בדיקת שינויים במדיניות הדחייה באמצעות Policy Simulator

בדף הזה מוסבר איך לדמות שינוי במדיניות של דחיית גישה (deny) ב-IAM באמצעות Policy Simulator. בנוסף, נסביר איך לפרש את תוצאות הסימולציה ואיך להחיל את מדיניות הדחייה שנוצרה בסימולציה, אם תבחרו לעשות זאת.

התכונה הזו מעריכה את הגישה רק על סמך מדיניות של דחיית גישה.

כדי ללמוד איך לדמות סוגים אחרים של מדיניות, אפשר לעיין במאמרים הבאים:

לפני שמתחילים

  • מפעילים את Policy Simulator ואת ממשקי Identity and Access Management API, אם הם עדיין לא מופעלים.

    תפקידים שנדרשים להפעלת ממשקי API

    כדי להפעיל ממשקי API, נדרשת ההרשאה serviceusage.services.enable. אם יצרתם את הפרויקט, סביר להניח שכבר יש לכם את ההרשאה הזו דרך התפקיד 'בעלים' (roles/owner). אחרת, תוכלו לקבל את ההרשאה הזו דרך התפקיד 'אדמין בממשק Service Usage' (roles/serviceusage.serviceUsageAdmin). איך מקצים תפקידים

    הפעלת ממשקי ה-API

  • אופציונלי: איך פועל סימולטור המדיניות לכללי מדיניות הדחייה

התפקידים הנדרשים

כדי לקבל את ההרשאות שנדרשות לבדיקת שינויים בכללי מדיניות הדחייה, צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Deny Admin (roles/iam.denyAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

יכול להיות שאפשר לקבל את ההרשאות הנדרשות גם באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש.

סימולציה של שינוי במדיניות דחייה

סימולציה של מדיניות דחייה כוללת את השלבים הבאים:

  1. התחלת הסימולציה
  2. המתנה לסיום הסימולציה
  3. עיון בדוח הסימולציה
  4. איך פועלים על סמך הסימולציה

התחלת סימולציה

אפשר להתחיל סימולציה בדרכים הבאות:

  • סימולציה של מדיניות דחייה חדשה:

    1. במסוף Google Cloud , עוברים לכרטיסייה Deny בדף IAM.

    כניסה לדף IAM

    1. בוחרים פרויקט, תיקייה או ארגון.
    2. פועלים לפי השלבים ליצירת מדיניות דחייה, אבל לא לוחצים על יצירה אחרי שמזינים את פרטי מדיניות הדחייה. במקום זאת, לוחצים על בדיקת המדיניות.

  • סימולציה של עריכה במדיניות דחייה:

    1. במסוף Google Cloud , עוברים לכרטיסייה Deny בדף IAM.

      כניסה לדף IAM

    2. בוחרים פרויקט, תיקייה או ארגון.

    3. בעמודה מזהה המדיניות, לוחצים על מזהה המדיניות שרוצים לערוך.

    4. לוחצים על עריכה.

    5. מעדכנים את מדיניות הדחייה:

      • כדי לשנות את השם המוצג של המדיניות, עורכים את השדה Display name.
      • כדי לערוך כלל דחייה קיים, לוחצים על כלל הדחייה ואז משנים את חשבונות המשתמש העיקריים של הכלל, חשבונות המשתמש העיקריים של החריג, ההרשאות שנדחו, הרשאות החריג או תנאי הדחייה.
      • כדי להסיר כלל דחייה, מוצאים את כלל הדחייה שרוצים למחוק ולוחצים על מחיקה באותה שורה.
      • כדי להוסיף כלל דחייה, לוחצים על הוספת כלל דחייה ויוצרים כלל דחייה כמו שיוצרים מדיניות דחייה.

    6. כשמסיימים לעדכן את מדיניות הדחייה, לוחצים על בדיקת שינויים.

כשלוחצים על Test policy או על Test changes, סימולטור המדיניות מתחיל את הסימולציה ומפנה אתכם לדף Deny simulation reports. אתם יכולים לצאת מהדף הזה בלי לאבד את ההתקדמות.

מחכים לסיום הסימולציה

אחרי שמתחילים סימולציה, Google Cloud המסוף יוצר התראה שהסימולציה פועלת.

אחרי שהסימולציה מסתיימת, Google Cloud המסוף יוצר הודעה נוספת שהסימולציה הסתיימה. כשמקבלים את ההתראה הזו, אפשר לצפות בדוח הסימולציה.

כל משתמש יכול להריץ עד 50 סימולציות בו-זמנית.

צפייה בדוח סימולציה

  1. נכנסים לדף Deny simulation reports במסוף Google Cloud .

    מעבר לדוחות סימולציה של דחייה

  2. מוצאים את הסימולציה שרוצים לראות את הדוח שלה ולוחצים על הצגת הדוח בשורה הזו.

דוח הסימולציה כולל את הפרטים הבאים:

  • סקירה כללית של פרטי הסימולציה, כולל המדיניות שנדמתה, הפעולה שנדמתה וזמן הסימולציה.
  • לחצן הצגת המדיניות או הצגת השינויים במדיניות, שבלחיצה עליו מוצגת המדיניות המדומה בפורמט JSON. אם אתם מדמים את שינוי המדיניות, יכול להיות שיוצג גם ההבדל בין המדיניות הנוכחית לבין המדיניות המדומה.
  • הקטע תוצאות ההפעלה מחדש, שבו מוצגות תוצאות הסימולציה. במאמר תוצאות של סימולטור המדיניות מוסבר איך לפרש את התוצאות האלה.

יוצרים קמפיינים על סמך סימולציה

אחרי שבודקים את דוח הסימולציה, אפשר לבצע את הפעולות הבאות:

  • ייצוא תוצאות הסימולציה: כדי לייצא את תוצאות הסימולציה כקובץ CSV, לוחצים על ייצוא תוצאות.

    כשלוחצים על הלחצן הזה, קובץ CSV עם דוחות הסימולציה יורד למחשב.

  • החלת השינוי המדומה במדיניות: כדי להחיל את המדיניות או את השינוי המדומה במדיניות, לוחצים על הגדרת מדיניות.

    כשלוחצים על הלחצן הזה, במסוף Google Cloud מוגדרת המדיניות המדומה.

  • עריכת השינוי המדומה במדיניות: כדי לבצע שינויים נוספים במדיניות המדומה או בשינוי המדומה במדיניות, לוחצים על שינוי המדיניות.

    כשלוחצים על הלחצן הזה, Google Cloud המסוף מפנה אתכם לכלי לעריכת מדיניות הדחייה.

אפשר גם ללחוץ על ביטול כדי לצאת מדוח הסימולציה בלי לבצע פעולה כלשהי.

צפייה בהיסטוריית הסימולציות

בדף דוחות סימולציה של דחייה מופיעה טבלה עם כל הסימולציות שהרצתם ב-14 הימים האחרונים. הרשימה הזו ייחודית לכל משתמש ואי אפשר לשתף אותה.

כדי להציג את הדף Deny simulation reports:

  1. במסוף Google Cloud , עוברים לכרטיסייה Deny בדף IAM.

    כניסה לדף IAM

  2. בוחרים את הפרויקט, התיקייה או הארגון שרוצים לראות את הסימולציות שלהם.

  3. לוחצים על היסטוריית הסימולציות.

בכל סימולציה, בדף מפורטים המדיניות שלגביה הסימולציה מתבצעת, התאריך שבו התחלתם את הסימולציה והסטטוס שלה.

הסימולציות יכולות להיות באחד מהסטטוסים הבאים:

  • בתהליך: הסימולציה פועלת, אבל עדיין לא הסתיימה. אפשר להפעיל עד 50 סימולציות בו-זמנית.
  • הושלמה: הסימולציה הושלמה.
  • שגיאה: לא ניתן להשלים את הסימולציה בגלל שגיאה.

המאמרים הבאים