IAM 조건의 속성 참조

string

지원되는 값 목록은 리소스 서비스 값을 참조하세요.

Compute Engine 리소스의 경우 true를 반환합니다.

resource.service == "compute.googleapis.com"

• Apigee
• Application Integration
• 백업 및 DR 서비스
• BigQuery
• BigQuery Reservation API
• Bigtable
• Binary Authorization
• Cloud Deploy
• Cloud Key Management Service
• Cloud Logging
• Cloud SQL
• Cloud Storage
• Compute Engine
• Dataform
• Google Kubernetes Engine
• IAP(Identity-Aware Proxy)
• Integration Connectors
• Pub/Sub 라이트
• Resource Manager
• Secret Manager
• Spanner

string

지원되는 값 목록은 리소스 유형 값을 참조하세요.

리소스가 Compute Engine 이미지가 아닌 경우 true를 반환합니다.

resource.type != "compute.googleapis.com/Image"

리소스가 Compute Engine 이미지 또는 영구 디스크인 경우에만 true를 반환합니다.

(resource.type == "compute.googleapis.com/Image" ||
 resource.type == "compute.googleapis.com/Disk")

¹ Cloud Key Management Service는 이 리소스 유형을 키링 리소스의 상위 요소로 사용합니다.

string

각 리소스 유형은 리소스 이름에 특정 형식을 사용합니다. 형식 목록은 리소스 이름 형식을 참조하세요.

resource.name은 요청의 대상 리소스에 상대적 리소스 이름을 포함합니다. 상대적 리소스 이름은 선행 슬래시(/)가 없는 URI 경로입니다.

startsWith() 함수는 접두사 문자열 리터럴을 사용하여 resource.name에 대해 평가됩니다.

endsWith() 함수는 접미사 문자열 리터럴을 사용하여 resource.name에 대해 평가됩니다.

extract() 함수는 추출 템플릿을 사용하여 resource.name의 일부를 추출합니다. 자세한 내용은 이 페이지의 리소스 이름에서 값 추출을 참조하세요.

== 및 != 연산자는 전체 resource.name 또는 resource.name의 추출된 부분과 비교하기 위해 사용됩니다.

리소스 이름이 secret-bucket-123라는 Cloud Storage 버킷을 식별하지 않는 한 true를 반환합니다.

resource.name != "projects/_/buckets/secret-bucket-123"

리소스 이름이 Compute Engine VM 인스턴스에서 사용하는 형식으로 지정된 접두사로 시작하는 경우 true를 반환합니다.

resource.name.startsWith("projects/project-123/zones/us-east1-b/instances/prod-")

리소스 이름이 Cloud Storage 버킷에서 사용하는 형식으로 지정된 접두사로 시작하면 true를 반환합니다.

resource.name.startsWith("projects/_/buckets/my_bucket/objects/test-object-")

리소스 이름이 지정된 접미사로 끝나는 경우(예: Cloud Storage 객체의 파일 확장자) true를 반환합니다.

resource.name.endsWith(".jpg")

프로젝트 이름 또는 번호가 있는 경우 이를 반환합니다.

resource.name.extract("projects/{project}/")

요청의 리소스에 지정된 키가 있는 태그가 있는지 확인합니다. 태그 키는 네임스페이스화된 이름으로 조회됩니다. 영구 ID를 사용하여 태그 키를 확인하려면 resource.hasTagKeyId() 함수를 사용합니다.

매개변수

keyName: 조직의 숫자 ID와 슬래시를 접두사로 사용하는 태그 키의 네임스페이스 이름입니다. 예: 123456789012/env

예

요청의 리소스에 env 키가 있는 태그가 있으면 true를 반환합니다.

resource.hasTagKey('123456789012/env')

요청의 리소스에 지정된 키가 있는 태그가 있는지 확인합니다. 태그 키는 영구 ID로 조회됩니다. 네임스페이스화된 이름을 사용하여 태그 키를 확인하려면 resource.hasTagKey() 함수를 사용합니다.

매개변수

keyId: 태그 키의 영구 ID입니다. 예를 들면 tagKeys/123456789012입니다.

예

요청의 리소스에 tagKeys/123456789012 키가 있는 태그가 있으면 true를 반환합니다.

resource.hasTagKeyId('tagKeys/123456789012')

요청의 리소스에 지정된 키 및 값이 있는 태그가 있는지 확인합니다. 키는 네임스페이스화된 이름으로 조회되고 값은 닉네임으로 조회됩니다. 영구 ID를 사용하여 태그 키 및 값을 확인하려면 resource.matchTagId() 함수를 사용합니다.

매개변수

• keyName : 조직의 숫자 ID와 슬래시를 접두사로 사용하는 태그 키의 네임스페이스 이름입니다. 예를 들면 123456789012/env입니다.
• valueShortName: 태그 값의 짦은 이름입니다. 예를 들면 prod입니다.

예

요청의 리소스에 123456789012/env 키 및 prod 값이 있는 태그가 있다면 true를 반환합니다.

resource.matchTag('123456789012/env', 'prod')

요청의 리소스에 지정된 키 및 값이 있는 태그가 있는지 확인합니다. 키와 값은 영구 ID로 조회됩니다. 네임스페이스화된 이름을 사용하여 태그 키를 확인하고 닉네임을 사용하여 값을 확인하려면 resource.matchTag() 함수를 사용합니다.

매개변수

• keyId: 태그 키의 영구 ID입니다. 예를 들면 tagKeys/123456789012입니다.
• valueId: 태그 값의 영구 ID입니다. 예를 들면 tagValues/567890123456입니다.

예

요청의 리소스에 tagKeys/123456789012 키 및 tagValues/567890123456 값이 있는 태그가 있다면 true를 반환합니다.

resource.matchTagId('tagKeys/123456789012', 'tagValues/567890123456')

string

Google 계정

iam.googleapis.com/WorkspaceIdentity

직원 ID 풀 ID

iam.googleapis.com/WorkforcePoolIdentity

워크로드 아이덴티티 풀 ID

iam.googleapis.com/WorkloadPoolIdentity

서비스 계정

iam.googleapis.com/ServiceAccount

요청의 주 구성원이 서비스 계정인 경우 true로 평가됩니다.

principal.type == "iam.googleapis.com/ServiceAccount"
        

요청의 주 구성원이 Google Workspace ID 또는 직원 ID 풀 ID인 경우 true로 평가됩니다.

principal.type in ["iam.googleapis.com/WorkspaceIdentity", "iam.googleapis.com/WorkforcePoolIdentity"]
        

string

==, !=, in, startsWith(), endsWith()

Google 계정

식별자: 사용자의 이메일 주소

직원 ID 풀 ID

식별자: ID의 주체 속성 값

워크로드 아이덴티티 풀 ID

식별자: ID의 주체 속성 값

서비스 계정

식별자: 서비스 계정의 이메일 주소

요청의 주 구성원이 @example.com으로 끝나는 경우 true로 평가됩니다.

principal.subject.endsWith("@example.com")
        

요청의 주 구성원이 example-service-account@example-project.iam.gserviceaccount.com인 경우 true로 평가됩니다.

principal.subject == "example-service-account@example-project.iam.gserviceaccount.com"
        

요청이 특정 액세스 수준을 충족하는지 확인하려면 in 연산자를 사용합니다.

ACCESS_LEVEL_FULL_NAME in request.auth.access_levels

액세스 수준의 전체 이름에는 다음 형식이 사용됩니다.

accessPolicies/POLICY_NUMBER/accessLevels/ACCESS_LEVEL

요청이 CorpNet 액세스 수준을 충족하면 true를 반환합니다.

"accessPolicies/199923665455/accessLevels/CorpNet"
    in request.auth.access_levels

요청된 API 속성을 가져옵니다.

매개변수

• attributeName: 가져올 API 속성입니다. 지원되는 값은 이 페이지의 Cloud Storage API 속성 및 IAM API 속성을 참조하세요.

• defaultValue: API 속성을 사용할 수 없는 경우에 사용할 기본값(V)입니다. 값 V는 T 유형이며, T는 API 속성의 값과 동일한 유형입니다. 예를 들어 API 속성 값이 문자열이면 빈 문자열 또는 undefined와 같은 자리표시자 문자열을 사용할 수 있습니다.

예

다음 중 하나를 반환합니다.

• Cloud Storage 버킷의 객체를 나열하는 요청의 경우 요청에 prefix 매개변수가 포함된 경우 함수는 해당 값을 반환합니다.
• prefix 매개변수를 생략하는 객체를 나열하는 요청과 기타 모든 유형의 요청의 경우 함수는 빈 문자열을 반환합니다.

api.getAttribute("storage.googleapis.com/objectListPrefix", "")

목록에 허용된 항목 또는 이러한 항목의 하위 집합이 포함되어 있는지 확인합니다. api.getAttribute()에서 반환되는 목록에서 함수를 호출합니다.

매개변수

items: 유형이 T인 항목의 목록입니다. 각 항목은 API 속성을 포함하도록 허용된 값입니다.

예

요청이 Pub/Sub 편집자(roles/pubsub.editor) 또는 Pub/Sub 게시자(roles/pubsub.publisher) 이외의 역할을 부여하거나 취소할지 확인합니다.

api.getAttribute('iam.googleapis.com/modifiedGrantsByRole', [])
    .hasOnly(['roles/pubsub.editor', 'roles/pubsub.publisher'])

다음은 다양한 요청 값의 결과를 보여줍니다.

부여/취소된 역할	결과
없음	true 수정된 역할이 없으면 api.getAttribute()가 기본값을 반환합니다. 이 속성의 경우 기본값이 항상 빈 목록입니다. 기본적으로 빈 목록은 허용 목록에 없는 값을 포함하지 않습니다.
roles/pubsub.editor	true 역할이 허용 목록에 있습니다.
roles/pubsub.editor roles/pubsub.publisher	true 두 역할 모두 허용 목록에 있습니다.
roles/billing.admin	false 역할이 허용 목록에 있습니다.
roles/billing.admin roles/pubsub.editor	false 한 역할은 허용 목록에 있지만 다른 역할은 그렇지 않습니다.

버킷의 객체 나열 요청의 경우 요청의 prefix 매개변수 값이 포함됩니다. prefix 매개변수를 생략하는 요청에서는 이 속성이 정의되지 않습니다.

다른 유형의 요청에서는 이 속성이 정의되지 않습니다.

리소스의 허용 정책을 설정하기 위한 요청의 경우 이 속성에는 요청이 수정하는 결합의 역할 이름이 포함됩니다.

다른 유형의 요청에서는 이 속성이 정의되지 않습니다.

다음 리소스 유형은 해당 허용 정책에서 modifiedGrantsByRole 속성의 조건을 허용합니다.

• 프로젝트
• 폴더
• 조직

다음 서비스는 modifiedGrantsByRole 속성을 인식합니다.

• API 게이트웨이
• AutoML
• Certificate Authority Service
• Cloud Run Functions
• Cloud Healthcare API
• Cloud IoT
• Cloud Key Management Service
• Cloud Run
• Cloud Runtime Configuration API
• Cloud Storage
• Compute Engine
• Artifact Analysis
• Dataproc
• Earth Engine
• Game Servers
• Identity and Access Management
• IAP(Identity-Aware Proxy)
• Microsoft Active Directory용 관리형 서비스
• 사용자 관리형 노트북
• Resource Manager
• Secret Manager
• 서비스 관리

날짜를 string에서 Timestamp로 변환합니다.

매개변수

value: YYYY-MM-DD 형식의 날짜에서 YYYY는 연도, MM는 두 자리 월, DD는 두 자리 일입니다. 생성된 Timestamp에는 지정된 날짜와 시간(00:00:00.000 UTC)이 포함됩니다.

예

날짜 2023-02-01와 시간 00:00:00.000 UTC를 나타내는 Timestamp를 만듭니다.

date("2023-02-01")

시간을 string에서 Duration으로 변환합니다.

매개변수

value: 초 단위의 Duration 뒤에 s가 옵니다.

예시

1.5분을 나타내는 기간을 만듭니다.

duration("90s")

30일을 나타내는 기간을 만듭니다.

duration("2592000s")

string을 Timestamp으로 변환합니다.

매개변수

value: RFC 3339를 준수하는 UTC 타임스탬프입니다.

예

2023년 4월 12일 23:20:50.52(UTC)를 나타내는 타임스탬프를 만듭니다.

timestamp("2023-04-12T23:20:50.52Z")

두 개의 Timestamp 값을 비교합니다.

예시

요청 시간이 2022년 4월 12일 00:00:00 UTC 이전(해당 시점 불포함)인 경우 true를 반환합니다.

request.time < timestamp("2022-04-12T00:00:00.00Z")

요청 시간이 2022년 4월 12일 00:00:00 UTC 이전(해당 시점 포함)인 경우 true를 반환합니다.

request.time <= timestamp("2022-04-12T00:00:00.00Z")

요청 시간이 2022년 4월 12일 00:00:00 UTC 이후(해당 시점 불포함)인 경우 true를 반환합니다.

request.time > timestamp("2022-04-12T00:00:00.00Z")

요청 시간이 2022년 4월 12일 00:00:00 UTC 이후(해당 시점 포함)인 경우 true를 반환합니다.

request.time >= timestamp("2022-04-12T00:00:00.00Z")

• timestamp + duration trending_flat  Timestamp
• timestamp - duration trending_flat  Timestamp

Timestamp에서 Duration을 더하거나 뺍니다.

예시

2024년 4월 12일 14:30:00 UTC에서 30분 후에 해당하는 Timestamp를 반환합니다.

timestamp("2024-04-12T14:30:00.00Z") + duration("1800s")

2024년 4월 12일 14:30:00 UTC에서 60일 전에 해당하는 Timestamp를 반환합니다.

timestamp("2024-04-12T14:30:00.00Z") - duration("5184000s")

Timestamp에서 월중 날짜를 가져옵니다. 이 값은 1 기준 색인을 사용합니다. 즉, 한 달의 첫 날은 1입니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

예

해당 월의 15일(UTC) 후에 요청이 전송되면 true를 반환합니다.

request.time.getDate() > 15

Timestamp에서 월중 날짜를 가져옵니다. 이 값은 0 기준 색인을 사용합니다. 즉, 한 달의 첫 날은 0입니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

예

해당 월의 15일(UTC) 후에 요청이 전송되면 true를 반환합니다.

request.time.getDayOfMonth() > 14

Timestamp에서 요일을 가져옵니다. 이 값은 0 기준 색인을 사용합니다. 예를 들어 일요일은 0입니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

예

독일 베를린에서 월요일과 금요일 사이에 요청이 전송되는 경우 true를 반환합니다.

request.time.getDayOfWeek("Europe/Berlin") > 0 &&
    request.time.getDayOfWeek("Europe/Berlin") < 6

Timestamp에서 연중 날짜를 가져옵니다. 이 값은 0 기준 색인을 사용합니다. 즉, 그 해의 첫 번째 날은 0입니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

예

1년 중 첫 5일 동안 캘리포니아주 마운틴뷰에서 요청이 전송되면 true를 반환합니다.

request.time.getDayOfYear("America/Los_Angeles") >= 0 &&
    request.time.getDayOfYear("America/Los_Angeles") < 5

Timestamp에서 연도를 가져옵니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

예

2023년 동안 캘리포니아주 마운틴뷰에서 요청이 전송된 경우 true가 반환됩니다.

request.time.getFullYear("America/Los_Angeles") == 2023

요청이 UTC로 2022년 중에 전송된 경우 true를 반환합니다.

request.time.getFullYear() == 2022

Timestamp에서 시간을 가져옵니다. 이 값은 0 기준 색인을 사용합니다. 값의 범위는 0~23입니다.

이 함수를 getDayofWeek()와 결합하여 관할권에서 허용되는 근무 시간 동안에만 액세스 권한을 부여할 수 있습니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

예

독일 베를린 시간으로 평일 09:00(오전 9시)부터 17:00(오후 5시) 사이에 요청이 전송되면 true를 반환합니다.

request.time.getDayOfWeek("Europe/Berlin") >= 1 &&
    request.time.getDayOfWeek("Europe/Berlin") <= 5 &&
    request.time.getHours("Europe/Berlin") >= 9 &&
    request.time.getHours("Europe/Berlin") <= 17

Timestamp에서 밀리초 수를 가져옵니다. 이 값은 0 기준 색인을 사용합니다. 값의 범위는 0~999입니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

Timestamp에서 시간 다음의 분을 가져옵니다. 이 값은 0 기준 색인을 사용합니다. 값의 범위는 0~59입니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

예

독일 베를린 시간으로 09:30(오전 9시 30분) 또는 그 이후에 요청이 전송되면 true를 반환합니다.

request.time.getHours("Europe/Berlin") >= 9 &&
    request.time.getMinutes("Europe/Berlin") >= 30

Timestamp에서 연중 해당 월을 가져옵니다. 이 값은 0 기준 색인을 사용합니다. 값의 범위는 0~11입니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

예

4월에 캘리포니아주 마운틴뷰에서 요청이 전송된 경우 true를 반환합니다.

request.time.getMonth("America/Los_Angeles") == 3

Timestamp에서 초 수를 가져옵니다. 이 값은 0 기준 색인을 사용합니다. 값의 범위는 0~59입니다.

매개변수

timeZone: 결과를 계산할 시간대입니다. 기본값은 UTC입니다.

이 표에서 두 함수의 출력을 비교합니다.

요청이 전달 규칙을 만드는지 확인합니다.

예

compute.matchLoadBalancingSchemes()의 예시를 참고하세요.

요청이 지정된 유형의 부하 분산 스키마 중 하나에 영향을 미치는지 확인합니다. 각 부하 분산 스키마의 식별자와 자세한 내용은 Google Cloud 부하 분산기에서 IAM 조건 사용을 참고하세요.

매개변수

schemes: 요청이 영향을 줄 수 있는 부하 분산 스키마입니다.

예

다음 중 하나를 반환합니다.

• 요청이 전달 규칙을 만들지 않는 경우 true를 반환합니다.
• 요청이 전달 규칙을 만드는 경우 전달 규칙이 INTERNAL, INTERNAL_MANAGED 또는 INTERNAL_SELF_MANAGED 부하 분산 스키마에 영향을 미치는 경우에만 true를 반환합니다.

!compute.isForwardingRuleCreationOperation() || (
  compute.isForwardingRuleCreationOperation() &&
  compute.matchLoadBalancingSchemes([
    'INTERNAL', 'INTERNAL_MANAGED', 'INTERNAL_SELF_MANAGED'
  ])
)

요청 경로가 지정된 URL 경로와 동일하면 true를 반환합니다.

request.path == "/admin"

request.path == "/admin/payroll"

요청 경로가 지정된 URL 경로로 시작되면 true를 반환합니다.

request.path.startsWith("/admin")

요청 경로가 지정된 URL 경로로 끝나면 true를 반환합니다.

request.path.endsWith("/payroll.js")

• IAP(Identity-Aware Proxy) 앱 서비스 버전(App Engine): IAP(Identity-Aware Proxy)를 사용하여 App Engine 또는 Compute Engine에서 실행되는 웹 애플리케이션에 액세스하는 요청에 사용할 수 있습니다.
• Cloud Run 서비스

호스트 이름이 지정된 값과 동일한 경우 true를 반환합니다.

request.host == "www.example.com"

request.host == "hr.example.com"

호스트 이름이 지정된 값으로 끝나면 true를 반환합니다.

request.host.endsWith("example.com")

• IAP(Identity-Aware Proxy) 앱 서비스 버전(App Engine): IAP(Identity-Aware Proxy)를 사용하여 앱 서비스 버전에 액세스하는 요청에 사용할 수 있습니다.
• Cloud Run 서비스