정책 시뮬레이터를 사용하여 역할 변경 테스트

콘솔

호스트 리소스는 리소스 선택기에 표시되는 프로젝트, 폴더 또는 조직입니다.

호스트 리소스를 변경하려면 리소스 선택기에서 다른 프로젝트, 폴더 또는 조직을 선택합니다.

gcloud

호스트 리소스는 현재의 할당량 프로젝트입니다. 할당량 프로젝트를 설정하려면 gcloud auth application-default set-quota-project 명령어를 사용합니다.

REST

요청을 보낼 때마다 호스트 리소스를 수동으로 지정합니다. 자세한 내용은 이 페이지의 정책 변경사항 시뮬레이션을 참조하세요.

콘솔

다음 예시에서는 프로젝트의 허용 정책에 대해 변경사항을 시뮬레이션하는 방법을 보여줍니다. 하지만 허용 정책이 있는 모든 리소스에 대해 허용 정책에 대한 변경사항을 시뮬레이션할 수 있습니다.

주 구성원의 권한을 편집한 후 저장 대신 변경사항 테스트를 클릭합니다.

1. Google Cloud 콘솔에서 IAM 페이지로 이동합니다.

   IAM 페이지로 이동

2. 기존 주 구성원의 권한을 수정해서 허용 정책에 대해 제안된 변경사항을 만듭니다.

   1. 액세스 권한을 수정하려는 주 구성원을 찾고 오른쪽의 수정 edit 버튼을 클릭합니다.
   2. 새 역할을 추가하거나 기존 역할을 취소 또는 변경하여 주 구성원의 액세스 권한을 수정합니다.

3. 제안된 변경사항을 시뮬레이션하려면 변경사항 테스트를 클릭합니다.

4. 몇 분 후 Google Cloud 콘솔에 시뮬레이션 결과가 액세스 변경사항 목록으로 표시됩니다. 자세한 내용은 이 페이지의 정책 시뮬레이터 결과 이해를 참조하세요.

   

   

   기존 허용 정책과 시뮬레이션된 허용 정책 간의 액세스 권한이 변경되지 않은 경우 Google Cloud 콘솔에 액세스 변경사항이 표시되지 않습니다.

gcloud

허용 정책에 대해 변경사항을 시뮬레이션하려면 read-modify-write 플랫폼을 따르지만 이를 작성하는 대신 허용 정책을 시뮬레이션합니다.

1. 다음 명령어를 실행하여 현재 허용 정책을 읽습니다.

   gcloud resource-type get-iam-policy resource-id --format=format > filepath

   다음 값을 바꿉니다.

   • resource-type: 허용 정책을 시뮬레이션하려는 리소스 유형입니다. 예를 들면 projects입니다.
   • resource-id: 시뮬레이션하려는 허용 정책의 리소스 ID입니다. 예를 들면 my-project입니다.
   • format: 응답 형식입니다. json 또는 yaml 값을 사용합니다.
   • filepath: 허용 정책에 대한 새 출력 파일의 경로입니다.

   예를 들어 다음 명령어는 my-project 프로젝트의 허용 정책을 JSON 형식으로 가져와 사용자의 홈 디렉터리에 저장합니다.

   gcloud projects get-iam-policy my-project --format=json > ~/policy.json

2. get-iam-policy 명령어에서 반환된 JSON 또는 YAML 허용 정책을 수정하여 시뮬레이션할 변경사항을 반영합니다.

   허용 정책에는 변경 가능한 유형이 여러 개 있습니다. 예를 들어 역할 결합에서 주 구성원을 추가 또는 삭제하거나 허용 정책에서 역할 결합을 삭제할 수 있습니다.

3. 다음 명령어를 실행하여 허용 정책에 대한 변경사항을 시뮬레이션합니다.

   gcloud iam simulator replay-recent-access \
       full-resource-name \
       filepath \
       --format=format

   다음 값을 바꿉니다.

   • full-resource-name: 허용 정책을 시뮬레이션할 리소스의 전체 리소스 이름입니다.

     전체 리소스 이름은 서비스 이름과 리소스 경로로 구성된 URI입니다. 예를 들어 프로젝트에 대해 허용 정책을 시뮬레이션하는 경우 //cloudresourcemanager.googleapis.com/projects/project- id를 사용합니다. 여기서 project-id는 시뮬레이션하려는 허용 정책의 프로젝트 ID입니다.

     전체 리소스 이름 형식 목록은 전체 리소스 이름을 참조하세요.

   • filepath: 시뮬레이션하려는 수정된 허용 정책이 포함된 파일의 경로입니다. 예를 들면 ~/proposed_policy.json입니다.

   • format: 응답 형식입니다. 예를 들면 json 또는 yaml입니다.

   몇 분 후에 제안된 허용 정책이 적용되면 이 명령어는 주 구성원의 액세스 권한이 어떻게 변경될지 설명하는 재생 목록을 출력합니다. 이러한 결과에는 시뮬레이션 중에 발생한 오류가 나열되며 지원되지 않는 리소스 유형으로 인한 오류가 포함됩니다.

   결과를 읽는 방법은 이 페이지의 정책 시뮬레이터 결과 이해를 참조하세요. 시뮬레이션 결과를 출력하는 대신 저장하는 방법은 시뮬레이션 결과 저장을 참조하세요.

   다음은 사용자 my-user@example.com과 관련된 허용 정책 시뮬레이션의 샘플 응답입니다. 이 경우 제안된 변경사항이 적용되면 my-user@example.com은 더 이상 my-project 프로젝트에 대한 resourcemanager.projects.list 및 resourcemanager.projects.get 권한을 갖지 못할 수 있으며 확정적으로 더 이상 my-project 프로젝트에 대한 resourcemanager.projects.update 권한을 갖지 못합니다.

   [
     {
       "accessTuple": {
         "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
         "permission": "resourcemanager.projects.list",
         "principal": "my-user@example.com"
       },
       "diff": {
         "accessDiff": {
           "accessChange": "ACCESS_MAYBE_REVOKED",
           "baseline": {
             "accessState": "GRANTED"
           },
           "simulated": {
             "accessState": "UNKNOWN_INFO_DENIED",
             "errors": [
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                     "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                     "resourceType": "cloudresourcemanager.googleapis.com/projects"
                   }
                 ],
                 "message": "Missing permission to get relevant IAM policies."
               }
             ],
             "policies": [
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "policy": {}
               }
             ]
           }
         }
       },
       "lastSeenDate": {
         "day": 12,
         "month": 1,
         "year": 2021
       }
     },
     {
       "accessTuple": {
         "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
         "permission": "resourcemanager.projects.get",
         "principal": "my-user@example.com"
       },
       "diff": {
         "accessDiff": {
           "accessChange": "ACCESS_MAYBE_REVOKED",
           "baseline": {
             "accessState": "GRANTED"
           },
           "simulated": {
             "accessState": "UNKNOWN_INFO_DENIED",
             "errors": [
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to view group membership.",
                     "resourceName": "group:everyone@example.com",
                     "resourceType": "Google group"
                   }
                 ],
                 "message": "Missing permission to view group membership."
               },
               {
                 "code": 7,
                 "details": [
                   {
                     "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                     "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                     "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                     "resourceType": "cloudresourcemanager.googleapis.com/projects"
                   }
                 ],
                 "message": "Missing permission to get relevant IAM policies."
               }
             ],
             "policies": [
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "bindingExplanations": [
                   {
                     "access": "UNKNOWN_INFO_DENIED",
                     "memberships": {
                       "group:everyone@example.com": {
                         "membership": "MEMBERSHIP_UNKNOWN_INFO_DENIED"
                       }
                     },
                     "role": "roles/owner"
                   }
                 ],
                 "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                 "policy": {
                   "bindings": [
                     {
                       "members": [
                         "group:everyone@example.com"
                       ],
                       "role": "roles/owner"
                     }
                   ],
                   "etag": "BwWgJSIInYA=",
                   "version": 3
                 }
               },
               {
                 "access": "UNKNOWN_INFO_DENIED",
                 "policy": {}
               }
             ]
           }
         }
       },
       "lastSeenDate": {
         "day": 10,
         "month": 1,
         "year": 2021
       }
     },
     {
       "accessTuple": {
         "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
         "permission": "resourcemanager.projects.update",
         "principal": "my-user@example.com"
       },
       "diff": {
         "accessDiff": {
           "accessChange": "ACCESS_REVOKED",
           "baseline": {
             "accessState": "GRANTED"
           },
           "simulated": {
             "accessState": "NOT_GRANTED"
           }
         }
       },
       "lastSeenDate": {
         "day": 15,
         "month": 1,
         "year": 2021
       }
     },
     {
       "accessTuple": {},
       "error": {
         "code": 12,
         "details": [
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.create"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.setIamPolicy"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.delete"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.update"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "pubsub.topics.publish"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.list"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.getIamPolicy"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           },
           {
             "@type": "type.googleapis.com/google.rpc.ErrorInfo",
             "domain": "policysimulator.googleapis.com",
             "metadata": {
               "permission": "storage.objects.get"
             },
             "reason": "UNSUPPORTED_RESOURCE"
           }
         ],
         "message": "Simulator does not yet support all resource types for 8 removed permissions."
       }
     }
   ]

   기존 허용 정책과 시뮬레이션된 허용 정책 간에 액세스 권한이 변경되지 않으면 명령어가 No access changes found in the replay를 출력합니다.

REST

허용 정책에 대해 변경사항을 시뮬레이션하려면 read-modify-write 패턴을 따르지만, 허용 정책을 작성하는 대신 시뮬레이션을 만들고 실행합니다.

1. 리소스에 대한 허용 정책을 읽습니다.

   프로젝트의 허용 정책을 가져오려면 Resource Manager API의 projects.getIamPolicy 메서드를 사용합니다.

   요청 데이터를 사용하기 전에 다음을 바꿉니다.

   • PROJECT_ID: Google Cloud 프로젝트 ID. 프로젝트 ID는 my-project 같은 영숫자 문자열입니다.
   • POLICY_VERSION: 반환할 정책 버전입니다. 요청에는 정책 버전 3인 최신 정책 버전이 지정되어야 합니다. 자세한 내용은 정책을 가져올 때 정책 버전 지정을 참조하세요.

   HTTP 메서드 및 URL:

   POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy

   JSON 요청 본문:

   {
     "options": {
       "requestedPolicyVersion": POLICY_VERSION
     }
   }
   

   요청을 보내려면 다음 옵션 중 하나를 펼칩니다.

   cURL(Linux, macOS, Cloud Shell)

   요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy"

   PowerShell(Windows)

   요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:getIamPolicy" | Select-Object -Expand Content

   API 탐색기(브라우저)

   요청 본문을 복사하고 메서드 참조 페이지를 엽니다. 페이지 오른쪽에 API 탐색기 패널이 열립니다. 이 도구를 사용하여 요청을 보낼 수 있습니다. 요청 본문을 이 도구에 붙여넣고 다른 필수 필드를 입력한 후 실행을 클릭합니다.

   다음과 비슷한 JSON 응답이 표시됩니다.

   {
     "version": 1,
     "etag": "BwWKmjvelug=",
     "bindings": [
       {
         "role": "roles/owner",
         "members": [
           "user:project-owner@example.com"
         ]
       },
       {
         "role": "roles/iam.securityReviewer",
         "members": [
           "user:fatima@example.com"
         ]
       }
     ]
   }
   

2. 반환된 허용 정책을 수정하여 시뮬레이션할 변경사항을 반영합니다.

   허용 정책에는 변경 가능한 유형이 여러 개 있습니다. 예를 들어 역할 결합에서 주 구성원을 추가 또는 삭제하거나 허용 정책에서 역할 결합을 삭제할 수 있습니다.

3. 수정된 허용 정책으로 시뮬레이션 또는 재생을 만듭니다.

   프로젝트, 폴더, 조직에 대해 재생을 만들려면 Policy Simulator API의 replays.create 메서드를 사용합니다.

   요청 데이터를 사용하기 전에 다음을 바꿉니다.

   • HOST_RESOURCE_TYPE: 재생을 호스팅할 리소스의 유형입니다. 이 값은 projects, folders 또는 organizations이어야 합니다.
   • HOST_RESOURCE_ID: 호스트 리소스의 ID입니다(예: my-project).

   • TARGET_FULL_RESOURCE_NAME: 정책을 시뮬레이션할 리소스의 전체 리소스 이름입니다. 이 리소스는 IAM 정책을 허용하는 리소스일 수 있으며 어떠한 방식으로든 호스트 리소스와 관련될 필요가 없습니다.

     전체 리소스 이름은 서비스 이름과 리소스 경로로 구성된 URI입니다. 예를 들어 프로젝트의 정책을 시뮬레이션하는 경우 //cloudresourcemanager.googleapis.com/projects/PROJECT_ID를 사용합니다. 여기서 PROJECT_ID는 정책을 시뮬레이션할 프로젝트의 ID입니다.

     리소스 이름 형식의 전체 목록은 전체 리소스 이름을 참조하세요.

   • POLICY: 시뮬레이션할 정책입니다. 정책의 예시는 정책 참조를 확인하세요.

     여러 정책을 시뮬레이션하려면 요청 본문에 여러 "OBJECT_FULL_RESOURCE_NAME" : POLICY 쌍을 포함합니다.

   • PROJECT_ID: Google Cloud 프로젝트 ID. 프로젝트 ID는 my-project 같은 영숫자 문자열입니다.

   HTTP 메서드 및 URL:

   POST https://policysimulator.googleapis.com/v1/HOST_RESOURCE_TYPE/HOST_RESOURCE_ID/locations/global/replays

   JSON 요청 본문:

   {
     "config": {
       "policyOverlay": {
         "TARGET_FULL_RESOURCE_NAME" : POLICY
       }
     }
   }
   

   요청을 보내려면 다음 옵션 중 하나를 펼칩니다.

   cURL(Linux, macOS, Cloud Shell)

   요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

   curl -X POST \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "x-goog-user-project: PROJECT_ID" \
        -H "Content-Type: application/json; charset=utf-8" \
        -d @request.json \
        "https://policysimulator.googleapis.com/v1/HOST_RESOURCE_TYPE/HOST_RESOURCE_ID/locations/global/replays"

   PowerShell(Windows)

   요청 본문을 request.json 파일에 저장하고 다음 명령어를 실행합니다.

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }
   
   Invoke-WebRequest `
       -Method POST `
       -Headers $headers `
       -ContentType: "application/json; charset=utf-8" `
       -InFile request.json `
       -Uri "https://policysimulator.googleapis.com/v1/HOST_RESOURCE_TYPE/HOST_RESOURCE_ID/locations/global/replays" | Select-Object -Expand Content

   API 탐색기(브라우저)

   요청 본문을 복사하고 메서드 참조 페이지를 엽니다. 페이지 오른쪽에 API 탐색기 패널이 열립니다. 이 도구를 사용하여 요청을 보낼 수 있습니다. 요청 본문을 이 도구에 붙여넣고 다른 필수 필드를 입력한 후 실행을 클릭합니다.

   응답에는 재생을 나타내는 작업의 이름이 포함됩니다.

   {
     "name": "operations/6de23e63-f61a-4b8c-b502-34d717d2d7f8",
     "metadata": {
       "type_url": "type.googleapis.com/google.cloud.policysimulator.v1.ReplayOperationMetadata"
     }
   }
   

4. 재생을 완료할 때까지 operations.get 메서드를 폴링합니다.

   작업을 폴링하려면 응답에 완료된 재생의 이름이 있는 "done": true 필드 및 name 필드 이름이 포함될 때까지 operations.get 메서드를 반복해서 호출하는 것이 좋습니다. 잘린 지수 백오프를 사용하여 각 요청 간에 지연을 일으킵니다.

   재생 상태를 가져오려면 Policy Simulator API의 operations.get 메서드를 사용합니다.

   요청 데이터를 사용하기 전에 다음을 바꿉니다.

   • OPERATION_NAME: operations 프리픽스를 포함한 재생 작업의 이름입니다. replays.create 응답의 name 필드에서 이 값을 복사합니다. 예를 들면 operations/6de23e63-f61a-4b8c-b502-34d717d2d7f8입니다.
   • PROJECT_ID: Google Cloud 프로젝트 ID. 프로젝트 ID는 my-project 같은 영숫자 문자열입니다.

   HTTP 메서드 및 URL:

   GET https://policysimulator.googleapis.com/v1/OPERATION_NAME

   요청을 보내려면 다음 옵션 중 하나를 펼칩니다.

   cURL(Linux, macOS, Cloud Shell)

   다음 명령어를 실행합니다.

   curl -X GET \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "x-goog-user-project: PROJECT_ID" \
        "https://policysimulator.googleapis.com/v1/OPERATION_NAME"

   PowerShell(Windows)

   다음 명령어를 실행합니다.

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }
   
   Invoke-WebRequest `
       -Method GET `
       -Headers $headers `
       -Uri "https://policysimulator.googleapis.com/v1/OPERATION_NAME" | Select-Object -Expand Content

   API 탐색기(브라우저)

   메서드 참조 페이지를 엽니다. 페이지 오른쪽에 API 탐색기 패널이 열립니다. 이 도구를 사용하여 요청을 보낼 수 있습니다. 모든 필수 필드를 입력하고 실행을 클릭합니다.

   진행 중인 작업은 다음과 같은 응답을 반환합니다.

   {
     "name": "operations/42083b6b-3788-41b9-ae39-e97d7615a22d",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.policysimulator.v1.ReplayOperationMetadata",
       "startTime": "2021-01-15T05:34:14.732Z"
     }
   }
   

   완료된 작업은 다음과 같은 응답을 반환합니다.

   {
     "name": "operations/89ab4892-9605-4c84-aedb-4fce4fc5195b",
     "metadata": {
       "@type": "type.googleapis.com/google.cloud.policysimulator.v1.ReplayOperationMetadata",
       "startTime": "2021-01-15T05:40:15.922Z"
     },
     "done": true,
     "response": {
       "@type": "type.googleapis.com/google.cloud.policysimulator.v1.Replay",
       "replay": {
         "name": "projects/my-project/locations/global/replays/89ab4892-9605-4c84-aedb-4fce4fc5195b",
         "state": SUCCEEDED,
         "config": {},
         "resultsSummary": {
           "logCount": 1319,
           "unchangedCount": 1169,
           "differenceCount": 149,
           "errorCount": 1,
           "oldestDate": {
             "year": 2020,
             "month": 10,
             "day": 15
           },
           "newestDate": {
             "year": 2021,
             "month": 1,
             "day": 12
           }
         }
       }
     }
   }
   

5. 재생 결과를 가져옵니다.

   재생 결과를 가져오려면 Policy Simulator API의 replays.results.list 메서드를 사용합니다.

   요청 데이터를 사용하기 전에 다음을 바꿉니다.

   • REPLAY_NAME: 결과를 검색하려는 재생의 이름입니다. operations.get 응답의 response.replay.name 필드에서 이 값을 복사합니다. 리소스 유형 및 위치 프리픽스를 모두 포함합니다. 예를 들면 "projects/my-project/locations/global/replays/89ab4892-9605-4c84-aedb-4fce4fc5195b"입니다.
   • PAGE_SIZE: 선택사항. 이 요청에서 반환할 최대 결과 수입니다. 지정하지 않으면 서버에서 반환할 결과 수를 결정합니다. 결과 수가 페이지 크기보다 크면 다음 결과 페이지를 검색하기 위해 사용할 수 있는 페이지로 나누기 토큰이 응답에 포함됩니다.
   • PAGE_TOKEN: 선택사항. 이 메서드의 이전 응답에서 반환된 페이지 나누기 토큰입니다. 지정하면 결과 목록이 이전 요청이 끝나는 위치에서 시작됩니다.
   • PROJECT_ID: Google Cloud 프로젝트 ID. 프로젝트 ID는 my-project 같은 영숫자 문자열입니다.

   HTTP 메서드 및 URL:

   GET https://policysimulator.googleapis.com/v1/REPLAY_NAME/results?pageSize=page-size&pageToken=PAGE_TOKEN

   요청을 보내려면 다음 옵션 중 하나를 펼칩니다.

   cURL(Linux, macOS, Cloud Shell)

   다음 명령어를 실행합니다.

   curl -X GET \
        -H "Authorization: Bearer $(gcloud auth print-access-token)" \
        -H "x-goog-user-project: PROJECT_ID" \
        "https://policysimulator.googleapis.com/v1/REPLAY_NAME/results?pageSize=page-size&pageToken=PAGE_TOKEN"

   PowerShell(Windows)

   다음 명령어를 실행합니다.

   $cred = gcloud auth print-access-token
   $headers = @{ "Authorization" = "Bearer $cred"; "x-goog-user-project" = "PROJECT_ID" }
   
   Invoke-WebRequest `
       -Method GET `
       -Headers $headers `
       -Uri "https://policysimulator.googleapis.com/v1/REPLAY_NAME/results?pageSize=page-size&pageToken=PAGE_TOKEN" | Select-Object -Expand Content

   API 탐색기(브라우저)

   메서드 참조 페이지를 엽니다. 페이지 오른쪽에 API 탐색기 패널이 열립니다. 이 도구를 사용하여 요청을 보낼 수 있습니다. 모든 필수 필드를 입력하고 실행을 클릭합니다.

   제안된 정책이 적용된 경우 응답에는 주 구성원의 액세스 권한이 어떻게 변경되는지를 설명하는 결과 목록이 포함됩니다. 이러한 결과에는 시뮬레이션 중에 발생한 오류, 특히 지원되지 않는 리소스 유형으로 인한 오류가 나열되어 있습니다.

   결과를 읽는 방법은 이 페이지의 정책 시뮬레이터 결과 이해를 참조하세요.

   다음은 사용자 my-user@example.com와 관련된 정책 시뮬레이션에 대한 샘플 응답입니다. 이 경우 제안된 변경사항이 적용되면 my-user@example.com 은 더 이상 my-project 프로젝트에 대한 resourcemanager.projects.list 및 resourcemanager.projects.get 권한을 갖지 못할 수 있으며 확정적으로 더 이상 my-project 프로젝트에 대한 resourcemanager.projects.update 권한을 갖지 못합니다.

   {
     "replayResults": [
       {
         "accessTuple": {
           "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
           "permission": "resourcemanager.projects.list",
           "principal": "my-user@example.com"
         },
         "lastSeenDate": {
           "day": 27,
           "month": 3,
           "year": 2020
         },
         "diff": {
           "accessDiff": {
             "accessChange": "ACCESS_MAYBE_REVOKED",
             "baseline": {
               "accessState": "GRANTED"
             },
             "simulated": {
               "accessState": "UNKNOWN_INFO_DENIED",
               "errors": [
                 {
                   "code": 7,
                   "message": "Missing permission to get relevant IAM policies.",
                   "details": [
                     {
                       "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                       "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                       "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                       "resourceType": "cloudresourcemanager.googleapis.com/projects"
                     }
                   ]
                 }
               ],
               "policies": [
                 {
                   "access": "UNKNOWN_INFO_DENIED",
                   "policy": {}
                 }
               ]
             }
           }
         }
       },
       {
         "accessTuple": {
           "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
           "permission": "resourcemanager.projects.get",
           "principal": "my-user@example.com"
         },
         "lastSeenDate": {
           "day": 27,
           "month": 3,
           "year": 2020
         },
         "diff": {
           "accessDiff": {
             "accessChange": "ACCESS_MAYBE_REVOKED",
             "baseline": {
               "accessState": "GRANTED"
             },
             "simulated": {
               "accessState": "UNKNOWN_INFO_DENIED",
               "errors": [
                 {
                   "code": 7,
                   "message": "Missing permission to view group membership.",
                   "details": [
                     {
                       "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                       "description": "Missing permission to view group membership.",
                       "resourceName": "group:everyone@example.com",
                       "resourceType": "Google group"
                     }
                   ]
                 },
                 {
                   "code": 7,
                   "message": "Missing permission to get relevant IAM policies.",
                   "details": [
                     {
                       "@type": "type.googleapis.com/google.rpc.ResourceInfo",
                       "description": "Missing permission to retrieve IAM policies above the resource in hierarchy.",
                       "resourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                       "resourceType": "cloudresourcemanager.googleapis.com/projects"
                     }
                   ]
                 }
               ],
               "policies": [
                 {
                   "access": "UNKNOWN_INFO_DENIED",
                   "bindingExplanations": [
                     {
                       "access": "UNKNOWN_INFO_DENIED",
                       "memberships": {
                         "group:everyone@example.com": {
                           "membership": "MEMBERSHIP_UNKNOWN_INFO_DENIED"
                         }
                       },
                       "role": "roles/owner"
                     }
                   ],
                   "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
                   "policy": {
                     "bindings": [
                       {
                         "members": [
                           "group:everyone@example.com"
                         ],
                         "role": "roles/owner"
                       }
                     ],
                     "etag": "BwWgJSIInYA=",
                     "version": 3
                   }
                 },
                 {
                   "access": "UNKNOWN_INFO_DENIED",
                   "policy": {}
                 }
               ]
             }
           }
         }
       },
       {
         "accessTuple": {
           "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
           "permission": "resourcemanager.projects.update",
           "principal": "my-user@example.com"
         },
         "lastSeenDate": {
           "day": 27,
           "month": 3,
           "year": 2020
         },
         "diff": {
           "accessDiff": {
             "accessChange": "ACCESS_REVOKED",
             "baseline": {
               "accessState": "GRANTED"
             },
             "simulated": {
               "accessState": "NOT_GRANTED"
             }
           }
         }
       },
       {
         "accessTuple": {},
         "error": {
           "code": 12,
           "message": "Simulator does not yet support all resource types for 8 removed permissions.",
           "details": [
             {
               "@type": "type.googleapis.com/google.rpc.Status",
               "code": 12,
               "message": "Simulator does not yet support all resource types for 8 removed permissions.",
               "details": [
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.create"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.setIamPolicy"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.delete"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.update"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "pubsub.topics.publish"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.list"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.getIamPolicy"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 },
                 {
                   "@type": "type.googleapis.com/google.rpc.ErrorInfo",
                   "domain": "policysimulator.googleapis.com",
                   "metadata": {
                     "permission": "storage.objects.get"
                   },
                   "reason": "UNSUPPORTED_RESOURCE"
                 }
               ]
             }
           ]
         }
       }
     ],
     "nextPageToken": "AWukk3zjv80La+chWx6WNt7X8czGPLtP792gRpkNVEV/URZ/VdWzxmuJKr"
   }
   

   기존 허용 정책과 시뮬레이션된 허용 정책 간에 액세스 권한이 변경되지 않으면 요청은 빈 목록({})을 반환합니다.

콘솔

정책 시뮬레이터 결과 페이지에는 시뮬레이션 결과가 여러 섹션으로 표시됩니다.

• 정책 변경사항: 이 섹션에는 변경을 제안하려는 허용 정책, 삭제하도록 제안하는 역할, 추가하도록 제안하는 역할이 나와 있습니다.

  

  

  또한 이 섹션에는 정책 차이점 보기 버튼도 있습니다. 이 버튼을 클릭하면 제안된 변경사항 전후의 리소스 허용 정책을 볼 수 있습니다.

  

  

• 권한 변경사항: 이 섹션에는 삭제된 권한과 추가된 권한의 수가 포함되어 있으며 제안된 변경사항을 적용한 경우 주 구성원의 권한이 어떻게 변경되는지 설명합니다. 이러한 권한 수는 주 구성원의 현재 역할에 있는 권한과 주 구성원의 제안된 역할의 권한을 비교하여 계산되며 상속된 역할은 무시됩니다.

  

  

  이 섹션에는 권한 차이점 보기 버튼도 포함되어 있습니다. 이 버튼을 클릭하면 주 구성원의 현재 역할과 제안된 역할에 있는 권한을 나란히 비교한 내용을 볼 수 있습니다.

• 지난 90일 동안의 액세스 변경사항: 이 섹션에는 제안된 허용 정책과 현재 허용 정책에서 결과가 다른 지난 90일 동안의 액세스 시도를 보여줍니다. 이 섹션에는 액세스 변경사항 요약과 더 자세한 결과가 포함된 표가 모두 포함되어 있습니다.

  액세스 변경사항 요약에는 각 액세스 변경사항 유형의 수, 오류와 알 수 없는 결과 수, 제안된 허용 정책과 현재 허용 정책에서 결과가 동일한 액세스 시도 횟수가 나열됩니다. 요약에는 시뮬레이션할 수 없는 권한 수도 표시됩니다. 자세한 내용은 이 페이지의 오류를 참조하세요.

  

  

  이 섹션에는 액세스 변경사항 표도 있습니다. 이 표에는 제안된 허용 정책과 현재 허용 정책에서 결과가 다른 지난 90일 동안의 각 액세스 시도가 나열됩니다. 각 항목에는 주 구성원이 액세스하려고 한 리소스, 요청 날짜, 요청을 실행하는 주 구성원, 요청에서 권한, 현재 허용 정책에서 액세스 상태와 비교한 제안된 허용 정책에서의 액세스 상태가 포함됩니다.

  

  

  액세스 변경사항 유형에는 여러 가지가 있습니다.

  액세스 변경사항	세부정보
  액세스 권한이 취소됨	현재 허용 정책에 따라 주 구성원에게 액세스 권한이 있지만 제안된 변경 후에는 더 이상 액세스 권한이 없습니다.
  액세스 권한이 취소되었을 수 있음	이 결과는 다음과 같은 원인으로 인해 발생할 수 있습니다. 현재 허용 정책에 따라 주 구성원에게 액세스 권한이 있었지만 제안된 허용 정책에 따른 액세스 권한을 알 수 없습니다. 현재 허용 정책에 따른 주 구성원의 액세스 권한을 알 수 없으며 제안된 변경 후에는 액세스 권한이 없습니다.
  액세스 권한 부여됨	현재 허용 정책에 따라 주 구성원에게 액세스 권한이 없었지만 제안된 변경 후에는 액세스 권한이 있습니다.
  액세스 권한이 부여되었을 수 있음	이 결과는 다음과 같은 원인으로 인해 발생할 수 있습니다. 현재 허용 정책에 따라 주 구성원에게 액세스 권한이 없었지만 제안된 변경 후의 액세스 권한을 알 수 없습니다. 현재 허용 정책에 따른 주 구성원의 액세스 권한을 알 수 없지만 제안된 변경 후에는 액세스 권한이 있습니다.
  액세스 변경사항 알 수 없음	현재 허용 정책과 제안된 허용 정책 모두에서 주 구성원의 액세스 권한을 알 수 없으며 제안된 변경사항이 주 구성원 액세스 권한에 영향을 미칠 수 있습니다.
  오류	시뮬레이션 중에 오류가 발생했습니다.

  액세스 변경사항에 대한 추가 세부정보를 보려면 액세스 변경사항을 클릭합니다. 그러면 액세스 변경 세부정보 패널이 열립니다. 여기에는 주 구성원의 기존 액세스, 주 구성원의 제안된 액세스, 액세스 변경 결과에 대한 추가 세부정보를 포함하여 액세스 변경에 대한 추가 정보가 표시됩니다.

  

  

gcloud

replay-recent-access 명령어를 사용하면 gcloud CLI의 응답에 replayResults 목록이 포함됩니다.

각 재생 결과는 시도 시점에 제안된 허용 정책이 적용되었다면 결과가 달랐을 액세스 시도를 설명합니다. 예를 들어 다음 재생 결과는 my-user@example.com이 이전에 resourcemanager.projects.update 권한을 사용하여 my-project 프로젝트에서 작업을 수행했음을 보여줍니다. 하지만 제안된 허용 정책이 시행되었다면 액세스가 거부되었을 것입니다.

{
  "accessTuple": {
    "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
    "permission": "resourcemanager.projects.update",
    "principal": "my-user@example.com"
  },
  "lastSeenDate": {
    "day": 15,
    "month": 1,
    "year": 2021
  },
  "diff": {
    "accessDiff": {
      "baseline": {
        "accessState": "GRANTED"
      },
      "simulated": {
        "accessState": "NOT_GRANTED"
      },
      "accessChange": "ACCESS_REVOKED"
    }
  }
}

각 재생 결과에는 다음과 같은 필드가 있습니다.

• accessTuple: 결과와 관련된 액세스 시도입니다. 이 필드에는 액세스 시도와 관련된 리소스, 권한, 주 구성원이 포함됩니다.

• lastSeenDate: 마지막으로 액세스를 시도한 날짜입니다.

• diff.accessDiff 또는 error 액세스 시도에 성공하면 현재 허용 정책의 액세스 시도 결과와 제안된 허용 정책의 액세스 시도 결과 간의 차이점을 보고하는 diff.accessDiff 필드가 결과에 포함됩니다. 재생 시도가 실패하면 재생 결과에 오류 설명이 있는 error 필드가 포함됩니다. 시뮬레이션 오류에 대해 자세히 알아보려면 이 페이지의 오류를 참조하세요.

각 액세스 차이에는 다음과 같은 구성요소가 있습니다.

• baseline: 현재 허용 정책을 사용할 때의 액세스 결과입니다. 이는 GRANTED, NOT_GRANTED, UNKNOWN_CONDITIONAL, UNKNOWN_INFO_DENIED 값 중 하나로 보고됩니다. 결과가 UNKNOWN_CONDITIONAL 또는 UNKNOWN_INFO_DENIED이면 응답에 알 수 없는 정보와 관련된 오류와 해당 오류와 관련된 허용 정책도 나열됩니다. UNKNOWN 값에 대한 자세한 내용은 이 페이지의 알 수 없는 결과를 참조하세요.
• simulated: 제안된 허용 정책을 사용할 경우의 액세스 결과입니다. 이는 GRANTED, NOT_GRANTED, UNKNOWN_CONDITIONAL, UNKNOWN_INFO_DENIED 값 중 하나로 보고됩니다. 결과가 UNKNOWN_CONDITIONAL 또는 UNKNOWN_INFO_DENIED이면 응답에 알 수 없는 정보와 관련된 오류와 해당 오류와 관련된 허용 정책도 나열됩니다. UNKNOWN 값에 대한 자세한 내용은 이 페이지의 알 수 없는 결과를 참조하세요.

• accessChange: 기준 액세스 상태와 시뮬레이션된 액세스 상태 간의 변경사항입니다. 가능한 값 목록은 다음 표를 참조하세요.

  액세스 변경사항	세부정보
  ACCESS_REVOKED	현재 허용 정책에 따라 주 구성원에게 액세스 권한이 있지만 제안된 변경 후에는 더 이상 액세스 권한이 없습니다.
  ACCESS_MAYBE_REVOKED	이 결과는 다음과 같은 원인으로 인해 발생할 수 있습니다. 현재 허용 정책에 따라 주 구성원에게 액세스 권한이 있었지만 제안된 허용 정책에 따른 액세스 권한을 알 수 없습니다. 현재 허용 정책에 따른 주 구성원의 액세스 권한을 알 수 없으며 제안된 변경 후에는 액세스 권한이 없습니다.
  ACCESS_GAINED	현재 허용 정책에 따라 주 구성원에게 액세스 권한이 없었지만 제안된 변경 후에는 액세스 권한이 있습니다.
  ACCESS_MAYBE_GAINED	이 결과는 다음과 같은 원인으로 인해 발생할 수 있습니다. 현재 허용 정책에 따라 주 구성원에게 액세스 권한이 없었지만 제안된 변경 후의 액세스 권한을 알 수 없습니다. 현재 허용 정책에 따른 주 구성원의 액세스 권한을 알 수 없지만 제안된 변경 후에는 액세스 권한이 있습니다.
  UNKNOWN_CHANGE	현재 허용 정책과 제안된 허용 정책 모두에서 주 구성원의 액세스 권한을 알 수 없으며 제안된 변경사항이 주 구성원 액세스 권한에 영향을 미칠 수 있습니다.

REST

replays.results.list 메서드를 호출하면 응답에 replayResults 목록이 포함됩니다.

각 재생 결과는 시도 시점에 제안된 허용 정책이 적용되었다면 결과가 달랐을 액세스 시도를 설명합니다. 예를 들어 다음 재생 결과는 my-user@example.com이 이전에 resourcemanager.projects.update 권한을 사용하여 my-project 프로젝트에서 작업을 수행했음을 보여줍니다. 하지만 제안된 허용 정책이 시행되었다면 액세스가 거부되었을 것입니다.

{
  "accessTuple": {
    "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project",
    "permission": "resourcemanager.projects.update",
    "principal": "my-user@example.com"
  },
  "lastSeenDate": {
    "day": 15,
    "month": 1,
    "year": 2021
  },
  "diff": {
    "accessDiff": {
      "baseline": {
        "accessState": "GRANTED"
      },
      "simulated": {
        "accessState": "NOT_GRANTED"
      },
      "accessChange": "ACCESS_REVOKED"
    }
  }
}

각 재생 결과에는 다음과 같은 필드가 있습니다.

• accessTuple: 결과와 관련된 액세스 시도입니다. 이 필드에는 액세스 시도와 관련된 리소스, 권한, 주 구성원이 포함됩니다.

• lastSeenDate: 마지막으로 액세스를 시도한 날짜입니다.

• diff.accessDiff 또는 error 액세스 시도에 성공하면 현재 허용 정책의 액세스 시도 결과와 제안된 허용 정책의 액세스 시도 결과 간의 차이점을 보고하는 diff.accessDiff 필드가 결과에 포함됩니다. 재생 시도가 실패하면 재생 결과에 오류 설명이 있는 error 필드가 포함됩니다. 시뮬레이션 오류에 대해 자세히 알아보려면 이 페이지의 오류를 참조하세요.

각 액세스 차이에는 다음과 같은 구성요소가 있습니다.

• baseline: 현재 허용 정책을 사용할 때의 액세스 결과입니다. 이는 GRANTED, NOT_GRANTED, UNKNOWN_CONDITIONAL, UNKNOWN_INFO_DENIED 값 중 하나로 보고됩니다. 결과가 UNKNOWN_CONDITIONAL 또는 UNKNOWN_INFO_DENIED이면 응답에 알 수 없는 정보와 관련된 오류와 해당 오류와 관련된 허용 정책도 나열됩니다. UNKNOWN 값에 대한 자세한 내용은 이 페이지의 알 수 없는 결과를 참조하세요.
• simulated: 제안된 허용 정책을 사용할 경우의 액세스 결과입니다. 이는 GRANTED, NOT_GRANTED, UNKNOWN_CONDITIONAL, UNKNOWN_INFO_DENIED 값 중 하나로 보고됩니다. 결과가 UNKNOWN_CONDITIONAL 또는 UNKNOWN_INFO_DENIED이면 응답에 알 수 없는 정보와 관련된 오류와 해당 오류와 관련된 허용 정책도 나열됩니다. UNKNOWN 값에 대한 자세한 내용은 이 페이지의 알 수 없는 결과를 참조하세요.

• accessChange: 기준 액세스 상태와 시뮬레이션된 액세스 상태 간의 변경사항입니다. 가능한 값 목록은 다음 표를 참조하세요.

  액세스 변경사항	세부정보
  ACCESS_REVOKED	현재 허용 정책에 따라 주 구성원에게 액세스 권한이 있지만 제안된 변경 후에는 더 이상 액세스 권한이 없습니다.
  ACCESS_MAYBE_REVOKED	이 결과는 다음과 같은 원인으로 인해 발생할 수 있습니다. 현재 허용 정책에 따라 주 구성원에게 액세스 권한이 있었지만 제안된 허용 정책에 따른 액세스 권한을 알 수 없습니다. 현재 허용 정책에 따른 주 구성원의 액세스 권한을 알 수 없으며 제안된 변경 후에는 액세스 권한이 없습니다.
  ACCESS_GAINED	현재 허용 정책에 따라 주 구성원에게 액세스 권한이 없었지만 제안된 변경 후에는 액세스 권한이 있습니다.
  ACCESS_MAYBE_GAINED	이 결과는 다음과 같은 원인으로 인해 발생할 수 있습니다. 현재 허용 정책에 따라 주 구성원에게 액세스 권한이 없었지만 제안된 변경 후의 액세스 권한을 알 수 없습니다. 현재 허용 정책에 따른 주 구성원의 액세스 권한을 알 수 없지만 제안된 변경 후에는 액세스 권한이 있습니다.
  UNKNOWN_CHANGE	현재 허용 정책과 제안된 허용 정책 모두에서 주 구성원의 액세스 권한을 알 수 없으며 제안된 변경사항이 주 구성원 액세스 권한에 영향을 미칠 수 있습니다.

콘솔

액세스 결과를 알 수 없는 경우 액세스 변경 세부정보 패널에 알 수 없는 이유와 액세스할 수 없거나 평가할 수 없는 특정 역할, 허용 정책, 그룹 멤버십, 조건이 보고됩니다.

결과를 알 수 없는 이유에는 여러 가지가 있습니다.

• 역할 정보가 거부됨: 시뮬레이션을 실행하는 주 구성원에게 시뮬레이션하는 역할 하나 이상에 대한 역할 세부정보를 확인할 수 있는 권한이 없습니다.
• 정책에 액세스할 수 없음: 시뮬레이션을 실행하는 주 구성원에게 시뮬레이션에 관련된 리소스 하나 이상에 대한 허용 정책을 가져올 수 있는 권한이 없습니다.
• 멤버십 정보가 거부됨: 시뮬레이션을 실행하는 주 구성원에게 제안된 허용 정책에 포함된 그룹 하나 이상의 구성원을 볼 수 있는 권한이 없습니다.
• 지원되지 않는 조건: 테스트 중인 허용 정책에 조건부 역할 결합이 있습니다. 정책 시뮬레이터는 조건을 지원하지 않으므로 결합을 평가할 수 없습니다.

gcloud

gcloud CLI에서 시뮬레이션 결과는 액세스 차이에서 결과를 알 수 없는 이유를 보고합니다.

액세스 결과를 알 수 없는 이유는 다음 중 하나입니다.

• UNKNOWN_INFO_DENIED: 사용자에게 액세스 상태 평가에 필요한 정보에 액세스할 권한이 없습니다. 여기에는 다음과 같은 이유가 있을 수 있습니다.

  • 사용자에게 시뮬레이션되는 허용 정책을 검색할 권한이 없거나 액세스 로그의 리소스에 대한 허용 정책을 검색할 권한이 없습니다.
  • 사용자에게 그룹 멤버십을 볼 권한이 없습니다.
  • 사용자가 필요한 역할 정보를 검색할 수 없습니다.

  누락된 정보를 확인하려면 보고된 액세스 상태 이후의 오류 정보를 참조하세요.

• UNKNOWN_CONDITIONAL: 테스트 중인 허용 정책에 조건부 역할 결합이 있습니다. 정책 시뮬레이터는 조건을 지원하지 않으므로 결합을 평가할 수 없습니다.

결과를 알 수 없는 경우 허용 정책(baseline 또는 simulated)에 정보를 알 수 없는 이유를 설명하는 errors 필드와 오류와 관련된 허용 정책이 나열된 policies 필드가 포함됩니다. 오류에 대한 자세한 내용은 이 페이지의 오류를 참조하세요.

REST

REST API의 경우 시뮬레이션 결과에서 액세스 차이에서 결과를 알 수 없는 이유를 보고합니다.

액세스 결과를 알 수 없는 이유는 다음 중 하나입니다.

• UNKNOWN_INFO_DENIED: 사용자에게 액세스 상태 평가에 필요한 정보에 액세스할 권한이 없습니다. 여기에는 다음과 같은 이유가 있을 수 있습니다.

  • 사용자에게 시뮬레이션되는 허용 정책을 검색할 권한이 없거나 액세스 로그의 리소스에 대한 허용 정책을 검색할 권한이 없습니다.
  • 사용자에게 그룹 멤버십을 볼 권한이 없습니다.
  • 사용자가 필요한 역할 정보를 검색할 수 없습니다.

  누락된 정보를 확인하려면 보고된 액세스 상태 이후의 오류 정보를 참조하세요.

• UNKNOWN_CONDITIONAL: 테스트 중인 허용 정책에 조건부 역할 결합이 있습니다. 정책 시뮬레이터는 조건을 지원하지 않으므로 결합을 평가할 수 없습니다.

결과를 알 수 없는 경우 허용 정책(baseline 또는 simulated)에 정보를 알 수 없는 이유를 설명하는 errors 필드와 오류와 관련된 허용 정책이 나열된 policies 필드가 포함됩니다. 오류에 대한 자세한 내용은 이 페이지의 오류를 참조하세요.

콘솔

정책 시뮬레이터에서 보고할 수 있는 오류 유형에는 여러 가지가 있습니다.

• 작업 오류: 시뮬레이션을 실행할 수 없습니다. 정책 시뮬레이터는 결과 페이지 상단에 작업 오류를 보고합니다.

  프로젝트나 조직에 로그가 너무 많아 시뮬레이션을 실행할 수 없음을 나타내는 오류 메시지가 표시되는 경우 리소스에 시뮬레이션을 실행할 수 없습니다.

  

  

  다른 이유로 인해 이 오류가 표시되면 시뮬레이션을 다시 실행해 봅니다. 시뮬레이션을 여전히 실행할 수 없으면 policy-simulator-feedback@google.com에 문의하세요.

• 재생 오류: 단일 액세스 시도 재생이 실패했으므로 정책 시뮬레이터에서 제안된 허용 정책에 따라 액세스 시도 결과가 변하는지를 확인할 수 없습니다.

  Google Cloud 콘솔에 지난 90일 동안의 액세스 변경사항 표에 재생 오류가 나열됩니다. 각 오류의 액세스 변경 세부정보 패널에는 문제를 이해할 수 있도록 오류 메시지와 오류 발생 시 시뮬레이션된 리소스 및 권한이 포함되어 있습니다.

  

  

• 지원되지 않는 리소스 유형 오류: 제안된 허용 정책은 지원되지 않는 리소스 유형과 관련된 권한에 영향을 미치므로 정책 시뮬레이터에서 시뮬레이션할 수 없습니다.

  

  

  정책 시뮬레이터는 시뮬레이션 결과에 이러한 권한을 나열하므로 시뮬레이션할 수 없는 권한을 알 수 있습니다.

  

  

gcloud

gcloud CLI의 시뮬레이션 결과에서 오류가 두 개 위치에 나타날 수 있습니다.

• replayResult.error 필드: 재생 시도가 실패하면 정책 시뮬레이터가 replayResult.error 필드에 오류를 보고합니다. 재생 결과에 이 필드가 포함되어 있으면 diff 필드가 포함되지 않습니다.
• replayResult.diff.accessDiff.policy-type.errors 필드. 여기서 policy-type은 baseline 또는 simulated입니다. 재생 시도는 성공했지만 결과가 UNKNOWN_INFO_DENIED 또는 UNKNOWN_CONDITIONAL이면 정책 시뮬레이터에서 이 필드에 결과를 알 수 없는 이유를 보고합니다.

정책 시뮬레이터에서 생성되는 오류 유형은 다음과 같습니다.

"error": {
  "code": 12,
  "details": [
    {
      "@type": "type.googleapis.com/google.rpc.ErrorInfo",
      "domain": "policysimulator.googleapis.com",
      "metadata": {
        "permission": "storage.objects.create"
      },
      "reason": "UNSUPPORTED_RESOURCE"
    },
    {
      "@type": "type.googleapis.com/google.rpc.ErrorInfo",
      "domain": "policysimulator.googleapis.com",
      "metadata": {
        "permission": "storage.objects.setIamPolicy"
      },
      "reason": "UNSUPPORTED_RESOURCE"
    },
    {
      "@type": "type.googleapis.com/google.rpc.ErrorInfo",
      "domain": "policysimulator.googleapis.com",
      "metadata": {
        "permission": "storage.objects.get"
      },
      "reason": "UNSUPPORTED_RESOURCE"
    }
  ],
  "message": "unsupported-permissions-error-message"
}

REST

REST API 시뮬레이션 결과에서 오류가 두 개 위치에 나타날 수 있습니다.

• replayResult.error 필드: 재생 시도가 실패하면 정책 시뮬레이터가 replayResult.error 필드에 오류를 보고합니다. 재생 결과에 이 필드가 포함되어 있으면 diff 필드가 포함되지 않습니다.
• replayResult.diff.accessDiff.policy-type.errors 필드. 여기서 policy-type은 baseline 또는 simulated입니다. 재생 시도는 성공했지만 결과가 UNKNOWN_INFO_DENIED 또는 UNKNOWN_CONDITIONAL이면 정책 시뮬레이터에서 이 필드에 결과를 알 수 없는 이유를 보고합니다.

정책 시뮬레이터에서 생성되는 오류 유형은 다음과 같습니다.

"error": {
  "code": 12,
  "details": [
    {
      "@type": "type.googleapis.com/google.rpc.ErrorInfo",
      "domain": "policysimulator.googleapis.com",
      "metadata": {
        "permission": "storage.objects.create"
      },
      "reason": "UNSUPPORTED_RESOURCE"
    },
    {
      "@type": "type.googleapis.com/google.rpc.ErrorInfo",
      "domain": "policysimulator.googleapis.com",
      "metadata": {
        "permission": "storage.objects.setIamPolicy"
      },
      "reason": "UNSUPPORTED_RESOURCE"
    },
    {
      "@type": "type.googleapis.com/google.rpc.ErrorInfo",
      "domain": "policysimulator.googleapis.com",
      "metadata": {
        "permission": "storage.objects.get"
      },
      "reason": "UNSUPPORTED_RESOURCE"
    }
  ],
  "message": "unsupported-permissions-error-message"
}

콘솔

1. 제안된 변경사항 적용을 클릭합니다.

2. 확인 대화상자에서 적용을 클릭하여 변경사항을 확인합니다.

gcloud

set-iam-policy 명령어를 사용하고 적용할 시뮬레이션된 허용 정책이 포함된 JSON 파일의 경로를 제공합니다.

gcloud resource-type set-iam-policy resource-id filepath

다음 값을 제공합니다.

• resource-type: 허용 정책을 업데이트할 리소스 유형입니다. 예를 들면 projects입니다.
• resource-id: 업데이트하려는 허용 정책의 리소스 ID입니다. 예를 들면 my-project입니다.
• filepath: 업데이트된 허용 정책이 포함된 파일의 경로입니다.

응답에는 업데이트된 허용 정책이 포함됩니다. IAM 허용 정책을 코드로 취급하고 버전 제어 시스템에 저장하는 경우에는 시뮬레이션된 허용 정책이 포함된 JSON 파일이 아니라 gcloud CLI가 반환하는 허용 정책을 저장해야 합니다.

REST

제안된 허용 정책을 리소스의 새 허용 정책으로 설정합니다.

요청에서 허용 정책을 프로젝트의 새 허용 정책으로 설정하려면 Resource Manager API의 projects.setIamPolicy 메서드를 사용합니다.

요청 데이터를 사용하기 전에 다음을 바꿉니다.

• PROJECT_ID: Google Cloud 프로젝트 ID. 프로젝트 ID는 my-project 같은 영숫자 문자열입니다.
• POLICY: 설정하려는 정책의 JSON 표현입니다. 정책 형식에 대한 자세한 내용은 정책 참조를 확인하세요.

HTTP 메서드 및 URL:

POST https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy

JSON 요청 본문:

{
  "policy": {
    POLICY
  }
}

요청을 보내려면 다음 옵션 중 하나를 펼칩니다.

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudresourcemanager.googleapis.com/v1/projects/PROJECT_ID:setIamPolicy" | Select-Object -Expand Content

응답에는 업데이트된 허용 정책이 포함됩니다.