許可ポリシーを分析する

Console

1. Google Cloud コンソールで、[Policy Analyzer] ページに移動します。

   [Policy Analyzer] ページに移動

2. [ポリシーの分析] セクションで、[カスタムクエリ] と表示されたペインを見つけて [カスタムクエリを作成] をクリックします。

3. [クエリスコープを選択] フィールドで、クエリを調査するプロジェクト、フォルダ、組織を選択します。Policy Analyzer　は、プロジェクト、フォルダ、組織へのアクセスと、そのプロジェクト、フォルダ、組織内のリソースを分析します。

4. 確認するリソースと、確認するロールまたは権限を選択します。

   1. [パラメータ 1] フィールドで、プルダウン メニューから [リソース] を選択します。
   2. [リソース] フィールドに、アクセスを分析するリソースの完全なリソース名を入力します。完全なリソース名がわからない場合は、リソースの表示名の入力を開始し、表示されるリソースのリストから該当するリソースを選択します。
   3. add [セレクタを追加] をクリックします。
   4. [パラメータ 2] フィールドで、[ロール] か [権限] を選択します。
   5. [ロールを選択] フィールドか [権限を選択] フィールドで、確認するロールまたは権限を選択します。
   6. 省略可: 追加のロールと権限を確認するには、確認するすべてのロールと権限が表示されるまで、[ロール] と [権限] セレクタの追加を継続します。

5. 省略可: [続行] をクリックして、このクエリで有効にする詳細オプションを選択します。

6. [カスタムクエリ] ペインで、[分析] > [クエリを実行] をクリックします。レポートページには、入力したクエリ パラメータと、指定されたリソースに対する指定されたロールまたは権限を有するすべてのプリンシパルの結果テーブルが表示されます。

   Google Cloud コンソールのポリシー分析クエリは、最大 1 分間実行されます。1 分後、Google Cloud コンソールでクエリが停止し、使用可能なすべての結果が表示されます。その時間内にクエリが完了しなかった場合は、結果が不完全であることを示すバナーが Google Cloud コンソールに表示されます。これらのクエリの全ての結果を取得するには、結果を BigQuery にエクスポートします。

gcloud

後述のコマンドデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 project、folder、または organization を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• FULL_RESOURCE_NAME: アクセスを分析する対象リソースの完全なリソース名。リソース名の形式の一覧については、リソース名の形式をご覧ください。
• PERMISSIONS: 確認する権限のカンマ区切りのリスト（例: compute.instances.get,compute.instances.start）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。

gcloud asset analyze-iam-policy コマンドを実行します。

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS'

分析結果を含む YAML レスポンスが返されます。各分析結果には、クエリに関連する一連のアクセス、ID、リソースと、関連する IAM ロール バインディングが列挙されます。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL になります。

指定したリソースに対する指定した権限のいずれかを付与されているプリンシパルは、レスポンスの identities フィールドにリストされます。次の例は、identities フィールドがハイライト表示された単一の分析結果を示しています。

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyze-iam-policy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

REST

リソースに対して特定の権限を持つプリンシパルを特定するには、Cloud Asset Inventory API の analyzeIamPolicy メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 projects、folders、または organizations を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• FULL_RESOURCE_NAME: アクセスを分析する対象リソースの完全なリソース名。リソース名の形式の一覧については、リソース名の形式をご覧ください。
• PERMISSION_1、PERMISSION_2、... PERMISSION_N: 確認する権限（例: compute.instances.get）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。

HTTP メソッドと URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

リクエストの本文（JSON）:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

分析結果を含む JSON レスポンスが返されます。各分析結果では、関連する IAM ロール バインディングについて記述され、対象のバインディング内のリソース、アクセス、プリンシパルが一覧表示されています。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL としてリストされます。

指定したリソースに対する指定した権限のいずれかを付与されているプリンシパルは、レスポンスの identities フィールドにリストされます。次の例は、identities フィールドがハイライト表示された単一の分析結果を示しています。

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyzeIamPolicy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

Console

1. Google Cloud コンソールで、[Policy Analyzer] ページに移動します。

   [Policy Analyzer] ページに移動

2. [ポリシーの分析] セクションで、[カスタムクエリ] と表示されたペインを見つけて [カスタムクエリを作成] をクリックします。

3. [クエリスコープを選択] フィールドで、クエリを調査するプロジェクト、フォルダ、組織を選択します。Policy Analyzer　は、プロジェクト、フォルダ、組織へのアクセスと、そのプロジェクト、フォルダ、組織内のリソースを分析します。

4. [パラメータ 1] フィールドで、[ロール] か [権限] を選択します。

5. [ロールを選択] フィールドか [権限を選択] フィールドで、確認するロールか権限を選択します。

6. 省略可: 追加のロールと権限を確認するには、次の操作を行います。

   1. add [セレクタを追加] をクリックします。
   2. [パラメータ 2] フィールドで、[ロール] か [権限] を選択します。
   3. [ロールを選択] フィールドか [権限を選択] フィールドで、確認するロールまたは権限を選択します。
   4. 確認するロールと権限がすべて表示されるまで、[ロール] と [権限] セレクタの追加を継続します。

7. 省略可: [続行] をクリックして、このクエリで有効にする詳細オプションを選択します。

8. [カスタムクエリ] ペインで、[分析] > [クエリを実行] をクリックします。レポートページには、入力したクエリ パラメータと、対象範囲内のリソースに対して指定されたロールまたは権限を有するすべてのプリンシパルの結果テーブルが表示されます。

   Google Cloud コンソールのポリシー分析クエリは、最大 1 分間実行されます。1 分後、Google Cloud コンソールでクエリが停止し、使用可能なすべての結果が表示されます。その時間内にクエリが完了しなかった場合は、結果が不完全であることを示すバナーが Google Cloud コンソールに表示されます。これらのクエリの全ての結果を取得するには、結果を BigQuery にエクスポートします。

gcloud

後述のコマンドデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 project、folder、または organization を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• ROLES: 確認するロールのカンマ区切りのリスト（例: roles/compute.admin,roles/compute.imageUser）。複数のロールを一覧表示すると、Policy Analyzer は一覧表示された中から任意のロールを確認します。
• PERMISSIONS: 確認する権限のカンマ区切りのリスト（例: compute.instances.get,compute.instances.start）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。

gcloud asset analyze-iam-policy コマンドを実行します。

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --roles='ROLES' \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --roles='ROLES' `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --roles='ROLES' ^
    --permissions='PERMISSIONS'

分析結果を含む JSON レスポンスが返されます。各分析結果では、関連する IAM ロール バインディングについて記述され、対象のバインディング内のリソース、アクセス、プリンシパルが一覧表示されています。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL としてリストされます。

指定したロールまたは権限のいずれかを付与されているプリンシパルは、レスポンスの identities フィールドにリストされます。次の例は、identities フィールドがハイライト表示された単一の分析結果を示しています。

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  - role: roles/compute.admin
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyze-iam-policy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

REST

特定のロールまたは権限を持つプリンシパルを確認するには、Cloud Asset Inventory API の analyzeIamPolicy メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 projects、folders、または organizations を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• ROLE_1、ROLE_2、... ROLE_N: 確認するロール（例: roles/compute.admin）。複数のロールを一覧表示すると、Policy Analyzer は一覧表示された中から任意のロールを確認します。
• PERMISSION_1、PERMISSION_2、... PERMISSION_N: 確認する権限（例: compute.instances.get）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。

HTTP メソッドと URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

リクエストの本文（JSON）:

{
  "analysisQuery": {
    "accessSelector": {
      "roles": [
        "ROLE_1",
        "ROLE_2",
        "ROLE_N"
      ],
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

分析結果を含む JSON レスポンスが返されます。各分析結果では、関連する IAM ロール バインディングについて記述され、対象のバインディング内のリソース、アクセス、プリンシパルが一覧表示されています。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL としてリストされます。

指定したロールまたは権限のいずれかを付与されているプリンシパルは、レスポンスの identities フィールドにリストされます。次の例は、identities フィールドがハイライト表示された単一の分析結果を示しています。

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "role": "roles/compute.admin"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyzeIamPolicy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

Console

1. Google Cloud コンソールで、[Policy Analyzer] ページに移動します。

   [Policy Analyzer] ページに移動

2. [ポリシーの分析] セクションで、[カスタムクエリ] と表示されたペインを見つけて [カスタムクエリを作成] をクリックします。

3. [クエリスコープを選択] フィールドで、クエリを調査するプロジェクト、フォルダ、組織を選択します。Policy Analyzer　は、プロジェクト、フォルダ、組織へのアクセスと、そのプロジェクト、フォルダ、組織内のリソースを分析します。

4. 確認するリソースとプリンシパルを選択します。

   1. [パラメータ 1] フィールドで、プルダウン メニューから [リソース] を選択します。
   2. [リソース] フィールドに、アクセスを分析するリソースの完全なリソース名を入力します。完全なリソース名がわからない場合は、リソースの表示名の入力を開始し、表示されるリソースのリストから該当するリソースを選択します。
   3. add [セレクタを追加] をクリックします。
   4. [パラメータ 2] フィールドで、プルダウン メニューから [プリンシパル] を選択します。
   5. [プリンシパル] フィールドに、ユーザー名か、サービス アカウント名か、グループ名の入力を開始します。次に、表示されたプリンシパルのリストから、分析するアクセスがあるユーザー、サービス アカウント、またはグループを選択します。

5. 省略可: [続行] をクリックして、このクエリで有効にする詳細オプションを選択します。

6. [カスタムクエリ] ペインで、[分析] > [クエリを実行] をクリックします。レポートページには、入力したクエリ パラメータと、指定したプリンシパルが指定したリソースに対して有するすべてのロールの結果テーブルが表示されます。

   Google Cloud コンソールのポリシー分析クエリは、最大 1 分間実行されます。1 分後、Google Cloud コンソールでクエリが停止し、使用可能なすべての結果が表示されます。その時間内にクエリが完了しなかった場合は、結果が不完全であることを示すバナーが Google Cloud コンソールに表示されます。これらのクエリの全ての結果を取得するには、結果を BigQuery にエクスポートします。

gcloud

後述のコマンドデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 project、folder、または organization を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• FULL_RESOURCE_NAME: アクセスを分析する対象リソースの完全なリソース名。リソース名の形式の一覧については、リソース名の形式をご覧ください。
• PRINCIPAL: アクセスを分析する PRINCIPAL_TYPE:ID 形式のプリンシパル（例: user:my-user@example.com）。プリンシパル タイプの全一覧については、プリンシパル識別子をご覧ください。

gcloud asset analyze-iam-policy コマンドを実行します。

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL

分析結果を含む YAML レスポンスが返されます。各分析結果には、クエリに関連する一連のアクセス、ID、リソースと、関連する IAM ロール バインディングが列挙されます。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL になります。

レスポンスの accesses フィールドに、指定したリソースに対するプリンシパルのロールがリストされます。次の例は、accesses フィールドがハイライト表示された単一の分析結果を示しています。

...
---
ACLs:
- accesses:
  - roles/iam.serviceAccountUser
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/iam.serviceAccountUser
---
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyze-iam-policy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

REST

プリンシパルがリソースに対して持つアクセス権を決定するには、Cloud Asset Inventory API の analyzeIamPolicy メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 projects、folders、または organizations を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• FULL_RESOURCE_NAME: アクセスを分析する対象リソースの完全なリソース名。リソース名の形式の一覧については、リソース名の形式をご覧ください。
• PRINCIPAL: アクセスを分析する PRINCIPAL_TYPE:ID 形式のプリンシパル（例: user:my-user@example.com）。プリンシパル タイプの全一覧については、プリンシパル識別子をご覧ください。

HTTP メソッドと URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

リクエストの本文（JSON）:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

分析結果を含む JSON レスポンスが返されます。各分析結果では、関連する IAM ロール バインディングについて記述され、対象のバインディング内のリソース、アクセス、プリンシパルが一覧表示されています。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL としてリストされます。

レスポンスの accesses フィールドに、指定したリソースに対するプリンシパルのロールがリストされます。次の例は、accesses フィールドがハイライト表示された単一の分析結果を示しています。

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/iam.serviceAccountUser",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "roles": "iam.serviceAccountUser"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyzeIamPolicy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

Console

1. Google Cloud コンソールで、[Policy Analyzer] ページに移動します。

   [Policy Analyzer] ページに移動

2. [ポリシーの分析] セクションで、[カスタムクエリ] と表示されたペインを見つけて [カスタムクエリを作成] をクリックします。

3. [クエリスコープを選択] フィールドで、クエリを調査するプロジェクト、フォルダ、組織を選択します。Policy Analyzer　は、プロジェクト、フォルダ、組織へのアクセスと、そのプロジェクト、フォルダ、組織内のリソースを分析します。

4. 確認するプリンシパルと、確認するロールまたは権限を選択します。

   1. [パラメータ 1] フィールドで、プルダウン メニューから [プリンシパル] を選択します。
   2. [プリンシパル] フィールドに、ユーザー名か、サービス アカウント名か、グループ名の入力を開始します。次に、表示されたプリンシパルのリストから、分析するアクセスがあるユーザー、サービス アカウント、またはグループを選択します。
   3. add [セレクタを追加] をクリックします。
   4. [パラメータ 2] フィールドで、[ロール] か [権限] を選択します。
   5. [ロールを選択] フィールドか [権限を選択] フィールドで、確認するロールまたは権限を選択します。
   6. 省略可: 追加のロールと権限を確認するには、確認するすべてのロールと権限が表示されるまで、[ロール] と [権限] セレクタの追加を継続します。

5. 省略可: [続行] をクリックして、このクエリで有効にする詳細オプションを選択します。

6. [カスタムクエリ] ペインで、[分析] > [クエリを実行] をクリックします。レポートページには、入力したクエリ パラメータと、指定されたプリンシパルが指定されたロールまたは権限を有するすべてのリソースの結果テーブルが表示されます。

   Google Cloud コンソールのポリシー分析クエリは、最大 1 分間実行されます。1 分後、Google Cloud コンソールでクエリが停止し、使用可能なすべての結果が表示されます。その時間内にクエリが完了しなかった場合は、結果が不完全であることを示すバナーが Google Cloud コンソールに表示されます。これらのクエリの全ての結果を取得するには、結果を BigQuery にエクスポートします。

gcloud

後述のコマンドデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 project、folder、または organization を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• PRINCIPAL: アクセスを分析する PRINCIPAL_TYPE:ID 形式のプリンシパル（例: user:my-user@example.com）。プリンシパル タイプの全一覧については、プリンシパル識別子をご覧ください。
• PERMISSIONS: 確認する権限のカンマ区切りのリスト（例: compute.instances.get,compute.instances.start）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。

gcloud asset analyze-iam-policy コマンドを実行します。

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS'

分析結果を含む YAML レスポンスが返されます。各分析結果には、クエリに関連する一連のアクセス、ID、リソースと、関連する IAM ロール バインディングが列挙されます。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL になります。

指定したプリンシパルが指定した権限のいずれかを付与されている対象リソースは、レスポンスの resources フィールドにリストされます。次の例は、resources フィールドがハイライト表示された単一の分析結果を示しています。

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //compute.googleapis.com/projects/my-project/global/images/my-image
policy:
  attachedResource: //compute.googleapis.com/projects/my-project/global/images/my-image
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyze-iam-policy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

REST

プリンシパルがアクセスできるリソースを特定するには、Cloud Asset Inventory API の analyzeIamPolicy メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 projects、folders、または organizations を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• PRINCIPAL: アクセスを分析する PRINCIPAL_TYPE:ID 形式のプリンシパル（例: user:my-user@example.com）。プリンシパル タイプの全一覧については、プリンシパル識別子をご覧ください。
• PERMISSION_1、PERMISSION_2、... PERMISSION_N: 確認する権限（例: compute.instances.get）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。

HTTP メソッドと URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

リクエストの本文（JSON）:

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

分析結果を含む JSON レスポンスが返されます。各分析結果では、関連する IAM ロール バインディングについて記述され、対象のバインディング内のリソース、アクセス、プリンシパルが一覧表示されています。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL としてリストされます。

指定したプリンシパルが指定した権限のいずれかを付与されている対象リソースは、レスポンスの resources フィールドにリストされます。次の例は、resources フィールドがハイライト表示された単一の分析結果を示しています。

...
{
  "attachedResourceFullName": "//compute.googleapis.com/projects/my-project/global/images/my-image",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//compute.googleapis.com/projects/my-project/global/images/my-image"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyzeIamPolicy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

gcloud

後述のコマンドデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 project、folder、または organization を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• PERMISSIONS: 省略可。確認する権限のカンマ区切りのリスト（例: compute.instances.get,compute.instances.start）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。
• FULL_RESOURCE_NAME: 省略可。アクセスを分析する対象リソースの完全なリソース名。リソース名の形式の一覧については、リソース名の形式をご覧ください。
• PERMISSIONS: 省略可。確認する権限のカンマ区切りのリスト（例: compute.instances.get,compute.instances.start）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。
• ACCESS_TIME: 確認する時刻。この時刻は未来の時刻にする必要があります。RFC 3339 形式のタイムスタンプを使用します（例: 2099-02-01T00:00:00Z）。

gcloud asset analyze-iam-policy コマンドを実行します。

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS' \
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS' `
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS' ^
    --access-time=ACCESS_TIME

分析結果を含む YAML レスポンスが返されます。各分析結果には、クエリに関連する一連のアクセス、ID、リソースと、関連する IAM ロール バインディングが列挙されます。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL になります。

アクセス時間をリクエストに含めると、Policy Analyzer は日時の条件を評価できます。条件が false と評価された場合、対象のロールはレスポンスに含まれません。条件が true と評価された場合、条件の評価結果が TRUE としてリストされます。

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  conditionEvaluationValue: 'TRUE'
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    condition:
      expression: request.time.getHours("America/Los_Angeles") >= 5
      title: No access before 5am PST
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyze-iam-policy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

REST

特定の時間にリソースに対して特定の権限を持つプリンシパルを特定するには、Cloud Asset Inventory API の analyzeIamPolicy メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 projects、folders、または organizations を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• PERMISSION_1、PERMISSION_2、PERMISSION_N: 省略可。確認する権限（例: compute.instances.get）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。
• FULL_RESOURCE_NAME: 省略可。アクセスを分析する対象リソースの完全なリソース名。リソース名の形式の一覧については、リソース名の形式をご覧ください。
• PERMISSION_1、PERMISSION_2、PERMISSION_N: 省略可。確認する権限（例: compute.instances.get）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。
• ACCESS_TIME: 確認する時刻。この時刻は未来の時刻にする必要があります。RFC 3339 形式のタイムスタンプを使用します（例: 2099-02-01T00:00:00Z）。

HTTP メソッドと URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

リクエストの本文（JSON）:

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    },
    "conditionContext": {
      "accessTime": "ACCESS_TIME"
    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

分析結果を含む JSON レスポンスが返されます。各分析結果では、関連する IAM ロール バインディングについて記述され、対象のバインディング内のリソース、アクセス、プリンシパルが一覧表示されています。ロール バインディングが条件付きの場合、分析結果には条件評価の結果も含まれます。条件を評価できなかった場合、結果は CONDITIONAL としてリストされます。

アクセス時間をリクエストに含めると、Policy Analyzer は日時の条件を評価できます。条件が false と評価された場合、対象のロールはレスポンスに含まれません。条件が true と評価された場合、分析レスポンスの条件評価値は TRUE です。

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ],
    "condition": {
      "expression": "request.time.getHours(\"America/Los_Angeles\") \u003e= 5",
      "title": "No access before 5am PST"
    }
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ],
      "conditionEvaluation": {
        "evaluationValue": "TRUE"
      }
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

クエリが完了する前にリクエストがタイムアウトすると、DEADLINE_EXCEEDED エラーが発生します。これらのクエリの全ての結果を取得するには、長時間実行バージョンの analyzeIamPolicy を使用して結果を BigQuery または Cloud Storage に書き込みます。手順については、ポリシー分析を BigQuery に書き込むまたはポリシー分析を Cloud Storage に書き込むをご覧ください。

Console

gcloud

このセクションでは、gcloud CLI を使用して許可ポリシーを分析するときに追加できるいくつかの一般的なフラグについて説明します。オプションの全一覧については、オプションのフラグをご覧ください。

REST

オプションを有効にするには、まず分析クエリに options フィールドを追加します。例:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
    },
    "accessSelector": {
      "permissions": [
        "iam.roles.get",
        "iam.roles.list"
      ]
   },
   "options": {
     OPTIONS
   }
  }
}

OPTIONS は、有効にするオプションを "OPTION": true の形式で置き換えます。使用可能なオプションを次の表に示します。