IAM Conditions 的屬性參考資料

string

如需支援的值清單，請參閱「資源服務值」。

傳回 Compute Engine 資源的 true：

resource.service == "compute.googleapis.com"

• BigQuery
• BigQuery Reservation API
• Cloud Key Management Service
• Cloud Logging
• Cloud SQL
• Cloud Storage
• Compute Engine
• Cloud DNS
• Google Kubernetes Engine
• 網路安全整合服務
• Cloud NGFW
• Resource Manager

string

如需支援的值清單，請參閱「資源類型值」。

除非資源是 Compute Engine 映像檔，否則會傳回 true：

resource.type != "compute.googleapis.com/Image"

只有在資源為 Compute Engine 映像檔或永久磁碟時，才會傳回 true：

(resource.type == "compute.googleapis.com/Image" ||
 resource.type == "compute.googleapis.com/Disk")

¹ Cloud Key Management Service 會將這類資源做為金鑰環資源的父項。

string

每種資源類型都有特定的資源名稱格式。如需格式清單，請參閱「資源名稱格式」。

resource.name 包含要求中目標資源的相對資源名稱。相對資源名稱是不含前置正斜線 (/) 的 URI 路徑。

startsWith() 函式會採用前置字串常值，並根據 resource.name 進行評估。

endsWith() 函式會採用要與 resource.name 進行評估的後置字串常值。

extract() 函式會使用擷取範本擷取 resource.name 的部分內容。詳情請參閱本頁的「從資源名稱擷取值」一節。

== 和 != 運算子用於與整個 resource.name 或擷取的 resource.name 部分進行比較。

除非資源名稱識別出名為 secret-bucket-123 的 Cloud Storage bucket，否則會傳回 true：

resource.name != "projects/_/buckets/secret-bucket-123"

如果資源名稱開頭為指定前置字串，則傳回 true，格式為 Compute Engine VM 執行個體使用的格式：

resource.name.startsWith("projects/project-123/zones/us-east1-b/instances/prod-")

如果資源名稱開頭為指定的前置字串，則傳回 true，格式為 Cloud Storage bucket 使用的格式：

resource.name.startsWith("projects/_/buckets/my_bucket/objects/test-object-")

如果資源名稱結尾為指定後置字串，則傳回 true，例如 Cloud Storage 物件的副檔名：

resource.name.endsWith(".jpg")

傳回專案名稱或編號 (如有)：

resource.name.extract("projects/{project}/")

檢查要求資源是否具有指定索引鍵的標記。系統會依據命名空間名稱查詢標記鍵。如要使用永久 ID 檢查標記鍵，請使用 resource.hasTagKeyId() 函式。

參數

keyName：標記鍵的命名空間名稱，前置字串為組織的數字 ID 和正斜線。例如：123456789012/env。

範例

如果要求資源含有鍵為 env 的標記，則傳回 true：

resource.hasTagKey('123456789012/env')

檢查要求資源是否具有指定索引鍵的標記。系統會依據永久 ID 查詢標記鍵。 如要使用命名空間名稱檢查標記鍵，請使用 resource.hasTagKey() 函式。

參數

keyId：標記鍵的永久 ID。例如：tagKeys/123456789012。

範例

如果要求資源含有鍵為 tagKeys/123456789012 的標記，則傳回 true：

resource.hasTagKeyId('tagKeys/123456789012')

檢查要求的資源是否具有指定鍵和值的標記。系統會依據命名空間名稱查詢鍵，並依據簡稱查詢值。如要使用永久 ID 檢查標記鍵和值，請使用 resource.matchTagId() 函式。

參數

• keyName：標記鍵的命名空間名稱，前置字串為組織的數字 ID 和正斜線。例如：123456789012/env。
• valueShortName：標記值的簡稱。 例如：prod。

範例

如果要求資源含有鍵為 123456789012/env 且值為 prod 的標記，則傳回 true：

resource.matchTag('123456789012/env', 'prod')

檢查要求的資源是否具有指定鍵和值的標記。系統會依據鍵和值的永久 ID 進行查詢。如要使用命名空間限定名稱檢查標記索引鍵，並使用簡稱檢查值，請使用 resource.matchTag() 函式。

參數

• keyId：標記鍵的永久 ID。例如：tagKeys/123456789012。
• valueId：標記值的永久 ID。例如：tagValues/567890123456。

範例

如果要求資源含有鍵為 tagKeys/123456789012 且值為 tagValues/567890123456 的標記，則傳回 true：

resource.matchTagId('tagKeys/123456789012', 'tagValues/567890123456')

取得要求的 API 屬性。

參數

• attributeName：要取得的 API 屬性。如需支援的值，請參閱本頁的 Cloud Storage API 屬性和 IAM API 屬性。

• defaultValue：如果 API 屬性無法使用，則使用預設值 (V)。V 的值屬於 T 類型，其中 T 與 API 屬性的值屬於相同類型。舉例來說，如果 API 屬性的值是字串，您可以使用空字串或預留位置字串，例如 undefined。

範例

傳回下列其中一項：

• 如果是授予或撤銷角色的要求，則會傳回要求修改的角色清單。
• 如果是其他類型的要求，則會傳回空白清單。

api.getAttribute("iam.googleapis.com/modifiedGrantsByRole", [])

檢查清單是否僅包含允許的項目，或這些項目的子集。您可以對 api.getAttribute() 傳回的清單呼叫函式。

參數

items：類型為 T 的項目清單。每個項目都是 API 屬性可包含的值。

範例

檢查要求是否會授予或撤銷 Pub/Sub 編輯者 (roles/pubsub.editor) 或 Pub/Sub 發布者 (roles/pubsub.publisher) 以外的角色：

api.getAttribute('iam.googleapis.com/modifiedGrantsByRole', [])
    .hasOnly(['roles/pubsub.editor', 'roles/pubsub.publisher'])

以下是不同要求值的結果：

已授予/撤銷的角色	結果
無	true 如果未修改任何角色，api.getAttribute() 會傳回預設值。這個屬性的預設值一律為空白清單。根據定義，空白清單不含不在許可清單中的值。
roles/pubsub.editor	true 角色已列入許可清單。
roles/pubsub.editor roles/pubsub.publisher	true 這兩個角色都在許可清單中。
roles/billing.admin	false 角色不在許可清單中。
roles/billing.admin roles/pubsub.editor	false 其中一個角色在許可清單中，另一個則不在。

如果要求設定資源的允許政策，這項屬性會包含要求修改的角色繫結中的角色名稱。

如果是其他類型的要求，則不會定義這個屬性。

下列資源類型接受允許政策中含有 modifiedGrantsByRole 屬性的條件：

• 專案
• 資料夾
• 組織

下列服務可辨識 modifiedGrantsByRole 屬性：

• Cloud Key Management Service
• Cloud Storage
• Compute Engine
• Identity and Access Management
• Resource Manager

如果要求存取或修改記憶庫資源，則包含記憶體中 scope 欄位的值。

如果是其他類型的要求，則不會定義這個屬性。

將日期從 string 轉換為 Timestamp。

參數

value：格式為 YYYY-MM-DD 的日期，其中 YYYY 是年份，MM 是兩位數的月份，DD 則是兩位數的日期。產生的 Timestamp 包含指定日期和時間 00:00:00.000 UTC。

範例

建立代表日期 2023-02-01 和時間 00:00:00.000 UTC 的 Timestamp：

date("2023-02-01")

將時間長度從 string 轉換為 Duration。

參數

value：Duration (以秒為單位)，後面加上 s。

範例

建立代表 1.5 分鐘的時間長度：

duration("90s")

建立代表 30 天的時間長度：

duration("2592000s")

將 string 轉換為 Timestamp。

參數

value：符合 RFC 3339 的世界標準時間時間戳記。

範例

建立代表 2023 年 4 月 12 日 23:20:50.52 (世界標準時間) 的時間戳記：

timestamp("2023-04-12T23:20:50.52Z")

比較兩個 Timestamp 值。

範例

如果要求時間「早於」2022 年 4 月 12 日 00:00:00 (世界標準時間)，則傳回 true：

request.time < timestamp("2022-04-12T00:00:00.00Z")

如果要求時間「早於或等於」2022 年 4 月 12 日 00:00:00 (世界標準時間)，則傳回 true：

request.time <= timestamp("2022-04-12T00:00:00.00Z")

如果要求時間「晚於」2022 年 4 月 12 日 00:00:00 UTC，則傳回 true：

request.time > timestamp("2022-04-12T00:00:00.00Z")

如果要求時間晚於或等於世界標準時間 2022 年 4 月 12 日 00:00:00，則傳回 true：

request.time >= timestamp("2022-04-12T00:00:00.00Z")

• timestamp + duration trending_flat  Timestamp
• timestamp - duration trending_flat  Timestamp

在 Timestamp 中加上或減去 Duration。

範例

傳回 2024-04-12 世界標準時間 14:30:00 之後 30 分鐘的 Timestamp：

timestamp("2024-04-12T14:30:00.00Z") + duration("1800s")

傳回 2024-04-12 14:30:00 (世界標準時間) 60 天前的 Timestamp：

timestamp("2024-04-12T14:30:00.00Z") - duration("5184000s")

從 Timestamp 取得當月日期。這個值使用以 1 為基底的索引，當月第一天為 1。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

範例

如果要求是在 UTC 時間每月 15 日後傳送，則傳回 true：

request.time.getDate() > 15

從 Timestamp 取得當月日期。這個值採用以零為基準的索引，當月第一天為 0。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

範例

如果要求是在 UTC 時間每月 15 日後傳送，則傳回 true：

request.time.getDayOfMonth() > 14

從 Timestamp 取得星期幾。這個值使用以零為基準的索引，例如星期日為 0。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

範例

如果要求是在德國柏林時間週一至週五之間傳送，則傳回 true：

request.time.getDayOfWeek("Europe/Berlin") > 0 &&
    request.time.getDayOfWeek("Europe/Berlin") < 6

從 Timestamp 取得年度天次。這個值使用從零開始的索引，因此一年的第一天是 0。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

範例

如果要求是在美國加州山景城一年的前 5 天內傳送，則傳回 true：

request.time.getDayOfYear("America/Los_Angeles") >= 0 &&
    request.time.getDayOfYear("America/Los_Angeles") < 5

從 Timestamp 取得年份。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

範例

如果要求是在 2023 年於美國加州山景城傳送，則傳回 true：

request.time.getFullYear("America/Los_Angeles") == 2023

如果要求是在 2022 年 (世界標準時間) 傳送，則傳回 true：

request.time.getFullYear() == 2022

從 Timestamp 取得當天的小時。這個值使用以零為基準的索引，範圍從 0 到 23。

您可以將這項函式與 getDayofWeek() 搭配使用，只在您管轄區的許可工作時段內授予存取權。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

範例

如果是在德國柏林平日的 09:00 (上午 9:00) 到 17:00 (下午 5:00) 之間傳送要求，則傳回 true：

request.time.getDayOfWeek("Europe/Berlin") >= 1 &&
    request.time.getDayOfWeek("Europe/Berlin") <= 5 &&
    request.time.getHours("Europe/Berlin") >= 9 &&
    request.time.getHours("Europe/Berlin") <= 17

從 Timestamp 取得毫秒數。這個值使用以零為基準的索引，範圍從 0 到 999。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

從 Timestamp 取得整點過後的分鐘數。這個值使用以零為基準的索引，範圍介於 0 到 59 之間。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

範例

如果要求是在德國柏林時間 09:30 (上午 9:30) 或之後傳送，則傳回 true：

request.time.getHours("Europe/Berlin") >= 9 &&
    request.time.getMinutes("Europe/Berlin") >= 30

從 Timestamp 取得月份。這個值使用以零為基準的索引，範圍從 0 到 11。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

範例

如果是在 4 月於美國加州山景城傳送要求，則傳回 true：

request.time.getMonth("America/Los_Angeles") == 3

從 Timestamp 取得秒數。這個值使用以零為基準的索引，範圍介於 0 到 59 之間。

參數

timeZone：計算結果時使用的時區。預設為世界標準時間。

比較這個表格中兩個函式的輸出內容。

檢查要求是否正在建立轉送規則。

範例

查看 compute.matchLoadBalancingSchemes() 的範例。

檢查要求是否會影響其中一種指定的負載平衡配置類型。如要查看各個負載平衡架構的 ID 和更多詳細資料，請參閱「在 Cloud de Confiance 負載平衡器上使用 IAM 條件」。

參數

schemes：要求可影響的負載平衡配置。

範例

傳回下列其中一項：

• 如果要求「不是」建立轉送規則，則傳回 true。
• 如果要求「是」建立轉送規則，則只有在轉送規則影響 INTERNAL、INTERNAL_MANAGED 或 INTERNAL_SELF_MANAGED 負載平衡配置時，才會傳回 true。

!compute.isForwardingRuleCreationOperation() || (
  compute.isForwardingRuleCreationOperation() &&
  compute.matchLoadBalancingSchemes([
    'INTERNAL', 'INTERNAL_MANAGED', 'INTERNAL_SELF_MANAGED'
  ])
)