese rol no se incluye en la respuesta. Si la condición se evalúa como verdadera, el resultado de la evaluación de la condición se muestra como TRUE.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  conditionEvaluationValue: 'TRUE'
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    condition:
      expression: request.time.getHours("America/Los_Angeles") >= 5
      title: No access before 5am PST
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyze-iam-policy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

REST

Para determinar qué principales tendrán ciertos permisos en un recurso en un momento específico, usa el método analyzeIamPolicy de la API de Cloud Asset Inventory.

Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:

• RESOURCE_TYPE: Es el tipo de recurso en el que deseas limitar tu búsqueda. Solo se analizarán las políticas de permisos de IAM adjuntas a este recurso y a sus descendientes. Usa el valor projects, folders o organizations.
• RESOURCE_ID: Es el ID delGoogle Cloud proyecto, la carpeta o la organización en los que deseas limitar tu búsqueda. Solo se analizarán las políticas de IAM de permisos adjuntas a este recurso y a sus descendientes. Los IDs de proyecto son cadenas alfanuméricas, como my-project. Los IDs de carpeta y organización son numéricos, como 123456789012.
• PERMISSION_1, PERMISSION_2… PERMISSION_N: Opcional. Son los permisos que deseas verificar, por ejemplo, compute.instances.get. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.
• FULL_RESOURCE_NAME: Opcional Es el nombre completo del recurso del que deseas analizar el acceso. Para obtener una lista de los formatos de nombres de recursos completos, consulta Formato de nombre de recurso.
• PERMISSION_1, PERMISSION_2… PERMISSION_N: Opcional. Son los permisos que deseas verificar, por ejemplo, compute.instances.get. Si enumeras varios permisos, el Analizador de políticas verificará si se otorga alguno de ellos.
• ACCESS_TIME: Es la fecha y hora que deseas verificar. Esta hora debe ser posterior a la actual. Usa una marca de tiempo en formato RFC 3339, por ejemplo, 2099-02-01T00:00:00Z.

Método HTTP y URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Cuerpo JSON de la solicitud:

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    },
    "conditionContext": {
      "accessTime": "ACCESS_TIME"
    }
  }
}

Para enviar tu solicitud, expande una de estas opciones:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Recibirás una respuesta JSON con los resultados del análisis. Cada resultado del análisis describe una vinculación de rol de IAM pertinente y, luego, enumera el recurso, los accesos y las principales en esa vinculación. Si la vinculación de rol es condicional, el resultado del análisis también incluye el resultado de la evaluación de la condición. Si no se pudo evaluar la condición, el resultado se muestra como CONDITIONAL.

Cuando incluyes la hora de acceso en la solicitud, el Analizador de políticas puede evaluar las condiciones de fecha y hora. Si la condición se evalúa como falsa, ese rol no se incluye en la respuesta. Si la condición se evalúa como verdadera, el valor de evaluación de la condición en la respuesta del análisis es TRUE.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ],
    "condition": {
      "expression": "request.time.getHours(\"America/Los_Angeles\") \u003e= 5",
      "title": "No access before 5am PST"
    }
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ],
      "conditionEvaluation": {
        "evaluationValue": "TRUE"
      }
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la solicitud agota el tiempo de espera antes de que finalice la consulta, recibirás un error DEADLINE_EXCEEDED. Para obtener más resultados para estas consultas, escribe los resultados en BigQuery o Cloud Storage con la versión de larga duración de analyzeIamPolicy. Para obtener instrucciones, consulta Escribe análisis de políticas en BigQuery o Escribe análisis de políticas en Cloud Storage.

Console

gcloud

En esta sección, se describen varias marcas comunes que puedes agregar cuando usas gcloud CLI para analizar las políticas de permisos. Para obtener una lista completa de las opciones, consulta Marcas opcionales.

REST

Para habilitar cualquier opción, primero agrega un campo options a tu consulta de análisis. Por ejemplo:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
    },
    "accessSelector": {
      "permissions": [
        "iam.roles.get",
        "iam.roles.list"
      ]
   },
   "options": {
     OPTIONS
   }
  }
}

Reemplaza OPTIONS por las opciones que deseas habilitar, en el formato "OPTION": true. En la siguiente tabla, se describen las opciones disponibles: