Package google.iam.v1

Indice

IAMPolicy

Panoramica dell'API

Gestisce i criteri IAM (Identity and Access Management).

Qualsiasi implementazione di un'API che offre funzionalità di controllo dell'accesso dell'accesso implementa l'interfaccia google.iam.v1.IAMPolicy.

Modello dei dati

Il controllo dell'accesso viene applicato quando un'entità (utente o account di servizio) esegue un'azione su una risorsa esposta da un servizio. Le risorse, identificate da nomi simili a URI, sono l'unità di specifica controllo dell'accesso#39;accesso. Le implementazioni dei servizi possono scegliere la granularità del controllo dell'accesso'accesso e le autorizzazioni supportate per le proprie risorse. Ad esempio, un servizio di database potrebbe consentire di specificare il controllo dell'accesso solo a livello di tabella, mentre un altro potrebbe consentire di specificarlo anche a livello di colonna.

Struttura delle norme

Vedi google.iam.v1.Policy

Questa API non è intenzionalmente in stile CRUD perché le policy di controllo dell'accesso vengono create ed eliminate implicitamente con le risorse a cui sono associate.

GetIamPolicy

rpc GetIamPolicy(GetIamPolicyRequest) returns (Policy)

Recupera la policy di controllo dell'accesso per una risorsa. Restituisce una policy vuota se la risorsa esiste e non è stata impostata una policy.

Ambiti di autorizzazione

Richiede il seguente ambito OAuth:

  • https://www.googleapis.com/auth/cloud-platform

Per saperne di più, consulta la Authentication Overview.

SetIamPolicy

rpc SetIamPolicy(SetIamPolicyRequest) returns (Policy)

Imposta la policy di controllo dell'accesso sulla risorsa specificata. Sostituisce qualsiasi policy esistente.

Può restituire errori NOT_FOUND, INVALID_ARGUMENT e PERMISSION_DENIED.

Ambiti di autorizzazione

Richiede il seguente ambito OAuth:

  • https://www.googleapis.com/auth/cloud-platform

Per saperne di più, consulta la Authentication Overview.

TestIamPermissions

rpc TestIamPermissions(TestIamPermissionsRequest) returns (TestIamPermissionsResponse)

Restituisce le autorizzazioni di cui dispone un chiamante per la risorsa specificata. Se la risorsa non esiste, verrà restituito un insieme vuoto di autorizzazioni, non un errore NOT_FOUND.

Nota: questa operazione è progettata per la creazione di UI e strumenti a riga di comando che tengano conto delle autorizzazioni, non per il controllo delle autorizzazioni. Potrebbe verificarsi il "fail open" di questa operazione senza preavviso.

Ambiti di autorizzazione

Richiede il seguente ambito OAuth:

  • https://www.googleapis.com/auth/cloud-platform

Per saperne di più, consulta la Authentication Overview.

Associazione

Associa members, o entità, a un role.

Campi
role

string

Ruolo assegnato all'elenco di members o entità. Ad esempio, roles/viewer, roles/editor o roles/owner.

Per una panoramica dei ruoli e delle autorizzazioni IAM, consulta la documentazione di IAM. Per un elenco dei ruoli predefiniti disponibili, consulta questa pagina.

members[]

string

Specifica le entità che richiedono l'accesso a una risorsa Google Cloud. members può avere i seguenti valori:

  • allUsers: un identificatore speciale che rappresenta chiunque sia connesso a internet, con o senza un Account Google.

  • allAuthenticatedUsers: un identificatore speciale che rappresenta chiunque sia autenticato con un Account Google o un service account. Non include le identità provenienti da provider di identità (IdP) esterni tramite la federazione delle identità.

  • user:{emailid}: un indirizzo email che rappresenta un Account Google specifico. Ad esempio: alice@example.com.

  • serviceAccount:{emailid}: un indirizzo email che rappresenta un service account Google. Ad esempio: my-other-app@appspot.gserviceaccount.com.

  • serviceAccount:{projectid}.svc.id.goog[{namespace}/{kubernetes-sa}]: un identificatore per un service account Kubernetes. Ad esempio: my-project.svc.id.goog[my-namespace/my-kubernetes-sa].

  • group:{emailid}: un indirizzo email che rappresenta un gruppo Google. Ad esempio: admins@example.com.

  • domain:{domain}: il dominio G Suite (principale) che rappresenta tutti gli utenti di quel dominio. Ad esempio: google.com o example.com.
  • principal://iam.googleapis.com/locations/global/workforcePools/{pool_id}/subject/{subject_attribute_value}: una singola identità in un pool di identità della forza lavoro.

  • principalSet://iam.googleapis.com/locations/global/workforcePools/{pool_id}/group/{group_id}: tutte le identità della forza lavoro in un gruppo.

  • principalSet://iam.googleapis.com/locations/global/workforcePools/{pool_id}/attribute.{attribute_name}/{attribute_value}: tutte le identità della forza lavoro con un valore di attributo specifico.

  • principalSet://iam.googleapis.com/locations/global/workforcePools/{pool_id}/*: tutte le identità in un pool di identità della forza lavoro.

  • principal://iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/subject/{subject_attribute_value}: una singola identità all'interno di un pool di identità del workload.

  • principalSet://iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/group/{group_id}: un gruppo di pool di identità del workload.

  • principalSet://iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/attribute.{attribute_name}/{attribute_value}: tutte le identità in un pool di identità del workload con un determinato attributo.

  • principalSet://iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/*: tutte le identità in un gruppo di pool di identità del workload.

  • deleted:user:{emailid}?uid={uniqueid}: un indirizzo email (più un identificatore univoco) che rappresenta un utente eliminato di recente. Ad esempio: alice@example.com?uid=123456789012345678901. Se l'utente viene recuperato, viene ripristinato il valore user:{emailid} e l'utente recuperato mantiene il ruolo nell'associazione.

  • deleted:serviceAccount:{emailid}?uid={uniqueid}: un indirizzo email (più un identificatore univoco) che rappresenta un service account eliminato di recente. Ad esempio: my-other-app@appspot.gserviceaccount.com?uid=123456789012345678901. Se l'eliminazione del service account viene annullata, viene ripristinato il valore serviceAccount:{emailid} e il service account mantiene il ruolo nell'associazione.

  • deleted:group:{emailid}?uid={uniqueid}: un indirizzo email (più un identificatore univoco) che rappresenta un gruppo Google eliminato di recente. Ad esempio: admins@example.com?uid=123456789012345678901. Se il gruppo viene recuperato, viene ripristinato il valore group:{emailid} e il gruppo recuperato mantiene il ruolo nell'associazione.

  • deleted:principal://iam.googleapis.com/locations/global/workforcePools/{pool_id}/subject/{subject_attribute_value}: una singola identità eliminata in un pool di identità della forza lavoro. Ad esempio: deleted:principal://iam.googleapis.com/locations/global/workforcePools/my-pool-id/subject/my-subject-attribute-value.

condition

Expr

La condizione associata a questa associazione.

Se la condizione restituisce true, l'associazione viene applicata alla richiesta corrente.

Se la condizione restituisce false, l'associazione non viene applicata alla richiesta corrente. Tuttavia, un'associazione di ruoli diversa potrebbe concedere lo stesso ruolo a una o più entità in questa associazione.

Per scoprire quali risorse supportano le condizioni nelle relative policy IAM, consulta la documentazione di IAM.

GetIamPolicyRequest

Messaggio di richiesta per il metodo GetIamPolicy.

Campi
resource

string

OBBLIGATORIO: la risorsa per cui viene richiesta la policy. Per conoscere il valore appropriato per questo campo, consulta Nomi delle risorse.

options

GetPolicyOptions

FACOLTATIVO: un oggetto GetPolicyOptions per specificare le opzioni di GetIamPolicy.

GetPolicyOptions

Contiene le impostazioni fornite a GetIamPolicy.

Campi
requested_policy_version

int32

Facoltativo. La versione massima della policy che verrà utilizzata per formattarla.

I valori validi sono 0, 1 e 3. Le richieste che specificano un valore non valido verranno rifiutate.

Le richieste di norme con associazioni di ruoli condizionali devono specificare la versione 3. Le policy senza associazioni di ruoli condizionali possono specificare qualsiasi valore valido o lasciare il campo non impostato.

Il criterio nella risposta potrebbe utilizzare la versione del criterio specificata oppure una versione precedente. Ad esempio, se specifichi la versione 3, ma la norma non ha associazioni di ruoli condizionali, la risposta utilizza la versione 1.

Per scoprire quali risorse supportano le condizioni nelle relative policy IAM, consulta la documentazione di IAM.

Norme

Una policy Identity and Access Management (IAM) che specifica i controlli dell'accesso per le risorse Google Cloud.

Una Policy è una raccolta di bindings. Un binding vincola uno o più members, o entità, a un singolo role. Le entità possono essere account utente, service account, gruppi Google e domini (ad esempio G Suite). Un role è un elenco denominato di autorizzazioni; ogni role può essere un ruolo predefinito IAM o un ruolo personalizzato creato dall'utente.

Per alcuni tipi di risorse Google Cloud, un binding può anche specificare una condition, ovvero un'espressione logica che consente l'accesso a una risorsa solo se l'espressione restituisce true. Una condizione può aggiungere vincoli in base agli attributi della richiesta, della risorsa o di entrambi. Per scoprire quali risorse supportano le condizioni nelle relative policy IAM, consulta la documentazione di IAM.

Esempio JSON:

    {
      "bindings": [
        {
          "role": "roles/resourcemanager.organizationAdmin",
          "members": [
            "user:mike@example.com",
            "group:admins@example.com",
            "domain:google.com",
            "serviceAccount:my-project-id@appspot.gserviceaccount.com"
          ]
        },
        {
          "role": "roles/resourcemanager.organizationViewer",
          "members": [
            "user:eve@example.com"
          ],
          "condition": {
            "title": "expirable access",
            "description": "Does not grant access after Sep 2020",
            "expression": "request.time < timestamp('2020-10-01T00:00:00.000Z')",
          }
        }
      ],
      "etag": "BwWWja0YfJA=",
      "version": 3
    }

Esempio YAML:

    bindings:
    - members:
      - user:mike@example.com
      - group:admins@example.com
      - domain:google.com
      - serviceAccount:my-project-id@appspot.gserviceaccount.com
      role: roles/resourcemanager.organizationAdmin
    - members:
      - user:eve@example.com
      role: roles/resourcemanager.organizationViewer
      condition:
        title: expirable access
        description: Does not grant access after Sep 2020
        expression: request.time < timestamp('2020-10-01T00:00:00.000Z')
    etag: BwWWja0YfJA=
    version: 3

Per una descrizione di IAM e delle sue funzionalità, consulta la documentazione di IAM.

Campi
version

int32

Specifica il formato della policy.

I valori validi sono 0, 1 e 3. Le richieste che specificano un valore non valido vengono rifiutate.

Qualsiasi operazione che influisce sulle associazioni di ruoli condizionali deve specificare la versione 3. Questo requisito si applica alle seguenti operazioni:

  • Recupero di una policy che include un'associazione di ruoli condizionale
  • Aggiunta di un'associazione di ruoli condizionale a una policy
  • Modifica di un'associazione di ruoli condizionale in una policy
  • Rimozione di qualsiasi associazione di ruoli, con o senza condizione, da una policy che include condizioni

Importante: se utilizzi le condizioni IAM, devi includere il campo etag ogni volta che chiami setIamPolicy. Se ometti questo campo, IAM ti consente di sovrascrivere una policy di versione 3 con una policy di versione 1 e tutte le condizioni della policy di versione 3 andranno perse.

Se una policy non include condizioni, le operazioni su questa policy possono specificare qualsiasi versione valida o lasciare il campo non impostato.

Per scoprire quali risorse supportano le condizioni nelle relative policy IAM, consulta la documentazione di IAM.

bindings[]

Binding

Associa un elenco di members, o entità, a un role. (Facoltativo) Può specificare una condition che determina come e quando vengono applicati i bindings. Ciascuno dei bindings deve contenere almeno un'entità.

I bindings in una Policy possono fare riferimento a un massimo di 1500 entità. Di queste, un massimo di 250 possono essere gruppi Google. Ogni occorrenza di un'entità viene conteggiata ai fini di questi limiti. Ad esempio, se i bindings concedono 50 ruoli diversi a user:alice@example.com e a nessun'altra entità, puoi aggiungere altre 1450 entità a bindings in Policy.

etag

bytes

etag viene utilizzato per il controllo della concorrenza ottimistico per evitare che gli aggiornamenti simultanei di una policy si sovrascrivano a vicenda. È consigliabile che i sistemi utilizzino etag nel ciclo di lettura-modifica-scrittura per eseguire gli aggiornamenti delle policy al fine di evitare possibili race condition: un etag viene restituito nella risposta a getIamPolicy e i sistemi devono inserire questo etag nella richiesta a setIamPolicy per garantire che la modifica venga applicata alla stessa versione della policy.

Importante: se utilizzi le condizioni IAM, devi includere il campo etag ogni volta che chiami setIamPolicy. Se ometti questo campo, IAM ti consente di sovrascrivere una policy di versione 3 con una policy di versione 1 e tutte le condizioni della policy di versione 3 andranno perse.

SetIamPolicyRequest

Messaggio di richiesta per il metodo SetIamPolicy.

Campi
resource

string

OBBLIGATORIO: la risorsa per cui viene specificata la policy. Per conoscere il valore appropriato per questo campo, consulta Nomi delle risorse.

policy

Policy

OBBLIGATORIO: la policy completa da applicare a resource. Le dimensioni della policy sono limitate a poche decine di kB. Una policy vuota è valida, ma alcuni servizi Google Cloud (come i progetti) potrebbero rifiutarla.

TestIamPermissionsRequest

Messaggio di richiesta per il metodo TestIamPermissions.

Campi
resource

string

OBBLIGATORIO: la risorsa per cui vengono richiesti i dettagli della policy. Per conoscere il valore appropriato per questo campo, consulta Nomi delle risorse.

permissions[]

string

L'insieme di autorizzazioni da controllare per resource. Le autorizzazioni con caratteri jolly (ad esempio * o storage.*) non sono consentite. Per saperne di più, consulta Panoramica di IAM.

TestIamPermissionsResponse

Messaggio di risposta per il metodo TestIamPermissions.

Campi
permissions[]

string

Un sottoinsieme di TestPermissionsRequest.permissions consentito al chiamante.