ניתוח מדיניות ההרשאות

המסוף

1. נכנסים לדף Policy analyzer במסוף Google Cloud .

   מעבר לדף Policy analyzer

2. בקטע ניתוח מדיניות, מוצאים את החלונית עם התווית שאילתה מותאמת אישית ולוחצים על יצירת שאילתה מותאמת אישית בחלונית הזו.

3. בשדה Select query scope (בחירת היקף השאילתה), בוחרים את הפרויקט, התיקייה או הארגון שרוצים להגדיר כהיקף השאילתה. כלי ניתוח המדיניות ינתח את הגישה לפרויקט, לתיקייה או לארגון, וגם לכל המשאבים בתוך הפרויקט, התיקייה או הארגון.

4. בוחרים את המשאב שרוצים לבדוק ואת התפקיד או ההרשאה שרוצים לבדוק:

   1. בשדה פרמטר 1, בוחרים באפשרות משאב מהתפריט הנפתח.
   2. בשדה Resource, מזינים את שם המשאב המלא של המשאב שרוצים לנתח את הגישה אליו. אם אתם לא יודעים את השם המלא של המשאב, מתחילים להקליד את השם המוצג של המשאב ואז בוחרים את המשאב מתוך רשימת המשאבים שמוצגת.
   3. לוחצים על add Add selector (הוספת בורר).
   4. בשדה Parameter 2, בוחרים באפשרות Role או Permission.
   5. בשדה Select a role (בחירת תפקיד) או Select a permission (בחירת הרשאה), בוחרים את התפקיד או ההרשאה שרוצים לבדוק.
   6. אופציונלי: כדי לבדוק תפקידים והרשאות נוספים, ממשיכים להוסיף את האפשרויות תפקיד והרשאה עד שכל התפקידים וההרשאות שרוצים לבדוק מופיעים ברשימה.

5. אופציונלי: לוחצים על המשך ואז בוחרים אפשרויות מתקדמות שרוצים להפעיל בשאילתה הזו.

6. בחלונית Custom query, לוחצים על Analyze > Run query. בדף הדוח מוצגים פרמטרים של שאילתה שהזנתם, וטבלת תוצאות של כל הגורמים עם התפקידים או ההרשאות שצוינו במשאב שצוין.

   ההרצה של שאילתות לניתוח מדיניות במסוף Google Cloud יכולה להימשך דקה אחת. אחרי דקה אחת, מסוף Google Cloud מפסיק את השאילתה ומציג את כל התוצאות הזמינות. אם השאילתה לא מסתיימת בזמן הזה, במסוף Google Cloud מוצג באנר שמציין שהתוצאות לא מלאות. כדי לקבל תוצאות נוספות לשאילתות האלה, מייצאים את התוצאות ל-BigQuery.

   כדי ליצור תרשים של השאילתה, לוחצים על Visualize results (הצגת התוצאות בתרשים). מידע נוסף זמין במאמר בנושא הצגת תוצאות בצורה חזותית (גרסת Preview).

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך project,‏ folder או organization.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• FULL_RESOURCE_NAME: שם המשאב המלא של המשאב שרוצים לנתח את הגישה אליו. רשימה של הפורמטים של שמות מלאים של משאבים זמינה במאמר פורמט השמות של המשאבים.
• ‫PERMISSIONS: רשימה מופרדת בפסיקים של ההרשאות שרוצים לבדוק, לדוגמה: compute.instances.get,compute.instances.start. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש הרשאות כלשהן מהרשימה.

מריצים את הפקודה gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS'

מקבלים תגובת YAML עם תוצאות הניתוח. בכל תוצאת ניתוח מפורטים סדרה של גישות, זהויות ומשאבים שרלוונטיים לשאילתה, ואחריהם השיוך של תפקיד IAM שקשור אליהם. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן להעריך את התנאי, התוצאה היא CONDITIONAL.

חשבונות המשתמשים שיש להם אחת מההרשאות שצוינו במשאב שצוין מפורטים בשדות identities בתשובה. בדוגמה הבאה מוצגת תוצאת ניתוח יחידה עם השדה identities מודגש.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyze-iam-policy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

REST

כדי לזהות לאילו חשבונות משתמשים יש הרשאות מסוימות במשאב, משתמשים בשיטה analyzeIamPolicy של Cloud Asset Inventory API.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך projects,‏ folders או organizations.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• FULL_RESOURCE_NAME: שם המשאב המלא של המשאב שרוצים לנתח את הגישה אליו. רשימה של הפורמטים של שמות מלאים של משאבים זמינה במאמר פורמט השמות של המשאבים.
• ‫PERMISSION_1, ‏PERMISSION_2... PERMISSION_N: ההרשאות שרוצים לבדוק. לדוגמה: compute.instances.get. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש הרשאות כלשהן מהרשימה.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

תוכן בקשת JSON:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

מקבלים תגובת JSON עם תוצאות הניתוח. כל תוצאת ניתוח מתארת קישור רלוונטי של תפקיד IAM, ואז מפרטת את המשאב, הגישות והמשתמשים העיקריים בקישור הזה. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן היה להעריך את התנאי, התוצאה מופיעה כ-CONDITIONAL.

חשבונות המשתמשים שיש להם אחת מההרשאות שצוינו במשאב שצוין מפורטים בשדות identities בתשובה. בדוגמה הבאה מוצגת תוצאת ניתוח יחידה עם השדה identities מודגש.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyzeIamPolicy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

המסוף

1. נכנסים לדף Policy analyzer במסוף Google Cloud .

   מעבר לדף Policy analyzer

2. בקטע ניתוח מדיניות, מוצאים את החלונית עם התווית שאילתה מותאמת אישית ולוחצים על יצירת שאילתה מותאמת אישית בחלונית הזו.

3. בשדה Select query scope (בחירת היקף השאילתה), בוחרים את הפרויקט, התיקייה או הארגון שרוצים להגדיר כהיקף השאילתה. כלי ניתוח המדיניות ינתח את הגישה לפרויקט, לתיקייה או לארגון, וגם לכל המשאבים בתוך הפרויקט, התיקייה או הארגון.

4. בשדה פרמטר 1, בוחרים באפשרות תפקיד או הרשאה.

5. בשדה Select a role או Select a permission, בוחרים את התפקיד או ההרשאה שרוצים לבדוק.

6. אופציונלי: כדי לבדוק תפקידים והרשאות נוספים, מבצעים את הפעולות הבאות:

   1. לוחצים על add Add selector (הוספת בורר).
   2. בשדה Parameter 2, בוחרים באפשרות Role או Permission.
   3. בשדה Select a role (בחירת תפקיד) או Select a permission (בחירת הרשאה), בוחרים את התפקיד או ההרשאה שרוצים לבדוק.
   4. ממשיכים להוסיף בוררים של תפקיד והרשאה עד שכל התפקידים וההרשאות שרוצים לבדוק מופיעים ברשימה.

7. אופציונלי: לוחצים על המשך ואז בוחרים אפשרויות מתקדמות שרוצים להפעיל בשאילתה הזו.

8. בחלונית Custom query, לוחצים על Analyze > Run query. בדף הדוח מוצגים פרמטרים של שאילתות שהזנתם, וטבלת תוצאות של כל חשבונות המשתמשים עם התפקידים או ההרשאות שצוינו בכל משאב בהיקף.

   ההרצה של שאילתות לניתוח מדיניות במסוף Google Cloud יכולה להימשך דקה אחת. אחרי דקה אחת, מסוף Google Cloud מפסיק את השאילתה ומציג את כל התוצאות הזמינות. אם השאילתה לא מסתיימת בזמן הזה, במסוף Google Cloud מוצג באנר שמציין שהתוצאות לא מלאות. כדי לקבל תוצאות נוספות לשאילתות האלה, מייצאים את התוצאות ל-BigQuery.

   כדי ליצור תרשים של השאילתה, לוחצים על Visualize results (הצגת התוצאות בתרשים). מידע נוסף זמין במאמר בנושא הצגת תוצאות בצורה חזותית (גרסת Preview).

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך project,‏ folder או organization.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• ‫ROLES: רשימה מופרדת בפסיקים של התפקידים שרוצים לבדוק, לדוגמה, roles/compute.admin,roles/compute.imageUser. אם מציינים כמה תפקידים, הכלי Policy Analyzer יבדוק אם יש תפקידים כלשהם מהרשימה.
• ‫PERMISSIONS: רשימה מופרדת בפסיקים של ההרשאות שרוצים לבדוק, לדוגמה: compute.instances.get,compute.instances.start. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש הרשאות כלשהן מהרשימה.

מריצים את הפקודה gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --roles='ROLES' \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --roles='ROLES' `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --roles='ROLES' ^
    --permissions='PERMISSIONS'

מקבלים תגובת JSON עם תוצאות הניתוח. כל תוצאת ניתוח מתארת קישור רלוונטי של תפקיד IAM, ואז מפרטת את המשאב, הגישות והמשתמשים העיקריים בקישור הזה. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן היה להעריך את התנאי, התוצאה מופיעה כ-CONDITIONAL.

חשבונות המשתמשים שיש להם תפקידים או הרשאות שצוינו מופיעים בשדות identities בתשובה. בדוגמה הבאה מוצגת תוצאת ניתוח יחידה עם השדה identities מודגש.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  - role: roles/compute.admin
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyze-iam-policy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

REST

כדי לדעת לאילו ישויות מורשות יש תפקידים או הרשאות מסוימות, משתמשים בשיטה analyzeIamPolicy של מאגר משאבי ענן API.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך projects,‏ folders או organizations.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• ‫ROLE_1, ‏ROLE_2... ROLE_N: התפקידים שרוצים לבדוק. לדוגמה, roles/compute.admin. אם מציינים כמה תפקידים, כלי הניתוח למדיניות יבדוק אם יש תפקיד כלשהו מהרשימה.
• ‫PERMISSION_1, ‏PERMISSION_2... PERMISSION_N: ההרשאות שרוצים לבדוק. לדוגמה: compute.instances.get. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש הרשאות כלשהן מהרשימה.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

תוכן בקשת JSON:

{
  "analysisQuery": {
    "accessSelector": {
      "roles": [
        "ROLE_1",
        "ROLE_2",
        "ROLE_N"
      ],
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

מקבלים תגובת JSON עם תוצאות הניתוח. כל תוצאת ניתוח מתארת קישור רלוונטי של תפקיד IAM, ואז מפרטת את המשאב, הגישות והמשתמשים העיקריים בקישור הזה. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן היה להעריך את התנאי, התוצאה מופיעה כ-CONDITIONAL.

חשבונות המשתמשים שיש להם תפקידים או הרשאות שצוינו מופיעים בשדות identities בתשובה. בדוגמה הבאה מוצגת תוצאת ניתוח יחידה עם השדה identities מודגש.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "role": "roles/compute.admin"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyzeIamPolicy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

המסוף

1. נכנסים לדף Policy analyzer במסוף Google Cloud .

   מעבר לדף Policy analyzer

2. בקטע ניתוח מדיניות, מוצאים את החלונית עם התווית שאילתה מותאמת אישית ולוחצים על יצירת שאילתה מותאמת אישית בחלונית הזו.

3. בשדה Select query scope (בחירת היקף השאילתה), בוחרים את הפרויקט, התיקייה או הארגון שרוצים להגדיר כהיקף השאילתה. כלי ניתוח המדיניות ינתח את הגישה לפרויקט, לתיקייה או לארגון, וגם לכל המשאבים בתוך הפרויקט, התיקייה או הארגון.

4. בוחרים את המשאב ואת הגורם הראשי שרוצים לבדוק:

   1. בשדה פרמטר 1, בוחרים באפשרות משאב מהתפריט הנפתח.
   2. בשדה Resource, מזינים את שם המשאב המלא של המשאב שרוצים לנתח את הגישה אליו. אם אתם לא יודעים את השם המלא של המשאב, מתחילים להקליד את השם המוצג של המשאב ואז בוחרים את המשאב מתוך רשימת המשאבים שמוצגת.
   3. לוחצים על add Add selector (הוספת בורר).
   4. בשדה פרמטר 2, בוחרים באפשרות Principal מהתפריט הנפתח.
   5. בשדה Principal, מתחילים להקליד את השם של משתמש, חשבון שירות או קבוצה. לאחר מכן, בוחרים מהרשימה של החשבונות הראשיים את המשתמש, חשבון השירות או הקבוצה שרוצים לנתח את הגישה שלהם.

5. אופציונלי: לוחצים על המשך ואז בוחרים אפשרויות מתקדמות שרוצים להפעיל בשאילתה הזו.

6. בחלונית Custom query, לוחצים על Analyze > Run query. בדף הדוח מוצגים פרמטרים של השאילתה שהזנתם, וטבלת תוצאות של כל התפקידים שהחשבון הראשי שצוין קיבל במשאב שצוין.

   ההרצה של שאילתות לניתוח מדיניות במסוף Google Cloud יכולה להימשך דקה אחת. אחרי דקה אחת, מסוף Google Cloud מפסיק את השאילתה ומציג את כל התוצאות הזמינות. אם השאילתה לא מסתיימת בזמן הזה, במסוף Google Cloud מוצג באנר שמציין שהתוצאות לא מלאות. כדי לקבל תוצאות נוספות לשאילתות האלה, מייצאים את התוצאות ל-BigQuery.

   כדי ליצור תרשים של השאילתה, לוחצים על Visualize results (הצגת התוצאות בתרשים). מידע נוסף זמין במאמר בנושא הצגת תוצאות בצורה חזותית (גרסת Preview).

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך project,‏ folder או organization.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• FULL_RESOURCE_NAME: שם המשאב המלא של המשאב שרוצים לנתח את הגישה אליו. רשימה של הפורמטים של שמות מלאים של משאבים זמינה במאמר פורמט השמות של המשאבים.
• ‫PRINCIPAL: החשבון הראשי שרוצים לנתח את הגישה שלו, בפורמט PRINCIPAL_TYPE:ID. לדוגמה, user:my-user@example.com. רשימה מלאה של סוגי החשבונות הראשיים מופיעה במאמר מזהים של חשבונות משתמשים.

מריצים את הפקודה gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --full-resource-name=FULL_RESOURCE_NAME \
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --full-resource-name=FULL_RESOURCE_NAME `
    --identity=PRINCIPAL

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --identity=PRINCIPAL

מקבלים תגובת YAML עם תוצאות הניתוח. בכל תוצאת ניתוח מפורטים סדרה של גישות, זהויות ומשאבים שרלוונטיים לשאילתה, ואחריהם השיוך של תפקיד IAM שקשור אליהם. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן להעריך את התנאי, התוצאה היא CONDITIONAL.

התפקידים שחשבון המשתמש קיבל במשאב שצוין מופיעים בשדות accesses בתשובה. בדוגמה הבאה מוצגת תוצאת ניתוח יחידה עם השדה accesses מודגש.

...
---
ACLs:
- accesses:
  - roles/iam.serviceAccountUser
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    members:
    - user: my-user@example.com
    role: roles/iam.serviceAccountUser
---
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyze-iam-policy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

REST

כדי לדעת איזו גישה יש לישות למשאב, משתמשים בשיטה analyzeIamPolicy של Cloud Asset Inventory API.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך projects,‏ folders או organizations.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• FULL_RESOURCE_NAME: שם המשאב המלא של המשאב שרוצים לנתח את הגישה אליו. רשימה של הפורמטים של שמות מלאים של משאבים זמינה במאמר פורמט השמות של המשאבים.
• ‫PRINCIPAL: החשבון הראשי שרוצים לנתח את הגישה שלו, בפורמט PRINCIPAL_TYPE:ID. לדוגמה, user:my-user@example.com. רשימה מלאה של סוגי החשבונות הראשיים מופיעה במאמר מזהים של חשבונות משתמשים.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

תוכן בקשת JSON:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "identitySelector": {
      "identity": "PRINCIPAL"
    }
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

מקבלים תגובת JSON עם תוצאות הניתוח. כל תוצאת ניתוח מתארת קישור רלוונטי של תפקיד IAM, ואז מפרטת את המשאב, הגישות והמשתמשים העיקריים בקישור הזה. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן היה להעריך את התנאי, התוצאה מופיעה כ-CONDITIONAL.

התפקידים שחשבון המשתמש קיבל במשאב שצוין מופיעים בשדות accesses בתשובה. בדוגמה הבאה מוצגת תוצאת ניתוח יחידה עם השדה accesses מודגש.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/iam.serviceAccountUser",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "roles": "iam.serviceAccountUser"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyzeIamPolicy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

המסוף

1. נכנסים לדף Policy analyzer במסוף Google Cloud .

   מעבר לדף Policy analyzer

2. בקטע ניתוח מדיניות, מוצאים את החלונית עם התווית שאילתה מותאמת אישית ולוחצים על יצירת שאילתה מותאמת אישית בחלונית הזו.

3. בשדה Select query scope (בחירת היקף השאילתה), בוחרים את הפרויקט, התיקייה או הארגון שרוצים להגדיר כהיקף השאילתה. כלי ניתוח המדיניות ינתח את הגישה לפרויקט, לתיקייה או לארגון, וגם לכל המשאבים בתוך הפרויקט, התיקייה או הארגון.

4. בוחרים את החשבון הראשי שרוצים לבדוק ואת התפקיד או ההרשאה שרוצים לבדוק:

   1. בשדה פרמטר 1, בוחרים באפשרות Principal מהתפריט הנפתח.
   2. בשדה Principal, מתחילים להקליד את השם של משתמש, חשבון שירות או קבוצה. לאחר מכן, בוחרים מהרשימה של החשבונות הראשיים את המשתמש, חשבון השירות או הקבוצה שרוצים לנתח את הגישה שלהם.
   3. לוחצים על add Add selector (הוספת בורר).
   4. בשדה Parameter 2, בוחרים באפשרות Role או Permission.
   5. בשדה Select a role (בחירת תפקיד) או Select a permission (בחירת הרשאה), בוחרים את התפקיד או ההרשאה שרוצים לבדוק.
   6. אופציונלי: כדי לבדוק תפקידים והרשאות נוספים, ממשיכים להוסיף בוררי תפקידים והרשאות עד שכל התפקידים וההרשאות שרוצים לבדוק מופיעים ברשימה.

5. אופציונלי: לוחצים על המשך ואז בוחרים אפשרויות מתקדמות שרוצים להפעיל בשאילתה הזו.

6. בחלונית Custom query, לוחצים על Analyze > Run query. בדף הדוח מוצגים פרמטרים של שאילתה שהזנתם, וטבלת תוצאות של כל המשאבים שבהם לישות המורשית שצוינה יש את התפקידים או ההרשאות שצוינו.

   ההרצה של שאילתות לניתוח מדיניות במסוף Google Cloud יכולה להימשך דקה אחת. אחרי דקה אחת, מסוף Google Cloud מפסיק את השאילתה ומציג את כל התוצאות הזמינות. אם השאילתה לא מסתיימת בזמן הזה, במסוף Google Cloud מוצג באנר שמציין שהתוצאות לא מלאות. כדי לקבל תוצאות נוספות לשאילתות האלה, מייצאים את התוצאות ל-BigQuery.

   כדי ליצור תרשים של השאילתה, לוחצים על Visualize results (הצגת התוצאות בתרשים). מידע נוסף זמין במאמר בנושא הצגת תוצאות בצורה חזותית (גרסת Preview).

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך project,‏ folder או organization.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• ‫PRINCIPAL: החשבון הראשי שרוצים לנתח את הגישה שלו, בפורמט PRINCIPAL_TYPE:ID. לדוגמה, user:my-user@example.com. רשימה מלאה של סוגי החשבונות הראשיים מופיעה במאמר מזהים של חשבונות משתמשים.
• ‫PERMISSIONS: רשימה מופרדת בפסיקים של ההרשאות שרוצים לבדוק, לדוגמה: compute.instances.get,compute.instances.start. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש הרשאות כלשהן מהרשימה.

מריצים את הפקודה gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --permissions='PERMISSIONS'

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --permissions='PERMISSIONS'

מקבלים תגובת YAML עם תוצאות הניתוח. בכל תוצאת ניתוח מפורטים סדרה של גישות, זהויות ומשאבים שרלוונטיים לשאילתה, ואחריהם השיוך של תפקיד IAM שקשור אליהם. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן להעריך את התנאי, התוצאה היא CONDITIONAL.

המשאבים שלגביהם לחשבון המשתמש שצוין יש את אחת ההרשאות שצוינו מפורטים בשדות resources בתשובה. בדוגמה הבאה מוצגת תוצאת ניתוח יחידה עם השדה resources מודגש.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //compute.googleapis.com/projects/my-project/global/images/my-image
policy:
  attachedResource: //compute.googleapis.com/projects/my-project/global/images/my-image
  binding:
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyze-iam-policy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

REST

כדי לקבוע לאילו משאבים יש לחשבון משתמש גישה, משתמשים ב-method ‏analyzeIamPolicy של Cloud Asset Inventory API.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך projects,‏ folders או organizations.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• ‫PRINCIPAL: החשבון הראשי שרוצים לנתח את הגישה שלו, בפורמט PRINCIPAL_TYPE:ID. לדוגמה, user:my-user@example.com. רשימה מלאה של סוגי החשבונות הראשיים מופיעה במאמר מזהים של חשבונות משתמשים.
• ‫PERMISSION_1, ‏PERMISSION_2... PERMISSION_N: ההרשאות שרוצים לבדוק. לדוגמה: compute.instances.get. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש הרשאות כלשהן מהרשימה.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

תוכן בקשת JSON:

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    }
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

מקבלים תגובת JSON עם תוצאות הניתוח. כל תוצאת ניתוח מתארת קישור רלוונטי של תפקיד IAM, ואז מפרטת את המשאב, הגישות והמשתמשים העיקריים בקישור הזה. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן היה להעריך את התנאי, התוצאה מופיעה כ-CONDITIONAL.

המשאבים שלגביהם לחשבון המשתמש שצוין יש את אחת ההרשאות שצוינו מפורטים בשדות resources בתשובה. בדוגמה הבאה מוצגת תוצאת ניתוח יחידה עם השדה resources מודגש.

...
{
  "attachedResourceFullName": "//compute.googleapis.com/projects/my-project/global/images/my-image",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ]
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//compute.googleapis.com/projects/my-project/global/images/my-image"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ]
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyzeIamPolicy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

gcloud

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך project,‏ folder או organization.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• ‫PERMISSIONS: אופציונלי. רשימה מופרדת בפסיקים של ההרשאות שרוצים לבדוק. לדוגמה: compute.instances.get,compute.instances.start. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש הרשאות כלשהן מהרשימה.
• ‫FULL_RESOURCE_NAME: אופציונלי. השם המלא של המשאב שרוצים לנתח את הגישה אליו. רשימה של הפורמטים של שמות מלאים של משאבים זמינה במאמר בנושא פורמט השמות של המשאבים.
• ‫PERMISSIONS: אופציונלי. רשימה מופרדת בפסיקים של ההרשאות שרוצים לבדוק. לדוגמה: compute.instances.get,compute.instances.start. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש הרשאות כלשהן מהרשימה.
• ‫ACCESS_TIME: השעה שרוצים לבדוק. השעה הזו צריכה להיות בעתיד. משתמשים בחותמת זמן בפורמט RFC 3339 – לדוגמה, 2099-02-01T00:00:00Z.

מריצים את הפקודה gcloud asset analyze-iam-policy:

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID \
    --identity=PRINCIPAL \
    --full-resource-name=FULL_RESOURCE_NAME \
    --permissions='PERMISSIONS' \
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID `
    --identity=PRINCIPAL `
    --full-resource-name=FULL_RESOURCE_NAME `
    --permissions='PERMISSIONS' `
    --access-time=ACCESS_TIME

gcloud asset analyze-iam-policy --RESOURCE_TYPE=RESOURCE_ID ^
    --identity=PRINCIPAL ^
    --full-resource-name=FULL_RESOURCE_NAME ^
    --permissions='PERMISSIONS' ^
    --access-time=ACCESS_TIME

מקבלים תגובת YAML עם תוצאות הניתוח. בכל תוצאת ניתוח מפורטים סדרה של גישות, זהויות ומשאבים שרלוונטיים לשאילתה, ואחריהם השיוך של תפקיד IAM שקשור אליהם. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן להעריך את התנאי, התוצאה היא CONDITIONAL.

כשכוללים את זמן הגישה בבקשה, כלי הניתוח למדיניות יכול להעריך תנאים של תאריך ושעה. אם התנאי מקבל את הערך false, התפקיד הזה לא נכלל בתשובה. אם התנאי מקבל את הערך True, התוצאה של בדיקת התנאי היא TRUE.

...
---
ACLs:
- accesses:
  - permission: compute.instances.get
  - permission: compute.instances.start
  conditionEvaluationValue: 'TRUE'
  identities:
  - name: user:my-user@example.com
  resources:
  - fullResourceName: //cloudresourcemanager.googleapis.com/projects/my-project
policy:
  attachedResource: //cloudresourcemanager.googleapis.com/projects/my-project
  binding:
    condition:
      expression: request.time.getHours("America/Los_Angeles") >= 5
      title: No access before 5am PST
    members:
    - user: my-user@example.com
    role: roles/compute.admin
---
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyze-iam-policy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

REST

כדי לדעת אילו חשבונות משתמש יהיו בעלי הרשאות מסוימות במשאב בזמן מסוים, משתמשים בשיטה analyzeIamPolicy של Cloud Asset Inventory API.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב שרוצים להגביל את החיפוש אליו. המערכת תנתח רק את מדיניות ההרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו. אפשר להשתמש בערך projects,‏ folders או organizations.
• ‫RESOURCE_ID: המזהה שלGoogle Cloud הפרויקט, התיקייה או הארגון שרוצים להגביל את החיפוש אליהם. רק מדיניות הרשאות של IAM שמצורפת למשאב הזה ולצאצאים שלו תנותח. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• ‫PERMISSION_1, PERMISSION_2... PERMISSION_N: אופציונלי. הרשאות שרוצים לבדוק – לדוגמה, compute.instances.get. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש לחשבון המשתמש את אחת מההרשאות שצוינו.
• ‫FULL_RESOURCE_NAME: אופציונלי. השם המלא של המשאב שרוצים לנתח את הגישה אליו. רשימה של הפורמטים של שמות מלאים של משאבים זמינה במאמר בנושא פורמט השמות של המשאבים.
• ‫PERMISSION_1, PERMISSION_2... PERMISSION_N: אופציונלי. הרשאות שרוצים לבדוק – לדוגמה, compute.instances.get. אם תציינו כמה הרשאות, כלי הניתוח למדיניות יבדוק אם יש לחשבון המשתמש את אחת מההרשאות שצוינו.
• ‫ACCESS_TIME: השעה שרוצים לבדוק. השעה הזו צריכה להיות בעתיד. משתמשים בחותמת זמן בפורמט RFC 3339 – לדוגמה, 2099-02-01T00:00:00Z.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy

תוכן בקשת JSON:

{
  "analysisQuery": {
    "identitySelector": {
      "identity": "PRINCIPAL"
    },
    "resourceSelector": {
      "fullResourceName": "FULL_RESOURCE_NAME"
    },
    "accessSelector": {
      "permissions": [
        "PERMISSION_1",
        "PERMISSION_2",
        "PERMISSION_N"
      ]
    },
    "conditionContext": {
      "accessTime": "ACCESS_TIME"
    }
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "X-HTTP-Method-Override: GET" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred"; "X-HTTP-Method-Override" = "GET" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://cloudasset.googleapis.com/v1/RESOURCE_TYPE/RESOURCE_ID:analyzeIamPolicy" | Select-Object -Expand Content

מקבלים תגובת JSON עם תוצאות הניתוח. כל תוצאת ניתוח מתארת קישור רלוונטי של תפקיד IAM, ואז מפרטת את המשאב, הגישות והמשתמשים העיקריים בקישור הזה. אם קישור התפקיד הוא מותנה, תוצאת הניתוח כוללת גם את תוצאת הערכת התנאי. אם לא ניתן היה להעריך את התנאי, התוצאה מופיעה כ-CONDITIONAL.

כשכוללים את זמן הגישה בבקשה, כלי הניתוח למדיניות יכול להעריך תנאים של תאריך ושעה. אם התנאי מקבל את הערך false, התפקיד הזה לא נכלל בתשובה. אם התנאי מקבל את הערך true, ערך הערכת התנאי בתגובת הניתוח הוא TRUE.

...
{
  "attachedResourceFullName": "//cloudresourcemanager.googleapis.com/projects/my-project",
  "iamBinding": {
    "role": "roles/compute.admin",
    "members": [
      "user:my-user@example.com"
    ],
    "condition": {
      "expression": "request.time.getHours(\"America/Los_Angeles\") \u003e= 5",
      "title": "No access before 5am PST"
    }
  },
  "accessControlLists": [
    {
      "resources": [
        {
          "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
        }
      ],
      "accesses": [
        {
          "permission": "compute.instances.get"
        },
        {
          "permission": "compute.instances.start"
        }
      ],
      "conditionEvaluation": {
        "evaluationValue": "TRUE"
      }
    }
  ],
  "identityList": {
    "identities": [
      {
        "name": "user:my-user@example.com"
      }
    ]
  },
  "fullyExplored": true
},
...

אם הבקשה נכשלת בגלל חריגה מזמן קצוב לפני שהשאילתה מסתיימת, מקבלים שגיאה DEADLINE_EXCEEDED. כדי לקבל יותר תוצאות לשאילתות האלה, צריך לכתוב את התוצאות ב-BigQuery או ב-Cloud Storage באמצעות הגרסה של analyzeIamPolicy שפועלת לאורך זמן. הוראות זמינות במאמרים כתיבת ניתוח מדיניות ל-BigQuery או כתיבת ניתוח מדיניות ל-Cloud Storage.

המסוף

gcloud

בקטע הזה מתוארים כמה דגלים נפוצים שאפשר להוסיף כשמשתמשים ב-CLI של gcloud כדי לנתח מדיניות הרשאות. רשימה מלאה של האפשרויות מופיעה במאמר בנושא דגלים אופציונליים.

REST

כדי להפעיל אפשרויות, קודם צריך להוסיף שדה options לשאילתת הניתוח. לדוגמה:

{
  "analysisQuery": {
    "resourceSelector": {
      "fullResourceName": "//cloudresourcemanager.googleapis.com/projects/my-project"
    },
    "accessSelector": {
      "permissions": [
        "iam.roles.get",
        "iam.roles.list"
      ]
   },
   "options": {
     OPTIONS
   }
  }
}

מחליפים את OPTIONS באפשרויות שרוצים להפעיל, בפורמט "OPTION": true. בטבלה הבאה מפורטות האפשרויות הזמינות: