Analisar políticas de permissão

Console

1. No console Google Cloud , acesse a página Policy Analyzer.

   Acessar a página "Policy Analyzer"

2. Na seção Analisar políticas, encontre o painel Consulta personalizada e clique em Criar consulta personalizada.

3. No campo Selecionar escopo da consulta, selecione o projeto, a pasta ou a organização em que você quer definir o escopo da consulta. A ferramenta Análise de políticas vai analisar o acesso referente ao projeto, à pasta ou à organização, bem como quaisquer recursos que estiverem dentro.

4. Escolha o recurso e o papel ou a permissão a serem verificados:

   1. No campo Parâmetro 1, selecione Recurso no menu suspenso.
   2. No campo Recurso, insira o nome completo do recurso em que você quer analisar o acesso. Se você não souber o nome completo do recurso, comece a digitar o nome de exibição do recurso e, em seguida, selecione-o na lista de recursos fornecida.
   3. Clique em add Adicionar seletor.
   4. No campo Parâmetro 2, selecione Papel ou Permissão.
   5. No campo Selecionar papel ou Selecionar permissão, selecione o papel ou a permissão que você quer verificar.
   6. Opcional: para verificar outros papéis e permissões, continue adicionando os seletores Papel e Permissão até que todos os papéis e as permissões que você quer verificar estejam listados.

5. Opcional: clique em Continuar e selecione as opções avançadas que você quer ativar para essa consulta.

6. No painel Consulta personalizada, clique em Analisar > Executar consulta. A página do relatório mostra os parâmetros de consulta inseridos e uma tabela de resultados de todos os principais com as permissões e os papéis especificados no recurso especificado.

   As consultas de análise de política no console do Google Cloud são executadas por até um minuto. Após um minuto, o console Google Cloud interrompe a consulta e mostra todos os resultados disponíveis. Se a consulta não for concluída nesse período, o console Google Cloud vai mostrar um banner indicando que os resultados estão incompletos. Para ter mais resultados dessas consultas, exporte os resultados para o BigQuery.

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor project, folder ou organization.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• FULL_RESOURCE_NAME: o nome completo do recurso para o qual você quer analisar o acesso. Para uma lista de formatos de nome de recurso completo, consulte Formato de nome do recurso.
• PERMISSIONS: uma lista separada por vírgulas das permissões que você quer verificar, por exemplo, compute.instances.get,compute.instances.start. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.

Execute o comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS'

Você vai receber uma resposta YAML com os resultados da análise. Cada resultado da análise lista um conjunto de acessos, identidades e recursos relevantes para sua consulta, seguidos da vinculação de papel do IAM relacionada. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será CONDITIONAL.

Os principais que têm alguma das permissões especificadas no recurso especificado são listados nos campos identities da resposta. O exemplo a seguir mostra um único resultado de análise com o campo identities destacado.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyze-iam-policy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

REST

Para determinar quais principais têm determinadas permissões em um recurso, use o método analyzeIamPolicy da API Cloud Asset Inventory.

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor projects, folders ou organizations.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• FULL_RESOURCE_NAME: o nome completo do recurso para o qual você quer analisar o acesso. Para uma lista de formatos de nome de recurso completo, consulte Formato de nome do recurso.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: as permissões que você quer verificar, por exemplo, compute.instances.get. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corpo JSON da solicitação:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Para enviar a solicitação, expanda uma destas opções:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Você recebe uma resposta JSON com os resultados da análise. Cada resultado da análise descreve uma vinculação de papel do IAM relevante e lista o recurso, os acessos e os principais nessa vinculação. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será listado como CONDITIONAL.

Os principais que têm alguma das permissões especificadas no recurso especificado são listados nos campos identities da resposta. O exemplo a seguir mostra um único resultado de análise com o campo identities destacado.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyzeIamPolicy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

Console

1. No console Google Cloud , acesse a página Policy Analyzer.

   Acessar a página "Policy Analyzer"

2. Na seção Analisar políticas, encontre o painel Consulta personalizada e clique em Criar consulta personalizada.

3. No campo Selecionar escopo da consulta, selecione o projeto, a pasta ou a organização em que você quer definir o escopo da consulta. A ferramenta Análise de políticas vai analisar o acesso referente ao projeto, à pasta ou à organização, bem como quaisquer recursos que estiverem dentro.

4. No campo Parâmetro 1, selecione Papel ou Permissão.

5. No campo Selecionar papel ou Selecionar permissão, selecione o papel ou a permissão que você quer verificar.

6. Opcional: para verificar papéis e permissões adicionais, faça o seguinte:

   1. Clique em add Adicionar seletor.
   2. No campo Parâmetro 2, selecione Papel ou Permissão.
   3. No campo Selecionar papel ou Selecionar permissão, selecione o papel ou a permissão que você quer verificar.
   4. Continue adicionando os seletores Papel e Permissão até que todos os papéis e as permissões que você quer verificar estejam listados.

7. Opcional: clique em Continuar e selecione as opções avançadas que você quer ativar para essa consulta.

8. No painel Consulta personalizada, clique em Analisar > Executar consulta. A página do relatório mostra os parâmetros de consulta inseridos e uma tabela de resultados de todos os principais com as permissões ou os papéis especificados em qualquer recurso no escopo.

   As consultas de análise de política no console do Google Cloud são executadas por até um minuto. Após um minuto, o console Google Cloud interrompe a consulta e mostra todos os resultados disponíveis. Se a consulta não for concluída nesse período, o console Google Cloud vai mostrar um banner indicando que os resultados estão incompletos. Para ter mais resultados dessas consultas, exporte os resultados para o BigQuery.

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor project, folder ou organization.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• ROLES: uma lista separada por vírgulas dos papéis que você quer verificar, por exemplo, roles/compute.admin,roles/compute.imageUser. Se você listar várias funções, o Analisador de políticas vai verificar qualquer uma delas.
• PERMISSIONS: uma lista separada por vírgulas das permissões que você quer verificar, por exemplo, compute.instances.get,compute.instances.start. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.

Execute o comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --roles='ROLES' \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --roles='ROLES' `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --roles='ROLES' ^
    --permissions='PERMISSIONS'

Você recebe uma resposta JSON com os resultados da análise. Cada resultado da análise descreve uma vinculação de papel do IAM relevante e lista o recurso, os acessos e os principais nessa vinculação. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será listado como CONDITIONAL.

Os principais que têm qualquer um dos papéis ou permissões especificados são listados nos campos identities da resposta. O exemplo a seguir mostra um único resultado de análise com o campo identities destacado.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  - role: roles/compute.admin
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyze-iam-policy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

REST

Para determinar quais principais têm determinados papéis ou permissões, use o método analyzeIamPolicy da API Cloud Asset Inventory.

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor projects, folders ou organizations.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• ROLE_1, ROLE_2... ROLE_N: os papéis que você quer verificar. Por exemplo, roles/compute.admin. Se você listar várias funções, a Análise de políticas vai verificar se alguma delas está presente.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: as permissões que você quer verificar, por exemplo, compute.instances.get. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corpo JSON da solicitação:

{
  "analysisQuery": {
    "accessSelector": {
      "roles": [
        "ROLE_1",
        "ROLE_2",
        "ROLE_N"
      ],
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Para enviar a solicitação, expanda uma destas opções:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Você recebe uma resposta JSON com os resultados da análise. Cada resultado da análise descreve uma vinculação de papel do IAM relevante e lista o recurso, os acessos e os principais nessa vinculação. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será listado como CONDITIONAL.

Os principais que têm qualquer um dos papéis ou permissões especificados são listados nos campos identities da resposta. O exemplo a seguir mostra um único resultado de análise com o campo identities destacado.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "role": "roles/compute.admin"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyzeIamPolicy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

Console

1. No console Google Cloud , acesse a página Policy Analyzer.

   Acessar a página "Policy Analyzer"

2. Na seção Analisar políticas, encontre o painel Consulta personalizada e clique em Criar consulta personalizada.

3. No campo Selecionar escopo da consulta, selecione o projeto, a pasta ou a organização em que você quer definir o escopo da consulta. A ferramenta Análise de políticas vai analisar o acesso referente ao projeto, à pasta ou à organização, bem como quaisquer recursos que estiverem dentro.

4. Escolha o recurso e o principal para verificar:

   1. No campo Parâmetro 1, selecione Recurso no menu suspenso.
   2. No campo Recurso, insira o nome completo do recurso em que você quer analisar o acesso. Se você não souber o nome completo do recurso, comece a digitar o nome de exibição do recurso e, em seguida, selecione-o na lista de recursos fornecida.
   3. Clique em add Adicionar seletor.
   4. No campo Parâmetro 2, selecione Principal no menu suspenso.
   5. No campo Principal, comece a digitar o nome de um usuário, conta de serviço ou grupo. Em seguida, selecione o usuário, a conta de serviço ou o grupo com o acesso que você quer analisar na lista de principais fornecida.

5. Opcional: clique em Continuar e selecione as opções avançadas que você quer ativar para essa consulta.

6. No painel Consulta personalizada, clique em Analisar > Executar consulta. A página do relatório mostra os parâmetros de consulta inseridos e uma tabela de resultados com todos os papéis que o principal especificado tem no recurso definido.

   As consultas de análise de política no console do Google Cloud são executadas por até um minuto. Após um minuto, o console Google Cloud interrompe a consulta e mostra todos os resultados disponíveis. Se a consulta não for concluída nesse período, o console Google Cloud vai mostrar um banner indicando que os resultados estão incompletos. Para ter mais resultados dessas consultas, exporte os resultados para o BigQuery.

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor project, folder ou organization.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• FULL_RESOURCE_NAME: o nome completo do recurso para o qual você quer analisar o acesso. Para uma lista de formatos de nome de recurso completo, consulte Formato de nome do recurso.
• PRINCIPAL: o principal cujo acesso você quer analisar, no formato PRINCIPAL_TYPE:ID. Por exemplo, user:my-user@example.com. Para uma lista completa dos tipos de principais, consulte Identificadores de principais.

Execute o comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL

Você vai receber uma resposta YAML com os resultados da análise. Cada resultado da análise lista um conjunto de acessos, identidades e recursos relevantes para sua consulta, seguidos da vinculação de papel do IAM relacionada. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será CONDITIONAL.

As funções que o principal tem no recurso especificado são listadas nos campos accesses da resposta. O exemplo a seguir mostra um único resultado de análise com o campo accesses destacado.

...
---
ACLs:
- accesses:
  - roles/iam.serviceAccountUser
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/iam.serviceAccountUser
---
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyze-iam-policy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

REST

Para determinar o acesso de um principal em um recurso, use o método analyzeIamPolicy da API Cloud Asset Inventory.

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor projects, folders ou organizations.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• FULL_RESOURCE_NAME: o nome completo do recurso para o qual você quer analisar o acesso. Para uma lista de formatos de nome de recurso completos, consulte Formato de nome do recurso.
• PRINCIPAL: o principal cujo acesso você quer analisar, no formato PRINCIPAL_TYPE:ID. Por exemplo, user:my-user@example.com. Para uma lista completa dos tipos de principais, consulte Identificadores de principais.

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corpo JSON da solicitação:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    }
  }
}

Para enviar a solicitação, expanda uma destas opções:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Você recebe uma resposta JSON com os resultados da análise. Cada resultado da análise descreve uma vinculação de papel do IAM relevante e lista o recurso, os acessos e os principais nessa vinculação. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será listado como CONDITIONAL.

As funções que o principal tem no recurso especificado são listadas nos campos accesses da resposta. O exemplo a seguir mostra um único resultado de análise com o campo accesses destacado.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/iam.serviceAccountUser",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "roles": "iam.serviceAccountUser"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyzeIamPolicy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

Console

1. No console Google Cloud , acesse a página Policy Analyzer.

   Acessar a página "Policy Analyzer"

2. Na seção Analisar políticas, encontre o painel Consulta personalizada e clique em Criar consulta personalizada.

3. No campo Selecionar escopo da consulta, selecione o projeto, a pasta ou a organização em que você quer definir o escopo da consulta. A ferramenta Análise de políticas vai analisar o acesso referente ao projeto, à pasta ou à organização, bem como quaisquer recursos que estiverem dentro.

4. Escolha o principal a ser verificado e o papel ou a permissão a ser verificada:

   1. No campo Parâmetro 1, selecione Principal no menu suspenso.
   2. No campo Principal, comece a digitar o nome de um usuário, conta de serviço ou grupo. Em seguida, selecione o usuário, a conta de serviço ou o grupo com o acesso que você quer analisar na lista de principais fornecida.
   3. Clique em add Adicionar seletor.
   4. No campo Parâmetro 2, selecione Papel ou Permissão.
   5. No campo Selecionar papel ou Selecionar permissão, selecione o papel ou a permissão que você quer verificar.
   6. Opcional: para verificar outros papéis e permissões, continue adicionando os seletores Papel e Permissão até que todos os papéis e as permissões que você quer verificar estejam listados.

5. Opcional: clique em Continuar e selecione as opções avançadas que você quer ativar para essa consulta.

6. No painel Consulta personalizada, clique em Analisar > Executar consulta. A página do relatório mostra os parâmetros de consulta inseridos e uma tabela de resultados com todos os recursos em que o principal especificado tem os papéis ou permissões definidos.

   As consultas de análise de política no console do Google Cloud são executadas por até um minuto. Após um minuto, o console Google Cloud interrompe a consulta e mostra todos os resultados disponíveis. Se a consulta não for concluída nesse período, o console Google Cloud vai mostrar um banner indicando que os resultados estão incompletos. Para ter mais resultados dessas consultas, exporte os resultados para o BigQuery.

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor project, folder ou organization.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• PRINCIPAL: o principal cujo acesso você quer analisar, no formato PRINCIPAL_TYPE:ID. Por exemplo, user:my-user@example.com. Para uma lista completa dos tipos de principais, consulte Identificadores de principais.
• PERMISSIONS: uma lista separada por vírgulas das permissões que você quer verificar, por exemplo, compute.instances.get,compute.instances.start. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.

Execute o comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS'

Você vai receber uma resposta YAML com os resultados da análise. Cada resultado da análise lista um conjunto de acessos, identidades e recursos relevantes para sua consulta, seguidos da vinculação de papel do IAM relacionada. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será CONDITIONAL.

Os recursos em que o principal especificado tem alguma das permissões especificadas são listados nos campos resources da resposta. O exemplo a seguir mostra um único resultado de análise com o campo resources destacado.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //compute.googleapis.com/projects/my-project/global/images/my-image
policy:
  attachedResource: //compute.googleapis.com/projects/my-project/global/images/my-image
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyze-iam-policy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

REST

Para determinar quais recursos um principal pode acessar, use o método analyzeIamPolicy da API Cloud Asset Inventory.

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor projects, folders ou organizations.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• PRINCIPAL: o principal cujo acesso você quer analisar, no formato PRINCIPAL_TYPE:ID. Por exemplo, user:my-user@example.com. Para uma lista completa dos tipos de principais, consulte Identificadores de principais.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: as permissões que você quer verificar, por exemplo, compute.instances.get. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corpo JSON da solicitação:

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

Para enviar a solicitação, expanda uma destas opções:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Você recebe uma resposta JSON com os resultados da análise. Cada resultado da análise descreve uma vinculação de papel do IAM relevante e lista o recurso, os acessos e os principais nessa vinculação. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será listado como CONDITIONAL.

Os recursos em que o principal especificado tem alguma das permissões especificadas são listados nos campos resources da resposta. O exemplo a seguir mostra um único resultado de análise com o campo resources destacado.

...
{
  "attachedResourceFullName": "//compute.googleapis.com/projects/my-project/global/images/my-image",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//compute.googleapis.com/projects/my-project/global/images/my-image"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyzeIamPolicy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

gcloud

Antes de usar os dados do comando abaixo, faça estas substituições:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor project, folder ou organization.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• PERMISSIONS: Opcional. Uma lista separada por vírgulas das permissões que você quer verificar, por exemplo, compute.instances.get,compute.instances.start. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.
• FULL_RESOURCE_NAME: opcional. O nome completo do recurso para o qual você quer analisar o acesso. Para uma lista de formatos de nome de recurso completos, consulte Formato de nome de recurso.
• PERMISSIONS: Opcional. Uma lista separada por vírgulas das permissões que você quer verificar, por exemplo, compute.instances.get,compute.instances.start. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.
• ACCESS_TIME: o período que você quer verificar. Esse horário precisa ser no futuro. Use um carimbo de data/hora no formato RFC 3339, por exemplo, 2099-02-01T00:00:00Z.

Execute o comando gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS' \
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS' `
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS' ^
    --access-time=ACCESS_TIME

Você vai receber uma resposta YAML com os resultados da análise. Cada resultado da análise lista um conjunto de acessos, identidades e recursos relevantes para sua consulta, seguidos da vinculação de papel do IAM relacionada. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será CONDITIONAL.

Quando você inclui o horário de acesso na solicitação, a Análise de políticas pode avaliar condições de data/hora. Se a condição for avaliada como falsa, essa função não será incluída na resposta. Se a condição for avaliada como verdadeira, o resultado da avaliação será listado como TRUE.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  conditionEvaluationValue: 'TRUE'
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    condition:
      expression: request.time.getHours("America/Los_Angeles") >= 5
      title: No access before 5am PST
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyze-iam-policy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

REST

Para determinar quais principais terão determinadas permissões em um recurso em um momento específico, use o método analyzeIamPolicy da API Cloud Asset Inventory.

Antes de usar os dados da solicitação abaixo, faça as substituições a seguir:

• RESOURCE_TYPE: o tipo de recurso ao qual você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Use o valor projects, folders ou organizations.
• RESOURCE_ID: o ID do Google Cloud projeto, pasta ou organização em que você quer restringir sua pesquisa. Somente as políticas de permissão do IAM anexadas a esse recurso e aos descendentes dele serão analisadas. Os IDs do projeto são strings alfanuméricas, como my-project. Os IDs de pastas e organizações são numéricos, como 123456789012.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: opcional. As permissões que você quer verificar, por exemplo, compute.instances.get. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.
• FULL_RESOURCE_NAME: opcional. O nome completo do recurso para o qual você quer analisar o acesso. Para uma lista de formatos de nome de recurso completos, consulte Formato de nome de recurso.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: opcional. As permissões que você quer verificar, por exemplo, compute.instances.get. Se você listar várias permissões, o Analisador de políticas vai verificar qualquer uma delas.
• ACCESS_TIME: o período que você quer verificar. Esse horário precisa ser no futuro. Use um carimbo de data/hora no formato RFC 3339, por exemplo, 2099-02-01T00:00:00Z.

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

Corpo JSON da solicitação:

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    },
    "conditionContext": {
      "accessTime": "ACCESS_TIME"
    }
  }
}

Para enviar a solicitação, expanda uma destas opções:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

Você recebe uma resposta JSON com os resultados da análise. Cada resultado da análise descreve uma vinculação de papel do IAM relevante e lista o recurso, os acessos e os principais nessa vinculação. Se a vinculação de função for condicional, o resultado da análise também vai incluir o resultado da avaliação da condição. Se a condição não puder ser avaliada, o resultado será listado como CONDITIONAL.

Quando você inclui o horário de acesso na solicitação, a Análise de políticas pode avaliar condições de data/hora. Se a condição for avaliada como falsa, essa função não será incluída na resposta. Se a condição for avaliada como verdadeira, o valor de avaliação da condição na resposta da análise será TRUE.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ],
    "condition": {
      "expression": "request.time.getHours(\"America/Los_Angeles\") \u003e= 5",
      "title": "No access before 5am PST"
    }
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ],
      "conditionEvaluation": {
        "evaluationValue": "TRUE"
      }
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

Se a solicitação atingir o tempo limite antes da conclusão da consulta, você vai receber um erro DEADLINE_EXCEEDED. Para ter mais resultados dessas consultas, grave-os no BigQuery ou no Cloud Storage usando a versão de longa duração de analyzeIamPolicy. Para instruções, consulte Gravar análise de políticas no BigQuery ou Gravar análise de políticas no Cloud Storage.

Console

gcloud

Esta seção descreve várias flags comuns que podem ser adicionadas ao usar a CLI gcloud para analisar políticas de permissão. Para uma lista completa de opções, consulte Flags opcionais.

REST

Para ativar qualquer opção, primeiro adicione um campo options à consulta de análise. Exemplo:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
    },
    "accessSelector": {
      "permissions": [
        "iam.roles.get",
        "iam.roles.list"
      ]
   },
   "options": {
     OPTIONS
   }
  }
}

Substitua OPTIONS pelas opções que você quer ativar, no formato "OPTION": true. A tabela a seguir descreve as opções disponíveis: