Una policy Identity and Access Management (IAM) che specifica i controlli dell'accesso per le risorse Google Cloud.
Una Policy è una raccolta di bindings. Un binding vincola uno o più members, o entità, a un singolo role. Le entità possono essere account utente, service account, gruppi Google e domini (ad esempio G Suite). Un role è un elenco denominato di autorizzazioni; ogni role può essere un ruolo predefinito IAM o un ruolo personalizzato creato dall'utente.
Per alcuni tipi di risorse Google Cloud, un binding può anche specificare una condition, ovvero un'espressione logica che consente l'accesso a una risorsa solo se l'espressione restituisce true. Una condizione può aggiungere vincoli in base agli attributi della richiesta, della risorsa o di entrambi. Per scoprire quali risorse supportano le condizioni nelle relative policy IAM, consulta la documentazione di IAM.
Esempio JSON:
{
"bindings": [
{
"role": "roles/resourcemanager.organizationAdmin",
"members": [
"user:mike@example.com",
"group:admins@example.com",
"domain:google.com",
"serviceAccount:my-project-id@appspot.gserviceaccount.com"
]
},
{
"role": "roles/resourcemanager.organizationViewer",
"members": [
"user:eve@example.com"
],
"condition": {
"title": "expirable access",
"description": "Does not grant access after Sep 2020",
"expression": "request.time < timestamp('2020-10-01T00:00:00.000Z')",
}
}
],
"etag": "BwWWja0YfJA=",
"version": 3
}
Esempio YAML:
bindings:
- members:
- user:mike@example.com
- group:admins@example.com
- domain:google.com
- serviceAccount:my-project-id@appspot.gserviceaccount.com
role: roles/resourcemanager.organizationAdmin
- members:
- user:eve@example.com
role: roles/resourcemanager.organizationViewer
condition:
title: expirable access
description: Does not grant access after Sep 2020
expression: request.time < timestamp('2020-10-01T00:00:00.000Z')
etag: BwWWja0YfJA=
version: 3
Per una descrizione di IAM e delle sue funzionalità, consulta la documentazione di IAM.
| Rappresentazione JSON |
|---|
{ "version": integer, "bindings": [ { object ( |
| Campi | |
|---|---|
version |
Specifica il formato della policy. I valori validi sono Qualsiasi operazione che influisce sulle associazioni di ruoli condizionali deve specificare la versione
Importante: se utilizzi le condizioni IAM, devi includere il campo Se una policy non include condizioni, le operazioni su questa policy possono specificare qualsiasi versione valida o lasciare il campo non impostato. Per scoprire quali risorse supportano le condizioni nelle relative policy IAM, consulta la documentazione di IAM. |
bindings[] |
Associa un elenco di I |
auditConfigs[] |
Specifica la configurazione dell'audit log di Cloud per questa policy. |
etag |
Importante: se utilizzi le condizioni IAM, devi includere il campo Una stringa con codifica in base64. |
Binding
Associa members, o entità, a un role.
| Rappresentazione JSON |
|---|
{
"role": string,
"members": [
string
],
"condition": {
object ( |
| Campi | |
|---|---|
role |
Ruolo assegnato all'elenco di Per una panoramica dei ruoli e delle autorizzazioni IAM, consulta la documentazione di IAM. Per un elenco dei ruoli predefiniti disponibili, consulta questa pagina. |
members[] |
Specifica le entità che richiedono l'accesso a una risorsa Google Cloud.
|
condition |
La condizione associata a questa associazione. Se la condizione restituisce Se la condizione restituisce Per scoprire quali risorse supportano le condizioni nelle relative policy IAM, consulta la documentazione di IAM. |
Expr
Rappresenta un'espressione testuale nella sintassi Common Expression Language (CEL). CEL è un linguaggio di espressione simile a C. La sintassi e la semantica di CEL sono documentate alla pagina https://github.com/google/cel-spec.
Esempio (confronto):
title: "Summary size limit"
description: "Determines if a summary is less than 100 chars"
expression: "document.summary.size() < 100"
Esempio (uguaglianza):
title: "Requestor is owner"
description: "Determines if requestor is the document owner"
expression: "document.owner == request.auth.claims.email"
Esempio (logica):
title: "Public documents"
description: "Determine whether the document should be publicly visible"
expression: "document.type != 'private' && document.type != 'internal'"
Esempio (manipolazione dei dati):
title: "Notification string"
description: "Create a notification string with a timestamp."
expression: "'New message received at ' + string(document.create_time)"
Le variabili e le funzioni esatte a cui è possibile fare riferimento all'interno di un'espressione sono determinate dal servizio che la valuta. Per saperne di più, consulta la documentazione del servizio.
| Rappresentazione JSON |
|---|
{ "expression": string, "title": string, "description": string, "location": string } |
| Campi | |
|---|---|
expression |
Rappresentazione testuale di un'espressione nella sintassi Common Expression Language. |
title |
Facoltativo. Titolo dell'espressione, ovvero una breve stringa che ne descrive lo scopo. Può essere utilizzato, ad esempio, nelle UI che consentono di inserire l'espressione. |
description |
Facoltativo. Descrizione dell'espressione. Si tratta di un testo più lungo che descrive l'espressione, ad esempio quando ci si passa il mouse sopra in una UI. |
location |
Facoltativo. Stringa che indica la posizione dell'espressione per la segnalazione degli errori, ad esempio un nome file e una posizione nel file. |
AuditConfig
Specifica la configurazione dell'audit per un servizio. La configurazione determina i tipi di autorizzazione registrati e le identità, se presenti, esenti dal logging. Un AuditConfig deve avere una o più AuditLogConfig.
Se sono presenti AuditConfig sia per allServices sia per un servizio specifico, viene utilizzata l'unione delle due AuditConfig per quel servizio: i log_types specificati in ogni AuditConfig sono abilitati e gli exemptedMember in ogni AuditLogConfig sono esenti.
Policy di esempio con più AuditConfig:
{
"auditConfigs": [
{
"service": "allServices",
"auditLogConfigs": [
{
"logType": "DATA_READ",
"exemptedMembers": [
"user:jose@example.com"
]
},
{
"logType": "DATA_WRITE"
},
{
"logType": "ADMIN_READ"
}
]
},
{
"service": "sampleservice.googleapis.com",
"auditLogConfigs": [
{
"logType": "DATA_READ"
},
{
"logType": "DATA_WRITE",
"exemptedMembers": [
"user:aliya@example.com"
]
}
]
}
]
}
Per sampleservice, questa policy abilita il logging di DATA_READ, DATA_WRITE e ADMIN_READ. Inoltre, esenta jose@example.com dal logging di DATA_READ e aliya@example.com dal logging di DATA_WRITE.
| Rappresentazione JSON |
|---|
{
"service": string,
"auditLogConfigs": [
{
object ( |
| Campi | |
|---|---|
service |
Specifica un servizio che verrà abilitato per l'audit logging. Ad esempio, |
auditLogConfigs[] |
La configurazione per il logging di ogni tipo di autorizzazione. |
AuditLogConfig
Fornisce la configurazione per il logging di un tipo di autorizzazione. Esempio:
{
"auditLogConfigs": [
{
"logType": "DATA_READ",
"exemptedMembers": [
"user:jose@example.com"
]
},
{
"logType": "DATA_WRITE"
}
]
}
In questo modo viene abilitato il logging di "DATA_READ" e "DATA_WRITE", mentre jose@example.com viene esentato dal logging di DATA_READ.
| Rappresentazione JSON |
|---|
{
"logType": enum ( |
| Campi | |
|---|---|
logType |
Il tipo di log abilitato da questa configurazione. |
exemptedMembers[] |
Specifica le identità che non causano il logging per questo tipo di autorizzazione. Segue lo stesso formato di |
LogType
L'elenco dei tipi di autorizzazione validi per i quali è possibile configurare il logging. Le scritture amministrative vengono sempre registrate e non sono configurabili.
| Enum | |
|---|---|
LOG_TYPE_UNSPECIFIED |
Caso predefinito. Non dovrebbe mai essere questo. |
ADMIN_READ |
Letture amministrative. Esempio: CloudIAM getIamPolicy |
DATA_WRITE |
Scritture di dati. Esempio: creazione di utenti Cloud SQL |
DATA_READ |
Letture di dati. Esempio: elenco degli utenti CloudSQL |