Zugriffsrichtlinie verwalten

Auf dieser Seite wird beschrieben, wie Sie eine vorhandene Zugriffsrichtlinie verwalten können. Sie können Folgendes tun:

Namen und ETag einer Zugriffsrichtlinie abrufen

Console

So rufen Sie den numerischen Namen einer Zugriffsrichtlinie in der Google Cloud Console ab:

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Zu VPC Service Controls

  2. Wählen Sie Ihre Organisation, Ihren Ordner oder Ihr Projekt aus, wenn Sie dazu aufgefordert werden.

  3. Klicken Sie auf der Seite VPC Service Controls auf Richtlinien verwalten.

  4. Klicken Sie auf der Seite VPC Service Controls-Richtlinien verwalten auf den Titel der Zugriffsrichtlinie, die Sie prüfen möchten.

  5. Suchen Sie auf der Seite Zugriffsrichtlinie bearbeiten unter Name der Zugriffsrichtlinie nach der numerischen ID der Richtlinie.

gcloud

Den Namen einer Zugriffsrichtlinie können Sie mit dem Befehl list abrufen. Der Name der Zugriffsrichtlinie wird für alle Befehle auf Zugriffsebene für das gcloud-Befehlszeilentool benötigt.

gcloud access-context-manager policies list \
    --organization ORGANIZATION_ID

Wobei:

  • ORGANIZATION_ID ist die numerische ID Ihrer Organisation.

Die Ausgabe sollte etwa so aussehen:

NAME           ORGANIZATION  TITLE        ETAG
1034095178592  511928527926  Corp Policy  10bc3c76ca809ab2

API

Rufen Sie accessPolicies.list auf, um den Namen Ihrer Zugriffsrichtlinie abzurufen.

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies

Anfragetext

Der Anfragetext muss leer sein.

Antworttext

Bei erfolgreicher Ausführung sieht der Antworttext etwa so aus:

{
  "accessPolicies": [
    {
      object(AccessPolicy)
    }
  ],
  "nextPageToken": string
}

Wobei:

Standardzugriffsrichtlinie für das gcloud-Befehlszeilentool festlegen

Wenn Sie das gcloud-Befehlszeilentool verwenden, können Sie eine Standardzugriffsrichtlinie festlegen. Wenn Sie eine Standardrichtlinie festlegen, müssen Sie nicht mehr jedes Mal eine Richtlinie angeben, wenn Sie einen Access Context Manager-Befehl verwenden.

Eine Standard-Zugriffsrichtlinie legen Sie mit dem Befehl config fest.

gcloud config set access_context_manager/policy POLICY_NUMBER

Wobei:

Zugriffsrichtlinie delegieren

Console

So delegieren Sie die Verwaltung einer bereichsbezogenen Zugriffsrichtlinie in derGoogle Cloud Console:

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Zu VPC Service Controls

  2. Wählen Sie Ihre Organisation, Ihren Ordner oder Ihr Projekt aus, wenn Sie dazu aufgefordert werden.

  3. Klicken Sie auf der Seite VPC Service Controls auf Richtlinien verwalten.

  4. Klicken Sie auf der Seite VPC Service Controls-Richtlinien verwalten in der Zeile für die bereichsbezogene Zugriffsrichtlinie, die Sie delegieren möchten, auf den Button und dann auf Bearbeiten.

  5. Klicken Sie auf der Seite Zugriffsrichtlinie bearbeiten unter Hauptkonten verwalten auf Hauptkonten hinzufügen.

  6. Wählen Sie im Bereich Hauptkonten hinzufügen ein Hauptkonto aus, z. B. einen Nutzer oder ein Dienstkonto.

  7. Wählen Sie die Rolle aus, die Sie dem Hauptkonto zuweisen möchten, z. B. Access Context Manager-Administrator, Access Context Manager-Bearbeiter oder Access Context Manager-Leser, und klicken Sie dann auf Speichern.

  8. Klicken Sie auf der Seite Zugriffsrichtlinie bearbeiten auf Speichern.

gcloud

Verwenden Sie den Befehl add-iam-policy-binding, um die Verwaltung durch Binden eines Hauptkontos und einer Rolle mit einer Bereichszugriffsrichtlinie zu delegieren.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

Wobei:

  • POLICY ist die ID der Richtlinie oder die vollqualifizierte Kennzeichnung für die Richtlinie.

  • PRINCIPAL ist das Hauptkonto, für das die Bindung hinzugefügt werden soll. Geben Sie das folgende Format an: user|group|serviceAccount:email oder domain:domain.

  • ROLE ist der Rollenname, der dem Hauptkonto zugewiesen werden soll. Der Rollenname ist der vollständige Pfad einer vordefinierten Rolle, z. B. roles/accesscontextmanager.policyEditor, oder die Rollen-ID für eine benutzerdefinierte Rolle, z. B. organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyEditor.

API

So delegieren Sie die Verwaltung der bereichsbezogenen Zugriffsrichtlinie:

  1. Erstellen Sie einen Anfragetext.

    {
"policy": "IAM_POLICY",
}

    Dabei gilt:

    • IAM_POLICY ist eine Sammlung von Bindungen. Eine Bindung bindet ein oder mehrere Mitglieder oder Hauptkonten an eine einzelne Rolle. Hauptkonten können Nutzerkonten, Dienstkonten, Google-Gruppen und Domains sein. Eine Rolle ist eine benannte Liste von Berechtigungen. Dabei kann es sich um jede vordefinierte IAM-Rolle oder eine vom Nutzer erstellte benutzerdefinierte Rolle handeln.

  2. Delegieren Sie die Zugriffsrichtlinie, indem Sie accessPolicies.setIamPolicy aufrufen.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Antworttext

Wenn der Vorgang erfolgreich abgeschlossen wurde, enthält der Antworttext eine Instanz von policy.

Zugriffsrichtlinie beschreiben

Console

So rufen Sie die Details einer Zugriffsrichtlinie in der Google Cloud Console auf:

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Zu VPC Service Controls

  2. Wählen Sie Ihre Organisation, Ihren Ordner oder Ihr Projekt aus, wenn Sie dazu aufgefordert werden.

  3. Klicken Sie auf der Seite VPC Service Controls auf Richtlinien verwalten.

  4. Klicken Sie auf der Seite VPC Service Controls-Richtlinien verwalten auf den Titel der Zugriffsrichtlinie, die Sie ansehen möchten.

    Auf der Seite Zugriffsrichtlinie bearbeiten werden der Titel der Richtlinie, der numerische Name der Zugriffsrichtlinie, der Bereich und die delegierten Hauptkonten angezeigt.

gcloud

Verwenden Sie zum Beschreiben einer Zugriffsrichtlinie den Befehl describe.

gcloud access-context-manager policies describe POLICY_NUMBER

Wobei:

  • POLICY_NUMBER ist der numerische Name der Richtlinie

Die Ausgabe sieht so aus:

name: accessPolicies/1034095178592
parent: organizations/511928527926
title: Corp Policy

API

Rufen Sie zum Beschreiben Ihrer Zugriffsrichtlinie accessPolicies.get auf.

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

Wobei:

  • POLICY_NUMBER ist der numerische Name der Richtlinie

Anfragetext

Der Anfragetext muss leer sein.

Antworttext

Bei Erfolg enthält der Antworttext ein AccessPolicy-Objekt.

Zugriffsrichtlinie aktualisieren

Console

In der Google Cloud -Konsole können Sie den Titel oder den Bereich einer vorhandenen Zugriffsrichtlinie nicht ändern. Verwenden Sie das gcloud-Befehlszeilentool oder die API, um den Titel einer Zugriffsrichtlinie zu ändern.

Informationen zum Aktualisieren der delegierten Hauptkonten und Rollenbindungen für eine bereichsbezogene Zugriffsrichtlinie in der Google Cloud Console finden Sie unter Zugriffsrichtlinie delegieren.

gcloud

Aktualisieren Sie Ihre Zugriffsrichtlinie mit dem Befehl update. Derzeit können Sie nur den Titel der Richtlinie ändern.

gcloud access-context-manager policies update POLICY_NUMBER \
    --title=POLICY_TITLE

Wobei:

  • POLICY_NUMBER ist der numerische Name der Richtlinie

  • POLICY_TITLE ist ein menschenlesbarer Titel für die Richtlinie.

Die Ausgabe sieht so aus:

Waiting for PATCH operation [accessPolicies/POLICY_NUMBER/update/1542234231134882]...done.

API

Derzeit können Sie nur den Titel einer Zugriffsrichtlinie ändern.

So aktualisieren Sie eine Richtlinie:

  1. Erstellen Sie einen Anfragetext.

    {
 "parent": "ORGANIZATION_ID",
 "title": "POLICY_TITLE"
}

    Dabei gilt:

    • ORGANIZATION_ID ist die numerische ID Ihrer Organisation.

    • POLICY_TITLE ist ein menschenlesbarer Titel für die Richtlinie.

  2. Rufen Sie accessPolicies.patch auf.

    PATCH https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER/UPDATE_MASK

    Wobei:

    • POLICY_NUMBER ist der numerische Name der Richtlinie

    • UPDATE_MASK ist ein String, der den zu aktualisierenden Wert darstellt. Beispiel: title

    Antworttext

    Bei erfolgreichem Ausführen enthält der Antworttext für den Aufruf eine Ressource Operation mit Informationen zum Vorgang PATCH.

Zugriffsrichtlinie löschen

Console

So löschen Sie eine Zugriffsrichtlinie in der Google Cloud Console:

  1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

    Zu VPC Service Controls

  2. Wählen Sie Ihre Organisation, Ihren Ordner oder Ihr Projekt aus, wenn Sie dazu aufgefordert werden.

  3. Klicken Sie auf der Seite VPC Service Controls auf Richtlinien verwalten.

  4. Klicken Sie auf der Seite VPC Service Controls-Richtlinien verwalten in der Zeile der Zugriffsrichtlinie, die Sie löschen möchten, auf den Button und dann auf Löschen.

  5. Klicken Sie im Bestätigungsdialogfeld auf Löschen.

gcloud

So löschen Sie eine Zugriffsrichtlinie:

  1. Führen Sie den Befehl delete aus.

    gcloud access-context-manager policies delete POLICY_NUMBER

    Wobei:

    • POLICY_NUMBER ist der numerische Name der Richtlinie

  2. Bestätigen Sie, dass Sie die Zugriffsrichtlinie löschen möchten.

    Beispiel:

    You are about to delete policy [POLICY_NUMBER]

Do you want to continue (Y/n)?

    Die Ausgabe sieht so aus:

    Deleted policy [1034095178592].

API

Rufen Sie accessPolicies.delete auf, um Ihre Zugriffsrichtlinie zu löschen.

DELETE https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

Wobei:

  • POLICY_NUMBER ist der numerische Name der Richtlinie

Anfragetext

Der Anfragetext muss leer sein.

Antworttext

Bei erfolgreichem Ausführen enthält der Antworttext für den Aufruf eine Ressource Operation mit Informationen zum Vorgang DELETE.

Nächste Schritte