本頁面由 Cloud Translation API 翻譯而成。

查看 Cloud Storage 值區的政策深入分析

本頁說明如何管理值區層級的政策洞察，這些洞察是根據機器學習技術，分析 Cloud Storage 值區的權限使用情形而得出的結果。政策洞察資料可協助您找出具備不必要權限的主體。

本頁面著重於 bucket 的政策洞察資料。建議工具也會針對下列資源類型提供政策洞察：

值區層級的政策洞察資訊有時會連結至角色建議。角色建議會根據 bucket 層級的政策洞察資料，提供建議的修正動作。

事前準備

Enable the Recommender API.
Enable the API
熟悉 IAM 角色建議。
請確認您已在機構或專案層級啟用 Security Command Center 的進階或企業方案。詳情請參閱帳單問題。
選用：瞭解建議工具洞察。

必要的角色

如要取得管理 bucket 層級政策洞察資訊所需的權限，請要求管理員為您授予專案的下列 IAM 角色：

儲存空間管理員 (roles/storage.admin)
使用 gcloud CLI 或 REST API 管理 bucket 層級的政策洞察： Service Usage Consumer (`roles/serviceusage.serviceUsageConsumer`)

如要進一步瞭解如何授予角色，請參閱「管理專案、資料夾和機構的存取權」。

這些預先定義的角色具備管理 bucket 層級政策洞察資料所需的權限。如要查看確切的必要權限，請展開「必要權限」部分：

所需權限

如要管理 bucket 層級的政策洞察，必須具備下列權限：

如要查看值區層級的政策洞察資料，請按照下列步驟操作：
- recommender.iamPolicyInsights.get
- recommender.iamPolicyInsights.list
如要修改 bucket 層級的政策洞察資料： recommender.iamPolicyInsights.update
如要在 Google Cloud 控制台中管理值區層級的政策深入分析：
- resourcemanager.projects.get
- storage.buckets.list
使用 gcloud CLI 或 REST API 管理 bucket 層級的政策洞察： serviceusage.services.use

您或許還可透過自訂角色或其他預先定義的角色取得這些權限。

列出 bucket 層級的政策洞察

如要列出專案的所有 bucket 層級政策洞察，請使用下列其中一種方法：

控制台

前往 Google Cloud 控制台的「Bucket」頁面。

前往值區
在表格中找到「安全性洞察資料」欄。如果沒有看到「安全性洞察」欄，請按一下「資料欄顯示選項」圖示，然後選取「安全性洞察」。

這欄會顯示 bucket 的所有政策洞察摘要。每個摘要都會指出該值區中所有角色獲得的過多權限總數。
找出要查看洞察資料的值區，然後按一下該資料列中的政策洞察摘要。這項操作會開啟「安全性建議」窗格，列出在該 bucket 中具有角色的所有主體、這些主體的角色，以及與這些角色相關聯的任何政策洞察資訊。

在這個表格中，政策洞察資訊的格式為 EXCESS/TOTAL excess permissions，其中 EXCESS 是主體不需要的角色權限數量，TOTAL 則是角色中的權限總數。

gcloud

使用 gcloud recommender insights list 指令，查看專案的所有值區層級政策洞察資料。

執行指令前，請先替換下列值：

PROJECT_ID：要列出洞察資料的專案 ID。
LOCATION：要列出洞察資料的值區位置。

gcloud recommender insights list --insight-type=google.iam.policy.Insight \
    --project=PROJECT_ID \
    --location=LOCATION\
    --filter="insightSubtype:PERMISSIONS_USAGE_STORAGE_BUCKET"

輸出內容會列出指定位置中專案的所有值區層級政策洞察資料。例如：

INSIGHT_ID                            CATEGORY  INSIGHT_STATE  LAST_REFRESH_TIME     SEVERITY  INSIGHT_SUBTYPE                   DESCRIPTION
00dd7eb5-15c2-4fb3-a9b2-1a85f842462b  SECURITY  ACTIVE         2022-05-24T07:00:00Z  CRITICAL  PERMISSIONS_USAGE_STORAGE_BUCKET  2 of the permissions in this role binding were used in the past 90 days.
04307297-f57c-416d-9323-38abac450db0  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE_STORAGE_BUCKET  2 of the permissions in this role binding were used in the past 90 days.
04845da5-74ba-46b4-a0f3-47d83095c261  SECURITY  ACTIVE         2022-05-24T07:00:00Z  CRITICAL  PERMISSIONS_USAGE_STORAGE_BUCKET  1 of the permissions in this role binding were used in the past 90 days.
0a39f643-d7a8-4c11-b490-fecd74290fb5  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE_STORAGE_BUCKET  2 of the permissions in this role binding were used in the past 90 days.
0a4cee48-777b-4dea-a2b0-702b70da4b6f  SECURITY  ACTIVE         2022-05-24T07:00:00Z  CRITICAL  PERMISSIONS_USAGE_STORAGE_BUCKET  0 of the permissions in this role binding were used in the past 90 days.
0b2d147c-b26e-4afe-8fab-449c6e793750  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE_STORAGE_BUCKET  0 of the permissions in this role binding were used in the past 90 days.
0b5eacc5-ba9a-45f6-aea2-bcdc33ce2a2d  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE_STORAGE_BUCKET  1 of the permissions in this role binding were used in the past 90 days.
0bb3032d-721c-44e8-b464-5293f235281c  SECURITY  ACTIVE         2022-05-24T07:00:00Z  LOW       PERMISSIONS_USAGE_STORAGE_BUCKET  3 of the permissions in this role binding were used in the past 90 days.

REST

Recommender API 的 insights.list 方法會列出專案的所有值區層級政策洞察。

使用任何要求資料之前，請先替換以下項目：

PROJECT_ID：要列出洞察資料的專案 ID。
LOCATION：要列出洞察資料的值區位置。

HTTP 方法和網址：

GET https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights?filter=insightSubtype%20%3D%20PERMISSIONS_USAGE_STORAGE_BUCKET

如要傳送要求，請展開以下其中一個選項：

curl (Linux、macOS 或 Cloud Shell)

注意： 下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI，或使用 Cloud Shell，自動登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

執行下列指令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights?filter=insightSubtype%20%3D%20PERMISSIONS_USAGE_STORAGE_BUCKET"

PowerShell (Windows)

注意： 下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights?filter=insightSubtype%20%3D%20PERMISSIONS_USAGE_STORAGE_BUCKET" | Select-Object -Expand Content

回應會列出指定位置中專案的所有值區層級政策洞察資料。例如：

{
  "insights": [
    {
      "name": "projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/00dd7eb5-15c2-4fb3-a9b2-1a85f842462b",
      "description": "2 of the permissions in this role binding were used in the past 90 days.",
      "content": {
        "role": "roles/storage.legacyBucketReader",
        "member": "allUsers",
        "condition": {
          "expression": "",
          "title": "",
          "description": "",
          "location": ""
        },
        "exercisedPermissions": [
          {
            "permission": "storage.buckets.get"
          },
          {
            "permission": "storage.objects.list"
          }
        ],
        "inferredPermissions": [],
        "currentTotalPermissionsCount": "3"
      },
      "lastRefreshTime": "2022-05-24T07:00:00Z",
      "observationPeriod": "7772400s",
      "stateInfo": {
        "state": "ACTIVE"
      },
      "category": "SECURITY",
      "associatedRecommendations": [
        {
          "recommendation": "projects/123456789012/locations/us/recommenders/google.iam.policy.Recommender/recommendations/4a31a9d4-5132-4616-8a1f-fb07fad01883"
        }
      ],
      "targetResources": [
        "//storage.googleapis.com/bucket-1"
      ],
      "insightSubtype": "PERMISSIONS_USAGE_STORAGE_BUCKET",
      "etag": "\"2a8784e529b80aea\"",
      "severity": "CRITICAL"
    },
    {
      "name": "projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/04307297-f57c-416d-9323-38abac450db0",
      "description": "2 of the permissions in this role binding were used in the past 90 days.",
      "content": {
        "role": "roles/storage.legacyBucketReader",
        "member": "projectViewer:my-project",
        "condition": {
          "expression": "",
          "title": "",
          "description": "",
          "location": ""
        },
        "exercisedPermissions": [
          {
            "permission": "storage.buckets.get"
          },
          {
            "permission": "storage.objects.list"
          }
        ],
        "inferredPermissions": [],
        "currentTotalPermissionsCount": "3"
      },
      "lastRefreshTime": "2022-05-24T07:00:00Z",
      "observationPeriod": "7772400s",
      "stateInfo": {
        "state": "ACTIVE"
      },
      "category": "SECURITY",
      "associatedRecommendations": [
        {
          "recommendation": "projects/123456789012/locations/us/recommenders/google.iam.policy.Recommender/recommendations/f3198e63-7f76-462e-a980-8e6370ff32d6"
        }
      ],
      "targetResources": [
        "//storage.googleapis.com/bucket-2"
      ],
      "insightSubtype": "PERMISSIONS_USAGE_STORAGE_BUCKET",
      "etag": "\"5b60b935f27caf2c\"",
      "severity": "LOW"
    }
  ]
}

如要進一步瞭解洞察資料的組成部分，請參閱本頁的「查看儲存區層級的政策洞察資料」。

取得單一值區層級政策洞察

如要進一步瞭解單一洞察資料，包括洞察資料的說明、狀態和任何相關聯的建議，請使用下列其中一種方法：

控制台

前往 Google Cloud 控制台的「Bucket」頁面。

前往值區
確認「安全性洞察資料」欄位顯示在畫面中。
在表格中找到「安全性洞察資料」欄。這欄會顯示 bucket 的所有政策洞察摘要。每個摘要都會指出該值區中所有角色獲得的過多權限總數。

如果沒有看到「安全性洞察」欄，請按一下「資料欄顯示選項」圖示，然後選取「安全性洞察」。然後在表格中找出該欄。
找出要查看洞察資料的值區，然後按一下該資料列中的政策洞察摘要。開啟窗格，列出具有儲存空間角色、角色和與這些角色相關聯的任何政策洞察的所有主體。
在「安全性洞察」欄中，按一下政策洞察。政策洞察資訊的格式為 EXCESS/TOTAL excess permissions，其中 EXCESS 是主體不需要的角色權限數量，TOTAL 則是角色權限總數。

Google Cloud 控制台會開啟窗格，顯示洞察資料的詳細資料。

gcloud

使用 gcloud recommender insights describe 指令和洞察 ID，查看單一洞察的相關資訊。

INSIGHT_ID：要查看的洞察 ID。如要找出 ID，請列出專案的洞察資料。
PROJECT_ID：要管理洞察資料的專案 ID。
LOCATION：要取得洞察資料的值區位置。

gcloud recommender insights describe INSIGHT_ID \
    --insight-type=google.iam.policy.Insight \
    --project=PROJECT_ID \
    --location=LOCATION

輸出內容會詳細顯示洞察資料。舉例來說，以下洞察資訊指出，所有使用者 (allUsers) 在 bucket bucket-1 上都具有 Storage 舊版 bucket 讀取者角色 (roles/storage.legacyBucketReader)，但過去 90 天內只使用了該角色中的兩項權限：

associatedRecommendations:
- recommendation: projects/123456789012/locations/us/recommenders/google.iam.policy.Recommender/recommendations/4a31a9d4-5132-4616-8a1f-fb07fad01883
category: SECURITY
content:
  condition:
    description: ''
    expression: ''
    location: ''
    title: ''
  currentTotalPermissionsCount: '3'
  exercisedPermissions:
  - permission: storage.buckets.get
  - permission: storage.objects.list
  inferredPermissions: []
  member: allUsers
  role: roles/storage.legacyBucketReader
description: 2 of the permissions in this role binding were used in the past 90 days.
etag: '"2a8784e529b80aea"'
insightSubtype: PERMISSIONS_USAGE_STORAGE_BUCKET
lastRefreshTime: '2022-05-24T07:00:00Z'
name: projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/00dd7eb5-15c2-4fb3-a9b2-1a85f842462b
observationPeriod: 7772400s
severity: CRITICAL
stateInfo:
  state: ACTIVE
targetResources:
- //storage.googleapis.com/bucket-1

如要進一步瞭解洞察資料的組成部分，請參閱本頁的「查看儲存區層級的政策洞察資料」。

REST

Recommender API 的 insights.get 方法會取得單一洞察資料。

使用任何要求資料之前，請先替換以下項目：

PROJECT_ID：要管理洞察資料的專案 ID。
LOCATION：要取得洞察資料的值區位置。
INSIGHT_ID：要查看的洞察 ID。如果您不知道洞察 ID，可以列出專案中的洞察來找出 ID。洞察 ID 是洞察的 name 欄位中 insights/ 後方的所有內容。

HTTP 方法和網址：

GET https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID

如要傳送要求，請展開以下其中一個選項：

curl (Linux、macOS 或 Cloud Shell)

執行下列指令：

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID"

PowerShell (Windows)

注意： 下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID" | Select-Object -Expand Content

回覆會包含洞察資料。舉例來說，以下洞察資訊指出，所有使用者 (allUsers) 在 bucket bucket-1 上都具有 Storage 舊版 bucket 讀取者角色 (roles/storage.legacyBucketReader)，但過去 90 天內只使用了該角色中的兩項權限：

{
  "name": "projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/00dd7eb5-15c2-4fb3-a9b2-1a85f842462b",
  "description": "2 of the permissions in this role binding were used in the past 90 days.",
  "content": {
    "role": "roles/storage.legacyBucketReader",
    "member": "allUsers",
    "condition": {
      "expression": "",
      "title": "",
      "description": "",
      "location": ""
    },
    "exercisedPermissions": [
      {
        "permission": "storage.buckets.get"
      },
      {
        "permission": "storage.objects.list"
      }
    ],
    "inferredPermissions": [],
    "currentTotalPermissionsCount": "3"
  },
  "lastRefreshTime": "2022-05-24T07:00:00Z",
  "observationPeriod": "7772400s",
  "stateInfo": {
    "state": "ACTIVE"
  },
  "category": "SECURITY",
  "associatedRecommendations": [
    {
      "recommendation": "projects/123456789012/locations/us/recommenders/google.iam.policy.Recommender/recommendations/4a31a9d4-5132-4616-8a1f-fb07fad01883"
    }
  ],
  "targetResources": [
    "//storage.googleapis.com/bucket-1"
  ],
  "insightSubtype": "PERMISSIONS_USAGE_STORAGE_BUCKET",
  "etag": "\"2a8784e529b80aea\"",
  "severity": "CRITICAL"
}

如要進一步瞭解洞察資料的組成部分，請參閱本頁的「查看儲存區層級的政策洞察資料」。

查看值區層級的政策深入分析

取得單一洞察後，您可以查看其內容，瞭解洞察所強調的資源用量模式。

控制台

在 Google Cloud 控制台中點選政策洞察資料時， Google Cloud 控制台會開啟一個窗格，顯示洞察資料的詳細資料。這些詳細資料的顯示方式，取決於洞察資訊是否與建議相關聯。

如果洞察資訊與建議相關聯，窗格會顯示建議詳細資料。

如果洞察資訊未與建議相關聯，窗格會顯示角色中的所有權限清單。主體使用的權限會顯示在清單頂端，接著是超額權限。

gcloud

洞察內容取決於子類型。值區層級的政策深入分析 (google.iam.policy.Insight) 深入分析結果具有 PERMISSIONS_USAGE_STORAGE_BUCKET 子類型。

PERMISSIONS_USAGE_STORAGE_BUCKET 洞察包含下列元件，但不一定會依此順序顯示：

associatedRecommendations：與洞察資料相關聯的任何建議 ID。如果沒有與洞察資料相關的建議，這個欄位會留空。
category：IAM 洞察的類別一律為 SECURITY。
content：回報特定角色的主體權限用量。這個欄位包含下列元件：
- condition：附加至繫結的任何條件，可授予主體角色。如果沒有條件，這個欄位會包含空白條件。
- exercisedPermissions：主體在觀察期間使用的角色權限。
- inferredPermissions：角色中的權限。Recommender 透過 ML 判斷主體可能需要這些權限，因為主體已行使這些權限。
- member：已分析權限使用情形的主體。
- role：已分析權限用量的角色。
description：使用者可自然閱讀的洞察摘要。
etag：洞察資料目前狀態的專屬 ID。每次洞察資料變更時，系統都會指派新的 etag 值。

如要變更洞察的狀態，必須提供現有洞察的 etag。使用 etag 可確保只有在洞察資料自上次擷取後未變更時，才會執行任何作業。
insightSubtype：洞察子類型。
lastRefreshTime：洞察資料上次更新的日期，表示用於產生洞察資料的資料更新程度。
name：洞察名稱，格式如下：
```
projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID
```
預留位置的值如下：
- PROJECT_ID：產生洞察資料的專案 ID。
- LOCATION：洞察資料所屬的 bucket 位置。
- INSIGHT_ID：洞察的專屬 ID。
observationPeriod：洞察資料的參考時間範圍。用來生成洞察的來源資料結束於 lastRefreshTime，開始於 lastRefreshTime 減去 observationPeriod。
stateInfo：洞察資料在提出後會經歷多種狀態轉換：
- ACTIVE：洞察資料已產生，但未採取任何動作，或採取動作後未更新洞察資料的狀態。基礎資料變更時，系統會更新有效的洞察資料。
- ACCEPTED：已根據洞察資料採取行動。當相關聯的建議標示為 CLAIMED、SUCCEEDED 或 FAILED，或直接接受洞察資料時，洞察資料就會獲得採用。洞察資料處於 ACCEPTED 狀態時，洞察資料內容無法變更。接受的洞察資料會在接受後保留 90 天。
targetResources：洞察資訊所屬 bucket 的完整資源名稱。例如： //storage.googleapis.com/my-bucket。

REST

洞察內容取決於子類型。值區層級的政策深入分析 (google.iam.policy.Insight) 深入分析結果具有 PERMISSIONS_USAGE_STORAGE_BUCKET 子類型。

PERMISSIONS_USAGE_STORAGE_BUCKET 洞察包含下列元件，但不一定會依此順序顯示：

associatedRecommendations：與洞察資料相關聯的任何建議 ID。如果沒有與洞察資料相關的建議，這個欄位會留空。
category：IAM 洞察的類別一律為 SECURITY。
content：回報特定角色的主體權限用量。這個欄位包含下列元件：
- condition：附加至繫結的任何條件，可授予主體角色。如果沒有條件，這個欄位會包含空白條件。
- exercisedPermissions：主體在觀察期間使用的角色權限。
- inferredPermissions：Recommender 透過 ML 判斷主體可能需要的角色權限 (根據主體已使用的權限)。
- member：已分析權限使用情形的主體。
- role：已分析權限用量的角色。
description：使用者可自然閱讀的洞察摘要。
etag：洞察資料目前狀態的專屬 ID。每次洞察資料變更時，系統都會指派新的 etag 值。

如要變更洞察的狀態，必須提供現有洞察的 etag。使用 etag 可確保只有在洞察資料自上次擷取後未變更時，才會執行任何作業。
insightSubtype：洞察子類型。
lastRefreshTime：洞察資料上次更新的日期，表示用於產生洞察資料的資料更新程度。
name：洞察名稱，格式如下：
```
projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID
```
預留位置的值如下：
- PROJECT_ID：產生洞察資料的專案 ID。
- LOCATION：洞察資料所屬的 bucket 位置。
- INSIGHT_ID：洞察的專屬 ID。
observationPeriod：洞察資料的參考時間範圍。用來生成洞察的來源資料結束於 lastRefreshTime，開始於 lastRefreshTime 減去 observationPeriod。
stateInfo：洞察資料在提出後會經歷多種狀態轉換：
- ACTIVE：洞察資料已產生，但未採取任何動作，或採取動作後未更新洞察資料的狀態。基礎資料變更時，系統會更新有效的洞察資料。
- ACCEPTED：已根據洞察資料採取行動。當相關聯的建議標示為 CLAIMED、SUCCEEDED 或 FAILED，或直接接受洞察資料時，洞察資料就會獲得採用。洞察資料處於 ACCEPTED 狀態時，洞察資料內容無法變更。接受的洞察資料會在接受後保留 90 天。
targetResources：洞察資訊所屬 bucket 的完整資源名稱。例如： //storage.googleapis.com/my-bucket。

將 bucket 層級的政策洞察標示為 `ACCEPTED`

如果根據有效洞察資料採取行動，您可以將該洞察資料標示為 ACCEPTED。ACCEPTED 狀態會告知 Recommender API 您已根據這項洞察資料採取行動，有助於改善建議。

接受的洞察資料在標示為 ACCEPTED 後，會保留 90 天。

控制台

如果深入分析資料與建議相關聯，套用建議後，深入分析資料的狀態會變更為 ACCEPTED。

如要將洞察標示為 ACCEPTED，但不套用建議，請使用 gcloud CLI 或 REST API。

gcloud

使用 gcloud recommender insights mark-accepted 指令並提供洞察 ID，將洞察標示為 ACCEPTED。

INSIGHT_ID：要查看的洞察 ID。如要找出 ID，請列出專案的洞察資料。
PROJECT_ID：要管理洞察資料的專案 ID。
LOCATION：要標示為 ACCEPTED 的洞察資料所屬值區位置。
ETAG：洞察版本的 ID。如要取得 etag，請按照下列步驟操作：
1. 使用 gcloud recommender insights describe 指令取得洞察資料。
2. 從輸出內容中找出並複製 etag 值，包括周圍的引號。例如："d3cdec23cc712bd0"。

gcloud recommender insights mark-accepted INSIGHT_ID \
    --insight-type=google.iam.policy.Insight \
    --project=PROJECT_ID \
    --location=LOCATION \
    --etag=ETAG

輸出內容會顯示洞察資料，現在狀態為 ACCEPTED：

associatedRecommendations:
- recommendation: projects/123456789012/locations/us/recommenders/google.iam.policy.Recommender/recommendations/4a31a9d4-5132-4616-8a1f-fb07fad01883
category: SECURITY
content:
  condition:
    description: ''
    expression: ''
    location: ''
    title: ''
  currentTotalPermissionsCount: '3'
  exercisedPermissions:
  - permission: storage.buckets.get
  - permission: storage.objects.list
  inferredPermissions: []
  member: allUsers
  role: roles/storage.legacyBucketReader
description: 2 of the permissions in this role binding were used in the past 90 days.
etag: '"0187c0362e4bcea7"'
insightSubtype: PERMISSIONS_USAGE_STORAGE_BUCKET
lastRefreshTime: '2022-05-24T07:00:00Z'
name: projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/00dd7eb5-15c2-4fb3-a9b2-1a85f842462b
observationPeriod: 7772400s
severity: CRITICAL
stateInfo:
  state: ACCEPTED
targetResources:
- //storage.googleapis.com/bucket-1

如要進一步瞭解洞察資訊的狀態，請參閱本頁的「查看值區層級的政策洞察資訊」。

REST

Recommender API 的 insights.markAccepted 方法會將洞察標示為 ACCEPTED。

使用任何要求資料之前，請先替換以下項目：

PROJECT_ID：要管理洞察資料的專案 ID。
LOCATION：要標示為 ACCEPTED 的洞察資料所屬值區位置。
INSIGHT_ID：要查看的洞察 ID。如果您不知道洞察 ID，可以列出專案中的洞察來找出 ID。洞察 ID 是洞察的 name 欄位中 insights/ 後方的所有內容。
ETAG：洞察版本的 ID。如要取得 etag，請按照下列步驟操作：
1. 使用 insights.get 方法取得洞察資料。
2. 從回應中找出並複製 etag 值。

HTTP 方法和網址：

POST https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID:markAccepted

JSON 要求主體：

{
  "etag": "ETAG"
}

如要傳送要求，請展開以下其中一個選項：

curl (Linux、macOS 或 Cloud Shell)

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "x-goog-user-project: PROJECT_ID" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID:markAccepted"

PowerShell (Windows)

注意： 下列指令假設您已執行 gcloud init 或 gcloud auth login，透過使用者帳戶登入 gcloud CLI。您可以執行 gcloud auth list 查看目前有效的帳戶。

將要求主體儲存在名為 request.json 的檔案中，然後執行下列指令：

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://recommender.googleapis.com/v1/projects/PROJECT_ID/locations/LOCATION/insightTypes/google.iam.policy.Insight/insights/INSIGHT_ID:markAccepted" | Select-Object -Expand Content

回應包含洞察資料，現在會顯示 ACCEPTED 的狀態：

{
  "name": "projects/123456789012/locations/us/insightTypes/google.iam.policy.Insight/insights/00dd7eb5-15c2-4fb3-a9b2-1a85f842462b",
  "description": "2 of the permissions in this role binding were used in the past 90 days.",
  "content": {
    "role": "roles/storage.legacyBucketReader",
    "member": "allUsers",
    "condition": {
      "expression": "",
      "title": "",
      "description": "",
      "location": ""
    },
    "exercisedPermissions": [
      {
        "permission": "storage.buckets.get"
      },
      {
        "permission": "storage.objects.list"
      }
    ],
    "inferredPermissions": [],
    "currentTotalPermissionsCount": "3"
  },
  "lastRefreshTime": "2022-05-24T07:00:00Z",
  "observationPeriod": "7772400s",
  "stateInfo": {
    "state": "ACCEPTED"
  },
  "category": "SECURITY",
  "associatedRecommendations": [
    {
      "recommendation": "projects/123456789012/locations/us/recommenders/google.iam.policy.Recommender/recommendations/4a31a9d4-5132-4616-8a1f-fb07fad01883"
    }
  ],
  "targetResources": [
    "//storage.googleapis.com/bucket-1"
  ],
  "insightSubtype": "PERMISSIONS_USAGE_STORAGE_BUCKET",
  "etag": "\"9a5485cdc1f05b58\"",
  "severity": "CRITICAL"
}

如要進一步瞭解洞察資訊的狀態，請參閱本頁的「查看值區層級的政策洞察資訊」。

後續步驟

瞭解如何查看及套用 Cloud Storage 值區的政策建議。
使用建議中心查看及管理專案的所有建議，包括 IAM 建議。

查看 Cloud Storage 值區的政策深入分析 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

事前準備

必要的角色

所需權限

列出 bucket 層級的政策洞察

控制台

gcloud

REST

curl (Linux、macOS 或 Cloud Shell)

PowerShell (Windows)

取得單一值區層級政策洞察

控制台

gcloud

REST

curl (Linux、macOS 或 Cloud Shell)

PowerShell (Windows)

查看值區層級的政策深入分析

控制台

gcloud

REST

將 bucket 層級的政策洞察標示為 ACCEPTED

控制台

gcloud

REST

curl (Linux、macOS 或 Cloud Shell)

PowerShell (Windows)

後續步驟

查看 Cloud Storage 值區的政策深入分析

將 bucket 層級的政策洞察標示為 `ACCEPTED`