Analyser les stratégies d'autorisation

Console

1. Dans la console Google Cloud, accédez à la page Analyseur de règles.

   Accéder à la page "Analyse des stratégies"

2. Dans la section Analyser les règles, recherchez le volet intitulé Requête personnalisée, puis cliquez sur Créer une requête personnalisée dans ce volet.

3. Dans le champ Sélectionner le champ d'application de la requête, sélectionnez le projet, le dossier ou l'organisation auquel vous souhaitez appliquer la requête. Policy Analyzer analyse l'accès pour ce projet, ce dossier ou cette organisation, ainsi que toutes les ressources de ce projet, ce dossier ou cette organisation.

4. Choisissez la ressource à vérifier, ainsi que le rôle ou l'autorisation à vérifier :

   1. Dans le champ Paramètre  1, sélectionnez Ressource dans le menu déroulant.
   2. Dans le champ Ressource, saisissez le nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Si vous ne connaissez pas le nom complet de la ressource, commencez à saisir le nom à afficher de la ressource, puis sélectionnez-la dans la liste des ressources fournies.
   3. Cliquez sur add Ajouter un sélecteur.
   4. Dans le champ Paramètre 2, sélectionnez Rôle ou Autorisation.
   5. Dans le champ Sélectionner un rôle ou Sélectionner une autorisation, sélectionnez le rôle ou l'autorisation que vous souhaitez vérifier.
   6. Facultatif : Pour vérifier les rôles et autorisations supplémentaires, continuez à ajouter des sélecteurs Rôle et Autorisation jusqu'à ce que tous les rôles et autorisations que vous souhaitez vérifier soient répertoriés.

5. Facultatif: Cliquez sur Continuer, puis sélectionnez les options avancées que vous souhaitez activer pour cette requête.

6. Dans le volet Requête personnalisée, cliquez sur Analyser > Exécuter la requête. La page du rapport affiche les paramètres de requête que vous avez saisis, ainsi qu'une table de résultats de tous les comptes principaux avec les rôles et les autorisations spécifiés sur la ressource spécifiée.

   Les requêtes d'analyse des stratégies dans la console Google Cloud s'exécutent pendant une minute maximum. Au bout d'une minute, la console Google Cloud arrête la requête et affiche tous les résultats disponibles. Si la requête n'est pas terminée au bout de ce délai, la console Google Cloud affiche une bannière indiquant que les résultats sont incomplets. Pour obtenir plus de résultats pour ces requêtes, exportez-les vers BigQuery.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• FULL_RESOURCE_NAME : nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de noms de ressources complets, consultez la section Format de nom de ressource.
• PERMISSIONS: liste des autorisations que vous souhaitez vérifier, séparées par une virgule (par exemple, compute.instances.get,compute.instances.start). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.

Exécutez la commande gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS'

Vous recevez une réponse YAML contenant les résultats de l'analyse. Chaque résultat d'analyse liste un ensemble d'accès, d'identités et de ressources pertinents pour votre requête, suivi de la liaison de rôle IAM associée. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est CONDITIONAL.

Les principaux disposant de l'une des autorisations spécifiées sur la ressource spécifiée sont listés dans les champs identities de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ identities mis en surbrillance.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyze-iam-policy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

REST

Pour déterminer les comptes principaux disposant de certaines autorisations sur une ressource, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez définir la portée de votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• FULL_RESOURCE_NAME : nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de noms de ressources complets, consultez la section Format de nom de ressource.
• PERMISSION_1, PERMISSION_2, etc. PERMISSION_N: autorisations que vous souhaitez vérifier (par exemple, compute.instances.get). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Vous recevez une réponse JSON contenant les résultats de l'analyse. Chaque résultat d'analyse décrit une liaison de rôle IAM pertinente, puis liste la ressource, les accès et les principaux de cette liaison. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est listé comme CONDITIONAL.

Les principaux disposant de l'une des autorisations spécifiées sur la ressource spécifiée sont listés dans les champs identities de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ identities mis en surbrillance.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

Console

1. Dans la console Google Cloud, accédez à la page Analyseur de règles.

   Accéder à la page "Analyse des stratégies"

2. Dans la section Analyser les règles, recherchez le volet intitulé Requête personnalisée, puis cliquez sur Créer une requête personnalisée dans ce volet.

3. Dans le champ Sélectionner le champ d'application de la requête, sélectionnez le projet, le dossier ou l'organisation auquel vous souhaitez appliquer la requête. Policy Analyzer analyse l'accès pour ce projet, ce dossier ou cette organisation, ainsi que toutes les ressources de ce projet, ce dossier ou cette organisation.

4. Dans le champ Paramètre 1, sélectionnez Rôle ou Autorisation.

5. Dans le champ Sélectionner un rôle ou Sélectionner une autorisation, sélectionnez l'autorisation ou le rôle que vous souhaitez vérifier.

6. Facultatif : pour rechercher des rôles et des autorisations supplémentaires, procédez comme suit :

   1. Cliquez sur add Ajouter un sélecteur.
   2. Dans le champ Paramètre 2, sélectionnez Rôle ou Autorisation.
   3. Dans le champ Sélectionner un rôle ou Sélectionner une autorisation, sélectionnez le rôle ou l'autorisation que vous souhaitez vérifier.
   4. Continuez à ajouter des sélecteurs Rôle et Autorisation jusqu'à ce que tous les rôles et autorisations que vous souhaitez vérifier soient répertoriés.

7. Facultatif: Cliquez sur Continuer, puis sélectionnez les options avancées que vous souhaitez activer pour cette requête.

8. Dans le volet Requête personnalisée, cliquez sur Analyser > Exécuter la requête. La page du rapport affiche les paramètres de requête que vous avez saisis, ainsi qu'une table de résultats de tous les comptes principaux avec les rôles et les autorisations spécifiés sur toute ressource couverte.

   Les requêtes d'analyse des stratégies dans la console Google Cloud s'exécutent pendant une minute maximum. Au bout d'une minute, la console Google Cloud arrête la requête et affiche tous les résultats disponibles. Si la requête n'est pas terminée au bout de ce délai, la console Google Cloud affiche une bannière indiquant que les résultats sont incomplets. Pour obtenir plus de résultats pour ces requêtes, exportez-les vers BigQuery.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• ROLES: liste des rôles que vous souhaitez vérifier, séparés par une virgule (par exemple, roles/compute.admin,roles/compute.imageUser). Si vous listez plusieurs rôles, l'analyseur de règles recherche l'un des rôles listés.
• PERMISSIONS: liste des autorisations que vous souhaitez vérifier, séparées par une virgule (par exemple, compute.instances.get,compute.instances.start). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.

Exécutez la commande gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --roles='ROLES' \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --roles='ROLES' `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --roles='ROLES' ^
    --permissions='PERMISSIONS'

Vous recevez une réponse JSON avec les résultats de l'analyse. Chaque résultat d'analyse décrit une liaison de rôle IAM pertinente, puis liste la ressource, les accès et les principaux de cette liaison. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est listé comme CONDITIONAL.

Les comptes principaux disposant de l'un des rôles ou autorisations spécifiés sont listés dans les champs identities de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ identities mis en surbrillance.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  - role: roles/compute.admin
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyze-iam-policy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

REST

Pour déterminer les comptes principaux disposant de certains rôles ou autorisations, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez définir la portée de votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• ROLE_1, ROLE_2... ROLE_N: rôles que vous souhaitez vérifier (par exemple, roles/compute.admin). Si vous listez plusieurs rôles, Policy Analyzer vérifie tous les rôles listés.
• PERMISSION_1, PERMISSION_2, etc. PERMISSION_N: autorisations que vous souhaitez vérifier (par exemple, compute.instances.get). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "accessSelector": {
      "roles": [
        "ROLE_1",
        "ROLE_2",
        "ROLE_N"
      ],
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Vous recevez une réponse JSON avec les résultats de l'analyse. Chaque résultat d'analyse décrit une liaison de rôle IAM pertinente, puis liste la ressource, les accès et les principaux de cette liaison. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est listé comme CONDITIONAL.

Les comptes principaux disposant de l'un des rôles ou autorisations spécifiés sont listés dans les champs identities de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ identities mis en surbrillance.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "role": "roles/compute.admin"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

Console

1. Dans la console Google Cloud, accédez à la page Analyseur de règles.

   Accéder à la page "Analyse des stratégies"

2. Dans la section Analyser les règles, recherchez le volet intitulé Requête personnalisée, puis cliquez sur Créer une requête personnalisée dans ce volet.

3. Dans le champ Sélectionner le champ d'application de la requête, sélectionnez le projet, le dossier ou l'organisation auquel vous souhaitez appliquer la requête. Policy Analyzer analyse l'accès pour ce projet, ce dossier ou cette organisation, ainsi que toutes les ressources de ce projet, ce dossier ou cette organisation.

4. Choisissez la ressource et le compte principal à vérifier :

   1. Dans le champ Paramètre  1, sélectionnez Ressource dans le menu déroulant.
   2. Dans le champ Ressource, saisissez le nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Si vous ne connaissez pas le nom complet de la ressource, commencez à saisir le nom à afficher de la ressource, puis sélectionnez-la dans la liste des ressources fournies.
   3. Cliquez sur add Ajouter un sélecteur.
   4. Dans le champ Paramètre 2, sélectionnez Principal dans le menu déroulant.
   5. Dans le champ Principal, commencez à saisir le nom d'un utilisateur, d'un compte de service ou d'un groupe. Ensuite, sélectionnez l'utilisateur, le compte de service ou le groupe dont vous souhaitez analyser l'accès dans la liste des comptes principaux fournis.

5. Facultatif: Cliquez sur Continuer, puis sélectionnez les options avancées que vous souhaitez activer pour cette requête.

6. Dans le volet Requête personnalisée, cliquez sur Analyser > Exécuter la requête. La page du rapport affiche les paramètres de requête que vous avez saisis ainsi qu'un tableau de résultats de tous les rôles attribués au compte principal spécifié pour la ressource spécifiée.

   Les requêtes d'analyse des stratégies dans la console Google Cloud s'exécutent pendant une minute maximum. Au bout d'une minute, la console Google Cloud arrête la requête et affiche tous les résultats disponibles. Si la requête n'est pas terminée au bout de ce délai, la console Google Cloud affiche une bannière indiquant que les résultats sont incomplets. Pour obtenir plus de résultats pour ces requêtes, exportez-les vers BigQuery.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• FULL_RESOURCE_NAME : nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de noms de ressources complets, consultez la section Format de nom de ressource.
• PRINCIPAL: compte principal dont vous souhaitez analyser l'accès, au format PRINCIPAL_TYPE:ID (par exemple, user:my-user@example.com). Pour obtenir la liste complète des types de comptes principaux, consultez la section Identifiants principaux.

Exécutez la commande gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL

Vous recevez une réponse YAML contenant les résultats de l'analyse. Chaque résultat d'analyse liste un ensemble d'accès, d'identités et de ressources pertinents pour votre requête, suivi de la liaison de rôle IAM associée. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est CONDITIONAL.

Les rôles de l'entité principale sur la ressource spécifiée sont listés dans les champs accesses de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ accesses mis en surbrillance.

...
---
ACLs:
- accesses:
  - roles/iam.serviceAccountUser
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/iam.serviceAccountUser
---
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyze-iam-policy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

REST

Pour déterminer le niveau d'accès d'un compte principal sur une ressource, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez définir la portée de votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• FULL_RESOURCE_NAME : nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de noms de ressources complets, consultez la section Format de nom de ressource.
• PRINCIPAL: compte principal dont vous souhaitez analyser l'accès, sous la forme PRINCIPAL_TYPE:ID (par exemple, user:my-user@example.com). Pour obtenir la liste complète des types de comptes principaux, consultez la section Identifiants principaux.

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Vous recevez une réponse JSON avec les résultats de l'analyse. Chaque résultat d'analyse décrit une liaison de rôle IAM pertinente, puis liste la ressource, les accès et les principaux de cette liaison. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est listé comme CONDITIONAL.

Les rôles de l'entité principale sur la ressource spécifiée sont listés dans les champs accesses de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ accesses mis en surbrillance.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/iam.serviceAccountUser",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "roles": "iam.serviceAccountUser"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

Console

1. Dans la console Google Cloud, accédez à la page Analyseur de règles.

   Accéder à la page "Analyse des stratégies"

2. Dans la section Analyser les règles, recherchez le volet Requête personnalisée, puis cliquez sur Créer une requête personnalisée dans ce volet.

3. Dans le champ Sélectionner le champ d'application de la requête, sélectionnez le projet, le dossier ou l'organisation auquel vous souhaitez appliquer la requête. Policy Analyzer analyse l'accès pour ce projet, ce dossier ou cette organisation, ainsi que toutes les ressources de ce projet, ce dossier ou cette organisation.

4. Choisissez le compte principal à vérifier, ainsi que le rôle ou l'autorisation à vérifier :

   1. Dans le champ Paramètre 1, sélectionnez Principal dans le menu déroulant.
   2. Dans le champ Principal, commencez à saisir le nom d'un utilisateur, d'un compte de service ou d'un groupe. Ensuite, sélectionnez l'utilisateur, le compte de service ou le groupe dont vous souhaitez analyser l'accès dans la liste des comptes principaux fournis.
   3. Cliquez sur add Ajouter un sélecteur.
   4. Dans le champ Paramètre 2, sélectionnez Rôle ou Autorisation.
   5. Dans le champ Sélectionner un rôle ou Sélectionner une autorisation, sélectionnez le rôle ou l'autorisation que vous souhaitez vérifier.
   6. Facultatif : Pour vérifier les rôles et autorisations supplémentaires, continuez à ajouter des sélecteurs Rôle et Autorisation jusqu'à ce que tous les rôles et autorisations que vous souhaitez vérifier soient répertoriés.

5. Facultatif: Cliquez sur Continuer, puis sélectionnez les options avancées que vous souhaitez activer pour cette requête.

6. Dans le volet Requête personnalisée, cliquez sur Analyser > Exécuter la requête. La page du rapport affiche les paramètres de requête que vous avez saisis ainsi qu'un tableau de résultats de toutes les ressources pour lesquelles le compte principal spécifié dispose des rôles ou des autorisations spécifiés.

   Les requêtes d'analyse des stratégies dans la console Google Cloud s'exécutent pendant une minute maximum. Au bout d'une minute, la console Google Cloud arrête la requête et affiche tous les résultats disponibles. Si la requête n'est pas terminée au bout de ce délai, la console Google Cloud affiche une bannière indiquant que les résultats sont incomplets. Pour obtenir plus de résultats pour ces requêtes, exportez-les vers BigQuery.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• PRINCIPAL: compte principal dont vous souhaitez analyser l'accès, sous la forme PRINCIPAL_TYPE:ID (par exemple, user:my-user@example.com). Pour obtenir la liste complète des types de comptes principaux, consultez la section Identifiants principaux.
• PERMISSIONS: liste des autorisations que vous souhaitez vérifier, séparées par une virgule (par exemple, compute.instances.get,compute.instances.start). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.

Exécutez la commande gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS'

Vous recevez une réponse YAML contenant les résultats de l'analyse. Chaque résultat d'analyse liste un ensemble d'accès, d'identités et de ressources pertinents pour votre requête, suivi de la liaison de rôle IAM associée. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est CONDITIONAL.

Les ressources pour lesquelles le principal spécifié dispose de l'une des autorisations spécifiées sont listées dans les champs resources de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ resources mis en surbrillance.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //compute.googleapis.com/projects/my-project/global/images/my-image
policy:
  attachedResource: //compute.googleapis.com/projects/my-project/global/images/my-image
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyze-iam-policy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

REST

Pour déterminer les ressources auxquelles un compte principal peut accéder, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez définir la portée de votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• PRINCIPAL: compte principal dont vous souhaitez analyser l'accès, sous la forme PRINCIPAL_TYPE:ID (par exemple, user:my-user@example.com). Pour obtenir la liste complète des types de comptes principaux, consultez la section Identifiants principaux.
• PERMISSION_1, PERMISSION_2, etc. PERMISSION_N: autorisations que vous souhaitez vérifier (par exemple, compute.instances.get). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Vous recevez une réponse JSON avec les résultats de l'analyse. Chaque résultat d'analyse décrit une liaison de rôle IAM pertinente, puis liste la ressource, les accès et les principaux de cette liaison. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est listé comme CONDITIONAL.

Les ressources pour lesquelles le principal spécifié dispose de l'une des autorisations spécifiées sont listées dans les champs resources de la réponse. L'exemple suivant montre un seul résultat d'analyse avec le champ resources mis en surbrillance.

...
{
  "attachedResourceFullName": "//compute.googleapis.com/projects/my-project/global/images/my-image",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//compute.googleapis.com/projects/my-project/global/images/my-image"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

gcloud

Avant d'utiliser les données de la commande ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur project, folder ou organization.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• PERMISSIONS : Facultatif. Liste des autorisations que vous souhaitez vérifier, séparées par une virgule (par exemple, compute.instances.get,compute.instances.start). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.
• FULL_RESOURCE_NAME : facultatif. Nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de noms de ressources complets, consultez la section Format du nom des ressources.
• PERMISSIONS : Facultatif. Liste des autorisations que vous souhaitez vérifier, séparées par une virgule (par exemple, compute.instances.get,compute.instances.start). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.
• ACCESS_TIME: heure à vérifier. Cette heure doit être située dans le futur. Utilisez un code temporel au format RFC 3339 (par exemple, 2099-02-01T00:00:00Z).

Exécutez la commande gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS' \
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS' `
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS' ^
    --access-time=ACCESS_TIME

Vous recevez une réponse YAML contenant les résultats de l'analyse. Chaque résultat d'analyse liste un ensemble d'accès, d'identités et de ressources pertinents pour votre requête, suivi de la liaison de rôle IAM associée. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est CONDITIONAL.

Lorsque vous incluez l'heure d'accès dans la requête, Policy Analyzer peut évaluer les conditions de date/heure. Si la condition renvoie la valeur "false", ce rôle n'est pas inclus dans la réponse. Si la condition renvoie la valeur "true", le résultat de l'évaluation de la condition est listé comme TRUE.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  conditionEvaluationValue: 'TRUE'
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    condition:
      expression: request.time.getHours("America/Los_Angeles") >= 5
      title: No access before 5am PST
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyze-iam-policy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

REST

Pour déterminer les principaux qui disposeront de certaines autorisations sur une ressource à un moment donné, utilisez la méthode analyzeIamPolicy de l'API Cloud Asset Inventory.

Avant d'utiliser les données de requête ci-dessous, effectuez les remplacements suivants :

• RESOURCE_TYPE: type de ressource pour lequel vous souhaitez définir la portée de votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Utilisez la valeur projects, folders ou organizations.
• RESOURCE_ID: ID du projet, du dossier ou de l'organisation Google Cloud pour lequel vous souhaitez limiter votre recherche. Seules les stratégies d'autorisation IAM associées à cette ressource et à ses descendants seront analysées. Les ID de projet sont des chaînes alphanumériques, telles que my-project. Les ID de dossier et d'organisation sont numériques, tels que 123456789012.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: facultatif. Les autorisations que vous souhaitez vérifier (par exemple, compute.instances.get). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.
• FULL_RESOURCE_NAME : facultatif. Nom complet de la ressource pour laquelle vous souhaitez analyser l'accès. Pour obtenir la liste des formats de noms de ressources complets, consultez la section Format du nom des ressources.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: facultatif. Les autorisations que vous souhaitez vérifier (par exemple, compute.instances.get). Si vous listez plusieurs autorisations, l'outil d'analyse des règles vérifie toutes les autorisations listées.
• ACCESS_TIME: heure à vérifier. Cette heure doit être située dans le futur. Utilisez un code temporel au format RFC 3339 (par exemple, 2099-02-01T00:00:00Z).

Méthode HTTP et URL :

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corps JSON de la requête :

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    },
    "conditionContext": {
      "accessTime": "ACCESS_TIME"
    }
  }
}

Pour envoyer votre requête, développez l'une des options suivantes :

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Vous recevez une réponse JSON contenant les résultats de l'analyse. Chaque résultat d'analyse décrit une liaison de rôle IAM pertinente, puis liste la ressource, les accès et les principaux de cette liaison. Si la liaison de rôle est conditionnelle, le résultat de l'analyse inclut également le résultat de l'évaluation de la condition. Si la condition n'a pas pu être évaluée, le résultat est listé comme CONDITIONAL.

Lorsque vous incluez l'heure d'accès dans la requête, Policy Analyzer peut évaluer les conditions de date/heure. Si la condition renvoie la valeur "false", ce rôle n'est pas inclus dans la réponse. Si la condition renvoie la valeur "true", la valeur d'évaluation de la condition dans la réponse d'analyse est TRUE.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ],
    "condition": {
      "expression": "request.time.getHours(\"America/Los_Angeles\") \u003e= 5",
      "title": "No access before 5am PST"
    }
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ],
      "conditionEvaluation": {
        "evaluationValue": "TRUE"
      }
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Si la requête expire avant la fin de la requête, une erreur DEADLINE_EXCEEDED s'affiche. Pour obtenir plus de résultats pour ces requêtes, écrivez les résultats dans BigQuery ou Cloud Storage à l'aide de la version de longue durée de analyzeIamPolicy. Pour obtenir des instructions, consultez Écrire une analyse de stratégie dans BigQuery ou Écrire une analyse de stratégie dans Cloud Storage.

Console

gcloud

Cette section décrit plusieurs options courantes que vous pouvez ajouter lorsque vous utilisez la gcloud CLI pour analyser les stratégies d'autorisation. Pour obtenir la liste complète des options, consultez la section Options facultatives.

REST

Pour activer des options, ajoutez d'abord un champ options à votre requête d'analyse. Exemple :

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
    },
    "accessSelector": {
      "permissions": [
        "iam.roles.get",
        "iam.roles.list"
      ]
   },
   "options": {
     OPTIONS
   }
  }
}

Remplacez OPTIONS par les options que vous souhaitez activer, au format "OPTION": true. Le tableau suivant décrit les options disponibles: