Package google.iam.v1

Índice

• Binding (mensagem)
• GetIamPolicyRequest (mensagem)
• GetPolicyOptions (mensagem)
• Policy (mensagem)
• SetIamPolicyRequest (mensagem)

Vinculação

Associa members, ou principais, a um role.

Campos
role	string Papel atribuído à lista de members ou principais. Por exemplo, roles/viewer, roles/editor ou roles/owner. Para uma visão geral dos papéis e permissões do IAM, consulte a documentação do IAM. Para uma lista dos papéis predefinidos disponíveis, consulte aqui.
members[]	string Especifica os principais que solicitam acesso a um recurso do Google Cloud. members pode ter os seguintes valores: allUsers: um identificador especial que representa qualquer pessoa na Internet, com ou sem uma conta do Google. allAuthenticatedUsers: um identificador especial que representa qualquer pessoa autenticada com uma Conta do Google ou uma conta de serviço. Não inclui identidades vindas de provedores de identidade externos (IdPs) pela federação de identidade. user:{emailid}: um endereço de e-mail que representa uma Conta do Google específica. Por exemplo, [e-mail]. serviceAccount:{emailid}: um endereço de e-mail que representa uma conta de serviço do Google. Por exemplo, [e-mail]. serviceAccount:{projectid}.svc.id.goog[{namespace}/{kubernetes-sa}]: identificador de uma conta de serviço do Kubernetes. Por exemplo, my-project.svc.id.goog[my-namespace/my-kubernetes-sa]. group:{emailid}: um endereço de e-mail que representa um grupo do Google. Por exemplo, [e-mail]. domain:{domain}: domínio do G Suite (principal) que representa todos os usuários dele. Por exemplo, google.com ou example.com. principal://iam.googleapis.com/locations/global/workforcePools/{pool_id}/subject/{subject_attribute_value}: uma identidade única em um pool de identidade da força de trabalho. principalSet://iam.googleapis.com/locations/global/workforcePools/{pool_id}/group/{group_id}: todas as identidades da força de trabalho em um grupo. principalSet://iam.googleapis.com/locations/global/workforcePools/{pool_id}/attribute.{attribute_name}/{attribute_value}: todas as identidades da força de trabalho com um valor de atributo específico. principalSet://iam.googleapis.com/locations/global/workforcePools/{pool_id}/*: todas as identidades em um pool de identidade da força de trabalho. principal://iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/subject/{subject_attribute_value}: identidade única em um pool de identidade da carga de trabalho. principalSet://iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/group/{group_id}: um grupo de pools de identidade da carga de trabalho. principalSet://iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/attribute.{attribute_name}/{attribute_value}: todas as identidades em um pool de identidade da carga de trabalho com um determinado atributo. principalSet://iam.googleapis.com/projects/{project_number}/locations/global/workloadIdentityPools/{pool_id}/*: todas as identidades em um pool de identidade da carga de trabalho. deleted:user:{emailid}?uid={uniqueid}: um endereço de e-mail (mais identificador exclusivo) que representa um usuário que foi excluído recentemente. Por exemplo, [e-mail]?uid=123456789012345678901. Se o usuário for recuperado, esse valor será revertido para user:{emailid} e o usuário recuperado manterá o papel na vinculação. deleted:serviceAccount:{emailid}?uid={uniqueid}: um endereço de e-mail (além do identificador exclusivo) que representa uma conta de serviço que foi excluída recentemente. Por exemplo, [e-mail]?uid=123456789012345678901. Se a exclusão da conta de serviço for revertida, esse valor será revertido para serviceAccount:{emailid}, e a conta de serviço não excluída manterá o papel na vinculação. deleted:group:{emailid}?uid={uniqueid}: um endereço de e-mail, mais um identificador exclusivo, que representa um grupo do Google que foi excluído recentemente. Por exemplo, [e-mail]?uid=123456789012345678901. Se o grupo for recuperado, esse valor será revertido para group:{emailid} e o grupo recuperado manterá o papel na vinculação. deleted:principal://iam.googleapis.com/locations/global/workforcePools/{pool_id}/subject/{subject_attribute_value}: identidade excluída em um pool de identidade da força de trabalho. Por exemplo, deleted:principal://iam.googleapis.com/locations/global/workforcePools/my-pool-id/subject/my-subject-attribute-value.
condition	Expr A condição que está associada a essa vinculação. Se a condição for avaliada como true, essa vinculação se aplicará à solicitação atual. Se a condição for avaliada como false, essa vinculação não se aplicará à solicitação atual. No entanto, uma vinculação de papel diferente pode conceder o mesmo papel a um ou mais principais da vinculação. Para saber quais recursos são compatíveis com as condições nas políticas do IAM, consulte a documentação do IAM.

GetIamPolicyRequest

Solicita uma mensagem ao método GetIamPolicy.

Campos
resource	string OBRIGATÓRIO: o recurso para o qual a política está sendo solicitada. Consulte Nomes de recursos para saber o valor correto para esse campo.
options	GetPolicyOptions OPCIONAL: um objeto GetPolicyOptions para especificar opções para GetIamPolicy.

GetPolicyOptions

Encapsula as configurações fornecidas para GetIamPolicy.

Campos

requested_policy_version

int32 Opcional. A versão máxima da política que será usada para formatar a política. Os valores válidos são: 0, 1 e 3. As solicitações que especificarem um valor inválido serão rejeitadas. As solicitações de políticas com qualquer vinculação condicional precisam especificar a versão 3. As políticas sem vinculações de papéis condicionais podem especificar qualquer valor válido ou deixar o campo sem definição. A política na resposta pode usar a versão especificada ou uma versão anterior. Por exemplo, se você especificar a versão 3, mas a política não tiver vinculações de papéis condicionais, a resposta usará a versão 1. Para saber quais recursos são compatíveis com as condições nas políticas do IAM, consulte a documentação do IAM.

Policy

Uma política de gerenciamento de identidade e acesso (IAM), que especifica controles de acesso para recursos do Google Cloud.

Uma Policy é uma coleção de bindings. Um binding vincula um ou mais members, ou principais, a um único role. Os principais podem ser contas de usuário, contas de serviço, Grupos do Google e domínios, como o G Suite. Um role é uma lista nomeada de permissões. Cada role pode ser um papel pré-definido do IAM ou um papel personalizado criado pelo usuário.

Para determinados tipos de recursos do Google Cloud, uma binding também pode especificar uma condition, que é uma expressão lógica que permitirá acesso a um recurso somente se a expressão for avaliada como true. Uma condição pode adicionar restrições com base nos atributos da solicitação, do recurso ou de ambos. Para saber quais recursos são compatíveis com as condições nas políticas do IAM, consulte a documentação do IAM.

Exemplo de JSON:

    {
      "bindings": [
        {
          "role": "roles/resourcemanager.organizationAdmin",
          "members": [
            "user:[e-mail]",
            "group:[e-mail]",
            "domain:google.com",
            "serviceAccount:[e-mail]"
          ]
        },
        {
          "role": "roles/resourcemanager.organizationViewer",
          "members": [
            "user:[e-mail]"
          ],
          "condition": {
            "title": "expirable access",
            "description": "Does not grant access after Sep 2020",
            "expression": "request.time < timestamp('2020-10-01T00:00:00.000Z')",
          }
        }
      ],
      "etag": "BwWWja0YfJA=",
      "version": 3
    }

Exemplo de YAML:

    bindings:
    - members:
      - user:[e-mail]
      - group:[e-mail]
      - domain:google.com
      - serviceAccount:[e-mail]
      role: roles/resourcemanager.organizationAdmin
    - members:
      - user:[e-mail]
      role: roles/resourcemanager.organizationViewer
      condition:
        title: expirable access
        description: Does not grant access after Sep 2020
        expression: request.time < timestamp('2020-10-01T00:00:00.000Z')
    etag: BwWWja0YfJA=
    version: 3

Para uma descrição do IAM e dos recursos dele, consulte a documentação do IAM.

Campos
version	int32 Especifica o formato da política. Os valores válidos são 0, 1 e 3. As solicitações que especificam um valor inválido são rejeitadas. Qualquer operação que afete as vinculações condicionais de papel precisa especificar a versão 3. Esse requisito se aplica às seguintes operações: Como conseguir uma política que inclua uma vinculação de papel condicional Como adicionar uma vinculação de papel condicional a uma política Como alterar uma vinculação de papel condicional em uma política Como remover qualquer vinculação de papel (com ou sem uma condição) de uma política que inclua condições Importante: se você usar as condições do IAM, precisará incluir o campo etag sempre que chamar setIamPolicy. Se você omitir esse campo, o IAM permitirá substituir uma política de versão 3 por uma política de versão 1, e todas as condições na política de versão 3 serão perdidas. Se uma política não incluir nenhuma condição, as operações nessa política poderão especificar qualquer versão válida ou deixar o campo não definido. Para saber quais recursos são compatíveis com as condições nas políticas do IAM, consulte a documentação do IAM.
bindings[]	Binding Associa uma lista de members ou principais a um role. Como alternativa, pode especificar uma condition que determina como e quando a bindings é aplicada. Cada bindings precisa conter pelo menos um principal. O bindings em um Policy pode se referir a até 1.500 principais, e até 250 desses principais podem ser Grupos do Google. Cada ocorrência de um principal conta para esses limites. Por exemplo, se o bindings conceder 50 papéis diferentes a user:[e-mail], e não a qualquer outro principal, será possível adicionar mais 1.450 principais ao bindings no Policy.
etag	bytes etag é usado para otimização do controle de simultaneidade, para ajudar a evitar que atualizações simultâneas de uma política substituam-se mutuamente. É altamente recomendável que os sistemas usem etag no ciclo de leitura-modificação-gravação para fazer atualizações de política e evitar disputas. Um etag é retornado na resposta a getIamPolicy e ele é colocado na solicitação a setIamPolicy para garantir que a alteração seja aplicada à mesma versão da política. Importante: se você usar as condições do IAM, precisará incluir o campo etag sempre que chamar setIamPolicy. Se você omitir esse campo, o IAM permitirá substituir uma política de versão 3 por uma política de versão 1, e todas as condições na política de versão 3 serão perdidas.

SetIamPolicyRequest

Solicita uma mensagem ao método SetIamPolicy.

Campos
resource	string OBRIGATÓRIO: o recurso específico para a política em questão. Consulte Nomes de recursos para saber o valor correto para esse campo.
policy	Policy OBRIGATÓRIO: a política completa a ser aplicada ao resource. O tamanho da política é limitado a menos de 100 KB. Uma política vazia é válida, mas alguns serviços do Google Cloud (como Projetos) podem rejeitá-la.