Policy Simulator untuk kebijakan Principal Access Boundary

Policy Simulator untuk kebijakan Principal Access Boundary (PAB) memungkinkan Anda melihat bagaimana perubahan pada kebijakan Principal Access Boundary atau binding dapat memengaruhi akses akun utama sebelum Anda berkomitmen untuk melakukan perubahan. Anda dapat menggunakan Policy Simulator untuk membantu Anda memahami potensi dampak perubahan pada kebijakan atau binding Principal Access Boundary sebelum Anda menerapkannya.

Fitur ini hanya mengevaluasi akses berdasarkan kebijakan dan pengikatan kebijakan Batas Akses Utama.

Untuk mempelajari cara menyimulasikan perubahan pada jenis kebijakan lainnya, lihat artikel berikut:

Cara kerja Policy Simulator untuk kebijakan Principal Access Boundary

Policy Simulator untuk kebijakan Principal Access Boundary membantu Anda menentukan pengaruh perubahan pada kebijakan Principal Access Boundary atau binding kebijakan terhadap akses untuk akun utama di organisasi Anda.

Saat Anda menjalankan simulasi untuk kebijakan atau pengikatan kebijakan Principal Access Boundary, Policy Simulator akan melakukan hal berikut:

  • Meninjau log akses dari organisasi yang dibuat selama periode pemutaran ulang dalam konteks kebijakan dan pengikatan Principal Access Boundary saat ini serta kebijakan atau pengikatan Principal Access Boundary yang disimulasikan.

  • Menampilkan serangkaian perubahan akses. Perubahan akses ini menunjukkan upaya akses mana dari log yang kemungkinan akan memberikan hasil yang berbeda jika Anda menerapkan kebijakan atau binding yang disimulasikan.

Untuk mempelajari lebih lanjut perubahan akses yang ditampilkan Policy Simulator, lihat Hasil Policy Simulator.

Periode pemutaran ulang

Periode pemutaran ulang adalah waktu saat Policy Simulator mendapatkan akses ke log saat menjalankan simulasi. Log akses yang terjadi sebelum hari pertama periode pemutaran ulang atau setelah hari terakhir periode pemutaran ulang tidak disertakan dalam simulasi. Periode pemutaran ulang adalah 90 hari. Jika resource organisasi telah ada selama kurang dari jangka waktu tersebut, Policy Simulator akan mengambil semua upaya akses sejak organisasi dibuat. Periode pemutaran ulang juga memiliki konsistensi tertunda. Artinya, saat Anda menjalankan simulasi, beberapa data mungkin lebih baru daripada data lainnya. Namun, pada akhirnya, semua data akan memiliki keaktualan yang sama. Dengan konsistensi tertunda, periode pemutaran ulang biasanya berakhir dalam beberapa hari, tetapi dapat berakhir hingga 15 hari lebih awal. Hasil simulasi menunjukkan jendela pemutaran ulang yang tepat. Log akses dari setelah periode ini tidak disertakan.

Hasil Policy Simulator

Simulator Kebijakan untuk Batas Akses Akun Utama melaporkan dampak perubahan yang diusulkan pada kebijakan atau binding Batas Akses Akun Utama sebagai daftar perubahan akses. Perubahan akses mewakili upaya akses dari periode pemutaran ulang yang kemungkinan akan memiliki hasil yang berbeda jika kebijakan yang disimulasikan diterapkan.

Untuk setiap perubahan akses, Policy Simulator juga melaporkan informasi berikut:

  • Akun utama, izin, dan, jika tersedia, resource yang terlibat dalam upaya akses.
  • Jumlah hari selama periode pemutaran ulang saat akun utama mencoba menggunakan izin untuk mengakses resource. Total ini hanya mencakup upaya akses yang memiliki hasil yang sama dengan upaya akses terbaru.
  • Tanggal upaya akses terbaru.

Perubahan akses

Perubahan akses menunjukkan bahwa, berdasarkan kebijakan Batas Akses Principal yang relevan, akses pengguna kemungkinan akan berubah jika Anda menerapkan kebijakan atau binding yang disimulasikan. Perubahan akses dapat berupa akses diperoleh atau akses dicabut.

Saat menghitung perubahan akses, Policy Simulator untuk Batas Akses Akun Utama hanya mengevaluasi kebijakan dan pengikatan Batas Akses Akun Utama. Kebijakan ini tidak mengevaluasi jenis kebijakan lainnya.

Policy Simulator menghitung perubahan akses menggunakan informasi berikut:

  • Hasil upaya akses terbaru
  • Dampak kebijakan dan pengikatan Batas Akses Utama saat ini
  • Dampak dari kebijakan dan pengikatan Batas Akses Utama (PAB) yang diusulkan

Agar akses dapat diperoleh, semua hal berikut harus benar:

  • Upaya akses terbaru diblokir
  • Akses diblokir oleh kebijakan dan pengikatan Principal Access Boundary saat ini
  • Akses tidak diblokir oleh kebijakan dan pengikatan Batas Akses Utama yang diusulkan

Agar akses dicabut, semua hal berikut harus benar:

  • Upaya akses terbaru tidak diblokir
  • Akses tidak diblokir oleh kebijakan dan pengikatan Batas Akses Utama saat ini
  • Akses diblokir oleh kebijakan dan pengikatan Batas Akses Utama (PAB) yang diusulkan

Serangkaian kebijakan dan pengikatan Batas Akses Principal (PAB) memblokir akses principal jika semua hal berikut benar:

  • Kebijakan Principal Access Boundary memengaruhi akses akun utama. Dengan kata lain, akun utama tunduk pada setidaknya satu kebijakan Principal Access Boundary yang memiliki versi penerapan yang mendukung izin dalam permintaan.
  • Tidak ada kebijakan Batas Akses Akun Utama yang tunduk pada akun utama yang menyertakan resource.

Serangkaian kebijakan dan pengikatan Batas Akses Principal tidak memblokir akses principal jika salah satu kondisi berikut terpenuhi:

  • Kebijakan Batas Akses Akun Utama tidak memengaruhi akses akun utama. Dengan kata lain, akun utama tidak tunduk pada kebijakan Principal Access Boundary yang memiliki versi penerapanyang mendukung izin dalam permintaan.
  • Setidaknya salah satu kebijakan Batas Akses Akun Utama yang tunduk pada akun utama mencakup resource.

Error

Error berikut dapat menyebabkan simulasi gagal:

  • Waktu tunggu habis: Simulasi membutuhkan waktu terlalu lama untuk dijalankan dan waktu tunggu habis. Untuk menyelesaikannya, coba jalankan simulasi lagi.
  • Konstruksi simulasi tidak valid: Kebijakan Batas Akses Utama (PAB) yang diusulkan atau pengikatan kebijakan Batas Akses Utama (PAB) tidak valid. Misalnya, kebijakan yang diusulkan memiliki ekspresi kondisi yang tidak valid, atau pengikatan yang diusulkan adalah untuk set utama yang sudah terikat ke jumlah maksimum kebijakan. Untuk menyelesaikannya, perbaiki kebijakan atau binding, lalu coba lagi.
  • Izin ditolak: Anda tidak memiliki izin untuk menjalankan simulasi. Untuk mengatasi masalah ini, pastikan Anda telah diberi peran yang diperlukan dan coba lagi.

Jenis prinsipal yang didukung

Policy Simulator untuk kebijakan Principal Access Boundary hanya meninjau log akses untuk jenis prinsipal berikut:

  • Akun Google
  • Akun layanan

Saat menyimulasikan kebijakan dan pengikatan Batas Akses Akun Utama, Policy Simulator tidak meninjau log akses untuk jenis akun utama lainnya. Akibatnya, perubahan yang diusulkan pada kebijakan atau binding Anda tidak dilaporkan apakah akan memengaruhi akses pokok tersebut atau tidak.

Mensimulasikan Batas Akses Kredensial

Anda dapat menggunakan Batas Akses Kredensial untuk memperkecil cakupan, atau membatasi, izin IAM yang dapat digunakan kredensial yang berlaku singkat untuk mengakses resource Cloud Storage. Untuk mempersempit izin, pengguna atau akun layanan (broker token) menentukan izin yang tersedia pada serangkaian resource dalam token akses yang dipersempit, lalu memberikan token akses tersebut kepada pengguna atau akun layanan lain (konsumen token).

Broker token harus memiliki peran yang mencakup izin yang diberikan kepada konsumen token dengan token akses yang diperkecil cakupannya. Memblokir pengguna agar tidak dapat mengakses resource tersebut menggunakan principal access boundary juga akan memblokir akses untuk konsumen token. Namun, Policy Simulator tidak mengevaluasi pengaruh perubahan pada izin broker token terhadap akses konsumen token.

Misalnya, pertimbangkan pengguna yang telah diberi peran Storage Legacy Bucket Reader (roles/storage.legacyBucketReader) pada resource menggunakan token akses yang diperkecil cakupannya yang dibuat dengan Batas Akses Kredensial.

  • Jika Anda menyimulasikan pemblokiran peran Storage Legacy Bucket Reader dari pengguna tersebut menggunakan Batas Akses Akun Utama, Policy Simulator akan gagal melaporkan hilangnya akses.

  • Jika Anda menyimulasikan pemblokiran peran Storage Legacy Bucket Reader dari broker token menggunakan Batas Akses Principal, Simulator Kebijakan gagal melaporkan hilangnya akses untuk pengguna. Demikian pula, jika akses broker token tidak digunakan dalam waktu 90 hari, aksesnya tidak disertakan dalam simulasi.

Untuk mengetahui informasi selengkapnya, lihat Batas Akses Kredensial untuk Cloud Storage.

Langkah berikutnya