Creare e applicare i criteri di confine dell'accesso dell'entità

Console

1. Nella console Google Cloud , vai alla pagina Policy di Principal Access Boundary.

   Vai alle policy di Principal Access Boundary

2. Seleziona l'organizzazione per cui vuoi creare le policy di Principal Access Boundary.

3. Fai clic su add_box Crea criterio.

4. Aggiungi regole di Principal Access Boundary al criterio:

   1. Fai clic su add_box Aggiungi regola di confine.
   2. Nel campo Descrizione, aggiungi una descrizione della regola dei criteri di Principal Access Boundary. La descrizione può contenere un massimo di 256 caratteri.

   3. Nella sezione Risorse, inserisci tutte le risorse di Resource Manager (progetti, cartelle e organizzazioni) a cui vuoi che le entità possano accedere. Qualsiasi entità soggetta a questa policy è idonea ad accedere a queste risorse.

      Ogni policy di Principal Access Boundary può fare riferimento a un massimo di 500 risorse in tutte le regole della policy.

   4. Fai clic su Fine.

   5. Per aggiungere altre regole delle norme, ripeti questi passaggi. Ogni policy di Principal Access Boundary può avere fino a 500 regole.

5. Nella sezione Nome criterio, inserisci un nome per il criterio. Il nome può contenere un massimo di 63 caratteri.

6. Nell'elenco Versione di applicazione, seleziona la versione di applicazione per le norme. La versione del criterio di Principal Access Boundary determina le autorizzazioni per cui IAM applica il criterio di Principal Access Boundary.

   Per saperne di più sulle versioni di applicazione, consulta Versioni di applicazione di Principal Access Boundary.

7. Fai clic su Crea.

gcloud

Il comando gcloud iam principal-access-boundary-policies create crea una policy di Principal Access Boundary.

Prima di utilizzare i dati dei comandi riportati di seguito, apporta le seguenti sostituzioni:

• ORG_ID: l'ID dell'organizzazione in cui vuoi creare la policy di Principal Access Boundary. Gli ID organizzazione sono numerici, ad esempio 123456789012.
• PAB_POLICY_ID: un ID univoco per il criterio del limite di accesso principale, ad esempio example-policy. :
• DISPLAY_NAME: (Facoltativo). Una descrizione leggibile della policy di Principal Access Boundary, ad esempio Example policy. Il nome visualizzato può contenere un massimo di 63 caratteri.

• FILE_PATH: il percorso di un file JSON contenente i dettagli della regola della policy Principal Access Boundary. Questo file deve avere il seguente formato:

  {
    "description": DESCRIPTION,
    "resources": [
      RESOURCES
    ],
    "effect": ALLOW
  }
      

  Sostituisci i seguenti valori:

  • DESCRIPTION: (Facoltativo). La descrizione della regola dei criteri di Principal Access Boundary. La descrizione può contenere un massimo di 256 caratteri.

  • RESOURCES: un elenco di risorse Resource Manager (progetti, cartelle e organizzazioni) a cui vuoi che le entità abbiano diritto di accesso. Qualsiasi entità soggetta a questo criterio è idonea ad accedere a queste risorse.

    Ogni policy di Principal Access Boundary può fare riferimento a un massimo di 500 risorse in tutte le regole della policy.

• ENFORCEMENT_VERSION: la versione delle policy di Principal Access Boundary che IAM utilizza per applicare la policy. La versione di applicazione determina per quali autorizzazioni IAM applica il criterio di Principal Access Boundary.

  I valori accettati sono 1, 2, 3 e latest.

  Per saperne di più sulle versioni dell'applicazione, consulta Versioni dell'applicazione di Principal Access Boundary.

Esegui questo comando:

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID \
    --organization=ORG_ID --location=global \
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json \
    --details-enforcement-version=ENFORCEMENT_VERSION

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID `
    --organization=ORG_ID --location=global `
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json `
    --details-enforcement-version=ENFORCEMENT_VERSION

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID ^
    --organization=ORG_ID --location=global ^
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json ^
    --details-enforcement-version=ENFORCEMENT_VERSION

La risposta contiene un'operazione a lunga esecuzione che rappresenta la tua richiesta. Per scoprire come ottenere lo stato di un'operazione a lunga esecuzione, consulta Controllare lo stato di un'operazione a lunga esecuzione in questa pagina.

Create request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715373988044-6181fa136df85-3b06a30a-4816d25b] to complete...done.
Created principalAccessBoundaryPolicy [example-policy].

REST

Il metodo principalAccessBoundaryPolicies.create crea una policy di Principal Access Boundary.

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

• ORG_ID: l'ID dell'organizzazione in cui vuoi creare la policy di Principal Access Boundary. Gli ID organizzazione sono numerici, ad esempio 123456789012.
• PAB_POLICY_ID: un ID univoco per il criterio del limite di accesso principale, ad esempio example-policy.
• DISPLAY_NAME: (Facoltativo). Una descrizione leggibile della policy di Principal Access Boundary, ad esempio Example policy. Il nome visualizzato può contenere un massimo di 63 caratteri.

• PAB_RULES: un elenco di regole di Principal Access Boundary, che definiscono le risorse a cui le entità interessate possono accedere. Una policy di Principal Access Boundary può avere fino a 500 regole. Ogni regola ha il seguente formato:

  {
  "description": "DESCRIPTION",
  "resources": [
    RESOURCES
  ],
  "effect": ALLOW
  }

  Sostituisci i seguenti valori:

  • DESCRIPTION: (Facoltativo). La descrizione della regola dei criteri di Principal Access Boundary. La descrizione può contenere un massimo di 256 caratteri.

  • RESOURCES: un elenco di risorse Resource Manager (progetti, cartelle e organizzazioni) a cui vuoi che le entità abbiano diritto di accesso. Qualsiasi entità soggetta a questo criterio è idonea ad accedere a queste risorse.

    Ogni policy di Principal Access Boundary può fare riferimento a un massimo di 500 risorse in tutte le regole della policy.

• ENFORCEMENT_VERSION: la versione delle policy di Principal Access Boundary che IAM utilizza per applicare la policy. La versione di applicazione determina per quali autorizzazioni IAM applica il criterio di Principal Access Boundary.

  I valori accettati sono 1, 2, 3 e latest.

  Per saperne di più sulle versioni dell'applicazione, consulta Versioni dell'applicazione di Principal Access Boundary.

Metodo HTTP e URL:

POST https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID

Corpo JSON della richiesta:

{
  "displayName": DISPLAY_NAME,
  "details": {
    "rules": [
      PAB_RULES
    ],
    "effect": ALLOW
    }
  ],
  "enforcementVersion": "ENFORCEMENT_VERSION"
}

Per inviare la richiesta, espandi una di queste opzioni:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID" | Select-Object -Expand Content

La risposta contiene un'operazione a lunga esecuzione che rappresenta la tua richiesta. Per scoprire come ottenere lo stato di un'operazione a lunga esecuzione, consulta Controllare lo stato di un'operazione a lunga esecuzione in questa pagina.

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373120647-6181f6d8371d2-83309b71-2b8a7532",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:32:00.898809495Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

Console

1. Nella console Google Cloud , vai alla pagina Policy di Principal Access Boundary.

   Vai alle policy di Principal Access Boundary

2. Seleziona l'organizzazione proprietaria della policy di Principal Access Boundary per cui vuoi creare un'associazione.

3. Fai clic sull'ID della policy di Principal Access Boundary per cui vuoi creare un'associazione.

4. Fai clic sulla scheda Associazioni, poi su add_box Aggiungi associazione.

5. Inserisci i dettagli del collegamento:

   1. (Facoltativo) Nel campo Nome visualizzato, inserisci un nome visualizzato per il binding. Il nome visualizzato può contenere un massimo di 63 caratteri.
   2. Nel campo ID binding, inserisci un nome univoco per il binding, ad esempio example-binding.

   3. Nella sezione Set di entità target, inserisci il tipo e l'ID del set di entità a cui vuoi associare la policy. Non puoi modificare questo valore dopo aver creato l'associazione di criteri.

      Per saperne di più sulle entità incluse in ogni set di entità, consulta Set di entità supportati.

6. (Facoltativo) Per specificare per quali entità nel set di entità viene applicata la policy di Principal Access Boundary, aggiungi una condizione all'associazione:

   1. Fai clic su add Aggiungi condizione.
   2. Nel campo Titolo, inserisci un breve riepilogo dello scopo della condizione.
   3. (Facoltativo) Nel campo Descrizione, inserisci una descrizione più lunga della condizione.
   4. Nel campo Espressione, inserisci l'espressione della condizione che utilizza la sintassi del Common Expression Language (CEL). L'espressione deve fare riferimento agli attributi principal.type o principal.subject. Gli altri attributi non sono supportati.
   5. Fai clic su Salva.

7. Per creare l'associazione, fai clic su Aggiungi.

gcloud

Il comando gcloud iam policy-bindings create crea un'associazione di policy.

Prima di utilizzare i dati dei comandi riportati di seguito, apporta le seguenti sostituzioni:

• BINDING_ID: un nome univoco per l'associazione di policy, ad esempio example-binding.

• RESOURCE_TYPE: il tipo di risorsa Resource Manager (progetto, cartella o organizzazione) di cui l'associazione di criteri è un elemento secondario. Utilizza il valore project, folder o organization

  Il tipo di risorsa dipende dall'entità impostata nell'associazione di policy. Per scoprire quale tipo di risorsa utilizzare, consulta Tipi di entità di sicurezza supportati.

• RESOURCE_ID: l'ID del progetto, della cartella o dell'organizzazione di cui è figlio il binding della policy. Gli ID progetto sono stringhe alfanumeriche, come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
• ORG_ID: l'ID dell'organizzazione proprietaria della policy di Principal Access Boundary che vuoi associare al set di entità. Gli ID organizzazione sono numerici, ad esempio 123456789012.
• PAB_POLICY_ID: l'ID della policy di Principal Access Boundary che vuoi associare al set di entità, ad esempio example-pab-policy. Non puoi modificare questo valore dopo aver creato l'associazione di criteri.
• PRINCIPAL_SET: Il set di entità a cui vuoi associare la policy. Per un elenco dei tipi di entità validi, consulta Set di entità supportati. Non puoi modificare questo valore dopo aver creato l'associazione di policy.
• DISPLAY_NAME: (Facoltativo). Una descrizione leggibile dell'associazione, ad esempio Example binding. Il nome visualizzato può contenere un massimo di 63 caratteri.

• CONDITION_DETAILS: (Facoltativo). Un'espressione di condizione che specifica per quali entità nel set di entità viene applicata la policy di Principal Access Boundary. Contiene i seguenti campi:

  • expression: un'espressione di condizione che utilizza la sintassi di Common Expression Language (CEL). L'espressione deve fare riferimento agli attributi principal.type o principal.subject. Gli altri attributi non sono supportati.

    L'espressione può contenere fino a 10 operatori logici (&&, ||, !) e può essere lunga fino a 250 caratteri.

  • title: (Facoltativo). Un breve riepilogo dello scopo della condizione.
  • description: (Facoltativo). Una descrizione più lunga della condizione.

Esegui questo comando:

gcloud iam policy-bindings create BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global \
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" \
    --target-principal-set=PRINCIPAL_SET_ID \
    --display-name=DISPLAY_NAME \
    CONDITION_DETAILS

gcloud iam policy-bindings create BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global `
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" `
    --target-principal-set=PRINCIPAL_SET_ID `
    --display-name=DISPLAY_NAME `
    CONDITION_DETAILS

gcloud iam policy-bindings create BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global ^
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" ^
    --target-principal-set=PRINCIPAL_SET_ID ^
    --display-name=DISPLAY_NAME ^
    CONDITION_DETAILS

La risposta contiene un'operazione a lunga esecuzione che rappresenta la tua richiesta. Per scoprire come ottenere lo stato di un'operazione a lunga esecuzione, consulta Controllare lo stato di un'operazione a lunga esecuzione in questa pagina.

Create request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374545618-6181fc272c6f9-55ff07f4-97d0ac76] to complete...done.
Created policyBinding [example-binding].

REST

Il metodo policyBindings.create crea un'associazione di policy.

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

• RESOURCE_TYPE: il tipo di risorsa Resource Manager (progetto, cartella o organizzazione) di cui l'associazione di criteri è un elemento secondario. Utilizza il valore projects, folders o organizations

  Il tipo di risorsa dipende dall'entità impostata nell'associazione di policy. Per scoprire quale tipo di risorsa utilizzare, consulta Tipi di entità di sicurezza supportati.

• RESOURCE_ID: l'ID del progetto, della cartella o dell'organizzazione di cui è figlio il binding della policy. Gli ID progetto sono stringhe alfanumeriche, come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
• BINDING_ID: un nome univoco per l'associazione di policy, ad esempio example-binding.
• DISPLAY_NAME: (Facoltativo). Una descrizione leggibile dell'associazione, ad esempio Example binding. Il nome visualizzato può contenere un massimo di 63 caratteri.
• PRINCIPAL_SET: Il set di entità a cui vuoi associare la policy. Per un elenco dei tipi di entità validi, consulta Set di entità supportati. Non puoi modificare questo valore dopo aver creato l'associazione di policy.
• ORG_ID: l'ID dell'organizzazione proprietaria della policy di Principal Access Boundary che vuoi associare al set di entità. Gli ID organizzazione sono numerici, ad esempio 123456789012.
• PAB_POLICY_ID: l'ID della policy di Principal Access Boundary che vuoi associare al set di entità, ad esempio example-pab-policy. Non puoi modificare questo valore dopo aver creato l'associazione di criteri.

• CONDITION_DETAILS: (Facoltativo). Un'espressione di condizione che specifica per quali entità nel set di entità viene applicata la policy di Principal Access Boundary. Contiene i seguenti campi:

  • expression: un'espressione di condizione che utilizza la sintassi di Common Expression Language (CEL). L'espressione deve fare riferimento agli attributi principal.type o principal.subject. Gli altri attributi non sono supportati.

    L'espressione può contenere fino a 10 operatori logici (&&, ||, !) e può essere lunga fino a 250 caratteri.

  • title: (Facoltativo). Un breve riepilogo dello scopo della condizione.
  • description: (Facoltativo). Una descrizione più lunga della condizione.

Metodo HTTP e URL:

POST https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID

Corpo JSON della richiesta:

{
  "displayName": DISPLAY_NAME,
  "target": {
    "principalSet": PRINCIPAL_SET
  },
  "policyKind": "PRINCIPAL_ACCESS_BOUNDARY",
  "policy": "organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID",
  "condition": {
    CONDITION_DETAILS
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID" | Select-Object -Expand Content

La risposta contiene un'operazione a lunga esecuzione che rappresenta la tua richiesta. Per scoprire come ottenere lo stato di un'operazione a lunga esecuzione, consulta Controllare lo stato di un'operazione a lunga esecuzione in questa pagina.

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373120647-6181f6d8371d2-83309b71-2b8a7532",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:32:00.898809495Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

REST

Il metodo operations.get restituisce lo stato di un'operazione a lunga esecuzione.

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

• OPERATION_NAME: il nome completo dell'operazione. Riceverai questo nome nella risposta alla tua richiesta originale.

  Il nome dell'operazione ha il seguente formato:

        RESOURCE_TYPE/RESOURCE_ID/locations/global/operations/OPERATION_ID
      

Metodo HTTP e URL:

GET https://iam.googleapis.com/v3/OPERATION_NAME

Per inviare la richiesta, espandi una di queste opzioni:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/OPERATION_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/OPERATION_NAME" | Select-Object -Expand Content

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "organizations/314340013352/locations/global/operations/operation-1732752311821-627edd607a3df-9a62cdea-2a7d9f07",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-11-28T00:05:12.006289686Z",
    "endTime": "2024-11-28T00:05:12.192141801Z",
    "target": "organizations/314340013352/locations/global/principalAccessBoundaryPolicies/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": true,
  "response": {
    PAB_POLICY
  }
}

Se il campo done dell'operazione non è presente, continua a monitorarne lo stato recuperando ripetutamente l'operazione. Utilizza il backoff esponenziale troncato per introdurre un ritardo tra una richiesta e l'altra. Quando il campo done è impostato su true, l'operazione è completata e puoi interrompere la ricezione dell'operazione.