Gérer une règle d'accès

Cette page explique comment gérer une règle d'accès existante. Vous pouvez :

Obtenir le nom et l'ETag d'une règle d'accès

Console

Pour obtenir le nom numérique d'une règle d'accès dans la console Google Cloud , procédez comme suit :

  1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité, puis sur VPC Service Controls.

    Accéder à VPC Service Controls

  2. Si vous y êtes invité, sélectionnez votre organisation, votre dossier ou votre projet.

  3. Sur la page VPC Service Controls, cliquez sur Gérer les règles.

  4. Sur la page Gérer les règles VPC Service Controls, cliquez sur le titre de la règle d'accès que vous souhaitez inspecter.

  5. Sur la page Modifier la règle d'accès, recherchez l'ID numérique de la règle sous Nom de la règle d'accès.

gcloud

Pour obtenir le nom de votre règle d'accès, utilisez la commande list. Le nom de la règle d'accès est requis pour toutes les commandes de niveau d'accès de l'outil de ligne de commande gcloud.

gcloud access-context-manager policies list \
    --organization ORGANIZATION_ID

Où :

  • ORGANIZATION_ID est l'identifiant numérique de votre organisation.

Un résultat semblable à celui-ci s'affiche :

NAME           ORGANIZATION  TITLE        ETAG
1034095178592  511928527926  Corp Policy  10bc3c76ca809ab2

API

Pour obtenir le nom de votre règle d'accès, appelez la méthode accessPolicies.list.

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies

Corps de la requête

Le corps de la requête doit être vide.

Corps de la réponse

En cas de succès, le corps de la réponse ressemblera à ceci :

{
  "accessPolicies": [
    {
      object(AccessPolicy)
    }
  ],
  "nextPageToken": string
}

Où :

Définir la règle d'accès par défaut de l'outil de ligne de commande gcloud

Lorsque vous utilisez l'outil de ligne de commande gcloud, vous pouvez définir une règle d'accès par défaut. Lorsque vous définissez une règle par défaut, vous n'avez plus besoin de la spécifier à chaque utilisation d'une commande Access Context Manager.

Pour définir une règle d'accès par défaut, utilisez la commande config.

gcloud config set access_context_manager/policy POLICY_NUMBER

Où :

Déléguer une règle d'accès

Console

Pour déléguer l'administration d'une règle d'accès limitée dans la consoleGoogle Cloud , procédez comme suit :

  1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité, puis sur VPC Service Controls.

    Accéder à VPC Service Controls

  2. Si vous y êtes invité, sélectionnez votre organisation, votre dossier ou votre projet.

  3. Sur la page VPC Service Controls, cliquez sur Gérer les règles.

  4. Sur la page Gérer les règles VPC Service Controls, sur la ligne de la règle d'accès limitée que vous souhaitez déléguer, cliquez sur le bouton , puis sur Modifier.

  5. Sur la page Modifier la règle d'accès, sous Gérer les comptes principaux, cliquez sur Ajouter des comptes principaux.

  6. Dans le volet Ajouter des comptes principaux, sélectionnez un compte principal, tel qu'un utilisateur ou un compte de service.

  7. Sélectionnez le rôle que vous souhaitez associer au compte principal, tel que Administrateur Access Context Manager, Éditeur Access Context Manager ou Lecteur Access Context Manager, puis cliquez sur Enregistrer.

  8. Sur la page Modifier la règle d'accès, cliquez sur Enregistrer.

gcloud

Pour déléguer l'administration en associant un compte principal et un rôle à une règle d'accès limitée, utilisez la commande add-iam-policy-binding.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

Où :

  • POLICY est l'ID de la règle ou l'identifiant complet de la règle.

  • PRINCIPAL est le compte principal pour lequel vous souhaitez ajouter la liaison. Spécifiez au format suivant : user|group|serviceAccount:email ou domain:domain.

  • ROLE est le nom du rôle à attribuer au compte principal. Le nom du rôle correspond au chemin complet d'un rôle prédéfini, tel que roles/accesscontextmanager.policyEditor, ou à l'ID d'un rôle personnalisé, tel que organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyEditor.

API

Pour déléguer l'administration de la règle d'accès limitée, procédez comme suit :

  1. Créez un corps de requête.

    {
"policy": "IAM_POLICY",
}

    Où :

    • IAM_POLICY est un ensemble de liaisons. Une liaison associe un ou plusieurs membres, ou comptes principaux, à un seul rôle. Les comptes principaux peuvent être des comptes utilisateur, des comptes de service, des groupes Google ou des domaines. Un rôle est une liste nommée d'autorisations. Chaque rôle peut être un rôle IAM prédéfini ou un rôle personnalisé créé par l'utilisateur.

  2. Déléguez la règle d'accès en appelant accessPolicies.setIamPolicy.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Corps de la réponse

Si la requête aboutit, le corps de la réponse contient une instance de policy.

Décrire une règle d'accès

Console

Pour afficher les détails d'une règle d'accès dans la console Google Cloud , procédez comme suit :

  1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité, puis sur VPC Service Controls.

    Accéder à VPC Service Controls

  2. Si vous y êtes invité, sélectionnez votre organisation, votre dossier ou votre projet.

  3. Sur la page VPC Service Controls, cliquez sur Gérer les règles.

  4. Sur la page Gérer les règles VPC Service Controls, cliquez sur le titre de la règle d'accès que vous souhaitez afficher.

    La page Modifier la règle d'accès affiche le titre de la règle, le nom de la règle d'accès numérique, le champ d'application et les comptes principaux délégués.

gcloud

Pour décrire votre règle d'accès, utilisez la commande describe.

gcloud access-context-manager policies describe POLICY_NUMBER

Où :

  • POLICY_NUMBER est le nom (au format numérique) de votre règle.

Le résultat suivant s'affiche :

name: accessPolicies/1034095178592
parent: organizations/511928527926
title: Corp Policy

API

Pour décrire votre règle d'accès, appelez accessPolicies.get.

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

Où :

  • POLICY_NUMBER est le nom (au format numérique) de votre règle.

Corps de la requête

Le corps de la requête doit être vide.

Corps de la réponse

En cas de succès, le corps de la réponse contient un objet AccessPolicy.

Mettre à jour une règle d'accès

Console

Dans la console Google Cloud , vous ne pouvez pas modifier le titre ni le niveau d'accès d'une règle d'accès existante. Pour modifier le titre d'une règle d'accès, utilisez l'outil de ligne de commande gcloud ou l'API.

Pour mettre à jour les comptes principaux délégués et les liaisons de rôles d'une règle d'accès limitée dans la console Google Cloud , consultez Déléguer une règle d'accès.

gcloud

Pour mettre à jour votre règle d'accès, utilisez la commande update. Pour le moment, vous ne pouvez modifier que le titre de la règle.

gcloud access-context-manager policies update POLICY_NUMBER \
    --title=POLICY_TITLE

Où :

  • POLICY_NUMBER est le nom (au format numérique) de votre règle.

  • POLICY_TITLE est le titre de votre règle, présenté dans un format lisible par l'humain.

Le résultat suivant s'affiche :

Waiting for PATCH operation [accessPolicies/POLICY_NUMBER/update/1542234231134882]...done.

API

Pour le moment, vous ne pouvez modifier que le titre de votre règle d'accès.

Pour mettre à jour votre règle :

  1. Créez un corps de requête.

    {
 "parent": "ORGANIZATION_ID",
 "title": "POLICY_TITLE"
}

    Où :

    • ORGANIZATION_ID est l'identifiant numérique de votre organisation.

    • POLICY_TITLE est le titre de votre règle, présenté dans un format lisible par l'humain.

  2. Appelez accessPolicies.patch.

    PATCH https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER/UPDATE_MASK

    Où :

    • POLICY_NUMBER est le nom (au format numérique) de votre règle.

    • UPDATE_MASK est une chaîne représentant la valeur que vous souhaitez mettre à jour. Exemple :title

    Corps de la réponse

    Si la requête aboutit, le corps de la réponse à l'appel contient une ressource Operation qui fournit des détails sur l'opération PATCH.

Supprimer une règle d'accès

Console

Pour supprimer une règle d'accès dans la console Google Cloud , procédez comme suit :

  1. Dans le menu de navigation de la console Google Cloud , cliquez sur Sécurité, puis sur VPC Service Controls.

    Accéder à VPC Service Controls

  2. Si vous y êtes invité, sélectionnez votre organisation, votre dossier ou votre projet.

  3. Sur la page VPC Service Controls, cliquez sur Gérer les règles.

  4. Sur la page Gérer les règles VPC Service Controls, sur la ligne de la règle d'accès que vous souhaitez supprimer, cliquez sur le bouton , puis sur Supprimer.

  5. Dans la boîte de dialogue de confirmation, cliquez sur Supprimer.

gcloud

Pour supprimer une règle d'accès :

  1. Exécutez la commande delete.

    gcloud access-context-manager policies delete POLICY_NUMBER

    Où :

    • POLICY_NUMBER est le nom (au format numérique) de votre règle.

  2. Confirmez que vous souhaitez supprimer la règle d'accès.

    Exemple :

    You are about to delete policy [POLICY_NUMBER]

Do you want to continue (Y/n)?

    Le résultat suivant s'affiche :

    Deleted policy [1034095178592].

API

Pour supprimer votre règle d'accès, appelez la méthode accessPolicies.delete.

DELETE https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

Où :

  • POLICY_NUMBER est le nom (au format numérique) de votre règle.

Corps de la requête

Le corps de la requête doit être vide.

Corps de la réponse

Si la requête aboutit, le corps de la réponse de l'appel contient une ressource Operation qui fournit des détails sur l'opération DELETE.

Étapes suivantes