액세스 정책 관리

이 페이지에서는 기존 액세스 정책을 관리하는 방법을 설명합니다. 다음 작업을 실행할 수 있습니다.

• 액세스 정책의 이름 및 ETag 가져오기

• gcloud 명령줄 도구의 기본 액세스 정책 설정

• 액세스 정책 위임

• 액세스 정책 설명

• 액세스 정책 업데이트

• 액세스 정책 삭제

액세스 정책의 이름 및 ETag 가져오기

콘솔

Google Cloud 콘솔에서 액세스 정책의 숫자 이름을 가져오려면 다음을 수행합니다.

1. Google Cloud 콘솔 탐색 메뉴에서 보안을 클릭한 다음 VPC 서비스 제어를 클릭합니다.

   VPC 서비스 제어로 이동

2. 메시지가 표시되면 조직, 폴더 또는 프로젝트를 선택합니다.

3. VPC 서비스 제어 페이지에서 정책 관리를 클릭합니다.

4. VPC 서비스 제어 정책 관리 페이지에서 검사하려는 액세스 정책의 제목을 클릭합니다.

5. 액세스 정책 수정 페이지의 액세스 정책 이름에서 정책의 숫자 ID를 찾습니다.

참고: Google Cloud 콘솔에는 액세스 정책의 etag가 표시되지 않습니다. etag을 가져오려면 gcloud 명령줄 도구 또는 API를 사용합니다.

gcloud

list 명령어를 사용하여 액세스 정책 이름을 가져올 수 있습니다. 액세스 정책 이름은 gcloud 명령줄 도구의 모든 액세스 수준 명령어에 필요합니다.

gcloud access-context-manager policies list \
    --organization ORGANIZATION_ID

각 항목의 의미는 다음과 같습니다.

• ORGANIZATION_ID는 조직의 숫자 ID입니다.

다음과 비슷한 출력이 표시됩니다.

NAME           ORGANIZATION  TITLE        ETAG
1034095178592  511928527926  Corp Policy  10bc3c76ca809ab2

API

액세스 정책 이름을 가져오려면 accessPolicies.list를 호출합니다.

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies

요청 본문

요청 본문은 비어 있어야 합니다.

응답 본문

호출이 성공하면 응답 본문은 다음과 같습니다.

{
  "accessPolicies": [
    {
      object(AccessPolicy)
    }
  ],
  "nextPageToken": string
}

각 항목의 의미는 다음과 같습니다.

• accessPolicies는 AccessPolicy 객체 목록입니다.

gcloud 명령줄 도구의 기본 액세스 정책 설정

gcloud 명령줄 도구를 사용할 때 기본 액세스 정책을 설정할 수 있습니다. 기본 정책을 설정하면 Access Context Manager 명령어를 사용할 때마다 더 이상 정책을 지정할 필요가 없습니다.

기본 액세스 정책을 설정하려면 config 명령어를 사용합니다.

gcloud config set access_context_manager/policy POLICY_NUMBER

각 항목의 의미는 다음과 같습니다.

• POLICY_NUMBER는 액세스 정책의 숫자 이름입니다.

액세스 정책 위임

콘솔

Google Cloud 콘솔에서 범위가 지정된 액세스 정책 관리를 위임하려면 다음을 수행합니다.

1. Google Cloud 콘솔 탐색 메뉴에서 보안을 클릭한 다음 VPC 서비스 제어를 클릭합니다.

   VPC 서비스 제어로 이동

2. 메시지가 표시되면 조직, 폴더 또는 프로젝트를 선택합니다.

3. VPC 서비스 제어 페이지에서 정책 관리를 클릭합니다.

4. VPC 서비스 제어 정책 관리 페이지에서 위임하려는 범위가 지정된 액세스 정책의 행에서 버튼을 클릭한 후 수정을 클릭합니다.

5. 액세스 정책 수정 페이지의 주 구성원 관리에서 주 구성원 추가를 클릭합니다.

6. 주 구성원 추가 창에서 사용자 또는 서비스 계정과 같은 주 구성원을 선택합니다.

7. Access Context Manager 관리자, Access Context Manager 편집자 또는 Access Context Manager 리더와 같이 주 구성원과 연결할 역할을 선택한 후 저장을 클릭합니다.

8. 액세스 정책 수정 페이지에서 저장을 클릭합니다.

gcloud

범위가 지정된 액세스 정책에서 주 구성원과 역할을 바인딩하여 관리를 위임하려면 add-iam-policy-binding 명령어를 사용합니다.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

각 항목의 의미는 다음과 같습니다.

• POLICY는 정책의 ID 또는 정규화된 식별자입니다.

• PRINCIPAL: 바인딩이 추가되는 주 구성원. user|group|serviceAccount:email 또는 domain:domain 형식으로 지정합니다.

• ROLE: 주 구성원에 할당되는 역할 이름. 역할 이름은 사전 정의된 역할(예: roles/accesscontextmanager.policyEditor) 또는 커스텀 역할의 역할 ID(예: organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyEditor)의 전체 경로입니다.

API

범위가 지정된 액세스 정책 관리를 위임하려면 다음을 수행합니다.

1. 요청 본문을 만듭니다.

   {
   "policy": "IAM_POLICY",
   }

   각 항목의 의미는 다음과 같습니다.

   • IAM_POLICY: 바인딩의 컬렉션. 바인딩은 구성원 또는 주 구성원 하나 이상을 단일 역할에 결합합니다. 주 구성원은 사용자 계정, 서비스 계정, Google 그룹, 도메인일 수 있습니다. 역할이란 이름이 지정된 권한 목록입니다. 각 역할은 IAM 사전 정의된 역할이나 사용자가 만든 커스텀 역할일 수 있습니다.

2. accessPolicies.setIamPolicy를 호출하여 액세스 정책을 위임합니다.

   POST https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

응답 본문

요청이 성공하면 응답 본문에 policy 인스턴스가 포함됩니다.

액세스 정책 설명

콘솔

Google Cloud 콘솔에서 액세스 정책의 세부정보를 보려면 다음을 수행합니다.

1. Google Cloud 콘솔 탐색 메뉴에서 보안을 클릭한 다음 VPC 서비스 제어를 클릭합니다.

   VPC 서비스 제어로 이동

2. 메시지가 표시되면 조직, 폴더 또는 프로젝트를 선택합니다.

3. VPC 서비스 제어 페이지에서 정책 관리를 클릭합니다.

4. VPC 서비스 제어 정책 관리 페이지에서 보려는 액세스 정책의 제목을 클릭합니다.

   액세스 정책 수정 페이지에는 정책 제목, 숫자 액세스 정책 이름, 범위, 위임된 주 구성원이 표시됩니다.

gcloud

액세스 정책을 설명하려면 describe 명령어를 사용합니다.

gcloud access-context-manager policies describe POLICY_NUMBER

각 항목의 의미는 다음과 같습니다.

• POLICY_NUMBER은 정책의 숫자 이름입니다.

다음이 출력됩니다.

name: accessPolicies/1034095178592
parent: organizations/511928527926
title: Corp Policy

API

액세스 정책을 설명하려면 accessPolicies.get을 호출합니다.

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

각 항목의 의미는 다음과 같습니다.

• POLICY_NUMBER은 정책의 숫자 이름입니다.

요청 본문

요청 본문은 비어 있어야 합니다.

응답 본문

성공한 경우 응답 본문에 AccessPolicy 객체가 포함됩니다.

액세스 정책 업데이트

콘솔

Google Cloud 콘솔에서는 기존 액세스 정책의 제목이나 범위를 변경할 수 없습니다. 액세스 정책의 제목을 변경하려면 gcloud 명령줄 도구 또는 API를 사용합니다.

Google Cloud 콘솔에서 범위가 지정된 액세스 정책의 위임된 주 구성원 및 역할 바인딩을 업데이트하려면 액세스 정책 위임을 참조하세요.

gcloud

액세스 정책을 업데이트하려면 update 명령어를 사용합니다. 현재는 정책 제목만 변경할 수 있습니다.

gcloud access-context-manager policies update POLICY_NUMBER \
    --title=POLICY_TITLE

각 항목의 의미는 다음과 같습니다.

• POLICY_NUMBER은 정책의 숫자 이름입니다.

• POLICY_TITLE: 인간이 읽을 수 있는 정책 제목.

다음이 출력됩니다.

Waiting for PATCH operation [accessPolicies/POLICY_NUMBER/update/1542234231134882]...done.

API

현재는 액세스 정책 제목만 변경할 수 있습니다.

정책을 업데이트하려면 다음 단계를 따르세요.

1. 요청 본문을 만듭니다.

   {
    "parent": "ORGANIZATION_ID",
    "title": "POLICY_TITLE"
   }

   각 항목의 의미는 다음과 같습니다.

   • ORGANIZATION_ID: 조직의 숫자 ID

   • POLICY_TITLE: 인간이 읽을 수 있는 정책 제목.

2. accessPolicies.patch를 호출합니다.

   PATCH https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER/UPDATE_MASK
   

   각 항목의 의미는 다음과 같습니다.

   • POLICY_NUMBER은 정책의 숫자 이름입니다.

   • UPDATE_MASK는 업데이트할 값을 나타내는 문자열입니다. 예를 들면 title입니다.

   응답 본문

   호출이 성공하면 호출의 응답 본문에 PATCH 작업에 대한 세부정보를 제공하는 Operation 리소스가 포함됩니다.

액세스 정책 삭제

경고: 정책을 삭제하면 정책에 포함된 수준도 삭제되며 복구될 수 없습니다.

콘솔

Google Cloud 콘솔에서 액세스 정책을 삭제하려면 다음을 수행합니다.

1. Google Cloud 콘솔 탐색 메뉴에서 보안을 클릭한 다음 VPC 서비스 제어를 클릭합니다.

   VPC 서비스 제어로 이동

2. 메시지가 표시되면 조직, 폴더 또는 프로젝트를 선택합니다.

3. VPC 서비스 제어 페이지에서 정책 관리를 클릭합니다.

4. VPC 서비스 제어 정책 관리 페이지에서 삭제할 액세스 정책의 행에서 버튼을 클릭한 다음 삭제를 클릭합니다.

5. 확인 대화상자에서 삭제를 클릭합니다.

gcloud

액세스 정책을 삭제하려면 다음 단계를 따르세요.

1. delete 명령어를 사용합니다.

   gcloud access-context-manager policies delete POLICY_NUMBER

   각 항목의 의미는 다음과 같습니다.

   • POLICY_NUMBER은 정책의 숫자 이름입니다.

2. 액세스 정책을 삭제할지 확인합니다.

   예를 들면 다음과 같습니다.

   You are about to delete policy [POLICY_NUMBER]
   
   Do you want to continue (Y/n)?
   

   다음이 출력됩니다.

   Deleted policy [1034095178592].
   

API

액세스 정책을 삭제하려면 accessPolicies.delete를 호출합니다.

DELETE https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

각 항목의 의미는 다음과 같습니다.

• POLICY_NUMBER은 정책의 숫자 이름입니다.

요청 본문

요청 본문은 비어 있어야 합니다.

응답 본문

호출이 성공하면 호출의 응답 본문에 DELETE 작업에 대한 세부정보를 제공하는 Operation 리소스가 포함됩니다.

다음 단계

• 액세스 수준 관리