Gestire un criterio di accesso

Questa pagina descrive come gestire una policy di accesso esistente. Puoi:

Recupera il nome e l'etag di una policy di accesso

Console

Per ottenere il nome numerico di una policy di accesso nella console Google Cloud , procedi nel seguente modo:

  1. Nel menu di navigazione della console Google Cloud , fai clic su Sicurezza, quindi su Controlli di servizio VPC.

    Vai a Controlli di servizio VPC

  2. Se ti viene chiesto, seleziona l'organizzazione, la cartella o il progetto.

  3. Nella pagina Controlli di servizio VPC, fai clic su Gestisci policy.

  4. Nella pagina Gestisci le policy di Controlli di servizio VPC, fai clic sul titolo della policy di accesso che vuoi ispezionare.

  5. Nella pagina Modifica policy di accesso, individua l'ID numerico della policy in Nome policy di accesso.

gcloud

Per ottenere il nome della policy di accesso, utilizza il comando list. Il nome della policy di accesso è obbligatorio per tutti i comandi dei livelli di accesso per lo strumento a riga di comando gcloud.

gcloud access-context-manager policies list \
    --organization ORGANIZATION_ID

Dove:

  • ORGANIZATION_ID è l'ID numerico della tua organizzazione.

Dovresti visualizzare un output simile al seguente:

NAME           ORGANIZATION  TITLE        ETAG
1034095178592  511928527926  Corp Policy  10bc3c76ca809ab2

API

Per ottenere il nome della policy di accesso, chiama accessPolicies.list.

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies

Corpo della richiesta

Il corpo della richiesta deve essere vuoto.

Corpo della risposta

In caso di esito positivo, il corpo della risposta sarà simile al seguente:

{
  "accessPolicies": [
    {
      object(AccessPolicy)
    }
  ],
  "nextPageToken": string
}

Dove:

Imposta la policy di accesso predefinita per lo strumento a riga di comando gcloud

Quando utilizzi lo strumento a riga di comando gcloud, puoi impostare una policy di accesso predefinita. Quando imposti una policy predefinita, non è più necessario specificare una policy ogni volta che utilizzi un comando di Gestore contesto accesso.

Per impostare una policy di accesso predefinita, utilizza il comando config.

gcloud config set access_context_manager/policy POLICY_NUMBER

Dove:

Delega una policy di accesso

Console

Per delegare l'amministrazione di una policy di accesso con ambito nella consoleGoogle Cloud , segui questi passaggi:

  1. Nel menu di navigazione della console Google Cloud , fai clic su Sicurezza, quindi su Controlli di servizio VPC.

    Vai a Controlli di servizio VPC

  2. Se ti viene chiesto, seleziona l'organizzazione, la cartella o il progetto.

  3. Nella pagina Controlli di servizio VPC, fai clic su Gestisci policy.

  4. Nella pagina Gestisci le policy dei Controlli di servizio VPC, nella riga della policy di accesso con ambito che vuoi delegare, fai clic sul pulsante , quindi su Modifica.

  5. Nella pagina Modifica policy di accesso, in Gestisci entità, fai clic su Aggiungi entità.

  6. Nel riquadro Aggiungi entità, seleziona un'entità, ad esempio un utente o un account di servizio.

  7. Seleziona il ruolo da associare all'entità, ad esempio Amministratore Gestore contesto accesso, Editor Gestore contesto accesso o Lettore Gestore contesto accesso, quindi fai clic su Salva.

  8. Nella pagina Modifica policy di accesso, fai clic su Salva.

gcloud

Per delegare l'amministrazione associando un'entità e un ruolo a una policy di accesso con ambito, utilizza il comando add-iam-policy-binding.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

Dove:

  • POLICY è l'ID della policy o l'identificatore completo della policy.

  • PRINCIPAL è l'entità per la quale aggiungere l'associazione. Specifica il valore nel seguente formato: user|group|serviceAccount:email o domain:domain.

  • ROLE è il nome del ruolo da assegnare all'entità. Il nome del ruolo è il percorso completo di un ruolo predefinito, ad esempio roles/accesscontextmanager.policyEditor, oppure l'ID di un ruolo personalizzato, ad esempio organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyEditor.

API

Per delegare l'amministrazione della policy di accesso con ambito:

  1. Crea un corpo della richiesta.

    {
"policy": "IAM_POLICY",
}

    Dove:

    • IAM_POLICY è una raccolta di associazioni. Un'associazione vincola uno o più membri o entità a un singolo ruolo. Le entità possono essere account utente, service account, gruppi Google e domini. Un ruolo è un elenco denominato di autorizzazioni. Ogni ruolo può essere un ruolo predefinito IAM o un ruolo personalizzato creato dall'utente.

  2. Delega la policy di accesso chiamando accessPolicies.setIamPolicy.

    POST https://accesscontextmanager.googleapis.com/v1/accessPolicies

Corpo della risposta

In caso di esito positivo, il corpo della risposta contiene un'istanza di policy.

Descrivi una policy di accesso

Console

Per visualizzare i dettagli di una policy di accesso nella console Google Cloud , segui questi passaggi:

  1. Nel menu di navigazione della console Google Cloud , fai clic su Sicurezza, quindi su Controlli di servizio VPC.

    Vai a Controlli di servizio VPC

  2. Se ti viene chiesto, seleziona l'organizzazione, la cartella o il progetto.

  3. Nella pagina Controlli di servizio VPC, fai clic su Gestisci policy.

  4. Nella pagina Gestisci le policy di Controlli di servizio VPC, fai clic sul titolo della policy di accesso che vuoi visualizzare.

    La pagina Policy di accesso in modifica mostra il titolo della policy, il Nome policy di accesso numerico, l'ambito e le entità delegate.

gcloud

Per descrivere la policy di accesso, utilizza il comando describe.

gcloud access-context-manager policies describe POLICY_NUMBER

Dove:

  • POLICY_NUMBER è il nome numerico della tua policy.

Viene visualizzato il seguente output:

name: accessPolicies/1034095178592
parent: organizations/511928527926
title: Corp Policy

API

Per descrivere la policy di accesso, chiama accessPolicies.get

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

Dove:

  • POLICY_NUMBER è il nome numerico della tua policy.

Corpo della richiesta

Il corpo della richiesta deve essere vuoto.

Corpo della risposta

In caso di esito positivo, il corpo della risposta contiene un oggetto AccessPolicy.

Aggiorna una policy di accesso

Console

Nella console Google Cloud non puoi modificare il titolo o l'ambito di una policy di accesso esistente. Per modificare il titolo di una policy di accesso, utilizza lo strumento a riga di comando gcloud o l'API.

Per aggiornare le entità delegate e le associazioni dei ruoli per una policy di accesso con ambito nella console Google Cloud , consulta Delega una policy di accesso.

gcloud

Per aggiornare la policy di accesso, utilizza il comando update. Al momento, puoi modificare solo il titolo della policy.

gcloud access-context-manager policies update POLICY_NUMBER \
    --title=POLICY_TITLE

Dove:

  • POLICY_NUMBER è il nome numerico della tua policy.

  • POLICY_TITLE è un titolo leggibile per la tua policy.

Viene visualizzato il seguente output:

Waiting for PATCH operation [accessPolicies/POLICY_NUMBER/update/1542234231134882]...done.

API

Al momento, puoi modificare solo il titolo della policy di accesso.

Per aggiornare la policy:

  1. Crea un corpo della richiesta.

    {
 "parent": "ORGANIZATION_ID",
 "title": "POLICY_TITLE"
}

    Dove:

    • ORGANIZATION_ID è l'ID numerico della tua organizzazione.

    • POLICY_TITLE è un titolo leggibile per la tua policy.

  2. Chiama accessPolicies.patch.

    PATCH https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER/UPDATE_MASK

    Dove:

    • POLICY_NUMBER è il nome numerico della tua policy.

    • UPDATE_MASK è una stringa che rappresenta il valore che vuoi aggiornare. Ad esempio, title.

    Corpo della risposta

    In caso di esito positivo, il corpo della risposta alla chiamata contiene una risorsa Operation che fornisce dettagli sull'operazione PATCH.

Elimina una policy di accesso

Console

Per eliminare una policy di accesso nella console Google Cloud , segui questi passaggi:

  1. Nel menu di navigazione della console Google Cloud , fai clic su Sicurezza, quindi su Controlli di servizio VPC.

    Vai a Controlli di servizio VPC

  2. Se ti viene chiesto, seleziona l'organizzazione, la cartella o il progetto.

  3. Nella pagina Controlli di servizio VPC, fai clic su Gestisci policy.

  4. Nella pagina Gestisci le policy dei Controlli di servizio VPC, nella riga della policy di accesso che vuoi eliminare, fai clic sul pulsante e poi su Elimina.

  5. Nella finestra di dialogo di conferma, fai clic su Elimina.

gcloud

Per eliminare una policy di accesso:

  1. Utilizza il comando delete.

    gcloud access-context-manager policies delete POLICY_NUMBER

    Dove:

    • POLICY_NUMBER è il nome numerico della tua policy.

  2. Conferma di voler eliminare la policy di accesso.

    Ad esempio:

    You are about to delete policy [POLICY_NUMBER]

Do you want to continue (Y/n)?

    Viene visualizzato il seguente output:

    Deleted policy [1034095178592].

API

Per eliminare la policy di accesso, chiama accessPolicies.delete.

DELETE https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

Dove:

  • POLICY_NUMBER è il nome numerico della tua policy.

Corpo della richiesta

Il corpo della richiesta deve essere vuoto.

Corpo della risposta

In caso di esito positivo, il corpo della risposta alla chiamata contiene una risorsa Operation che fornisce dettagli sull'operazione DELETE.

Passaggi successivi