Pesquise políticas de autorização do IAM em recursos

Pode pesquisar políticas de autorização da IAM nos seus recursos num projeto, numa pasta ou numa organização, e filtrar os resultados devolvidos através de uma consulta.

Nota: para encontrar políticas de recusa, pode usar uma pesquisa de recursos.

Antes de começar

1. Ative a API Cloud Asset Inventory no projeto a partir do qual está a executar comandos do Cloud Asset Inventory.

   Ative a API Cloud Asset Inventory

2. Certifique-se de que a sua conta tem a função correta para chamar a API Cloud Asset Inventory. Para ver as autorizações individuais de cada tipo de chamada, consulte a secção Autorizações.

Construa uma consulta

Antes de criar uma consulta, pode ser útil começar com um pedido de pesquisa que não especifique uma consulta. Use os campos e os valores da resposta completa para criar uma consulta com a sintaxe de consulta de pesquisa e refiná-la até serem devolvidos os resultados pretendidos.

Os campos que podem ser usados numa consulta estão detalhados na IamPolicySearchResult documentação de referência.

Tenha em atenção as seguintes limitações ao criar uma consulta:

• O campo policy é um objeto aninhado, pelo que só pode ser usado com o operador :.

• Nem todos os tipos de recursos são pesquisáveis. Consulte os tipos de recursos para confirmar se um serviço não está disponível nas APIs Google Search.

Também pode usar os seguintes campos adicionais para restringir os resultados a determinados tipos de principais, autorizações ou funções:

Campo	Descrição
memberTypes	Contém um dos seguintes tipos de principal do IAM: user group domain serviceAccount allUsers allAuthenticatedUsers Exemplo memberTypes=user
policy.role.permissions	Contém autorizações de IAM específicas. Exemplo policy.role.permissions=storage.buckets.create Nota: o autor da chamada tem de ter a autorização iam.roles.get para que as autorizações sejam indicadas numa resposta searchAllIamPolicies.
roles	Contém funções de IAM específicas. Exemplo roles=roles/storage.objectAdmin

Pesquise políticas de permissão da IAM

Antes de criar uma consulta, pode ser útil começar com um pedido de pesquisa que não especifique uma consulta. Use os campos e os valores da resposta completa para criar uma consulta com a sintaxe de consulta de pesquisa e refiná-la até serem devolvidos os resultados pretendidos.

Consola

Para pesquisar metadados da política de autorização do IAM, conclua os passos seguintes.

1. Aceda à página Inventário de recursos na Google Cloud consola.

   Aceda ao inventário de recursos

2. Altere para o projeto, a pasta ou a organização que quer pesquisar.
3. Clique no separador Política de IAM.

4. Para pesquisar políticas de permissão, introduza uma consulta no campo Filtrar. Consulte o artigo Sintaxe de consultas de pesquisa para saber como escrever uma consulta de pesquisa.

   Para facilitar a criação de consultas, pode clicar no campo Filtro para apresentar e adicionar os campos pesquisáveis disponíveis à sua consulta.

Depois de fazer uma pesquisa, as políticas de autorização que correspondem à consulta são apresentadas na tabela Resultados. Clique duas vezes na consulta para a editar ou use o painel Filtrar resultados para aplicar predefinições de consultas rápidas ou restringir os resultados da pesquisa por critérios específicos.

Para ver a consulta como um comando da CLI do Google Cloud, clique em Ver consulta.

Para exportar os resultados, clique em Transferir CSV.

gcloud

gcloud asset search-all-iam-policies \
    --scope=SCOPE_PATH \
    --query="QUERY" \
    --asset-types=ASSET_TYPE_1,ASSET_TYPE_2,... \
    --order-by="ORDER_BY"

Indique os seguintes valores:

• SCOPE_PATH: use um dos seguintes valores:

  Os valores permitidos são:

  • projects/PROJECT_ID, onde PROJECT_ID é o ID do projeto que tem recursos com políticas de autorização de IAM que quer pesquisar.

  • projects/PROJECT_NUMBER, onde PROJECT_NUMBER é o número do projeto que tem recursos com políticas de autorização de IAM que quer pesquisar.

    Como encontrar um Google Cloud número do projeto

    Google Cloud consola

    Para encontrar um Google Cloud número do projeto, conclua os seguintes passos:

    1. Aceda à página Boas-vindas na Google Cloud consola.

       Aceder a Boas-vindas

    2. Clique na caixa de lista do comutador na barra de menu.

    3. Selecione a sua organização na caixa de lista e, em seguida, pesquise o nome do projeto. O nome do projeto, o número do projeto e o ID do projeto são apresentados junto ao título Bem-vindo.

       São apresentados até 4000 recursos. Se não vir o projeto que procura, aceda à página Gerir recursos e filtre a lista através do nome desse projeto.

    CLI gcloud

    Pode obter um Google Cloud número do projeto com o seguinte comando:

    gcloud projects describe PROJECT_ID --format="value(projectNumber)"

  • folders/FOLDER_ID, onde FOLDER_ID é o ID da pasta que tem recursos com políticas de autorização do IAM que quer pesquisar.

    Como encontrar o ID de uma Google Cloud pasta

    Google Cloud consola

    Para encontrar o ID de uma Google Cloud pasta, conclua os seguintes passos:

    1. Aceda à Google Cloud consola.

       Aceda à Google Cloud consola

    2. Clique na caixa de lista do comutador na barra de menu.
    3. Selecione a sua organização na caixa de lista.
    4. Pesquise o nome da pasta. O ID da pasta é apresentado junto ao nome da pasta.

    CLI gcloud

    Pode obter o ID de uma Google Cloud pasta localizada ao nível da organização com o seguinte comando:

    gcloud resource-manager folders list \
        --organization=$(gcloud organizations describe ORGANIZATION_NAME \
          --format="value(name.segment(1))") \
        --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \
        --format="value(ID)"

    Onde TOP_LEVEL_FOLDER_NAME é uma correspondência de string parcial ou completa para o nome da pasta. Remova a flag --format para ver mais informações sobre as pastas encontradas.

    O comando anterior não devolve os IDs das subpastas dentro das pastas. Para tal, execute o seguinte comando com o ID de uma pasta de nível superior:

    gcloud resource-manager folders list --folder=FOLDER_ID

  • organizations/ORGANIZATION_ID, onde ORGANIZATION_ID é o ID da organização que tem recursos com políticas de autorização do IAM que quer pesquisar.

    Como encontrar o ID de uma Google Cloud organização

    Google Cloud consola

    Para encontrar o ID de uma Google Cloud organização, conclua os seguintes passos:

    1. Aceda à Google Cloud consola.

       Aceda à Google Cloud consola

    2. Clique na caixa de lista do comutador na barra de menu.
    3. Selecione a sua organização na caixa de lista.
    4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

    CLI gcloud

    Pode obter o ID de uma Google Cloud organização com o seguinte comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

• QUERY: opcional. A expressão de consulta. Se não for especificado ou estiver vazio, todos os recursos são pesquisados no âmbito especificado. Para saber como escrever uma consulta de pesquisa, consulte o artigo Sintaxe de consulta de pesquisa.
• ASSET_TYPE_#: opcional. Uma lista separada por vírgulas de tipos de recursos pesquisáveis. As expressões regulares compatíveis com RE2 são suportadas. Se a expressão regular não corresponder a nenhum tipo de recurso suportado, é devolvido um erro INVALID_ARGUMENT. Quando --asset-types não é especificado, são devolvidos todos os tipos de recursos.
• ORDER_BY: opcional. Uma lista de campos separados por vírgulas que especifica a ordem de ordenação dos resultados. A ordem predefinida é ascendente. Adicione DESC após o nome do campo para indicar a ordem descendente. Consulte a documentação de referência para saber que campos podem ser ordenados.

Pode usar as flags --format e --flatten para formatar o resultado da CLI gcloud.

Consulte a referência da CLI gcloud para ver todas as opções.

Exemplo

Execute o seguinte comando para obter uma lista de todas as instâncias do Compute Engine (compute.googleapis.com/Instance) no projeto my-project com uma associação de política de autorização do IAM que as associe ao utilizador [e-mail]. Os resultados estão por ordem descendente por recurso (resource DESC).

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="policy:\"user:[e-mail]\"" \
    --asset-types=compute.googleapis.com/Instance \
    --order-by="resource DESC"

Exemplo de resposta

---
assetType: compute.googleapis.com/Instance
folders:
- folders/0000000000000
organization: organizations/0000000000000
policy:
  bindings:
  - members:
    - user:[e-mail]
    role: roles/compute.viewer
  - members:
    - user:[e-mail]
    role: roles/editor
  - members:
    - user:[e-mail]
    role: roles/owner
project: projects/0000000000000
resource: //compute.googleapis.com/projects/my-project/zones/us-central1-a/instances/debian

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/SCOPE_PATH:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "query": "QUERY",
  "assetTypes": [
    "ASSET_TYPE_1",
    "ASSET_TYPE_2",
    "..."
  ],
  "orderBy": "ORDER_BY",
  "pageSize": "PAGE_SIZE",
  "pageToken": "PAGE_TOKEN"
}

Indique os seguintes valores:

• SCOPE_PATH: use um dos seguintes valores:

  Os valores permitidos são:

  • projects/PROJECT_ID, onde PROJECT_ID é o ID do projeto que tem recursos com políticas de autorização de IAM que quer pesquisar.

  • projects/PROJECT_NUMBER, onde PROJECT_NUMBER é o número do projeto que tem recursos com políticas de autorização de IAM que quer pesquisar.

    Como encontrar um Google Cloud número do projeto

    Google Cloud consola

    Para encontrar um Google Cloud número do projeto, conclua os seguintes passos:

    1. Aceda à página Boas-vindas na Google Cloud consola.

       Aceder a Boas-vindas

    2. Clique na caixa de lista do comutador na barra de menu.

    3. Selecione a sua organização na caixa de lista e, em seguida, pesquise o nome do projeto. O nome do projeto, o número do projeto e o ID do projeto são apresentados junto ao título Bem-vindo.

       São apresentados até 4000 recursos. Se não vir o projeto que procura, aceda à página Gerir recursos e filtre a lista através do nome desse projeto.

    CLI gcloud

    Pode obter um Google Cloud número do projeto com o seguinte comando:

    gcloud projects describe PROJECT_ID --format="value(projectNumber)"

  • folders/FOLDER_ID, onde FOLDER_ID é o ID da pasta que tem recursos com políticas de autorização do IAM que quer pesquisar.

    Como encontrar o ID de uma Google Cloud pasta

    Google Cloud consola

    Para encontrar o ID de uma Google Cloud pasta, conclua os seguintes passos:

    1. Aceda à Google Cloud consola.

       Aceda à Google Cloud consola

    2. Clique na caixa de lista do comutador na barra de menu.
    3. Selecione a sua organização na caixa de lista.
    4. Pesquise o nome da pasta. O ID da pasta é apresentado junto ao nome da pasta.

    CLI gcloud

    Pode obter o ID de uma Google Cloud pasta localizada ao nível da organização com o seguinte comando:

    gcloud resource-manager folders list \
        --organization=$(gcloud organizations describe ORGANIZATION_NAME \
          --format="value(name.segment(1))") \
        --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \
        --format="value(ID)"

    Onde TOP_LEVEL_FOLDER_NAME é uma correspondência de string parcial ou completa para o nome da pasta. Remova a flag --format para ver mais informações sobre as pastas encontradas.

    O comando anterior não devolve os IDs das subpastas dentro das pastas. Para tal, execute o seguinte comando com o ID de uma pasta de nível superior:

    gcloud resource-manager folders list --folder=FOLDER_ID

  • organizations/ORGANIZATION_ID, onde ORGANIZATION_ID é o ID da organização que tem recursos com políticas de autorização do IAM que quer pesquisar.

    Como encontrar o ID de uma Google Cloud organização

    Google Cloud consola

    Para encontrar o ID de uma Google Cloud organização, conclua os seguintes passos:

    1. Aceda à Google Cloud consola.

       Aceda à Google Cloud consola

    2. Clique na caixa de lista do comutador na barra de menu.
    3. Selecione a sua organização na caixa de lista.
    4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

    CLI gcloud

    Pode obter o ID de uma Google Cloud organização com o seguinte comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

• QUERY: opcional. A expressão de consulta. Se não for especificado ou estiver vazio, todos os recursos são pesquisados no âmbito especificado. Para saber como escrever uma consulta de pesquisa, consulte o artigo Sintaxe de consulta de pesquisa.
• ASSET_TYPE_#: opcional. Uma matriz de tipos de recursos pesquisáveis. As expressões regulares compatíveis com RE2 são suportadas. Se a expressão regular não corresponder a nenhum tipo de recurso suportado, é devolvido um erro INVALID_ARGUMENT. Quando assetTypes não é especificado, são devolvidos todos os tipos de recursos.
• ORDER_BY: opcional. Uma lista de campos separados por vírgulas que especifica a ordem de ordenação dos resultados. A ordem predefinida é ascendente. Adicione DESC após o nome do campo para indicar a ordem descendente. Consulte a documentação de referência para saber que campos podem ser ordenados.

• PAGE_SIZE: opcional. O número de resultados a devolver por página. O máximo é 500. Se o valor estiver definido como 0 ou um valor negativo, é selecionado um valor predefinido adequado. É devolvido um nextPageToken para obter resultados subsequentes.

• PAGE_TOKEN: opcional. As respostas a pedidos longos são separadas em várias páginas. Quando pageToken não é especificado, é devolvida a primeira página. As páginas subsequentes podem ser chamadas através do nextPageToken da resposta anterior como o valor pageToken.

Consulte a referência REST para ver todas as opções.

Exemplos de comandos

Execute um dos seguintes comandos para obter uma lista de todas as instâncias do Compute Engine (compute.googleapis.com/Instance) no projeto my-project com uma associação de política de autorização da IAM que as associe ao utilizador [e-mail]. Os resultados estão por ordem descendente por recurso (resource DESC).

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "query": "policy:\"user:[e-mail]\"",
            "assetTypes": ["compute.googleapis.com/Instance"],
            "orderBy": "resource DESC"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "query": "policy:\"user:[e-mail]\"",
  "assetTypes": ["compute.googleapis.com/Instance"],
  "orderBy": "resource DESC"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Exemplo de resposta

{
  "resource": "//compute.googleapis.com/projects/my-project/zones/us-central1-a/instances/debian",
  "project": "projects/0000000000000",
  "policy": {
    "bindings": [
      {
        "role": "roles/compute.viewer",
        "members": [
          "user:[e-mail]"
        ]
      },
      {
        "role": "roles/editor",
        "members": [
          "user:[e-mail]"
        ]
      },
      {
        "role": "roles/owner",
        "members": [
          "user:[e-mail]"
        ]
      }
    ]
  },
  "assetType": "compute.googleapis.com/Instance",
  "folders": [
    "folders/0000000000000"
  ],
  "organization": "organizations/0000000000000"
}

C#

Para saber como instalar e usar a biblioteca de cliente do Cloud Asset Inventory, consulte o artigo Bibliotecas de cliente do Cloud Asset Inventory.

Para se autenticar no Cloud Asset Inventory, configure as Credenciais padrão da aplicação. Para mais informações, consulte o artigo Configure a autenticação para um ambiente de desenvolvimento local.

using Google.Api.Gax;
using Google.Cloud.Asset.V1;
using System.Collections.Generic;
using System.Linq;

public class SearchAllIamPoliciesSample
{
    public SearchAllIamPoliciesResponse SearchAllIamPolicies(string scope, string query)
    {
        // Create the client.
        AssetServiceClient client = AssetServiceClient.Create();

        // Build the request.
        SearchAllIamPoliciesRequest request = new SearchAllIamPoliciesRequest
        {
            Scope = scope,
            Query = query,
        };

        // Call the API.
        PagedEnumerable<SearchAllIamPoliciesResponse, IamPolicySearchResult> response = client.SearchAllIamPolicies(request);

        // Return the first page.
        IEnumerable<SearchAllIamPoliciesResponse> byPages = response.AsRawResponses();
        return byPages.First();
    }
}

Ir

Para saber como instalar e usar a biblioteca de cliente do Cloud Asset Inventory, consulte o artigo Bibliotecas de cliente do Cloud Asset Inventory.

Para se autenticar no Cloud Asset Inventory, configure as Credenciais padrão da aplicação. Para mais informações, consulte o artigo Configure a autenticação para um ambiente de desenvolvimento local.

// Sample search-all-iam-policies searches all IAM policies within the given scope.
package main

import (
	"context"
	"flag"
	"fmt"
	"log"

	asset "cloud.google.com/go/asset/apiv1"
	"cloud.google.com/go/asset/apiv1/assetpb"
	"google.golang.org/api/iterator"
)

func main() {
	scope := flag.String("scope", "", "Scope of the search.")
	query := flag.String("query", "", "Query statement.")
	flag.Parse()
	ctx := context.Background()
	client, err := asset.NewClient(ctx)
	if err != nil {
		log.Fatalf("asset.NewClient: %v", err)
	}
	defer client.Close()

	req := &assetpb.SearchAllIamPoliciesRequest{
		Scope: *scope,
		Query: *query,
	}
	it := client.SearchAllIamPolicies(ctx, req)
	for {
		policy, err := it.Next()
		if err == iterator.Done {
			break
		}
		if err != nil {
			log.Fatal(err)
		}
		fmt.Println(policy)
	}
}

Java

Para saber como instalar e usar a biblioteca de cliente do Cloud Asset Inventory, consulte o artigo Bibliotecas de cliente do Cloud Asset Inventory.

Para se autenticar no Cloud Asset Inventory, configure as Credenciais padrão da aplicação. Para mais informações, consulte o artigo Configure a autenticação para um ambiente de desenvolvimento local.

import com.google.api.gax.rpc.ApiException;
import com.google.api.gax.rpc.InvalidArgumentException;
import com.google.cloud.asset.v1.AssetServiceClient;
import com.google.cloud.asset.v1.AssetServiceClient.SearchAllIamPoliciesPagedResponse;
import com.google.cloud.asset.v1.SearchAllIamPoliciesRequest;
import java.io.IOException;

public class SearchAllIamPoliciesExample {

  // Searches for all the iam policies within the given scope.
  public static void searchAllIamPolicies(String scope, String query) {
    // TODO(developer): Replace these variables before running the sample.
    int pageSize = 0;
    String pageToken = "";

    SearchAllIamPoliciesRequest request =
        SearchAllIamPoliciesRequest.newBuilder()
            .setScope(scope)
            .setQuery(query)
            .setPageSize(pageSize)
            .setPageToken(pageToken)
            .build();

    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the "close" method on the client to safely clean up any remaining background resources.
    try (AssetServiceClient client = AssetServiceClient.create()) {
      SearchAllIamPoliciesPagedResponse response = client.searchAllIamPolicies(request);
      System.out.println("Search completed successfully:\n" + response.getPage().getValues());
    } catch (IOException e) {
      System.out.println(String.format("Failed to create client:%n%s", e.toString()));
    } catch (InvalidArgumentException e) {
      System.out.println(String.format("Invalid request:%n%s", e.toString()));
    } catch (ApiException e) {
      System.out.println(String.format("Error during SearchAllIamPolicies:%n%s", e.toString()));
    }
  }
}

Node.js

Para saber como instalar e usar a biblioteca de cliente do Cloud Asset Inventory, consulte o artigo Bibliotecas de cliente do Cloud Asset Inventory.

Para se autenticar no Cloud Asset Inventory, configure as Credenciais padrão da aplicação. Para mais informações, consulte o artigo Configure a autenticação para um ambiente de desenvolvimento local.

/**
 * TODO(developer): Uncomment these variables before running the sample.
 */
// const scope = '';
// const query = '';
// const pageSize = 0;
// const pageToken = '';

const util = require('util');
const {AssetServiceClient} = require('@google-cloud/asset');

const client = new AssetServiceClient();
const projectId = await client.getProjectId();

async function searchAllIamPolicies() {
  const request = {
    scope: `projects/${projectId}`,
    query: query,
    pageSize: pageSize,
    pageToken: pageToken,
  };
  const options = {
    autoPaginate: false,
  };

  // Handle the operation using the promise pattern.
  const result = await client.searchAllIamPolicies(request, options);
  // Do things with with the response.
  console.log(util.inspect(result, {depth: null}));
}

PHP

Para saber como instalar e usar a biblioteca de cliente do Cloud Asset Inventory, consulte o artigo Bibliotecas de cliente do Cloud Asset Inventory.

Para se autenticar no Cloud Asset Inventory, configure as Credenciais padrão da aplicação. Para mais informações, consulte o artigo Configure a autenticação para um ambiente de desenvolvimento local.

use Google\Cloud\Asset\V1\Client\AssetServiceClient;
use Google\Cloud\Asset\V1\SearchAllIamPoliciesRequest;

/**
 * @param string $scope      Scope of the search
 * @param string $query      (Optional) Query statement
 * @param int    $pageSize   (Optional) Size of each result page
 * @param string $pageToken  (Optional) Token produced by the preceding call
 */
function search_all_iam_policies(
    string $scope,
    string $query = '',
    int $pageSize = 0,
    string $pageToken = ''
) {
    // Instantiate a client.
    $asset = new AssetServiceClient();

    // Run request
    $request = (new SearchAllIamPoliciesRequest())
        ->setScope($scope)
        ->setQuery($query)
        ->setPageSize($pageSize)
        ->setPageToken($pageToken);
    $response = $asset->searchAllIamPolicies($request);

    // Print the resources that the policies are set on
    foreach ($response->getPage() as $policy) {
        print($policy->getResource() . PHP_EOL);
    }
}

Python

Para saber como instalar e usar a biblioteca de cliente do Cloud Asset Inventory, consulte o artigo Bibliotecas de cliente do Cloud Asset Inventory.

Para se autenticar no Cloud Asset Inventory, configure as Credenciais padrão da aplicação. Para mais informações, consulte o artigo Configure a autenticação para um ambiente de desenvolvimento local.

from google.cloud import asset_v1

# TODO scope = 'Scope of the search'
# TODO query = 'Query statement'
# TODO page_size = Size of each result page

client = asset_v1.AssetServiceClient()
response = client.search_all_iam_policies(
    request={"scope": scope, "query": query, "page_size": page_size}
)
for policy in response:
    print(policy)
    break

Ruby

Para saber como instalar e usar a biblioteca de cliente do Cloud Asset Inventory, consulte o artigo Bibliotecas de cliente do Cloud Asset Inventory.

Para se autenticar no Cloud Asset Inventory, configure as Credenciais padrão da aplicação. Para mais informações, consulte o artigo Configure a autenticação para um ambiente de desenvolvimento local.

require "google/cloud/asset"

# scope = 'SCOPE_OF_THE_QUERY'
# query = 'QUERY_STATEMENT'
# page_size = 'SIZE_OF_EACH_RESULT_PAGE'
# page_token = 'TOKEN_PRODUCED_BY_THE_PRECEDING_CALL'
asset_service = Google::Cloud::Asset.asset_service

response = asset_service.search_all_iam_policies(
  scope:      scope,
  query:      query,
  page_size:  page_size,
  page_token: page_token
)
# Do things with the response
response.page.each do |policy|
  puts policy
end

Exemplos de pesquisa adicionais

Os seguintes exemplos de código mostram consultas de pesquisa específicas para o gcloud e o REST, para ajudar a criar as suas próprias pesquisas.

Recursos com políticas de permissão da IAM

O exemplo seguinte mostra como pesquisar todos os recursos com políticas de autorização do IAM no projeto my-project.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --flatten="policy.bindings[].members[]" \
    --format="table(resource, policy.bindings.role, policy.bindings.members)"

REST

Método HTTP e URL:

GET https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "Authorization" = "Bearer $cred"
}


Invoke-WebRequest `
  -Method GET `
  -Headers $headers `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Recursos com nome com políticas de autorização da IAM

O exemplo seguinte mostra como pesquisar todos os recursos com example no respetivo nome que tenham políticas de autorização de IAM.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="resource:example"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "pageSize": 1,
  "query": "resource:example"
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "resource:example"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "resource:example"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Políticas de autorização da IAM em projetos, pastas e organizações

O exemplo seguinte mostra como pesquisar todas as políticas de autorização do IAM em todos os projetos e pastas na organização com o ID my-organization-id.

Como encontrar o ID de uma Google Cloud organização

Google Cloud consola

Para encontrar o ID de uma Google Cloud organização, conclua os seguintes passos:

1. Aceda à Google Cloud consola.

   Aceda à Google Cloud consola

2. Clique na caixa de lista do comutador na barra de menu.
3. Selecione a sua organização na caixa de lista.
4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

CLI gcloud

Pode obter o ID de uma Google Cloud organização com o seguinte comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --asset-types=cloudresourcemanager.*

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.*",
            "pageSize": 1,
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Proprietários de um projeto

O exemplo seguinte mostra como pesquisar responsáveis com a função de proprietário (roles/owner) no projeto my-project.

Este pedido apenas devolve os responsáveis aos quais foi concedida a função de proprietário no projeto. Não inclui diretores que herdam a função de proprietário através da herança de políticas.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="roles:roles/owner" \
    --asset-types=cloudresourcemanager.* \
    --flatten="policy.bindings[].members[]" \
    --format="table(policy.bindings.members)"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "roles:roles/owner"
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.*",
            "pageSize": 1,
            "query": "roles:roles/owner"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "roles:roles/owner"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Projetos em que um principal tem a função de proprietário

O exemplo seguinte mostra como pesquisar projetos em que [e-mail] tem a função de proprietário (roles/owner), na organização com o ID my-organization-id.

Este pedido devolve apenas os projetos nos quais a função de proprietário foi concedida a [e-mail]. Não inclui projetos nos quais o [e-mail] tenha herdado a função de proprietário.

Como encontrar o ID de uma Google Cloud organização

Google Cloud consola

Para encontrar o ID de uma Google Cloud organização, conclua os seguintes passos:

1. Aceda à Google Cloud consola.

   Aceda à Google Cloud consola

2. Clique na caixa de lista do comutador na barra de menu.
3. Selecione a sua organização na caixa de lista.
4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

CLI gcloud

Pode obter o ID de uma Google Cloud organização com o seguinte comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="policy:(roles/owner [e-mail])" \
    --asset-types=cloudresourcemanager.googleapis.com/Project \
    --format="table(resource)"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "assetTypes": "cloudresourcemanager.googleapis.com/Project",
  "pageSize": 1,
  "query": "policy:(roles/owner [e-mail])"
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.googleapis.com/Project",
            "pageSize": 1,
            "query": "policy:(roles/owner [e-mail])"
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.googleapis.com/Project",
  "pageSize": 1,
  "query": "policy:(roles/owner [e-mail])"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Funções que um principal tem num projeto

O exemplo seguinte mostra como pesquisar as funções que [e-mail] tem no projeto my-project.

Este pedido devolve apenas as funções que são concedidas a [e-mail] no projeto. Não inclui funções [e-mail] através da herança de políticas.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="policy:[e-mail]" \
    --asset-types=cloudresourcemanager.googleapis.com/Project \
    --flatten="policy.bindings[]" \
    --format="table(policy.bindings.role)"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "assetTypes": "cloudresourcemanager.googleapis.com/Project",
  "pageSize": 1,
  "query": "policy:[e-mail]"
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.googleapis.com/Project",
            "pageSize": 1,
            "query": "policy:[e-mail]"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.googleapis.com/Project",
  "pageSize": 1,
  "query": "policy:[e-mail]"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Autorizações que um principal tem num projeto

O exemplo seguinte mostra como pesquisar as autorizações que [e-mail] tem no projeto my-project.

Este pedido devolve apenas as autorizações que [e-mail] tem no projeto. Não inclui autorizações [e-mail] através da herança de políticas.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="policy:[e-mail] policy.role.permissions:\"\"" \
    --asset-types=cloudresourcemanager.* \
    --format="default(explanation.matchedPermissions)"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "policy:[e-mail]  policy.role.permissions:\"\""
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.*",
            "pageSize": 1,
            "query": "policy:[e-mail]  policy.role.permissions:\"\""
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "policy:[e-mail]  policy.role.permissions:\"\""
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Principais que podem aceder a contentores do Cloud Storage

O exemplo seguinte mostra como pesquisar principais que podem aceder a contentores do Cloud Storage no projeto my-project.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="policy.role.permissions:storage.buckets" \
    --asset-types=cloudresourcemanager.* \
    --flatten="policy.bindings[].members[]" \
    --format="table(policy.bindings.members)"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "policy.role.permissions:storage.buckets"
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.*",
            "pageSize": 1,
            "query": "policy.role.permissions:storage.buckets"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "policy.role.permissions:storage.buckets"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Contas de serviço com uma função de proprietário

O exemplo seguinte mostra como pesquisar contas de serviço com a função Proprietário (roles/owner) na organização com o my-organization-id. Pode usar esta consulta para ajudar a reduzir o seu perfil de risco.

Como encontrar o ID de uma Google Cloud organização

Google Cloud consola

Para encontrar o ID de uma Google Cloud organização, conclua os seguintes passos:

1. Aceda à Google Cloud consola.

   Aceda à Google Cloud consola

2. Clique na caixa de lista do comutador na barra de menu.
3. Selecione a sua organização na caixa de lista.
4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

CLI gcloud

Pode obter o ID de uma Google Cloud organização com o seguinte comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

Este exemplo usa o comando `grep`, que está disponível no Cloud Shell e em sistemas operativos semelhantes ao Unix.

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="policy:(roles/owner serviceAccount)" \
    --flatten="policy.bindings[].members[]" \
    --format="table(resource.segment(3):label=RESOURCE_TYPE, resource.basename():label=RESOURCE, policy.bindings.members)" |
    grep serviceAccount

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "pageSize": 1,
  "query": "policy:(roles/owner serviceAccount)"
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "policy:(roles/owner serviceAccount)"
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "policy:(roles/owner serviceAccount)"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Recursos com funções concedidas a um domínio

O exemplo seguinte mostra como pesquisar recursos com funções concedidas ao domínio example.com na organização com o ID my-organization-id.

Como encontrar o ID de uma Google Cloud organização

Google Cloud consola

Para encontrar o ID de uma Google Cloud organização, conclua os seguintes passos:

1. Aceda à Google Cloud consola.

   Aceda à Google Cloud consola

2. Clique na caixa de lista do comutador na barra de menu.
3. Selecione a sua organização na caixa de lista.
4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

CLI gcloud

Pode obter o ID de uma Google Cloud organização com o seguinte comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="policy:\"domain:example.com\"" \
    --flatten="policy.bindings[]" \
    --format="table(resource, policy.bindings.role)"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "pageSize": 1,
  "query": "policy:\"domain:DOMAIN_NAME\""
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "policy:\"domain:DOMAIN_NAME\""
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "policy:\"domain:DOMAIN_NAME\""
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Recursos com funções concedidas ao público

O exemplo seguinte mostra como pesquisar recursos com funções concedidas ao público na organização com o ID my-organization-id.

Como encontrar o ID de uma Google Cloud organização

Google Cloud consola

Para encontrar o ID de uma Google Cloud organização, conclua os seguintes passos:

1. Aceda à Google Cloud consola.

   Aceda à Google Cloud consola

2. Clique na caixa de lista do comutador na barra de menu.
3. Selecione a sua organização na caixa de lista.
4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

CLI gcloud

Pode obter o ID de uma Google Cloud organização com o seguinte comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="memberTypes:(allUsers OR allAuthenticatedUsers)" \
    --format="table(resource)"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "pageSize": 1,
  "query": "memberTypes:(allUsers OR allAuthenticatedUsers)"
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "memberTypes:(allUsers OR allAuthenticatedUsers)"
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "memberTypes:(allUsers OR allAuthenticatedUsers)"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Principais que podem alterar as políticas de autorização do IAM numa organização

O exemplo seguinte mostra como pesquisar responsáveis que podem alterar as políticas de autorização do IAM na organização com o ID my-organization-id.

Como encontrar o ID de uma Google Cloud organização

Google Cloud consola

Para encontrar o ID de uma Google Cloud organização, conclua os seguintes passos:

1. Aceda à Google Cloud consola.

   Aceda à Google Cloud consola

2. Clique na caixa de lista do comutador na barra de menu.
3. Selecione a sua organização na caixa de lista.
4. Clique no separador Tudo. O ID da organização é apresentado junto ao nome da organização.

CLI gcloud

Pode obter o ID de uma Google Cloud organização com o seguinte comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)" \
    --format="json(resource, policy.bindings, explanation.matchedPermissions)"

REST

Método HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: pode usar um método GET para este pedido com parâmetros como uma string de consulta. No entanto, o URL do pedido tem um comprimento limitado, o que significa que o servidor rejeita o pedido se a string de consulta for demasiado longa. Para evitar restrições de comprimento, use um pedido POST em alternativa, defina um cabeçalho de X-HTTP-Method-Override: GET e use um corpo JSON para os seus parâmetros.

Corpo JSON do pedido:

{
  "pageSize": 1,
  "query": "policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)"
}

Exemplos de comandos

curl (Linux, macOS ou Cloud Shell)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login, ou usando o Cloud Shell, que inicia sessão automaticamente na CLI gcloud. Pode verificar a conta ativa executando o comando gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)"
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: o comando seguinte pressupõe que iniciou sessão na CLI gcloud com a sua conta de utilizador executando gcloud init ou gcloud auth login. Pode verificar a conta ativa executando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content