Las Políticas de Límite de Acceso de las Principales (PAB) te permiten establecer límites a los recursos a los que puede acceder un conjunto de principales. Si ya no quieres que se aplique una Política de Límite de Acceso de las Principales a un conjunto de principales, puedes borrar la vinculación de la política que la vincula al conjunto de principales. Si quieres quitar una Política de Límite de Acceso de las Principales de todos los conjuntos de principales a los que está vinculada, puedes borrar la política.
Quitar una política de límite de acceso de las principales de un conjunto de principales tiene uno de los siguientes efectos:
- Si las principales del conjunto de principales no están sujetas a ninguna otra política de límite de acceso de principales, podrán acceder a todos los recursos deGoogle Cloud .
- Si los principales del conjunto de principales están sujetos a otras políticas de límite de acceso de principales, solo podrán acceder a los recursos incluidos en esas políticas.
Antes de comenzar
Configura la autenticación.
Select the tab for how you plan to use the samples on this page:
gcloud
In the Google Cloud console, activate Cloud Shell.
At the bottom of the Google Cloud console, a Cloud Shell session starts and displays a command-line prompt. Cloud Shell is a shell environment with the Google Cloud CLI already installed and with values already set for your current project. It can take a few seconds for the session to initialize.
REST
Para usar las muestras de la API de REST en esta página en un entorno de desarrollo local, debes usar las credenciales que proporciones a gcloud CLI.
Instala Google Cloud CLI. Después de la instalación, inicializa Google Cloud CLI ejecutando el siguiente comando:
gcloud init
Si usas un proveedor de identidad externo (IdP), primero debes acceder a gcloud CLI con tu identidad federada.
Para obtener más información, consulta Autentícate para usar REST en la documentación de autenticación de Google Cloud .
Lee la descripción general de las Políticas de Límite de Acceso de las Principales.
Roles necesarios para borrar Políticas de Límite de Acceso de las Principales
Para obtener el permiso que necesitas para borrar las políticas de límite de acceso de las principales, pídele a tu administrador que te otorgue el rol de IAM de Administrador de límites de acceso principal (
roles/iam.principalAccessBoundaryAdmin
) en tu organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.Este rol predefinido contiene el permiso
iam.principalaccessboundarypolicies.delete
, que se requiere para borrar las Políticas de Límite de Acceso de las Principales.También puedes obtener este permiso con roles personalizados o con otros roles predefinidos.
Roles necesarios para borrar vinculaciones de Políticas de Límite de Acceso de las Principales
Los permisos que necesitas para borrar vinculaciones de políticas de Políticas de Límite de Acceso de las Principales dependen del conjunto de principales vinculado a la política.
Para obtener los permisos que necesitas para borrar vinculaciones de políticas para las políticas de límite de acceso de las principales, pídele a tu administrador que te otorgue los siguientes roles de IAM:
-
Usuario del límite de acceso principal (
roles/iam.principalAccessBoundaryUser
) en tu organización -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a los grupos de identidades de personal:
Administrador de grupos de trabajadores de IAM (
roles/iam.workforcePoolAdmin
) en el grupo de identidades de personal de destino -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a los grupos de identidades para cargas de trabajo:
Administrador de grupos de identidades para cargas de trabajo de IAM (
roles/iam.workloadIdentityPoolAdmin
) en el proyecto al que pertenece el grupo de identidades para cargas de trabajo de destino -
Obtén el estado de una operación de larga duración para borrar una vinculación que hace referencia a un grupo de identidades para cargas de trabajo:
Visualizador de operaciones de IAM (
roles/iam.operationViewer
) en el proyecto al que pertenece el grupo de identidades para cargas de trabajo de destino -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a un dominio de Google Workspace:
Administrador de IAM de grupos de espacios de trabajo (
roles/iam.workspacePoolAdmin
) en la organización -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas al conjunto de principales de un proyecto:
Administrador de IAM del proyecto (
roles/resourcemanager.projectIamAdmin
) en el proyecto -
Obtén el estado de una operación de larga duración para borrar una vinculación que hace referencia al conjunto de principales de un proyecto:
Visualizador de operaciones de IAM (
roles/iam.operationViewer
) en el proyecto -
Borra las vinculaciones de políticas de las políticas de límite de acceso de las principales vinculadas al conjunto de principales de una carpeta:
Administrador de IAM de la carpeta (
roles/resourcemanager.folderIamAdmin
) en la carpeta -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas al conjunto de principales de una organización:
Administrador de la organización (
roles/resourcemanager.organizationAdmin
) en la organización
Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.
Estos roles predefinidos contienen los permisos necesarios para borrar las vinculaciones de políticas de las políticas de límite de acceso de las principales. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:
Permisos necesarios
Se requieren los siguientes permisos para borrar las vinculaciones de Políticas de Límite de Acceso de las Principales:
-
iam.principalaccessboundarypolicies.unbind
en la organización -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a los grupos de identidades de personal:
iam.workforcePools.deletePolicyBinding
en el grupo de identidades de personal de destino -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a los grupos de identidades para cargas de trabajo:
iam.workloadIdentityPools.deletePolicyBinding
en el proyecto al que pertenece el grupo de identidades para cargas de trabajo de destino -
Obtén el estado de una operación de larga duración para borrar una vinculación que hace referencia a un grupo de identidades para cargas de trabajo:
iam.operations.get
en el proyecto propietario del grupo de identidades para cargas de trabajo de destino -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a un dominio de Google Workspace:
iam.workspacePools.deletePolicyBinding
en la organización -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas al conjunto de principales de un proyecto:
resourcemanager.projects.deletePolicyBinding
en el proyecto -
Obtén el estado de una operación de larga duración para borrar una vinculación que hace referencia al conjunto de principales de un proyecto:
iam.operations.get
en el proyecto -
Borra las vinculaciones de políticas para las Políticas de Límite de Acceso de las Principales vinculadas al conjunto principal de una carpeta:
resourcemanager.folders.deletePolicyBinding
en la carpeta -
Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas al conjunto de principales de una organización:
resourcemanager.organizations.deletePolicyBinding
en la organización
También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.
Prepárate para quitar una Política de Límite de Acceso de las Principales
Antes de quitar una política de límite de acceso de las principales, decide cuál de los siguientes objetivos quieres lograr:
- Cómo hacer que las principales de un conjunto de principales sean aptas para acceder a todos los recursos
- Reduce la cantidad de recursos a los que pueden acceder las principales de un conjunto de principales
En las siguientes secciones, se describen los pasos que debes seguir para alcanzar cada uno de estos objetivos.
Cómo hacer que las principales sean aptas para acceder a todos los recursos
Si quieres que las principales de un conjunto de principales sean aptas para acceder a todos los recursos, haz lo siguiente:
- Identifica todas las políticas de límite de acceso de la principal vinculadas al conjunto de principales.
- Borra las vinculaciones de políticas pertinentes para quitar todas las políticas de límite de acceso de las principales vinculadas al conjunto de principales.
Si una principal no está sujeta a ninguna política de límite de acceso de las principales, entonces es apta para acceder a todos Google Cloud los recursos.
Ser apto para acceder a un recurso no significa necesariamente que un usuario pueda acceder a él. Para obtener más información, consulta Evaluación de políticas.
Reduce los recursos a los que pueden acceder las principales
Si las principales de un conjunto de principales están sujetas a varias políticas de límite de acceso de las principales, puedes reducir la cantidad de recursos a los que pueden acceder quitando una o más de las políticas de límite de acceso de las principales a las que están sujetas. Sin embargo, en ningún momento quites todas las políticas de límite de acceso de las principales a las que están sujetas las principales. Si lo haces, las principales podrán acceder a todos los recursos de Google Cloud .
Para quitar una política de límite de acceso de la principal y, al mismo tiempo, garantizar que las principales de un conjunto de principales siempre estén sujetas a al menos una política de límite de acceso de la principal, sigue estos pasos:
- Identifica todas las políticas de límite de acceso de la principal vinculadas al conjunto de principales.
Identifica las políticas de límite de acceso de las principales que contienen solo los recursos a los que deseas que puedan acceder las principales del conjunto de principales. Estas son las políticas que no quitarás del conjunto de principales.
Si no tienes ninguna política de este tipo, crea una nueva política de límite de acceso de la principal con solo los recursos a los que deseas que las principales sean aptas para acceder. Luego, adjunta la política al conjunto de principales.
Identifica las políticas de límite de acceso de las principales que contienen recursos a los que no quieres que puedan acceder las principales del conjunto de principales. Luego, borra las vinculaciones de políticas pertinentes para quitar esas políticas de límite de acceso de las principales.
Si quieres reducir el acceso para principales específicos, agrega una condición a la vinculación de la política en lugar de borrarla.
Si quieres reducir la cantidad de recursos a los que puede acceder una principal, pero no quieres quitar ninguna política de límite de acceso de las principales, puedes modificar las políticas de límite de acceso de las principales a las que está sujeta la principal. Para obtener información sobre cómo modificar las Políticas de Límite de Acceso de las Principales, consulta Edita las Políticas de Límite de Acceso de las Principales.
Prueba el borrado de una política o vinculación de límite de acceso de la principal
Antes de confirmar la eliminación de una política o vinculación de límite de acceso de la principal, te recomendamos que pruebes cómo podría afectar el cambio al acceso de tus principales. Puedes usar Policy Simulator para simular un borrado y comprender su posible impacto.
Para probar un borrado, consulta los siguientes procedimientos en la documentación de Policy Intelligence:
- Simula el borrado de reglas de límite de acceso de la principal
- Simula el borrado de una política de límite de acceso de la principal
- Simula el borrado de una vinculación para una política de límite de acceso de la principal
Para obtener más información sobre cómo probar las políticas de límite de acceso de las principales con Policy Simulator, consulta Policy Simulator para las políticas de límite de acceso de las principales.
Quita una Política de Límite de Acceso de las Principales de un conjunto de principales
Antes de quitar una política de límite de acceso de las principales de un conjunto de las principales, primero prepárate para quitar la política. Luego, borra la política quitando la vinculación de la política que la vincula al conjunto de principales.
Puedes borrar una vinculación de políticas con la Google Cloud consola, gcloud CLI o la API de REST de IAM.
Console
En la consola de Google Cloud , ve a la página Políticas de límite de acceso de las principales.
Selecciona la organización propietaria de la política de límite de acceso de las principales cuya vinculación quieres borrar.
Haz clic en el ID de la Política de Límite de Acceso de las Principales cuyas vinculaciones deseas borrar.
Haz clic en la pestaña Vinculaciones.
Busca el ID de la vinculación que deseas borrar. En la fila de esa vinculación, haz clic en
Acciones y, luego, en Borrar vinculación.En el diálogo de confirmación, haz clic en Borrar.
gcloud
El comando
gcloud iam policy-bindings delete
borra una vinculación de políticas.Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:
-
BINDING_ID
: Es el ID de la vinculación de políticas que deseas borrar, por ejemplo,example-binding
. -
RESOURCE_TYPE
: Es el tipo de recurso de Resource Manager (proyecto, carpeta u organización) del que es un elemento secundario la vinculación de políticas. Usa el valorproject
,folder
oorganization
El tipo de recurso depende del principal establecido en la vinculación de políticas. Para ver qué tipo de recurso usar, consulta Tipos de principales compatibles.
RESOURCE_ID
: El ID del proyecto, la carpeta o la organización de la que es elemento secundario la vinculación de políticas. Los IDs de proyecto son cadenas alfanuméricas, comomy-project
. Los ID de carpeta y organización son numéricos, como123456789012
.
Ejecuta el siguiente comando:
Linux, macOS o Cloud Shell
gcloud iam policy-bindings delete BINDING_ID \ --RESOURCE_TYPE=RESOURCE_ID --location=global
Windows (PowerShell)
gcloud iam policy-bindings delete BINDING_ID ` --RESOURCE_TYPE=RESOURCE_ID --location=global
Windows (cmd.exe)
gcloud iam policy-bindings delete BINDING_ID ^ --RESOURCE_TYPE=RESOURCE_ID --location=global
La respuesta contiene una operación de larga duración que representa tu solicitud. Para obtener información sobre cómo obtener el estado de una operación de larga duración, consulta Revisa el estado de una operación de larga duración en esta página.
Delete request issued for: [example-binding] Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374724030-6181fcd1520c5-d21b0a12-b704e1ce] to complete...done. Deleted policyBinding [example-binding].
REST
El método
policyBindings.delete
borra una vinculación de políticas.Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:
-
RESOURCE_TYPE
: Es el tipo de recurso de Resource Manager (proyecto, carpeta u organización) del que es un elemento secundario la vinculación de políticas. Usa el valorprojects
,folders
oorganizations
El tipo de recurso depende del principal establecido en la vinculación de políticas. Para ver qué tipo de recurso usar, consulta Tipos de principales compatibles.
RESOURCE_ID
: El ID del proyecto, la carpeta o la organización de la que es elemento secundario la vinculación de políticas. Los IDs de proyecto son cadenas alfanuméricas, comomy-project
. Los ID de carpeta y organización son numéricos, como123456789012
.-
BINDING_ID
: Es el ID de la vinculación de políticas que deseas borrar, por ejemplo,example-binding
.
Método HTTP y URL:
DELETE https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID
Para enviar tu solicitud, expande una de estas opciones:
La respuesta contiene una operación de larga duración que representa tu solicitud. Para obtener información sobre cómo obtener el estado de una operación de larga duración, consulta Revisa el estado de una operación de larga duración en esta página.
{ "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600", "metadata": { "@type": "type.googleapis.com/google.iam.v3.OperationMetadata", "createTime": "2024-05-10T20:33:11.165728913Z", "target": "organizations/123456789012/locations/global/policyBindings/example-binding", "verb": "delete", "requestedCancellation": false, "apiVersion": "v3" }, "done": false }
Borra una Política de Límite de Acceso de las Principales
Antes de borrar una de estas política, te recomendamos que identifiques y borres todas las vinculaciones de políticas de límite de acceso de las principales que hagan referencia a la política de límite de acceso de las principales.
Si borras una política de límite de acceso de las principales con vinculaciones de políticas existentes, esas vinculaciones se borrarán con el tiempo. Sin embargo, hasta que se borren, las vinculaciones de políticas seguirán contando para el límite de 10 vinculaciones que pueden hacer referencia a un solo conjunto de principales.
Puedes borrar una política de límite de acceso de las principales con la Google Cloud consola, gcloud CLI o la API de REST de IAM.
Console
En la consola de Google Cloud , ve a la página Políticas de límite de acceso de las principales.
Selecciona la organización propietaria de la política de límite de acceso de las principales cuya vinculación quieres borrar.
Busca el ID de la política que deseas borrar. En la fila de esa política, haz clic en
Acciones y, luego, en Borrar política.En el diálogo de confirmación, confirma que deseas borrar la política:
- Para borrar la política solo si no tiene vinculaciones asociadas, haz clic en Borrar.
- Para borrar la política y todas las vinculaciones asociadas, selecciona la casilla de verificación Eliminar la política de forma forzosa y, luego, haz clic en Borrar.
gcloud
El comando
gcloud iam gcloud iam principal-access-boundary-policies delete
borra una Política de Límite de Acceso de las Principales y todas las vinculaciones asociadas.Antes de usar cualquiera de los datos de comando a continuación, realiza los siguientes reemplazos:
-
PAB_POLICY_ID
: El ID de la política de límite de acceso de las principales que deseas borrar, por ejemplo,example-policy
. ORG_ID
: Es el ID de la organización propietaria de la política de límite de acceso de las principales. Los ID de la organización son numéricos, como123456789012
.FORCE_FLAG
: Opcional Para forzar el comando a borrar una política, incluso si se hace referencia a ella en vinculaciones de políticas existentes, usa la marca--force
. Si no se establece esta marca y se hace referencia a la política en las vinculaciones de políticas existentes, el comando fallará.
Ejecuta el siguiente comando:
Linux, macOS o Cloud Shell
gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID \ --organization=ORG_ID --location=global FORCE_FLAG
Windows (PowerShell)
gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID ` --organization=ORG_ID --location=global FORCE_FLAG
Windows (cmd.exe)
gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID ^ --organization=ORG_ID --location=global FORCE_FLAG
La respuesta contiene una operación de larga duración que representa tu solicitud. Para obtener información sobre cómo obtener el estado de una operación de larga duración, consulta Revisa el estado de una operación de larga duración en esta página.
Delete request issued for: [example-policy] Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete... Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...done. Deleted principalAccessBoundaryPolicy [example-policy].
REST
El método
principalAccessBoundaryPolicies.delete
borra una política de límite de acceso de las principales y todas las vinculaciones asociadas.Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:
ORG_ID
: Es el ID de la organización propietaria de la política de límite de acceso de las principales. Los ID de la organización son numéricos, como123456789012
.-
PAB_POLICY_ID
: El ID de la política de límite de acceso de las principales que deseas borrar, por ejemplo,example-policy
. -
FORCE_DELETE
: Opcional Para forzar la solicitud de borrado de la política, incluso si se hace referencia a ella en vinculaciones de políticas existentes, agrega el parámetro de consultaforce=true
. Si no se establece este parámetro de consulta y se hace referencia a la política en las vinculaciones de políticas existentes, la solicitud fallará.
Método HTTP y URL:
DELETE https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE
Para enviar tu solicitud, expande una de estas opciones:
La respuesta contiene una operación de larga duración que representa tu solicitud. Para obtener información sobre cómo obtener el estado de una operación de larga duración, consulta Revisa el estado de una operación de larga duración en esta página.
{ "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600", "metadata": { "@type": "type.googleapis.com/google.iam.v3.OperationMetadata", "createTime": "2024-05-10T20:33:11.165728913Z", "target": "organizations/123456789012/locations/global/policyBindings/example-policy", "verb": "delete", "requestedCancellation": false, "apiVersion": "v3" }, "done": false }
Revisa el estado de una operación de larga duración
Cuando usas la API de REST o las bibliotecas cliente, cualquier método que cambie una política o vinculación de límite de acceso de la entidad principal devuelve una operación de larga duración (LRO). La operación de larga duración realiza un seguimiento del estado de la solicitud y también indica si se completó el cambio en la política o la vinculación.
REST
El método
operations.get
muestra el estado de una operación de larga duración.Antes de usar cualquiera de los datos de solicitud a continuación, realiza los siguientes reemplazos:
-
OPERATION_NAME
: Es el nombre completo de la operación. Recibirás este nombre en la respuesta a tu solicitud original.El nombre de la operación tiene el siguiente formato:
RESOURCE_TYPE/RESOURCE_ID/locations/global/operations/OPERATION_ID
Método HTTP y URL:
GET https://iam.googleapis.com/v3/OPERATION_NAME
Para enviar tu solicitud, expande una de estas opciones:
Deberías recibir una respuesta JSON similar a la que se muestra a continuación:
{ "name": "organizations/314340013352/locations/global/operations/operation-1732752311821-627edd607a3df-9a62cdea-2a7d9f07", "metadata": { "@type": "type.googleapis.com/google.iam.v3.OperationMetadata", "createTime": "2024-11-28T00:05:12.006289686Z", "endTime": "2024-11-28T00:05:12.192141801Z", "target": "organizations/314340013352/locations/global/principalAccessBoundaryPolicies/example-policy", "verb": "create", "requestedCancellation": false, "apiVersion": "v3" }, "done": true, "response": { PAB_POLICY } }
Si el campo
done
de la operación no está presente, continúa supervisando su estado obteniendo la operación repetidas veces. Usa la retirada exponencial truncada para ingresar una demora entre cada solicitud. Cuando el campodone
se establece comotrue
, la operación está completa, y puedes dejar de obtener la operación.¿Qué sigue?
- Crea y aplica Políticas de Límite de Acceso de las Principales
- Consulta las Políticas de Límite de Acceso de las Principales
- Edita las Política de Límite de Acceso de las Principales
Salvo que se indique lo contrario, el contenido de esta página está sujeto a la licencia Atribución 4.0 de Creative Commons, y los ejemplos de código están sujetos a la licencia Apache 2.0. Para obtener más información, consulta las políticas del sitio de Google Developers. Java es una marca registrada de Oracle o sus afiliados.
Última actualización: 2025-10-21 (UTC)