创建和应用主账号访问边界政策

控制台

1. 在 Google Cloud 控制台中，前往主账号访问权限边界政策页面。

   前往“主账号访问权限边界政策”

2. 选择要为其创建主账号访问边界政策的组织。

3. 点击 add_box 创建政策。

4. 向政策添加主账号访问边界规则：

   1. 点击 add_box 添加边界规则。
   2. 在说明字段中，添加对主账号访问权限边界政策规则的说明。说明最多可包含 256 个字符。

   3. 在资源部分中，输入您希望主账号有权访问的所有资源管理器资源（项目、文件夹和组织）。任何受此政策约束的主账号都有权访问这些资源。

      每个主账号访问权限边界政策在政策中的所有规则中最多可以引用 500 个资源。

   4. 点击完成。

   5. 如需添加其他政策规则，请重复执行上述步骤。每个主账号访问边界政策最多可以包含 500 条规则。

5. 在政策名称部分中，输入政策的名称。名称最多可以包含 63 个字符。

6. 在强制执行版本列表中，选择相应政策的强制执行版本。主账号访问权限边界政策版本决定了 IAM 会针对哪些权限强制执行主账号访问权限边界政策。

   如需详细了解强制执行版本，请参阅主账号访问边界强制执行版本。

7. 点击创建。

gcloud

gcloud beta iam principal-access-boundary-policies create 命令用于创建主账号访问边界政策。

在使用下面的命令数据之前，请先进行以下替换：

• ORG_ID：您要在其中创建主账号访问权限边界政策的组织的 ID。组织 ID 是数字，例如 123456789012。
• PAB_POLICY_ID：主账号访问权限边界政策的唯一 ID，例如 example-policy。:
• DISPLAY_NAME：可选。主账号访问权限边界政策的直观易懂说明，例如 Example policy。显示名称最多可包含 63 个字符。

• FILE_PATH：包含主账号访问权限边界政策规则详情的 JSON 文件的路径。此文件应采用以下格式：

  {
    "description": DESCRIPTION,
    "resources": [
      RESOURCES
    ],
    "effect": ALLOW
  }
      

  替换以下值：

  • DESCRIPTION：可选。主账号访问边界政策规则的说明。说明最多可包含 256 个字符。

  • RESOURCES：您希望主账号有权访问的 Resource Manager 资源（项目、文件夹和组织）的列表。任何受此政策约束的主账号都有权访问这些资源。

    每个主账号访问权限边界政策在其所有规则中最多可引用 500 项资源。

• ENFORCEMENT_VERSION：IAM 在强制执行政策时使用的主账号访问权限边界政策版本。执行版本决定了 IAM 会针对哪些权限执行主账号访问权限边界政策。

  可接受的值为 1 和 latest。

  如需详细了解强制执行版本，请参阅主账号访问边界强制执行版本。

执行以下命令：

gcloud beta iam principal-access-boundary-policies create PAB_POLICY_ID \
    --organization=ORG_ID --location=global \
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json \
    --details-enforcement-version=ENFORCEMENT_VERSION

gcloud beta iam principal-access-boundary-policies create PAB_POLICY_ID `
    --organization=ORG_ID --location=global `
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json `
    --details-enforcement-version=ENFORCEMENT_VERSION

gcloud beta iam principal-access-boundary-policies create PAB_POLICY_ID ^
    --organization=ORG_ID --location=global ^
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json ^
    --details-enforcement-version=ENFORCEMENT_VERSION

响应包含表示您的请求的长时间运行的操作。

Create request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715373988044-6181fa136df85-3b06a30a-4816d25b] to complete...done.
Created principalAccessBoundaryPolicy [example-policy].

REST

principalAccessBoundaryPolicies.create 方法可用于创建主账号访问边界政策。

在使用任何请求数据之前，请先进行以下替换：

• ORG_ID：您要在其中创建主账号访问权限边界政策的组织的 ID。组织 ID 是数字，例如 123456789012。
• PAB_POLICY_ID：主账号访问权限边界政策的唯一 ID，例如 example-policy。
• DISPLAY_NAME：可选。主账号访问权限边界政策的直观易懂说明，例如 Example policy。显示名称最多可包含 63 个字符。

• PAB_RULES：主账号访问权限边界规则列表，用于定义受影响的主账号可以访问的资源。主账号访问边界政策最多可以包含 500 条规则。每条规则的格式如下：

  {
  "description": "DESCRIPTION",
  "resources": [
    RESOURCES
  ],
  "effect": ALLOW
  }

  替换以下值：

  • DESCRIPTION：可选。主账号访问边界政策规则的说明。说明最多可包含 256 个字符。

  • RESOURCES：您希望主账号有权访问的 Resource Manager 资源（项目、文件夹和组织）的列表。任何受此政策约束的主账号都有权访问这些资源。

    每个主账号访问权限边界政策在其所有规则中最多可引用 500 项资源。

• ENFORCEMENT_VERSION：IAM 在强制执行政策时使用的主账号访问权限边界政策版本。执行版本决定了 IAM 会针对哪些权限执行主账号访问权限边界政策。

  可接受的值为 1 和 latest。

  如需详细了解强制执行版本，请参阅主账号访问边界强制执行版本。

HTTP 方法和网址：

POST https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID

请求 JSON 正文：

{
  "displayName": DISPLAY_NAME,
  "details": {
    "rules": [
      PAB_RULES
    ],
    "effect": ALLOW
    }
  ],
  "enforcementVersion": "ENFORCEMENT_VERSION"
}

如需发送您的请求，请展开以下选项之一：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3beta/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID" | Select-Object -Expand Content

响应包含表示您的请求的长时间运行的操作。

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373120647-6181f6d8371d2-83309b71-2b8a7532",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3beta.OperationMetadata",
    "createTime": "2024-05-10T20:32:00.898809495Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3beta"
  },
  "done": false
}

控制台

1. 在 Google Cloud 控制台中，前往主账号访问权限边界政策页面。

   前往“主账号访问权限边界政策”

2. 选择拥有您要为其创建绑定的主账号访问边界政策的组织。

3. 点击要为其创建绑定的 Principal Access Boundary Policy 的政策 ID。

4. 点击绑定关系标签页，然后点击 add_box 添加绑定关系。

5. 输入绑定详情：

   1. 可选：在显示名称字段中，输入该绑定的显示名称。显示名称最多可以包含 63 个字符。
   2. 在绑定 ID 字段中，输入绑定的唯一名称，例如 example-binding。

   3. 在目标主账号集部分中，输入要将政策绑定到的主账号集的类型和 ID。创建政策绑定后，您无法更改此值。

      如需详细了解每个主账号集中包含的主账号，请参阅支持的主账号集。

6. 可选：如需指定要针对哪些主账号设置主账号访问权限边界政策，请向绑定添加条件：

   1. 点击 add 添加条件。
   2. 在标题字段中，输入条件用途的简要摘要。
   3. 可选：在说明字段中，输入条件的详细说明。
   4. 在表达式字段中，输入使用通用表达式语言 (CEL) 语法的条件表达式。表达式必须引用 principal.type 或 principal.subject 属性。不支持其他属性。
   5. 点击保存。

7. 如需创建绑定，请点击添加。

gcloud

gcloud beta iam policy-bindings create 命令会创建政策绑定。

在使用下面的命令数据之前，请先进行以下替换：

• BINDING_ID：政策绑定的唯一名称，例如 example-binding。

• RESOURCE_TYPE：政策绑定是其子级的 Resource Manager 资源（项目、文件夹或组织）的类型。使用值 project、folder 或 organization。

  资源类型取决于政策绑定中设置的主账号。如需了解要使用哪种资源类型，请参阅支持的主账号类型。

• RESOURCE_ID：政策绑定是其子级的项目、文件夹或组织的 ID。项目 ID 是字母数字字符串，例如 my-project。文件夹和组织 ID 是数字，例如 123456789012。
• ORG_ID：拥有您要绑定到主账号集的主账号访问权限边界政策的组织的 ID。组织 ID 是数字，例如 123456789012。
• PAB_POLICY_ID：您要将其绑定到主账号集的主账号访问权限边界政策的 ID，例如 example-pab-policy。创建政策绑定后，您无法更改此值。
• PRINCIPAL_SET：您要将政策绑定到的主账号集。如需查看有效的主账号类型列表，请参阅支持的主账号集。创建政策绑定后，您无法更改此值。
• DISPLAY_NAME：可选。对该绑定的易于阅读的说明，例如 Example binding。显示名称最多可以包含 63 个字符。

• CONDITION_DETAILS：可选。一个条件表达式，用于指定要针对哪些主账号集的主账号强制执行主账号访问权限边界政策。包含以下字段：

  • expression：使用通用表达式语言 (CEL) 语法的条件表达式。表达式必须引用 principal.type 或 principal.subject 属性。不支持其他属性。

    该表达式最多可包含 10 个逻辑运算符（&&、||、!），长度不得超过 250 个字符。

  • title：可选。条件目的的简要摘要。
  • description：可选。条件的详细说明。

执行以下命令：

gcloud beta iam policy-bindings create BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global \
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" \
    --target-principal-set=PRINCIPAL_SET_ID \
    --display-name=DISPLAY_NAME \
    CONDITION_DETAILS

gcloud beta iam policy-bindings create BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global `
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" `
    --target-principal-set=PRINCIPAL_SET_ID `
    --display-name=DISPLAY_NAME `
    CONDITION_DETAILS

gcloud beta iam policy-bindings create BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global ^
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" ^
    --target-principal-set=PRINCIPAL_SET_ID ^
    --display-name=DISPLAY_NAME ^
    CONDITION_DETAILS

响应包含表示您的请求的长时间运行的操作。

Create request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374545618-6181fc272c6f9-55ff07f4-97d0ac76] to complete...done.
Created policyBinding [example-binding].

REST

policyBindings.create 方法用于创建政策绑定。

在使用任何请求数据之前，请先进行以下替换：

• RESOURCE_TYPE：政策绑定是其子级的 Resource Manager 资源（项目、文件夹或组织）的类型。使用值 projects、folders 或 organizations。

  资源类型取决于政策绑定中设置的主账号。如需了解要使用哪种资源类型，请参阅支持的主账号类型。

• RESOURCE_ID：政策绑定是其子级的项目、文件夹或组织的 ID。项目 ID 是字母数字字符串，例如 my-project。文件夹和组织 ID 是数字，例如 123456789012。
• BINDING_ID：政策绑定的唯一名称，例如 example-binding。
• DISPLAY_NAME：可选。对该绑定的易于阅读的说明，例如 Example binding。显示名称最多可以包含 63 个字符。
• PRINCIPAL_SET：您要将政策绑定到的主账号集。如需查看有效的主账号类型列表，请参阅支持的主账号集。创建政策绑定后，您无法更改此值。
• ORG_ID：拥有您要绑定到主账号集的主账号访问权限边界政策的组织的 ID。组织 ID 是数字，例如 123456789012。
• PAB_POLICY_ID：您要将其绑定到主账号集的主账号访问权限边界政策的 ID，例如 example-pab-policy。创建政策绑定后，您无法更改此值。

• CONDITION_DETAILS：可选。一个条件表达式，用于指定要针对哪些主账号集的主账号强制执行主账号访问权限边界政策。包含以下字段：

  • expression：使用通用表达式语言 (CEL) 语法的条件表达式。表达式必须引用 principal.type 或 principal.subject 属性。不支持其他属性。

    该表达式最多可包含 10 个逻辑运算符（&&、||、!），长度不得超过 250 个字符。

  • title：可选。条件目的的简要摘要。
  • description：可选。条件的详细说明。

HTTP 方法和网址：

POST https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID

请求 JSON 正文：

{
  "displayName": DISPLAY_NAME,
  "target": {
    "principalSet": PRINCIPAL_SET
  },
  "policyKind": "PRINCIPAL_ACCESS_BOUNDARY",
  "policy": "organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID",
  "condition": {
    CONDITION_DETAILS
  }
}

如需发送您的请求，请展开以下选项之一：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3beta/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID" | Select-Object -Expand Content

响应包含表示您的请求的长时间运行的操作。

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373120647-6181f6d8371d2-83309b71-2b8a7532",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3beta.OperationMetadata",
    "createTime": "2024-05-10T20:32:00.898809495Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3beta"
  },
  "done": false
}