ניהול מדיניות גישה

בדף הזה מוסבר איך לנהל מדיניות גישה קיימת. אתם יכולים לבצע את הפעולות הבאות:

• איך מקבלים את השם ואת ה-etag של מדיניות גישה

• הגדרת מדיניות הגישה שמוגדרת כברירת מחדל לכלי שורת הפקודה gcloud

• הקצאת מדיניות גישה

• תיאור של מדיניות גישה

• עדכון של מדיניות גישה

• מחיקת מדיניות גישה

איך מקבלים את השם וה-etag של מדיניות גישה

המסוף

כדי לקבל את השם המספרי של מדיניות גישה במסוף Google Cloud :

1. בתפריט הניווט של מסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה ל-VPC Service Controls

2. אם מוצגת בקשה, בוחרים את הארגון, התיקייה או הפרויקט.

3. בדף VPC Service Controls, לוחצים על Manage policies.

4. בדף Manage VPC Service Control policies, לוחצים על השם של מדיניות הגישה שרוצים לבדוק.

5. בדף גישת עריכה, מאתרים את המזהה המספרי של המדיניות בקטע Access policy name.

הערה: במסוף Google Cloud לא מוצג ה-etag של מדיניות בקרת הגישה. כדי לקבל את הערך של etag, משתמשים בכלי שורת הפקודה gcloud או ב-API.

gcloud

כדי לקבל את השם של מדיניות בקרת הגישה, משתמשים בפקודה list. צריך לציין את שם מדיניות הגישה בכל הפקודות של רמת הגישה בכלי שורת הפקודה gcloud.

gcloud access-context-manager policies list \
    --organization ORGANIZATION_ID

כאשר:

• ‫ORGANIZATION_ID הוא המזהה המספרי של הארגון.

הפלט אמור להיראות כך:

NAME           ORGANIZATION  TITLE        ETAG
1034095178592  511928527926  Corp Policy  10bc3c76ca809ab2

API

כדי לקבל את השם של מדיניות בקרת הגישה, מפעילים את accessPolicies.list.

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies

גוף הבקשה

גוף הבקשה צריך להיות ריק.

גוף התשובה

אם הפעולה בוצעה ללא שגיאות, גוף התגובה ייראה כך:

{
  "accessPolicies": [
    {
      object(AccessPolicy)
    }
  ],
  "nextPageToken": string
}

כאשר:

• ‫accessPolicies היא רשימה של אובייקטים מסוג AccessPolicy.

הגדרת מדיניות הגישה שמוגדרת כברירת מחדל לכלי שורת הפקודה gcloud

כשמשתמשים בכלי שורת הפקודה gcloud, אפשר להגדיר מדיניות גישה שמוגדרת כברירת מחדל. כשמגדירים מדיניות ברירת מחדל, לא צריך יותר לציין מדיניות בכל פעם שמשתמשים בפקודה של Access Context Manager.

כדי להגדיר מדיניות גישה כברירת מחדל, משתמשים בפקודה config.

gcloud config set access_context_manager/policy POLICY_NUMBER

כאשר:

• ‫POLICY_NUMBER הוא השם המספרי של מדיניות בקרת הגישה.

הקצאת מדיניות גישה

המסוף

כדי להקצות את הניהול של מדיניות גישה ברמת היקף ההרשאות במסוףGoogle Cloud :

1. בתפריט הניווט של מסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה ל-VPC Service Controls

2. אם מוצגת בקשה, בוחרים את הארגון, התיקייה או הפרויקט.

3. בדף VPC Service Controls, לוחצים על Manage policies.

4. בדף Manage VPC Service Control policies, בשורה של מדיניות הגישה ברמת הארגון שרוצים להקצות, לוחצים על הלחצן ואז על Edit.

5. בדף גישת עריכה, בקטע ניהול ישויות מורשות לוחצים על הוספת ישויות מורשות.

6. בחלונית Add principals, בוחרים חשבון משתמש, כמו משתמש או חשבון שירות.

7. בוחרים את התפקיד שרוצים לשייך לחשבון המשתמש, למשל Access Context Manager admin,‏ Access Context Manager editor או Access Context Manager reader, ולוחצים על Save.

8. בדף עריכת מדיניות גישה, לוחצים על שמירה.

gcloud

כדי להקצות הרשאות ניהול באמצעות קישור של חשבון משתמש ותפקיד למדיניות גישה ברמת היקף ההרשאות, משתמשים בפקודה add-iam-policy-binding.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

כאשר:

• ‫POLICY הוא המזהה של המדיניות או המזהה המלא של המדיניות.

• ‫PRINCIPAL הוא חשבון המשתמש שרוצים להוסיף לו את הקישור. צריך לציין את הפורמט הבא: user|group|serviceAccount:email או domain:domain.

• ‫ROLE הוא שם התפקיד שרוצים להקצות לחשבון המשתמש. שם התפקיד הוא הנתיב המלא של תפקיד מוגדר מראש, כמו roles/accesscontextmanager.policyEditor, או מזהה התפקיד של תפקיד בהתאמה אישית, כמו organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyEditor.

API

כדי להאציל את הניהול של מדיניות הגישה ברמת ההיקף, מבצעים את הפעולות הבאות:

1. יוצרים גוף בקשה.

   {
   "policy": "IAM_POLICY",
   }

   כאשר:

   • IAM_POLICY הוא אוסף של קישורים. קישור מגדיר קשר בין חבר אחד או יותר, או חשבון משתמש, לתפקיד יחיד. חשבונות משתמשים יכולים להיות חשבונות משתמשים, חשבונות שירות, קבוצות Google ודומיינים. תפקיד הוא רשימה של הרשאות עם שם. כל תפקיד יכול להיות תפקיד מוגדר מראש ב-IAM או תפקיד בהתאמה אישית שנוצר על ידי המשתמש.

2. מקצים את מדיניות הגישה באמצעות קריאה ל-accessPolicies.setIamPolicy.

   POST https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

גוף התשובה

אם הפעולה בוצעה ללא שגיאות, גוף התגובה יכיל מופע של policy.

תיאור של מדיניות גישה

המסוף

כדי לראות את הפרטים של מדיניות הגישה במסוף Google Cloud :

1. בתפריט הניווט של מסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה ל-VPC Service Controls

2. אם מוצגת בקשה, בוחרים את הארגון, התיקייה או הפרויקט.

3. בדף VPC Service Controls, לוחצים על Manage policies.

4. בדף Manage VPC Service Control policies, לוחצים על השם של מדיניות הגישה שרוצים לראות.

   בדף Edit access policy מוצגים שם המדיניות, Access policy name המספרי, ההיקף וחשבונות המשתמשים שהוקצו.

gcloud

כדי לתאר את מדיניות הגישה, משתמשים בפקודה describe.

gcloud access-context-manager policies describe POLICY_NUMBER

כאשר:

• ‫POLICY_NUMBER הוא השם המספרי של המדיניות.

הפלט הבא מופיע:

name: accessPolicies/1034095178592
parent: organizations/511928527926
title: Corp Policy

API

כדי לתאר את מדיניות הגישה, מפעילים את accessPolicies.get

GET https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

כאשר:

• ‫POLICY_NUMBER הוא השם המספרי של המדיניות.

גוף הבקשה

גוף הבקשה צריך להיות ריק.

גוף התשובה

אם הפעולה בוצעה ללא שגיאות, גוף התגובה מכיל אובייקט AccessPolicy.

עדכון של מדיניות גישה

המסוף

במסוף Google Cloud אי אפשר לשנות את הכותרת או את ההיקף של מדיניות גישה קיימת. כדי לשנות את השם של מדיניות הגישה, משתמשים בכלי שורת הפקודה gcloud או ב-API.

כדי לעדכן את החשבונות הראשיים שהוקצו ואת קישורי התפקידים של מדיניות גישה ברמת היקף ההרשאות במסוף Google Cloud , קראו את המאמר הקצאת מדיניות גישה.

gcloud

כדי לעדכן את מדיניות הגישה, משתמשים בפקודה update. כרגע אפשר לשנות רק את שם המדיניות.

gcloud access-context-manager policies update POLICY_NUMBER \
    --title=POLICY_TITLE

כאשר:

• ‫POLICY_NUMBER הוא השם המספרי של המדיניות.

• ‫POLICY_TITLE הוא שם המדיניות שקריא לאנשים.

הפלט הבא מופיע:

Waiting for PATCH operation [accessPolicies/POLICY_NUMBER/update/1542234231134882]...done.

API

בשלב הזה, אפשר לשנות רק את הכותרת של מדיניות הגישה.

כדי לעדכן את המדיניות:

1. יוצרים גוף בקשה.

   {
    "parent": "ORGANIZATION_ID",
    "title": "POLICY_TITLE"
   }

   כאשר:

   • ‫ORGANIZATION_ID הוא המזהה המספרי של הארגון.

   • ‫POLICY_TITLE הוא שם המדיניות שקריא לאנשים.

2. קוראים לפונקציה accessPolicies.patch.

   PATCH https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER/UPDATE_MASK
   

   כאשר:

   • ‫POLICY_NUMBER הוא השם המספרי של המדיניות.

   • ‫UPDATE_MASK היא מחרוזת שמייצגת את הערך שרוצים לעדכן. לדוגמה, title.

   גוף התשובה

   אם הפעולה בוצעה ללא שגיאות, גוף התגובה לקריאה מכיל משאב Operation שמספק פרטים על הפעולה PATCH.

מחיקה של מדיניות גישה

אזהרה: כשמוחקים מדיניות, גם הרמות שהיא מכילה נמחקות ואי אפשר לשחזר אותן.

המסוף

כדי למחוק מדיניות גישה במסוף Google Cloud :

1. בתפריט הניווט של מסוף Google Cloud , לוחצים על Security ואז על VPC Service Controls.

   כניסה ל-VPC Service Controls

2. אם מוצגת בקשה, בוחרים את הארגון, התיקייה או הפרויקט.

3. בדף VPC Service Controls, לוחצים על Manage policies.

4. בדף Manage VPC Service Control policies, בשורה של מדיניות הגישה שרוצים למחוק, לוחצים על הלחצן ואז על Delete.

5. בתיבת הדו-שיח לאישור, לוחצים על מחיקה.

gcloud

כדי למחוק מדיניות בקרת גישה:

1. משתמשים בפקודה delete.

   gcloud access-context-manager policies delete POLICY_NUMBER

   כאשר:

   • ‫POLICY_NUMBER הוא השם המספרי של המדיניות.

2. מאשרים שרוצים למחוק את מדיניות הגישה.

   לדוגמה:

   You are about to delete policy [POLICY_NUMBER]
   
   Do you want to continue (Y/n)?
   

   הפלט הבא מופיע:

   Deleted policy [1034095178592].
   

API

כדי למחוק את מדיניות הגישה, שולחים קריאה ל-accessPolicies.delete.

DELETE https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NUMBER

כאשר:

• ‫POLICY_NUMBER הוא השם המספרי של המדיניות.

גוף הבקשה

גוף הבקשה צריך להיות ריק.

גוף התשובה

אם הפעולה בוצעה ללא שגיאות, גוף התגובה לקריאה מכיל משאב Operation שמספק פרטים על הפעולה DELETE.

המאמרים הבאים

• ניהול רמות הגישה