Scrivi l'analisi dei criteri in BigQuery

1. Nella console Google Cloud , vai alla pagina Policy Analyzer.

   Vai all'analizzatore criteri

2. Nella sezione Analizza criteri, trova il modello di query che vuoi utilizzare, poi fai clic su Crea query. Se vuoi creare una query personalizzata, fai clic su Crea query personalizzata.

3. Nel campo Seleziona ambito query, seleziona il progetto, la cartella o l'organizzazione a cui vuoi limitare l'ambito della query. Analizzatore criteri analizzerà l'accesso per il progetto, la cartella o l'organizzazione, nonché per tutte le risorse all'interno del progetto, della cartella o dell'organizzazione.

4. Assicurati che parametri di ricerca siano impostati:

   • Se utilizzi un modello di query, conferma i parametri di ricerca precompilati.
   • Se stai creando una query personalizzata, imposta le risorse, le entità, i ruoli e le autorizzazioni per cui vuoi eseguire la query.

   Per saperne di più sui tipi di query che puoi creare, consulta Analizzare le policy IAM.

5. Nel riquadro con il nome della query, fai clic su Analizza > Esporta solo risultato. Si apre il riquadro Esporta risultati.

6. Nella sezione Imposta la destinazione dell'esportazione, inserisci le seguenti informazioni:

   • Progetto: il progetto in cui si trova il set di dati BigQuery.
   • Set di dati: il set di dati BigQuery in cui vuoi esportare i risultati.
   • Tabella: il prefisso delle tabelle BigQuery in cui verranno scritti i risultati dell'analisi. Se non esiste una tabella con il prefisso specificato, BigQuery ne crea una nuova.

7. Fai clic su Continua.

8. (Facoltativo) Nella sezione Configura impostazioni aggiuntive, seleziona le opzioni che preferisci:

   • Partizionamento: indica se partizionare la tabella. Per scoprire di più sulle tabelle partizionate, consulta la pagina Introduzione alle tabelle partizionate.
   • Preferenza di scrittura: specifica l'azione che si verifica se la tabella o la partizione di destinazione esiste già. Per impostazione predefinita, se la tabella o la partizione esiste già, BigQuery aggiunge i dati alla tabella o all'ultima partizione.

9. Fai clic su Esporta.

Policy Analyzer esegue la query ed esporta i risultati nella tabella specificata.

gcloud

Il metodo AnalyzeIamPolicyLongrunning ti consente di inviare una richiesta di analisi e ottenere i risultati nella destinazione BigQuery specificata.

Prima di utilizzare i dati dei comandi riportati di seguito, apporta le seguenti sostituzioni:

• RESOURCE_TYPE: il tipo di risorsa a cui vuoi limitare la ricerca. Verranno analizzati solo i criteri di autorizzazione IAM collegati a questa risorsa e ai relativi discendenti. Utilizza il valore project, folder o organization.
• RESOURCE_ID: l'ID del Google Cloud progetto, della cartella o dell'organizzazione a cui vuoi limitare la ricerca. Verranno analizzati solo i criteri di autorizzazione IAM collegati a questa risorsa e ai relativi discendenti. Gli ID progetto sono stringhe alfanumeriche, come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
• PRINCIPAL: l'entità di cui vuoi analizzare l'accesso, nel formato PRINCIPAL_TYPE:ID, ad esempio user:my-user@example.com. Per un elenco completo dei tipi di entità, vedi Identificatori delle entità.
• PERMISSIONS: un elenco separato da virgole delle autorizzazioni che vuoi controllare, ad esempio compute.instances.get,compute.instances.start. Se elenchi più autorizzazioni, Policy Analyzer verificherà la presenza di una qualsiasi delle autorizzazioni elencate.
• DATASET: il set di dati BigQuery nel formato projects/PROJECT_ID/datasets/DATASET_ID, dove PROJECT_ID è l'ID alfanumerico del tuo progetto Google Cloud e DATASET_ID è l'ID del tuo set di dati.
• TABLE_PREFIX: il prefisso delle tabelle BigQuery in cui verranno scritti i risultati dell'analisi. Se non esiste una tabella con il prefisso specificato, BigQuery ne crea una nuova.
• PARTITION_KEY: (Facoltativo). La chiave di partizione per la tabella partizionata BigQuery. Analizzatore criteri supporta solo le chiavi di partizione REQUEST_TIME.
• WRITE_DISPOSITION: (Facoltativo). Specifica l'azione che si verifica se la tabella o la partizione di destinazione esiste già. Per un elenco dei valori possibili, consulta writeDisposition. Per impostazione predefinita, se la tabella o la partizione esiste già, BigQuery aggiunge i dati alla tabella o all'ultima partizione.

Esegui il comando gcloud asset analyze-iam-policy-longrunning:

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS' \
    --bigquery-dataset=DATASET \
    --bigquery-table-prefix=TABLE_PREFIX \
    --bigquery-partition-key=PARTITION_KEY \
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS' `
    --bigquery-dataset=DATASET `
    --bigquery-table-prefix=TABLE_PREFIX `
    --bigquery-partition-key=PARTITION_KEY `
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS' ^
    --bigquery-dataset=DATASET ^
    --bigquery-table-prefix=TABLE_PREFIX ^
    --bigquery-partition-key=PARTITION_KEY ^
    --bigquery-write-disposition=WRITE_DISPOSITION

Dovresti ricevere una risposta simile alla seguente:

Analyze IAM Policy in progress.
Use [gcloud asset operations describe projects/my-project/operations/AnalyzeIamPolicyLongrunning/1195028485971902504711950280359719028666] to check the status of the operation.

REST

Il metodo AnalyzeIamPolicyLongrunning ti consente di inviare una richiesta di analisi e ottenere i risultati nella destinazione BigQuery specificata.

Per analizzare un criterio di autorizzazione IAM ed esportare i risultati in BigQuery, utilizza il metodo analyzeIamPolicyLongrunning dell'API Cloud Asset Inventory.

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

• RESOURCE_TYPE: il tipo di risorsa a cui vuoi limitare la ricerca. Verranno analizzati solo i criteri di autorizzazione IAM collegati a questa risorsa e ai relativi discendenti. Utilizza il valore projects, folders o organizations.
• RESOURCE_ID: l'ID del Google Cloud progetto, della cartella o dell'organizzazione a cui vuoi limitare la ricerca. Verranno analizzati solo i criteri di autorizzazione IAM collegati a questa risorsa e ai relativi discendenti. Gli ID progetto sono stringhe alfanumeriche, come my-project. Gli ID cartella e organizzazione sono numerici, ad esempio 123456789012.
• FULL_RESOURCE_NAME: (Facoltativo). Il nome risorsa completo della risorsa per cui vuoi analizzare l'accesso. Per un elenco dei formati dei nomi delle risorse completi, vedi Formato del nome della risorsa.
• PRINCIPAL: (Facoltativo). Il principal di cui vuoi analizzare l'accesso, nel formato PRINCIPAL_TYPE:ID, ad esempio, user:my-user@example.com. Per un elenco completo dei tipi di entità, vedi Identificatori delle entità.
• PERMISSION_1, PERMISSION_2... PERMISSION_N: facoltativo. Le autorizzazioni che vuoi controllare, ad esempio compute.instances.get. Se elenchi più autorizzazioni, Analizzatore criteri verificherà la presenza di una qualsiasi delle autorizzazioni elencate.
• DATASET: il set di dati BigQuery nel formato projects/PROJECT_ID/datasets/DATASET_ID, dove PROJECT_ID è l'ID alfanumerico del tuo progetto Google Cloud e DATASET_ID è l'ID del tuo set di dati.
• TABLE_PREFIX: il prefisso delle tabelle BigQuery in cui verranno scritti i risultati dell'analisi. Se non esiste una tabella con il prefisso specificato, BigQuery ne crea una nuova.
• PARTITION_KEY: (Facoltativo). La chiave di partizione per la tabella partizionata BigQuery. Analizzatore criteri supporta solo le chiavi di partizione REQUEST_TIME.
• WRITE_DISPOSITION: (Facoltativo). Specifica l'azione che si verifica se la tabella o la partizione di destinazione esiste già. Per un elenco dei valori possibili, consulta writeDisposition. Per impostazione predefinita, se la tabella o la partizione esiste già, BigQuery aggiunge i dati alla tabella o all'ultima partizione.

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning

Corpo JSON della richiesta:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  },
  "outputConfig": {
    "bigqueryDestination": {
      "dataset": "DATASET",
      "tablePrefix": "TABLE_PREFIX",
      "partitionKey": "PARTITION_KEY",
      "writeDisposition": "WRITE_DISPOSITION"
    }
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning" | Select-Object -Expand Content

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/my-project/operations/AnalyzeIamPolicyLongrunning/1206385342502762515812063858425027606003",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.asset.v1.AnalyzeIamPolicyLongrunningMetadata",
    "createTime": "2022-04-12T21:31:10.753173929Z"
  }
}

1. Nella console Google Cloud , vai alla pagina BigQuery.

   Vai a BigQuery

2. Per visualizzare le tabelle e le viste nel set di dati, apri il pannello di navigazione. Nella sezione Explorer, seleziona il progetto per espanderlo, quindi seleziona un set di dati.

3. Dall'elenco, seleziona le tabelle con il tuo prefisso. La tabella con il suffisso analysis contiene la query e i metadati (ad esempio, nome dell'operazione, ora della richiesta ed errori non critici). La tabella con il suffisso analysis_result elenca le tuple di {identity, role(s)/permission(s), resource} insieme alle policy IAM che generano queste tuple.

4. Per visualizzare un set di dati di esempio, seleziona la scheda Anteprima.

API

Per sfogliare i dati della tabella, chiama tabledata.list. Nel parametro tableId, specifica il nome della tabella.

Puoi configurare i seguenti parametri facoltativi per controllare l'output.

• maxResults è il numero massimo di risultati da restituire.
• selectedFields è un elenco di colonne da restituire separate da virgole. Se non specificato, vengono restituite tutte le colonne.
• startIndex è l'indice in base zero della riga iniziale da leggere.

I valori vengono restituiti racchiusi in un oggetto JSON che devi analizzare, come descritto nella documentazione di riferimento tabledata.list.