Membuat dan menerapkan kebijakan batas akses akun utama

Konsol

1. Di konsol Google Cloud , buka halaman Principal Access Boundary policies.

   Buka kebijakan Batas Akses Principal

2. Pilih organisasi yang ingin Anda buat kebijakan batas akses utama.

3. Klik add_box Buat kebijakan.

4. Tambahkan aturan batas akses akun utama ke kebijakan:

   1. Klik add_box Tambahkan aturan batas.
   2. Di kolom Deskripsi, tambahkan deskripsi aturan kebijakan batas akses utama. Deskripsi dapat berisi maksimal 256 karakter.

   3. Di bagian Resources, masukkan semua resource Resource Manager (project, folder, dan organisasi) yang Anda inginkan agar pokok dapat mengaksesnya. Akun utama yang tunduk pada kebijakan ini berhak mengakses resource ini.

      Setiap kebijakan batas akses akun utama dapat mereferensikan maksimal 500 resource di semua aturan dalam kebijakan.

   4. Klik Selesai.

   5. Untuk menambahkan aturan kebijakan tambahan, ulangi langkah-langkah ini. Setiap kebijakan batas akses akun utama dapat memiliki hingga 500 aturan.

5. Di bagian Nama kebijakan, masukkan nama untuk kebijakan. Nama dapat berisi maksimal 63 karakter.

6. Dalam daftar Versi penegakan, pilih versi penegakan untuk kebijakan. Versi kebijakan batas akses akun utama menentukan izin yang diterapkan IAM untuk kebijakan batas akses akun utama.

   Untuk mengetahui informasi selengkapnya tentang versi penerapan, lihat Versi penerapan batas akses utama.

7. Klik Buat.

gcloud

Perintah gcloud iam principal-access-boundary-policies create membuat kebijakan batas akses utama.

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

• ORG_ID: ID organisasi tempat Anda ingin membuat kebijakan batas akses utama. ID organisasi berupa angka, seperti 123456789012.
• PAB_POLICY_ID: ID unik untuk kebijakan batas akses utama—misalnya, example-policy. :
• DISPLAY_NAME: Opsional. Deskripsi kebijakan batas akses utama yang dapat dibaca manusia, misalnya, Example policy. Nama tampilan dapat terdiri dari maksimal 63 karakter.

• FILE_PATH: Jalur ke file JSON yang berisi detail aturan kebijakan batas akses utama. File ini harus memiliki format berikut:

  {
    "description": DESCRIPTION,
    "resources": [
      RESOURCES
    ],
    "effect": ALLOW
  }
      

  Ganti nilai berikut:

  • DESCRIPTION: Opsional. Deskripsi aturan kebijakan batas akses utama. Deskripsi dapat berisi maksimal 256 karakter.

  • RESOURCES: Daftar resource Resource Manager (project, folder, dan organisasi) yang Anda inginkan agar pokok dapat mengaksesnya. Akun utama yang tunduk pada kebijakan ini memenuhi syarat untuk mengakses resource ini.

    Setiap kebijakan batas akses akun utama dapat mereferensikan maksimal 500 resource di semua aturan dalam kebijakan.

• ENFORCEMENT_VERSION: Versi kebijakan batas akses akun utama yang digunakan IAM saat menerapkan kebijakan. Versi penerapan menentukan izin yang diterapkan IAM untuk kebijakan batas akses akun utama.

  Nilai yang diterima adalah 1, 2, 3, dan latest.

  Untuk mengetahui informasi selengkapnya tentang versi penerapan, lihat Versi penerapan batas akses utama.

Jalankan perintah berikut:

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID \
    --organization=ORG_ID --location=global \
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json \
    --details-enforcement-version=ENFORCEMENT_VERSION

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID `
    --organization=ORG_ID --location=global `
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json `
    --details-enforcement-version=ENFORCEMENT_VERSION

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID ^
    --organization=ORG_ID --location=global ^
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json ^
    --details-enforcement-version=ENFORCEMENT_VERSION

Respons berisi operasi yang berjalan lama yang mewakili permintaan Anda. Untuk mempelajari cara mendapatkan status operasi yang berjalan lama, lihat Memeriksa status operasi yang berjalan lama di halaman ini.

Create request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715373988044-6181fa136df85-3b06a30a-4816d25b] to complete...done.
Created principalAccessBoundaryPolicy [example-policy].

REST

Metode principalAccessBoundaryPolicies.create membuat kebijakan batas akses utama.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

• ORG_ID: ID organisasi tempat Anda ingin membuat kebijakan batas akses utama. ID organisasi berupa angka, seperti 123456789012.
• PAB_POLICY_ID: ID unik untuk kebijakan batas akses utama—misalnya, example-policy.
• DISPLAY_NAME: Opsional. Deskripsi kebijakan batas akses utama yang dapat dibaca manusia, misalnya, Example policy. Nama tampilan dapat terdiri dari maksimal 63 karakter.

• PAB_RULES: Daftar aturan batas akses utama, yang menentukan resource yang dapat diakses oleh akun utama yang terpengaruh. Kebijakan batas akses utama dapat memiliki hingga 500 aturan. Setiap aturan memiliki format berikut:

  {
  "description": "DESCRIPTION",
  "resources": [
    RESOURCES
  ],
  "effect": ALLOW
  }

  Ganti nilai berikut:

  • DESCRIPTION: Opsional. Deskripsi aturan kebijakan batas akses utama. Deskripsi dapat berisi maksimal 256 karakter.

  • RESOURCES: Daftar resource Resource Manager (project, folder, dan organisasi) yang Anda inginkan agar pokok dapat mengaksesnya. Akun utama yang tunduk pada kebijakan ini memenuhi syarat untuk mengakses resource ini.

    Setiap kebijakan batas akses akun utama dapat mereferensikan maksimal 500 resource di semua aturan dalam kebijakan.

• ENFORCEMENT_VERSION: Versi kebijakan batas akses akun utama yang digunakan IAM saat menerapkan kebijakan. Versi penerapan menentukan izin yang diterapkan IAM untuk kebijakan batas akses akun utama.

  Nilai yang diterima adalah 1, 2, 3, dan latest.

  Untuk mengetahui informasi selengkapnya tentang versi penerapan, lihat Versi penerapan batas akses utama.

Metode HTTP dan URL:

POST https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID

Meminta isi JSON:

{
  "displayName": DISPLAY_NAME,
  "details": {
    "rules": [
      PAB_RULES
    ],
    "effect": ALLOW
    }
  ],
  "enforcementVersion": "ENFORCEMENT_VERSION"
}

Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID" | Select-Object -Expand Content

Respons berisi operasi yang berjalan lama yang mewakili permintaan Anda. Untuk mempelajari cara mendapatkan status operasi yang berjalan lama, lihat Memeriksa status operasi yang berjalan lama di halaman ini.

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373120647-6181f6d8371d2-83309b71-2b8a7532",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:32:00.898809495Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

Konsol

1. Di konsol Google Cloud , buka halaman Principal Access Boundary policies.

   Buka kebijakan Batas Akses Principal

2. Pilih organisasi yang memiliki kebijakan batas akses utama yang ingin Anda buatkan binding-nya.

3. Klik ID kebijakan kebijakan batas akses utama yang ingin Anda buat pengikatannya.

4. Klik tab Bindings, lalu klik add_box Add binding.

5. Masukkan detail binding:

   1. Opsional: Di kolom Nama tampilan, masukkan nama tampilan untuk binding. Nama tampilan dapat terdiri dari maksimal 63 karakter.
   2. Di kolom Binding ID, masukkan nama unik untuk binding—misalnya, example-binding.

   3. Di bagian Target principal set, masukkan jenis dan ID principal set yang ingin Anda ikat kebijakannya. Anda tidak dapat mengubah nilai ini setelah membuat pengikatan kebijakan.

      Untuk mempelajari lebih lanjut prinsipal yang disertakan dalam setiap set prinsipal, lihat Set prinsipal yang didukung.

6. Opsional: Untuk menentukan akun utama mana dalam set akun utama yang kebijakan batas akses akun utama diterapkan, tambahkan kondisi ke binding:

   1. Klik add Tambahkan kondisi.
   2. Di kolom Judul, masukkan ringkasan singkat tentang tujuan kondisi.
   3. Opsional: Di kolom Deskripsi, masukkan deskripsi yang lebih panjang tentang kondisi tersebut.
   4. Di kolom Expression, masukkan ekspresi kondisi yang menggunakan sintaksis Common Expression Language (CEL). Ekspresi harus merujuk pada atribut principal.type atau principal.subject. Atribut lainnya tidak didukung.
   5. Klik Simpan.

7. Untuk membuat binding, klik Tambahkan.

gcloud

Perintah gcloud iam policy-bindings create membuat pengikatan kebijakan.

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

• BINDING_ID: Nama unik untuk binding kebijakan—misalnya, example-binding.

• RESOURCE_TYPE: Jenis resource Resource Manager (project, folder, atau organisasi) yang merupakan induk dari binding kebijakan. Gunakan nilai project, folder, atau organization

  Jenis resource bergantung pada prinsipal yang ditetapkan dalam pengikatan kebijakan. Untuk melihat jenis resource yang akan digunakan, lihat Jenis utama yang didukung.

• RESOURCE_ID: ID project, folder, atau organisasi yang menjadi induk binding kebijakan. Project ID adalah string alfanumerik, seperti my-project. Folder dan ID organisasi berupa numerik, seperti 123456789012.
• ORG_ID: ID organisasi yang memiliki kebijakan batas akses utama yang ingin Anda ikat ke set utama. ID organisasi berupa angka, seperti 123456789012.
• PAB_POLICY_ID: ID kebijakan batas akses utama yang ingin Anda ikat ke set utama—misalnya, example-pab-policy. Anda tidak dapat mengubah nilai ini setelah membuat pengikatan kebijakan.
• PRINCIPAL_SET: Set akun utama yang ingin Anda ikat dengan kebijakan. Untuk mengetahui daftar jenis akun utama yang valid, lihat Set akun utama yang didukung. Anda tidak dapat mengubah nilai ini setelah membuat pengikatan kebijakan.
• DISPLAY_NAME: Opsional. Deskripsi binding yang dapat dibaca manusia—misalnya, Example binding. Nama tampilan dapat terdiri dari maksimal 63 karakter.

• CONDITION_DETAILS: Opsional. Ekspresi kondisi yang menentukan akun utama mana dalam set akun utama yang kebijakan batas akses akun utamanya diterapkan. Berisi kolom berikut:

  • expression: Ekspresi kondisi yang menggunakan sintaksis Common Expression Language (CEL). Ekspresi harus mereferensikan atribut principal.type atau principal.subject. Atribut lainnya tidak didukung.

    Ekspresi dapat berisi hingga 10 operator logis (&&, ||, !), dan panjangnya bisa mencapai 250 karakter.

  • title: Opsional. Rangkuman singkat dari tujuan terhadap kondisi.
  • description: Opsional. Deskripsi panjang dari kondisi.

Jalankan perintah berikut:

gcloud iam policy-bindings create BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global \
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" \
    --target-principal-set=PRINCIPAL_SET_ID \
    --display-name=DISPLAY_NAME \
    CONDITION_DETAILS

gcloud iam policy-bindings create BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global `
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" `
    --target-principal-set=PRINCIPAL_SET_ID `
    --display-name=DISPLAY_NAME `
    CONDITION_DETAILS

gcloud iam policy-bindings create BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global ^
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" ^
    --target-principal-set=PRINCIPAL_SET_ID ^
    --display-name=DISPLAY_NAME ^
    CONDITION_DETAILS

Respons berisi operasi yang berjalan lama yang mewakili permintaan Anda. Untuk mempelajari cara mendapatkan status operasi yang berjalan lama, lihat Memeriksa status operasi yang berjalan lama di halaman ini.

Create request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374545618-6181fc272c6f9-55ff07f4-97d0ac76] to complete...done.
Created policyBinding [example-binding].

REST

Metode policyBindings.create membuat binding kebijakan.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

• RESOURCE_TYPE: Jenis resource Resource Manager (project, folder, atau organisasi) yang merupakan induk dari binding kebijakan. Gunakan nilai projects, folders, atau organizations

  Jenis resource bergantung pada prinsipal yang ditetapkan dalam pengikatan kebijakan. Untuk melihat jenis resource yang akan digunakan, lihat Jenis utama yang didukung.

• RESOURCE_ID: ID project, folder, atau organisasi yang menjadi induk binding kebijakan. Project ID adalah string alfanumerik, seperti my-project. Folder dan ID organisasi berupa numerik, seperti 123456789012.
• BINDING_ID: Nama unik untuk binding kebijakan—misalnya, example-binding.
• DISPLAY_NAME: Opsional. Deskripsi binding yang dapat dibaca manusia—misalnya, Example binding. Nama tampilan dapat terdiri dari maksimal 63 karakter.
• PRINCIPAL_SET: Set akun utama yang ingin Anda ikat dengan kebijakan. Untuk mengetahui daftar jenis akun utama yang valid, lihat Set akun utama yang didukung. Anda tidak dapat mengubah nilai ini setelah membuat pengikatan kebijakan.
• ORG_ID: ID organisasi yang memiliki kebijakan batas akses utama yang ingin Anda ikat ke set utama. ID organisasi berupa angka, seperti 123456789012.
• PAB_POLICY_ID: ID kebijakan batas akses utama yang ingin Anda ikat ke set utama—misalnya, example-pab-policy. Anda tidak dapat mengubah nilai ini setelah membuat pengikatan kebijakan.

• CONDITION_DETAILS: Opsional. Ekspresi kondisi yang menentukan akun utama mana dalam set akun utama yang kebijakan batas akses akun utamanya diterapkan. Berisi kolom berikut:

  • expression: Ekspresi kondisi yang menggunakan sintaksis Common Expression Language (CEL). Ekspresi harus mereferensikan atribut principal.type atau principal.subject. Atribut lainnya tidak didukung.

    Ekspresi dapat berisi hingga 10 operator logis (&&, ||, !), dan panjangnya bisa mencapai 250 karakter.

  • title: Opsional. Rangkuman singkat dari tujuan terhadap kondisi.
  • description: Opsional. Deskripsi panjang dari kondisi.

Metode HTTP dan URL:

POST https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID

Meminta isi JSON:

{
  "displayName": DISPLAY_NAME,
  "target": {
    "principalSet": PRINCIPAL_SET
  },
  "policyKind": "PRINCIPAL_ACCESS_BOUNDARY",
  "policy": "organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID",
  "condition": {
    CONDITION_DETAILS
  }
}

Untuk mengirim permintaan Anda, perluas salah satu opsi berikut:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID" | Select-Object -Expand Content

Respons berisi operasi yang berjalan lama yang mewakili permintaan Anda. Untuk mempelajari cara mendapatkan status operasi yang berjalan lama, lihat Memeriksa status operasi yang berjalan lama di halaman ini.

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373120647-6181f6d8371d2-83309b71-2b8a7532",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:32:00.898809495Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

REST

Metode operations.get menampilkan status operasi yang berjalan lama.

Sebelum menggunakan salah satu data permintaan, lakukan penggantian berikut:

• OPERATION_NAME: Nama lengkap operasi. Anda menerima nama ini sebagai respons atas permintaan asli Anda.

  Nama operasi memiliki format berikut:

        RESOURCE_TYPE/RESOURCE_ID/locations/global/operations/OPERATION_ID
      

Metode HTTP dan URL:

GET https://iam.googleapis.com/v3/OPERATION_NAME

Untuk mengirim permintaan, perluas salah satu opsi berikut:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/OPERATION_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/OPERATION_NAME" | Select-Object -Expand Content

Anda akan melihat respons JSON seperti berikut:

{
  "name": "organizations/314340013352/locations/global/operations/operation-1732752311821-627edd607a3df-9a62cdea-2a7d9f07",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-11-28T00:05:12.006289686Z",
    "endTime": "2024-11-28T00:05:12.192141801Z",
    "target": "organizations/314340013352/locations/global/principalAccessBoundaryPolicies/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": true,
  "response": {
    PAB_POLICY
  }
}

Jika kolom done operasi tidak ada, terus pantau statusnya dengan mendapatkan operasi tersebut berulang kali. Gunakan backoff eksponensial terpotong untuk menambahkan penundaan di antara setiap permintaan. Saat kolom done ditetapkan ke true, operasi akan selesai, dan Anda dapat berhenti mendapatkan operasi tersebut.