Menghapus kebijakan batas akses akun utama

Kebijakan batas akses utama (PAB) memungkinkan Anda membatasi resource yang memenuhi syarat untuk diakses oleh sekumpulan akun utama. Jika Anda tidak ingin lagi kebijakan batas akses akun utama diterapkan untuk set akun utama, Anda dapat menghapus binding kebijakan yang mengikat kebijakan ke set akun utama. Jika ingin menghapus kebijakan batas akses akun utama dari semua set akun utama yang terikat dengannya, Anda dapat menghapus kebijakan tersebut.

Menghapus kebijakan batas akses akun utama dari set akun utama akan memiliki salah satu efek berikut:

• Jika akun utama dalam set akun utama tidak tunduk pada kebijakan batas akses akun utama lainnya, maka akun utama tersebut akan memenuhi syarat untuk mengakses semua resourceGoogle Cloud .
• Jika akun utama dalam set akun utama tunduk pada kebijakan batas akses akun utama lainnya, maka akun utama tersebut hanya akan memenuhi syarat untuk mengakses resource dalam kebijakan tersebut.

Sebelum memulai

• Menyiapkan autentikasi.

  Select the tab for how you plan to use the samples on this page:

  gcloud

  In the Google Cloud console, activate Cloud Shell.

  Activate Cloud Shell

  At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.

  REST

  Untuk menggunakan contoh REST API di halaman ini dalam lingkungan pengembangan lokal, gunakan kredensial yang Anda berikan ke gcloud CLI.

  After installing the Google Cloud CLI, initialize it by running the following command:

  gcloud init

  If you're using an external identity provider (IdP), you must first sign in to the gcloud CLI with your federated identity.

  Untuk mengetahui informasi selengkapnya, lihat Melakukan autentikasi untuk menggunakan REST dalam dokumentasi autentikasi Google Cloud .

  1. Baca ringkasan kebijakan batas akses utama.

Peran yang diperlukan untuk menghapus kebijakan batas akses akun utama

Untuk mendapatkan izin yang diperlukan untuk menghapus kebijakan batas akses utama, minta administrator untuk memberi Anda peran IAM Principal Access Boundary Admin (roles/iam.principalAccessBoundaryAdmin) di organisasi Anda. Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin iam.principalaccessboundarypolicies.delete yang diperlukan untuk menghapus kebijakan batas akses utama.

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Peran yang diperlukan untuk menghapus binding kebijakan batas akses akun utama

Izin yang Anda perlukan untuk menghapus binding kebijakan bagi kebijakan batas akses akun utama bergantung pada set akun utama yang terikat pada kebijakan.

Untuk mendapatkan izin yang diperlukan untuk menghapus binding kebijakan untuk kebijakan batas akses utama, minta administrator Anda untuk memberi Anda peran IAM berikut:

• Pengguna Batas Akses Akun Utama (roles/iam.principalAccessBoundaryUser) di organisasi Anda
• Hapus binding kebijakan untuk kebijakan batas akses utama yang terikat ke workforce identity pool: IAM Workforce Pool Admin (roles/iam.workforcePoolAdmin) di workforce identity pool target
• Menghapus binding kebijakan untuk kebijakan batas akses utama yang terikat ke workload identity pool: IAM Workload Identity Pool Admin (roles/iam.workloadIdentityPoolAdmin) di project yang memiliki target workload identity pool
• Mendapatkan status operasi yang berjalan lama untuk menghapus binding yang mereferensikan workload identity pool: IAM Operation Viewer (roles/iam.operationViewer) pada project yang memiliki target workload identity pool
• Menghapus binding kebijakan untuk kebijakan batas akses utama yang terikat ke domain Google Workspace: Admin IAM Pool Workspace (roles/iam.workspacePoolAdmin) di organisasi
• Menghapus binding kebijakan untuk kebijakan batas akses entity utama yang terikat ke set entity utama project: Admin IAM Project (roles/resourcemanager.projectIamAdmin) pada project
• Mendapatkan status operasi yang berjalan lama untuk menghapus binding yang mereferensikan set entity utama project: IAM Operation Viewer (roles/iam.operationViewer) pada project
• Menghapus binding kebijakan untuk kebijakan batas akses akun utama yang terikat ke set akun utama folder: Admin IAM Folder (roles/resourcemanager.folderIamAdmin) di folder tersebut
• Menghapus binding kebijakan untuk kebijakan batas akses akun utama yang terikat ke set akun utama organisasi: Administrator Organisasi (roles/resourcemanager.organizationAdmin) di organisasi

Untuk mengetahui informasi selengkapnya tentang cara memberikan peran, lihat Mengelola akses ke project, folder, dan organisasi.

Peran bawaan ini berisi izin yang diperlukan untuk menghapus binding kebijakan untuk kebijakan batas akses utama. Untuk melihat izin yang benar-benar diperlukan, luaskan bagian Izin yang diperlukan:

Anda mungkin juga bisa mendapatkan izin ini dengan peran khusus atau peran bawaan lainnya.

Bersiap untuk menghapus kebijakan batas akses utama

Sebelum menghapus kebijakan batas akses akun utama, tentukan tujuan mana yang ingin Anda capai dari opsi berikut:

• Membuat akun utama dalam set akun utama memenuhi syarat untuk mengakses semua resource
• Mengurangi jumlah resource yang dapat diakses oleh akun utama dalam set akun utama

Bagian berikut menjelaskan langkah-langkah yang harus dilakukan untuk mencapai setiap tujuan ini.

Membuat principal memenuhi syarat untuk mengakses semua resource

Jika Anda ingin membuat akun utama dalam set akun utama memenuhi syarat untuk mengakses semua resource, lakukan hal berikut:

1. Mengidentifikasi semua kebijakan batas akses akun utama yang terikat ke set akun utama.
2. Hapus semua kebijakan batas akses akun utama yang terikat ke set akun utama dengan menghapus binding kebijakan yang relevan.

Jika akun utama tidak tunduk pada kebijakan batas akses akun utama, maka akun utama tersebut memenuhi syarat untuk mengakses semua Google Cloud resource.

Memenuhi syarat untuk mengakses resource tidak berarti pengguna dapat mengakses resource. Untuk mengetahui informasi selengkapnya, lihat Evaluasi kebijakan.

Mengurangi resource yang dapat diakses oleh akun utama

Jika akun utama dalam set akun utama tunduk pada beberapa kebijakan batas akses akun utama, Anda dapat mengurangi jumlah resource yang dapat diakses akun utama dengan menghapus satu atau beberapa kebijakan batas akses akun utama yang berlaku untuknya. Namun, jangan menghapus semua kebijakan batas akses akun utama yang tunduk pada akun utama tersebut kapan pun—jika Anda melakukannya, akun utama tersebut akan memenuhi syarat untuk mengakses semua resource Google Cloud .

Untuk menghapus kebijakan batas akses akun utama sambil memastikan bahwa akun utama dalam kumpulan akun utama selalu tunduk pada setidaknya satu kebijakan batas akses akun utama, ikuti langkah-langkah berikut:

1. Mengidentifikasi semua kebijakan batas akses akun utama yang terikat ke set akun utama.

2. Identifikasi kebijakan batas akses akun utama yang hanya berisi resource yang ingin Anda izinkan aksesnya bagi akun utama dalam set akun utama. Ini adalah kebijakan yang tidak akan Anda hapus dari set akun utama.

   Jika Anda tidak memiliki kebijakan tersebut, buat kebijakan batas akses utama baru dengan hanya resource yang Anda inginkan agar akun utama memenuhi syarat untuk mengaksesnya. Kemudian, lampirkan kebijakan ke set akun utama.

3. Identifikasi kebijakan batas akses utama yang berisi resource yang tidak ingin Anda izinkan untuk diakses oleh akun utama dalam set akun utama. Kemudian, hapus kebijakan batas akses akun utama tersebut dengan menghapus binding kebijakan yang relevan.

   Jika Anda ingin mengurangi akses untuk akun utama tertentu, tambahkan kondisi ke binding kebijakan, bukan menghapusnya.

Jika Anda ingin mengurangi jumlah resource yang dapat diakses oleh akun utama, tetapi tidak ingin menghapus kebijakan batas akses akun utama, Anda dapat mengubah kebijakan batas akses akun utama yang tunduk pada akun utama tersebut. Untuk mempelajari cara mengubah kebijakan batas akses akun utama, lihat Mengedit kebijakan batas akses akun utama.

Menghapus kebijakan batas akses utama dari set utama

Sebelum menghapus kebijakan batas akses akun utama dari set akun utama, siapkan penghapusan kebijakan terlebih dahulu. Kemudian, hapus kebijakan dengan menghapus binding kebijakan yang mengikat kebijakan ke set akun utama.

Anda dapat menghapus binding kebijakan menggunakan konsol Google Cloud , gcloud CLI, atau IAM REST API.

gcloud iam policy-bindings delete BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud iam policy-bindings delete BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud iam policy-bindings delete BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global

Delete request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374724030-6181fcd1520c5-d21b0a12-b704e1ce] to complete...done.
Deleted policyBinding [example-binding].

DELETE https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

Menghapus kebijakan batas akses utama

Sebelum menghapus kebijakan batas akses akun utama, sebaiknya Anda mengidentifikasi dan menghapus semua binding kebijakan batas akses akun utama yang mereferensikan kebijakan batas akses akun utama.

Jika Anda menghapus kebijakan batas akses utama dengan binding kebijakan yang ada, binding tersebut pada akhirnya akan dihapus. Namun, hingga dihapus, pengikatan kebijakan masih dihitung terhadap batas 10 pengikatan yang dapat merujuk ke satu set akun utama.

Anda dapat menghapus kebijakan batas akses utama menggunakan konsol Google Cloud , gcloud CLI, atau IAM REST API.

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID \
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID `
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID ^
    --organization=ORG_ID --location=global FORCE_FLAG

Delete request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...done.
Deleted principalAccessBoundaryPolicy [example-policy].

DELETE https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

Memeriksa status operasi yang berjalan lama

Saat Anda menggunakan REST API atau library klien, metode apa pun yang mengubah kebijakan atau binding batas akses utama akan menampilkan operasi yang berjalan lama (LRO). Operasi yang berjalan lama akan melacak status permintaan dan menunjukkan apakah perubahan pada kebijakan atau binding sudah selesai.

GET https://iam.googleapis.com/v3/OPERATION_NAME

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/OPERATION_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/OPERATION_NAME" | Select-Object -Expand Content

{
  "name": "organizations/314340013352/locations/global/operations/operation-1732752311821-627edd607a3df-9a62cdea-2a7d9f07",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-11-28T00:05:12.006289686Z",
    "endTime": "2024-11-28T00:05:12.192141801Z",
    "target": "organizations/314340013352/locations/global/principalAccessBoundaryPolicies/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": true,
  "response": {
    PAB_POLICY
  }
}

Langkah berikutnya

• Membuat dan menerapkan kebijakan batas akses utama
• Melihat kebijakan batas akses utama
• Mengedit kebijakan batas akses prinsipal