Scrivi l'analisi dei criteri in BigQuery

1. Nella console Google Cloud, vai alla pagina di Analisi criteri.

   Vai ad Analizzatore criteri

2. Nella sezione Esegui l'analisi dei criteri, individua il modello di query che vuoi utilizzare e poi fai clic su Crea query. Se vuoi creare una query personalizzata, fai clic su Crea query personalizzata.

3. Nel campo Seleziona l'ambito della query, seleziona il progetto, la cartella o l'organizzazione a cui vuoi applicare l'ambito della query. Analizzatore criteri analizzerà l'accesso per il progetto, la cartella o l'organizzazione, nonché per le risorse al loro interno.

4. Assicurati che parametri di ricerca siano impostati:

   • Se utilizzi un modello di query, verifica i parametri di ricerca precompilati.
   • Se stai creando una query personalizzata, imposta le risorse, le entità, i ruoli e le autorizzazioni per cui vuoi eseguire la query.

   Per saperne di più sui tipi di query che puoi creare, consulta Analisi dei criteri IAM.

5. Nel riquadro con il nome della query, fai clic su Esamina > Esporta solo risultato. Viene visualizzato il riquadro Esporta risultati.

6. Nella sezione Imposta la destinazione dell'esportazione, inserisci le seguenti informazioni:

   • Progetto: il progetto in cui si trova il set di dati BigQuery.
   • Set di dati: il set di dati BigQuery in cui vuoi esportare i risultati.
   • Table: il prefisso delle tabelle BigQuery in cui verranno scritti i risultati dell'analisi. Se non esiste una tabella con il prefisso specificato, BigQuery ne crea una nuova.

7. Fai clic su Continua.

8. (Facoltativo) Nella sezione Configura impostazioni aggiuntive, seleziona le opzioni che preferisci:

   • Partizionamento: indica se eseguire il partizionamento della tabella. Per scoprire di più sulle tabelle partizionate, consulta Introduzione alle tabelle partizionate.
   • Preferenza di scrittura: specifica l'azione che si verifica se la tabella o la partizione di destinazione esiste già. Per impostazione predefinita, se la tabella o la partizione esiste già, BigQuery aggiunge i dati alla tabella o alla partizione più recente.

9. Fai clic su Esporta.

Policy Analyzer esegue la query ed esporta i risultati nella tabella specificata.

gcloud

Il metodo AnalyzeIamPolicyLongrunning consente di emettere una richiesta di analisi e ottenere i risultati nella destinazione BigQuery specificata.

Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

• RESOURCE_TYPE: il tipo della risorsa a cui vuoi limitare la ricerca. Verranno analizzati solo i criteri di autorizzazione IAM associati a questa risorsa e ai suoi discendenti. Utilizza il valore project, folder o organization.
• RESOURCE_ID: l'ID del progetto, della cartella o dell'organizzazione Google Cloud a cui vuoi limitare la ricerca. Verranno analizzati solo i criteri di autorizzazione IAM associati a questa risorsa e ai suoi discendenti. Gli ID progetto sono stringhe alfanumeriche, ad esempio my-project. Gli ID cartella e organizzazione sono numerici, come 123456789012.
• PRINCIPAL: il principale di cui vuoi analizzare l'accesso, nel formatoPRINCIPAL_TYPE:ID, ad esempiouser:my-user@example.com. Per un elenco completo dei tipi di principali, consulta Identificatori principali.
• PERMISSIONS: un elenco separato da virgole delle autorizzazioni che vuoi verificare, ad esempio compute.instances.get,compute.instances.start. Se elenchi più autorizzazioni, lo strumento di analisi delle norme ne cercherà una qualsiasi.
• DATASET: il set di dati BigQuery nel formato projects/PROJECT_ID/datasets/DATASET_ID, dove PROJECT_ID è l'ID alfanumerico del progetto Google Cloud e DATASET_ID è l'ID del set di dati.
• TABLE_PREFIX: il prefisso delle tabelle BigQuery in cui verranno scritti i risultati dell'analisi. Se non esiste una tabella con il prefisso specificato, BigQuery ne crea una nuova.
• PARTITION_KEY: facoltativo. La chiave di partizione per la tabella partizionata BigQuery. Analizzatore criteri supporta solo le chiavi di partizione REQUEST_TIME.
• WRITE_DISPOSITION: facoltativo. Specifica l'azione che si verifica se la tabella o la partizione di destinazione esiste già. Per un elenco dei possibili valori, consulta writeDisposition. Per impostazione predefinita, se la tabella o la partizione esistente, BigQuery aggiunge i dati alla tabella o alla partizione più recente.

Esegui il comando gcloud asset analyze-iam-policy-longrunning:

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS' \
    --bigquery-dataset=DATASET \
    --bigquery-table-prefix=TABLE_PREFIX \
    --bigquery-partition-key=PARTITION_KEY \
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS' `
    --bigquery-dataset=DATASET `
    --bigquery-table-prefix=TABLE_PREFIX `
    --bigquery-partition-key=PARTITION_KEY `
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS' ^
    --bigquery-dataset=DATASET ^
    --bigquery-table-prefix=TABLE_PREFIX ^
    --bigquery-partition-key=PARTITION_KEY ^
    --bigquery-write-disposition=WRITE_DISPOSITION

Dovresti ricevere una risposta simile alla seguente:

Analyze IAM Policy in progress.
Use [gcloud asset operations describe projects/my-project/operations/AnalyzeIamPolicyLongrunning/1195028485971902504711950280359719028666] to check the status of the operation.

REST

Il metodo AnalyzeIamPolicyLongrunning consente di emettere una richiesta di analisi e ottenere i risultati nella destinazione BigQuery specificata.

Per analizzare un criterio di autorizzazione IAM ed esportare i risultati in BigQuery, utilizza il metodo analyzeIamPolicyLongrunning dell'API Cloud Asset Inventory.

Prima di utilizzare i dati della richiesta, apporta le seguenti sostituzioni:

• RESOURCE_TYPE: il tipo della risorsa a cui vuoi limitare la ricerca. Verranno analizzati solo i criteri di autorizzazione IAM associati a questa risorsa e ai suoi discendenti. Utilizza il valore projects, folders o organizations.
• RESOURCE_ID: l'ID del progetto, della cartella o dell'organizzazione Google Cloud a cui vuoi limitare la ricerca. Verranno analizzati solo i criteri di autorizzazione IAM associati a questa risorsa e ai suoi discendenti. Gli ID progetto sono stringhe alfanumeriche, ad esempio my-project. Gli ID cartella e organizzazione sono numerici, come 123456789012.
• FULL_RESOURCE_NAME: facoltativo. Il nome completo della risorsa per la quale vuoi analizzare l'accesso. Per un elenco dei formati dei nomi delle risorse completi, consulta Formato del nome della risorsa.
• PRINCIPAL: facoltativo. Il principale di cui vuoi analizzare l'accesso, nel formato PRINCIPAL_TYPE:ID, ad esempio user:my-user@example.com. Per un elenco completo dei tipi di principali, consulta Identificatori principali.
• PERMISSION_1, PERMISSION_2… PERMISSION_N: facoltativo. Le autorizzazioni che vuoi verificare, ad esempio compute.instances.get. Se elencate più autorizzazioni, Analizzatore criteri ne verificherà la presenza.
• DATASET: il set di dati BigQuery nel formato projects/PROJECT_ID/datasets/DATASET_ID, dove PROJECT_ID è l'ID alfanumerico del progetto Google Cloud e DATASET_ID è l'ID del set di dati.
• TABLE_PREFIX: il prefisso delle tabelle BigQuery in cui verranno scritti i risultati dell'analisi. Se non esiste una tabella con il prefisso specificato, BigQuery ne crea una nuova.
• PARTITION_KEY: facoltativo. La chiave di partizione per la tabella partizionata BigQuery. Analizzatore criteri supporta solo le chiavi di partizione REQUEST_TIME.
• WRITE_DISPOSITION: facoltativo. Specifica l'azione che si verifica se la tabella o la partizione di destinazione esiste già. Per un elenco dei possibili valori, consulta writeDisposition. Per impostazione predefinita, se la tabella o la partizione esistente, BigQuery aggiunge i dati alla tabella o alla partizione più recente.

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning

Corpo JSON della richiesta:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  },
  "outputConfig": {
    "bigqueryDestination": {
      "dataset": "DATASET",
      "tablePrefix": "TABLE_PREFIX",
      "partitionKey": "PARTITION_KEY",
      "writeDisposition": "WRITE_DISPOSITION"
    }
  }
}

Per inviare la richiesta, espandi una di queste opzioni:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning" | Select-Object -Expand Content

Dovresti ricevere una risposta JSON simile alla seguente:

{
  "name": "projects/my-project/operations/AnalyzeIamPolicyLongrunning/1206385342502762515812063858425027606003",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.asset.v1.AnalyzeIamPolicyLongrunningMetadata",
    "createTime": "2022-04-12T21:31:10.753173929Z"
  }
}

1. Nella console Google Cloud, vai alla pagina BigQuery.

   Vai a BigQuery

2. Per visualizzare le tabelle e le viste nel set di dati, apri il pannello di navigazione. Nella sezione Explorer, seleziona il progetto per espanderlo, quindi seleziona un set di dati.

3. Dall'elenco, seleziona le tabelle con il prefisso. La tabella con un suffisso analysis contiene la query e i metadati (ad esempio, nome dell'operazione, ora della richiesta ed errori non critici). La tabella con il suffisso analysis_result è il risultato che elenca le tuple di {identity, role(s)/permission(s), resource} insieme ai criteri IAM che le generano.

4. Per visualizzare un set di dati di esempio, seleziona la scheda Anteprima.

API

Per sfogliare i dati della tabella, chiama tabledata.list. Nel parametro tableId, specifica il nome della tabella.

Puoi configurare i seguenti parametri facoltativi per controllare l'output.

• maxResults è il numero massimo di risultati da restituire.
• selectedFields è un elenco di colonne da restituire separate da virgole. Se non specificato, vengono restituite tutte le colonne.
• startIndex è l'indice a partire da zero della riga iniziale da leggere.

I valori vengono restituiti racchiusi in un oggetto JSON che devi analizzare, come descritto nella documentazione di riferimento di tabledata.list.