Control de acceso a recursos de organizaciones con gestión de identidades y accesos

Google Cloud ofrece Gestión de Identidades y Accesos (IAM), que te permite dar un acceso más granular a recursos Google Cloud específicos y evitar el acceso no deseado a otros recursos. IAM te permite adoptar el principio de seguridad de mínimos accesos, de forma que solo concedas el acceso necesario a tus recursos.

La gestión de identidades y accesos te permite controlar quién (usuarios) tiene qué acceso (roles) a qué recursos configurando políticas de permiso. Las políticas de permitir conceden roles específicos a un usuario, lo que le otorga determinados permisos.

En esta página se explican los roles de IAM disponibles en el recurso de organización y cómo crear y gestionar políticas de permisos para recursos de organización mediante la API de Cloud Resource Manager. Para obtener más información, consulta el artículo Gestionar el acceso a proyectos, carpetas y organizaciones.

Permisos y roles

Para controlar el acceso a los recursos, Google Cloud requiere que las cuentas que realicen solicitudes de API tengan los roles de gestión de identidades y accesos adecuados. Los roles de gestión de identidades y accesos incluyen permisos que permiten a los usuarios realizar acciones específicas enGoogle Cloud recursos. Por ejemplo, el permiso resourcemanager.organizations.get permite a un usuario obtener detalles sobre el recurso de su organización.

No se conceden permisos directamente a los usuarios, sino que se les asignan roles, que incluyen uno o varios permisos.

Puedes designar una o más funciones en el mismo recurso.

Usar roles predefinidos

En la siguiente tabla se enumeran los roles que puede asignar para acceder a las propiedades de un recurso de organización, la descripción de lo que hace el rol y los permisos incluidos en ese rol.

Crear roles personalizados

• Los permisos de lista y de obtención, como resourcemanager.projects.get/list, siempre deben concederse como un par.
• Si tu rol personalizado incluye los permisos folders.list y folders.get, también debe incluir projects.list y projects.get.
• Ten en cuenta que el permiso setIamPolicy para los recursos de organización, carpeta y proyecto permite al usuario conceder todos los demás permisos, por lo que debe asignarse con cuidado.

Ver el acceso de un recurso de organización

Para ver qué roles se han concedido a un usuario en un recurso de una organización, puedes obtener la política de permisos de ese recurso. Puedes ver la política de permitidos de un recurso de organización mediante la Google Cloud consola, la CLI de Google Cloud o el método getIamPolicy().

gcloud alpha organizations get-iam-policy [ORGANIZATION_ID] --format json >
[FILENAME.JSON]

bindings:
- members:
- user:testuser1@gcp-test.com
role: roles/editor
- members:
- user:admin@gcp-test.com
role:roles/resourcemanager.organizationAdmin
- members:
- user:testuser2@gcp-test.com
role: roles/resourcemanager.projectCreator
etag": "BwU1aRxWk30="

POST
https://cloudresourcemanager.googleapis.com/v3/organizations/12345:getIamPolicy

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
        "user:email1@gmail.com"
    ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()
print json.dumps(policy, indent=2)

Conceder acceso a un recurso de organización

Los administradores de la organización pueden asignar roles de gestión de identidades y accesos a los miembros del equipo para que puedan acceder a los recursos y las APIs de la organización. Puedes conceder roles a una dirección de correo de una cuenta de usuario, a un grupo de Google, a una cuenta de servicio o a un dominio de G Suite. Puedes usar la Google Cloud consola, la CLI de gcloud o el método setIamPolicy() para asignar roles.

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:admin@gcp-test.com",
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:testuser2@gcp-test.com"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:admin@gcp-test.com",
            "user:anotheradmin@gcp-test.com"
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:testuser20@gcp-test.com"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

gcloud alpha organizations set-iam-policy [ORGANIZATION_ID] policy.json

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:setIamPolicy
{
    "policy": {
    "version": "0",
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
        "user:email2@gmail.com",
        "user:email3@gmail.com",
        "serviceAccount:my-other-app@appspot.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
    }
}

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKJUiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()

admin_binding = next(
    (binding
        for binding in policy['bindings']
        if binding['role'] == 'roles/resourcemanager.organizationAdmin'),
        None)

# Add an empty Organization Administrator binding if not present.
if not admin_binding:
    admin_binding = {
        'role': 'roles/resourcemanager.organizationAdmin',
        'members': []
    }
policy['bindings'].append(admin_binding)

# Add the new Admin (if necessary).
new_admin = 'user:' + flags.adminEmail
if new_admin not in admin_binding['members']:
    admin_binding['members'].append(new_admin)
policy = crm.organizations().setIamPolicy(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'policy': policy
    }).execute()

print json.dumps(policy, indent=2)

Restringir la visibilidad de los proyectos a los usuarios

Los usuarios pueden ver todos los proyectos a los que tienen acceso en la consola Google Cloud y en las consultas de búsqueda, independientemente de si están o no en el recurso de organización seleccionado por el usuario. Puede usar el servicio de políticas de la organización para restringir el conjunto de proyectos que se devuelven en las consultas y en la Google Cloud consola. Se puede usar para restringir el acceso de los usuarios a los proyectos de tu dominio.

La restricción de la política de organización constraints/resourcemanager.accessBoundaries es una restricción de lista que se aplica al recurso de tu organización. La restricción acepta una lista de IDs de recursos de organización, que definen el conjunto de recursos de organización que hacen que sus recursos sean visibles para los usuarios en una consulta o en la Google Cloud consola.

Los proyectos aparecen en No organization si el usuario no tiene el permiso resourcemanager.organizations.get en el recurso de la organización principal del proyecto. Esto puede dar la impresión de que un proyecto que no forma parte del recurso de tu organización no está asociado a ningún recurso de organización. Si usas la restricción resourcemanager.accessBoundaries para inhabilitar un recurso de organización, los proyectos que pertenezcan a ese recurso de organización no aparecerán en las consultas ni en la consola de Google Cloud . Los proyectos que aún no se hayan migrado a un recurso de organización no se verán si se aplica esta restricción.

Te recomendamos que migres los proyectos que estén por debajo de No organization a tu recurso de organización antes de aplicar esta restricción. Para obtener información sobre cómo migrar proyectos a un recurso de organización, consulta el artículo Mover un proyecto.

Para obtener información sobre cómo definir una política de la organización, consulta Usar restricciones.

Conceder acceso condicional

Algunos roles de gestión de identidades y accesos, como el de administrador de políticas de la organización (roles/orgpolicy.policyAdmin), solo se pueden conceder en un recurso de organización. Debido a la herencia de políticas, este rol se hereda normalmente en todos los recursos de la organización.

Para tener más control sobre los recursos en los que se concede el rol, puedes usar condiciones de gestión de identidades y accesos. Si usas etiquetas con condiciones, puedes conceder acceso a los recursos solo si tienen la etiqueta especificada. Por ejemplo, la siguiente política de permisos concede el rol Administrador de políticas de la organización solo en los recursos que tienen la etiqueta environment: dev y no en ningún otro recurso:

{
  "bindings": [
    {
      "members": [
        "group:my-group@example.com"
      ],
      "role": "roles/orgpolicy.policyAdmin",
      "condition": {
          "title": "Dev_environment_only",
          "description": "Only granted in the development environment",
          "expression":
            "resource.matchTag('123456789012/env', 'dev')"
      }
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 3
}

Probar permisos

Puedes probar los permisos de gestión de identidades y accesos de un usuario en un recurso de una organización con el método testIamPermissions(). Este método toma la URL del recurso y el conjunto de permisos que quieres probar como parámetros de entrada, y devuelve el subconjunto de estos permisos a los que tiene acceso el usuario.

Normalmente, no invocas testIamPermission() si usas la consolaGoogle Cloud directamente para gestionar los permisos. testIamPermissions() se ha diseñado para integrarse con tu software propietario, como una interfaz gráfica de usuario personalizada. Por ejemplo, la consola usa Google Cloud testIamPermissions() internamente para determinar qué interfaz de usuario debe estar disponible para el usuario que ha iniciado sesión.

Request:

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:testIamPermissions

{
    "permissions":  [
        "resourcemanager.organizations.get",
        "resourcemanager.organizations.setIamPolicy"
    ]
}

Response:

{
    "permissions": [
        "resourcemanager.organizations.get"
    ]
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))

response = crm.organizations().testIamPermissions(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'permissions': [
            'resourcemanager.organizations.setIamPolicy',
            'resourcemanager.projects.patch'
        ]
    }).execute()

print json.dumps(response, indent=2)