ポリシー分析を BigQuery に書き込む

1. Google Cloud コンソールで、[Policy Analyzer] ページに移動します。

   Policy Analyzer に移動

2. [ポリシーの分析] セクションで、使用するクエリ テンプレートを見つけて、[クエリを作成] をクリックします。カスタムクエリを作成する場合は、[カスタムクエリを作成する] をクリックします。

3. [クエリスコープを選択] フィールドで、クエリを調査するプロジェクト、フォルダ、組織を選択します。ポリシー アナライザは、プロジェクト、フォルダ、組織へのアクセスと、そのプロジェクト、フォルダ、組織内のリソースを分析します。

4. クエリ パラメータが設定されていることを確認します。

   • クエリ テンプレートを使用している場合は、事前入力されたクエリ パラメータを確認します。
   • カスタムクエリを作成する場合は、クエリするリソース、プリンシパル、ロール、権限を設定します。

   作成できるクエリの種類の詳細については、IAM ポリシーを分析するをご覧ください。

5. クエリの名前が表示されているペインで、[Analyze] > [Export full result only] をクリックします。[結果をエクスポート] ペインが開きます。

6. [エクスポート先を設定する] セクションで、次の情報を入力します。

   • プロジェクト: BigQuery データセットが配置されているプロジェクト。
   • データセット: 結果をエクスポートする BigQuery データセット。
   • テーブル: 分析結果を書き込む BigQuery テーブルの接頭辞。指定した接頭辞を持つテーブルが存在しない場合は、BigQuery によって新しいテーブルが作成されます。

7. [続行] をクリックします。

8. 省略可: [追加設定の構成] セクションで、必要なオプションを選択します。

   • パーティショニング: テーブルをパーティショニングするかどうか。パーティション分割テーブルの詳細については、パーティション分割テーブルの概要をご覧ください。
   • 書き込み設定: 宛先テーブルまたはパーティションがすでに存在する場合に実施するアクションを指定します。デフォルトでは、テーブルまたはパーティションがすでに存在する場合、BigQuery はデータをテーブルまたは最新のパーティションに追加します。

9. [エクスポート] をクリックします。

Policy Analyzer はクエリを実行し、結果を指定されたテーブルにエクスポートします。

gcloud

AnalyzeIamPolicyLongrunning メソッドを使用すると、分析リクエストを発行して、指定された BigQuery の宛先で結果を取得できます。

後述のコマンドデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 project、folder、または organization を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• PRINCIPAL: アクセスを分析する PRINCIPAL_TYPE:ID 形式のプリンシパル（例: user:my-user@example.com）。プリンシパル タイプの全一覧については、プリンシパル識別子をご覧ください。
• PERMISSIONS: 確認する権限のカンマ区切りのリスト（例: compute.instances.get,compute.instances.start）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。
• DATASET: projects/PROJECT_ID/datasets/DATASET_ID 形式の BigQuery データセット。PROJECT_ID は Google Cloud プロジェクトの英数字の ID、DATASET_ID はデータセットの ID です。
• TABLE_PREFIX: 分析結果を書き込む BigQuery テーブルの接頭辞。指定した接頭辞を持つテーブルが存在しない場合は、BigQuery によって新しいテーブルが作成されます。
• PARTITION_KEY: 省略可。BigQuery パーティション分割テーブルのパーティション キー。Policy Analyzer では、REQUEST_TIME パーティション キーのみがサポートされます。
• WRITE_DISPOSITION: 省略可。宛先テーブルまたはパーティションがすでに存在する場合に実施するアクションを指定します。有効な値の一覧については、writeDisposition をご覧ください。デフォルトでは、テーブルまたはパーティションがすでに存在する場合、BigQuery はデータをテーブルまたは最新のパーティションに追加します。

gcloud asset analyze-iam-policy-longrunningコマンドを実行します。

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS' \
    --bigquery-dataset=DATASET \
    --bigquery-table-prefix=TABLE_PREFIX \
    --bigquery-partition-key=PARTITION_KEY \
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS' `
    --bigquery-dataset=DATASET `
    --bigquery-table-prefix=TABLE_PREFIX `
    --bigquery-partition-key=PARTITION_KEY `
    --bigquery-write-disposition=WRITE_DISPOSITION

gcloud asset analyze-iam-policy-longrunning --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS' ^
    --bigquery-dataset=DATASET ^
    --bigquery-table-prefix=TABLE_PREFIX ^
    --bigquery-partition-key=PARTITION_KEY ^
    --bigquery-write-disposition=WRITE_DISPOSITION

次のようなレスポンスが返されます。

Analyze IAM Policy in progress.
Use [gcloud asset operations describe projects/my-project/operations/AnalyzeIamPolicyLongrunning/1195028485971902504711950280359719028666] to check the status of the operation.

REST

AnalyzeIamPolicyLongrunning メソッドを使用すると、分析リクエストを発行して、指定された BigQuery の宛先で結果を取得できます。

IAM 許可ポリシーを分析し、結果を BigQuery にエクスポートするには、Cloud Asset Inventory API の analyzeIamPolicyLongrunning メソッドを使用します。

リクエストのデータを使用する前に、次のように置き換えます。

• RESOURCE_TYPE: 検索の対象範囲に設定するリソースのタイプ。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。値 projects、folders、または organizations を使用します。
• RESOURCE_ID: 検索の対象範囲の Google Cloud プロジェクト、フォルダ、または組織の ID。このリソースとその子孫に添付された IAM 許可ポリシーのみが分析されます。プロジェクト ID は英数字からなる文字列です（例: my-project）。フォルダ ID と組織 ID は数値です（例: 123456789012）。
• FULL_RESOURCE_NAME: 省略可。アクセスを分析する対象リソースの完全なリソース名。リソース名の形式の一覧については、リソース名の形式をご覧ください。
• PRINCIPAL: 省略可。アクセスを分析する PRINCIPAL_TYPE:ID 形式のプリンシパル（例: user:my-user@example.com）。プリンシパル タイプの全一覧については、プリンシパル識別子をご覧ください。
• PERMISSION_1、PERMISSION_2、PERMISSION_N: 省略可。確認する権限（例: compute.instances.get）。複数の権限を一覧表示すると、Policy Analyzer は一覧表示された中から任意の権限を確認します。
• DATASET: projects/PROJECT_ID/datasets/DATASET_ID 形式の BigQuery データセット。PROJECT_ID は Google Cloud プロジェクトの英数字の ID、DATASET_ID はデータセットの ID です。
• TABLE_PREFIX: 分析結果を書き込む BigQuery テーブルの接頭辞。指定した接頭辞を持つテーブルが存在しない場合は、BigQuery によって新しいテーブルが作成されます。
• PARTITION_KEY: 省略可。BigQuery パーティション分割テーブルのパーティション キー。Policy Analyzer では、REQUEST_TIME パーティション キーのみがサポートされます。
• WRITE_DISPOSITION: 省略可。宛先テーブルまたはパーティションがすでに存在する場合に実施するアクションを指定します。有効な値の一覧については、writeDisposition をご覧ください。デフォルトでは、テーブルまたはパーティションがすでに存在する場合、BigQuery はデータをテーブルまたは最新のパーティションに追加します。

HTTP メソッドと URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning

リクエストの本文（JSON）:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  },
  "outputConfig": {
    "bigqueryDestination": {
      "dataset": "DATASET",
      "tablePrefix": "TABLE_PREFIX",
      "partitionKey": "PARTITION_KEY",
      "writeDisposition": "WRITE_DISPOSITION"
    }
  }
}

リクエストを送信するには、次のいずれかのオプションを展開します。

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicyLongrunning" | Select-Object -Expand Content

次のような JSON レスポンスが返されます。

{
  "name": "projects/my-project/operations/AnalyzeIamPolicyLongrunning/1206385342502762515812063858425027606003",
  "metadata": {
    "@type": "type.googleapis.com/google.cloud.asset.v1.AnalyzeIamPolicyLongrunningMetadata",
    "createTime": "2022-04-12T21:31:10.753173929Z"
  }
}

1. Google Cloud コンソールで [BigQuery] ページに移動します。

   BigQuery に移動

2. データセット内のテーブルとビューを表示するには、ナビゲーション パネルを開きます。[エクスプローラ] セクションでプロジェクトを展開し、データセットを選択します。

3. リストから、接頭辞付きのテーブルを選択します。analysis 接尾辞付きのテーブルには、クエリとメタデータ（オペレーション名、リクエスト時刻、重大でないエラーなど）が含まれます。analysis_result 接頭辞付きのテーブルは、{identity, role(s)/permission(s), resource} のタプルを、それらのタプルを生成する IAM ポリシーとともに一覧表示した結果です。

4. データのサンプルセットを表示するには、[プレビュー] タブを選択します。

API

テーブルのデータを閲覧するには、tabledata.list を呼び出します。tableId パラメータで、テーブルの名前を指定します。

次の省略可能パラメータを構成すると、出力を制御できます。

• maxResults は返される結果の最大数です。
• selectedFields は返される列のカンマ区切りのリストです。指定しなければ、すべての列が返されます。
• startIndex は、読み取りを開始する行を指し示す、ゼロから始まるインデックスです。

値は 1 つの JSON オブジェクトにラップされて返されます。このオブジェクトは、tabledata.list リファレンス ドキュメントに記載されている手順に沿って解析する必要があります。