Crea una policy di accesso

Questa pagina descrive come creare una policy di accesso a livello di organizzazione per la tua organizzazione e policy con ambito per le cartelle e i progetti della tua organizzazione.

Prima di iniziare

Crea una policy di accesso a livello di organizzazione

Per un'organizzazione, non puoi creare una policy di accesso a livello di organizzazione se ne esiste già una.

Console

Quando crei un livello di accesso, viene creata automaticamente una policy di accesso predefinita. Non sono necessari ulteriori passaggi manuali.

gcloud

Per creare una policy di accesso a livello di organizzazione, utilizza il comando create.

gcloud access-context-manager policies create \
--organization ORGANIZATION_ID --title POLICY_TITLE

Dove:

  • ORGANIZATION_ID è l'ID numerico della tua organizzazione.

  • POLICY_TITLE è un titolo leggibile per la tua policy.

Dovresti vedere un output simile al seguente (dove POLICY_NAME è un identificatore numerico univoco per la policy assegnata da Google Cloud):

Create request issued
Waiting for operation [accessPolicies/POLICY_NAME/create/1521580097614100] to complete...done.
Created.

Successivamente, imposta il criterio predefinito.

API

Per creare una policy di accesso a livello di organizzazione:

  1. Crea un corpo della richiesta.

    {
 "parent": "ORGANIZATION_ID",
 "title": "POLICY_TITLE"
}

    Dove:

    • ORGANIZATION_ID è l'ID numerico della tua organizzazione.

    • POLICY_TITLE è un titolo leggibile per la tua policy.

  2. Crea la policy di accesso chiamando accessPolicies.create.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Corpo della risposta

In caso di esito positivo, il corpo della risposta alla chiamata contiene una risorsa Operation che fornisce dettagli sull'operazione POST.

Crea una policy di accesso con ambito e delega la policy

Solo i Controlli di servizio VPC supportano la creazione di una policy di accesso con ambito. Devi continuare a utilizzare le policy a livello di organizzazione per i servizi Google Cloud, come Identity-Aware Proxy (IAP).

Console

  1. Nel menu di navigazione della console Google Cloud , fai clic su Sicurezza, quindi su Controlli di servizio VPC.

    Vai a Controlli di servizio VPC

  2. Se ti viene chiesto, seleziona l'organizzazione, la cartella o il progetto.

  3. Nella pagina Controlli di servizio VPC, seleziona la policy di accesso che è l'elemento principale della policy con ambito. Ad esempio, puoi selezionare la policy dell'organizzazione default policy.

  4. Fai clic su Gestisci policy.

  5. Nella pagina Gestisci Controlli di servizio VPC, fai clic su Crea.

  6. Nella pagina Crea policy di accesso, digita un nome per la policy di accesso con ambito nella casella Nome policy di accesso.

    Il nome di una policy di accesso con ambito può avere una lunghezza massima di 50 caratteri, deve iniziare con una lettera e può contenere solo lettere latine ASCII (a-z, A-Z), numeri (0-9) o trattini bassi (_). Il nome della policy di accesso con ambito è sensibile alle maiuscole e deve essere univoco all'interno di una policy di accesso.

  7. Per specificare un ambito per la policy di accesso, fai clic su Ambiti.

  8. Specifica un progetto o una cartella come ambito della policy di accesso.

    • Per selezionare un progetto da aggiungere all'ambito della policy di accesso:

      1. Nel riquadro Ambiti, fai clic su Aggiungi progetto.

      2. Nella finestra di dialogo Aggiungi progetto, seleziona la casella di controllo del progetto.

      3. Fai clic su Fine. Il progetto aggiunto viene visualizzato nella sezione Ambiti.

    • Per selezionare una cartella da aggiungere all'ambito della policy di accesso:

      1. Nel riquadro Ambiti, fai clic su Aggiungi cartella.

      2. Nella finestra di dialogo Aggiungi cartelle, seleziona la casella di controllo della cartella.

      3. Fai clic su Fine. La cartella aggiunta viene visualizzata nella sezione Ambiti.

  9. Per delegare l'amministrazione della policy di accesso con ambito, fai clic su Entità.

  10. Per specificare l'entità e il ruolo che vuoi associare alla policy di accesso:

    1. Nel riquadro Entità, fai clic su Aggiungi entità.

    2. Nella finestra di dialogo Aggiungi entità, seleziona un'entità, ad esempio un nome utente o un service account.

    3. Seleziona il ruolo da associare all'entità, ad esempio quello di editor o di lettura.

    4. Fai clic su Salva. L'entità e il ruolo aggiunti vengono visualizzati nella sezione Entità.

  11. Nella pagina Crea policy di accesso, fai clic su Crea policy di accesso.

gcloud

Per creare una policy di accesso con ambito, utilizza il comando gcloud access-context-manager policies create.

gcloud access-context-manager policies create \
--organization ORGANIZATION_ID [--scopes=SCOPE] --title POLICY_TITLE

Dove:

  • ORGANIZATION_ID è l'ID numerico della tua organizzazione.

  • POLICY_TITLE è un titolo leggibile per la tua policy. Il titolo della policy può avere una lunghezza massima di 50 caratteri, deve iniziare con una lettera e può contenere solo lettere latine ASCII (a-z, A-Z), numeri (0-9) o trattini bassi (_). Il titolo della policy è sensibile alle maiuscole e deve essere univoco all'interno di una policy di accesso.

  • SCOPE è la cartella o il progetto a cui si applica la policy. Puoi specificare una sola cartella o un solo progetto come ambito e questo deve esistere all'interno dell'organizzazione specificata. Se non specifichi un ambito, la policy si applica all'intera organizzazione.

Viene visualizzato il seguente output (dove POLICY_NAME è un identificatore numerico univoco per la policy assegnata da Google Cloud):

Create request issued
Waiting for operation [accessPolicies/POLICY_NAME/create/1521580097614100] to complete...done.
Created.

Per delegare l'amministrazione associando un'entità e un ruolo a una policy di accesso con ambito, utilizza il comando add-iam-policy-binding.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

Dove:

  • POLICY è l'ID della policy o l'identificatore completo della policy.

  • PRINCIPAL è l'entità per la quale aggiungere l'associazione. Specifica il valore nel seguente formato: user|group|serviceAccount:email o domain:domain.

  • ROLE è il nome del ruolo da assegnare all'entità. Il nome del ruolo è il percorso completo di un ruolo predefinito, ad esempio roles/accesscontextmanager.policyReader, oppure l'ID di un ruolo personalizzato, ad esempio organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyReader.

API

Per creare una policy di accesso con ambito:

  1. Crea un corpo della richiesta.

    {
 "parent": "ORGANIZATION_ID",
 "scope": "SCOPE"
 "title": "POLICY_TITLE"
}

    Dove:

    • ORGANIZATION_ID è l'ID numerico della tua organizzazione.

    • SCOPE è la cartella o il progetto a cui si applica la policy.

    • POLICY_TITLE è un titolo leggibile per la tua policy. Il titolo della policy può avere una lunghezza massima di 50 caratteri, deve iniziare con una lettera e può contenere solo lettere latine ASCII (a-z, A-Z), numeri (0-9) o trattini bassi (_). Il titolo della policy è sensibile alle maiuscole e deve essere univoco all'interno di una policy di accesso.

  2. Crea la policy di accesso chiamando accessPolicies.create.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Corpo della risposta

In caso di esito positivo, il corpo della risposta alla chiamata contiene una risorsa Operation che fornisce dettagli sull'operazione POST.

Per delegare l'amministrazione della policy di accesso con ambito:

  1. Crea un corpo della richiesta.

    {
 "policy": "IAM_POLICY",
}

    Dove:

    • IAM_POLICY è una raccolta di associazioni. Un'associazione vincola uno o più membri o entità a un singolo ruolo. Le entità possono essere account utente, service account, gruppi Google e domini. Un ruolo è un elenco denominato di autorizzazioni. Ogni ruolo può essere un ruolo predefinito IAM o un ruolo personalizzato creato dall'utente.

  2. Crea la policy di accesso chiamando accessPolicies.setIamPolicy.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Corpo della risposta

In caso di esito positivo, il corpo della risposta contiene un'istanza di policy.

Passaggi successivi