יצירה והחלה של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB)

המסוף

1. נכנסים לדף Principal Access Boundary policies במסוף Cloud de Confiance .

   מעבר למדיניות לקביעת הגישה לישויות מורשות

2. בוחרים את הארגון שעבורו רוצים ליצור מדיניות של גבולות גישה לחשבון ראשי.

3. לוחצים על add_box יצירת מדיניות.

4. מוסיפים למדיניות כללים לקביעת גבול הגישה לחשבונות משתמשים (PAB):

   1. לוחצים על add_box הוספת כלל לגבי גבולות.
   2. בשדה Description (תיאור), מוסיפים תיאור של כלל המדיניות של גבול הגישה של הגורם המרכזי. התיאור יכול להכיל עד 256 תווים.

   3. בקטע Resources (משאבים), מזינים את כל המשאבים במנהל המשאבים (פרויקטים, תיקיות וארגונים) שרוצים שהחשבונות הראשיים יוכלו לגשת אליהם. כל חשבון משתמש שחל עליו הכלל הזה יכול לגשת למשאבים האלה.

      כל מדיניות של גבול גישה לחשבון משתמש יכולה להפנות למקסימום 500 משאבים בכל הכללים במדיניות.

   4. לוחצים על סיום.

   5. כדי להוסיף עוד כללים למדיניות, חוזרים על השלבים האלה. כל מדיניות של גבולות גישה לחשבונות משתמשים יכולה לכלול עד 500 כללים.

5. בקטע Policy name, מזינים שם למדיניות. השם יכול להכיל עד 63 תווים.

6. ברשימה Enforcement version, בוחרים את גרסת האכיפה של המדיניות. גרסת המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) קובעת אילו הרשאות נאכפות על ידי IAM במסגרת המדיניות לקביעת גבול הגישה לחשבונות משתמשים.

   מידע נוסף על הגדרה וניהול של גרסאות אכיפה זמין במאמר בנושא ניהול גרסאות אכיפה.

7. לוחצים על יצירה.

gcloud

הפקודה gcloud iam principal-access-boundary-policies create יוצרת מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB).

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫ORG_ID: המזהה של הארגון שבו רוצים ליצור את המדיניות לקביעת הגישה לישויות מורשות. מזהי ארגונים הם מספרים, למשל 123456789012.
• ‫PAB_POLICY_ID: מזהה ייחודי של מדיניות הגבלת הגישה לחשבון ראשי – לדוגמה, example-policy. :
• ‫DISPLAY_NAME: אופציונלי. תיאור של המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) שכתוב בצורה שקריאה לאנשים – לדוגמה, Example policy. השם המוצג יכול לכלול עד 63 תווים.

• ‫FILE_PATH: הנתיב לקובץ JSON שמכיל את פרטי כלל המדיניות של גבולות הגישה של הגורם הראשי. כל כלל צריך להיות בפורמט הבא:

  {
    "description": "DESCRIPTION",
    "resources": [
      RESOURCES
    ],
    "effect": "ALLOW"
  }

  מחליפים את הערכים הבאים:

  • ‫DESCRIPTION: אופציונלי. תיאור של כלל המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB). התיאור יכול להכיל עד 256 תווים.

  • ‫RESOURCES: רשימה של משאבים ב-מנהל המשאבים (פרויקטים, תיקיות וארגונים) שרוצים להגדיר לישויות מורשות אפשרות גישה אליהם. כל חשבון משתמש שחל עליו הכלל הזה יכול לגשת למשאבים האלה.

    כל מדיניות של גבולות גישה לחשבונות משתמשים יכולה להפנות למקסימום 500 משאבים בכל הכללים במדיניות.

• ‫ENFORCEMENT_VERSION: הגרסה של מדיניות הגישה לישויות מורשות ש-IAM משתמש בה כדי לאכוף את המדיניות. גרסת האכיפה קובעת אילו הרשאות נאכפות על ידי IAM במדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB).

  הערכים הקבילים הם 1,‏ 2,‏ 3,‏ 4 ו-latest .

  מידע נוסף על הגדרה וניהול של גרסאות אכיפה זמין במאמר בנושא ניהול גרסאות אכיפה.

מריצים את הפקודה הבאה:

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID \
    --organization=ORG_ID --location=global \
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json \
    --details-enforcement-version=ENFORCEMENT_VERSION

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID `
    --organization=ORG_ID --location=global `
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json `
    --details-enforcement-version=ENFORCEMENT_VERSION

gcloud iam principal-access-boundary-policies create PAB_POLICY_ID ^
    --organization=ORG_ID --location=global ^
    --display-name=DISPLAY_NAME --details-rules=FILE_PATH.json ^
    --details-enforcement-version=ENFORCEMENT_VERSION

התשובה מכילה פעולה ממושכת שמייצגת את הבקשה שלכם. בקטע בדיקת הסטטוס של פעולה ממושכת שבדף הזה מוסבר איך מקבלים את הסטטוס של פעולה ממושכת.

Create request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715373988044-6181fa136df85-3b06a30a-4816d25b] to complete...done.
Created principalAccessBoundaryPolicy [example-policy].

REST

השיטה principalAccessBoundaryPolicies.create יוצרת מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB).

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫ORG_ID: המזהה של הארגון שבו רוצים ליצור את המדיניות לקביעת הגישה לישויות מורשות. מזהי ארגונים הם מספרים, למשל 123456789012.
• ‫PAB_POLICY_ID: מזהה ייחודי של מדיניות הגבלת הגישה לחשבון ראשי – לדוגמה, example-policy.
• ‫DISPLAY_NAME: אופציונלי. תיאור של המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) שכתוב בצורה שקריאה לאנשים – לדוגמה, Example policy. השם המוצג יכול לכלול עד 63 תווים.

• PAB_RULES: רשימה של כללים להגבלת הגישה לחשבונות משתמשים, שמגדירים את המשאבים שחשבונות המשתמשים המושפעים יכולים לגשת אליהם. מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) יכולה לכלול עד 500 כללים. כל כלל הוא בפורמט הבא:

  {
    "description": "DESCRIPTION",
    "resources": [
      RESOURCES
    ],
    "effect": "ALLOW"
  }

  מחליפים את הערכים הבאים:

  • ‫DESCRIPTION: אופציונלי. תיאור של כלל המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB). התיאור יכול להכיל עד 256 תווים.

  • ‫RESOURCES: רשימה של משאבים ב-מנהל המשאבים (פרויקטים, תיקיות וארגונים) שרוצים להגדיר לישויות מורשות אפשרות גישה אליהם. כל חשבון משתמש שחל עליו הכלל הזה יכול לגשת למשאבים האלה.

    כל מדיניות של גבולות גישה לחשבונות משתמשים יכולה להפנות למקסימום 500 משאבים בכל הכללים במדיניות.

• ‫ENFORCEMENT_VERSION: הגרסה של מדיניות הגישה לישויות מורשות ש-IAM משתמש בה כדי לאכוף את המדיניות. גרסת האכיפה קובעת אילו הרשאות נאכפות על ידי IAM במדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB).

  הערכים הקבילים הם 1,‏ 2,‏ 3,‏ 4 ו-latest .

  מידע נוסף על הגדרה וניהול של גרסאות אכיפה זמין במאמר בנושא ניהול גרסאות אכיפה.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID

תוכן בקשת JSON:

{
  "displayName": "DISPLAY_NAME",
  "details": {
    "rules": [
      PAB_RULES
    ],
    "enforcementVersion": "ENFORCEMENT_VERSION"
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global?principalAccessBoundaryPolicyId=PAB_POLICY_ID" | Select-Object -Expand Content

התשובה מכילה פעולה ממושכת שמייצגת את הבקשה שלכם. בקטע בדיקת הסטטוס של פעולה ממושכת שבדף הזה מוסבר איך מקבלים את הסטטוס של פעולה ממושכת.

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373120647-6181f6d8371d2-83309b71-2b8a7532",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:32:00.898809495Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

המסוף

1. נכנסים לדף Principal Access Boundary policies במסוף Cloud de Confiance .

   מעבר למדיניות לקביעת הגישה לישויות מורשות

2. בוחרים את הארגון שבבעלותו המדיניות של גבולות הגישה של חשבון המשתמש שרוצים ליצור עבורו קישור.

3. לוחצים על מזהה המדיניות של המדיניות לקביעת הגישה לישויות מורשות (PAB) שרוצים ליצור עבורה קשירה.

4. לוחצים על הכרטיסייה Bindings (קישורים) ואז על add_box Add binding (הוספת קישור).

5. מזינים את פרטי הקישור:

   1. אופציונלי: בשדה Display name, מזינים שם לתצוגה של הקישור. השם המוצג יכול לכלול עד 63 תווים.
   2. בשדה Binding ID (מזהה הקישור), מזינים שם ייחודי לקישור – למשל, example-binding.

   3. בקטע Target principal set, מזינים את הסוג והמזהה של קבוצת חשבונות המשתמשים שאליה רוצים לקשר את המדיניות. אי אפשר לשנות את הערך הזה אחרי שיוצרים את הקישור למדיניות.

      מידע נוסף על החשבונות הראשיים שכלולים בכל קבוצת חשבונות ראשיים זמין במאמר קבוצות חשבונות ראשיים נתמכות.

6. אופציונלי: כדי לציין על אילו חשבונות משתמשים בקבוצת החשבונות תחול המדיניות לקביעת הגישה לישויות מורשות, מוסיפים תנאי לקישור:

   1. לוחצים על add הוספת תנאי.
   2. בשדה כותרת, מזינים סיכום קצר של מטרת התנאי.
   3. אופציונלי: בשדה Description, מזינים תיאור ארוך יותר של התנאי.
   4. בשדה Expression (ביטוי), מזינים ביטוי תנאי שמשתמש בתחביר של Common Expression Language ‏(CEL). הביטוי צריך להתייחס למאפיינים principal.type או principal.subject. אין תמיכה במאפיינים אחרים.
   5. לוחצים על Save.

7. אופציונלי: כדי לבדוק את השינויים במדיניות של הגבלת הגישה של חשבון משתמש באמצעות סימולטור המדיניות, לוחצים על בדיקת שינויים. בודקים את תוצאות הסימולציה ומעדכנים את המדיניות אם צריך.

   מידע נוסף על בדיקת מדיניות של גבולות גישה של גורמים מרכזיים באמצעות סימולטור המדיניות זמין במאמר סימולטור המדיניות בנושא מדיניות של גבולות גישה של גורמים מרכזיים.

8. כדי ליצור את הקישור, לוחצים על Add (הוספה).

gcloud

הפקודה gcloud iam policy-bindings create יוצרת קישור למדיניות.

לפני השימוש בנתוני הפקודה הבאים, צריך להחליף את הנתונים הבאים:

• ‫BINDING_ID: שם ייחודי לקשירת המדיניות, לדוגמה, example-binding.

• ‫RESOURCE_TYPE: סוג המשאב במנהל המשאבים (פרויקט, תיקייה או ארגון) שה-policy binding הוא צאצא שלו. אפשר להשתמש בערך project,‏ folder או organization

  סוג המשאב תלוי בישות (principal) שמוגדרת בקשירת המדיניות. כדי לראות באיזה סוג משאב צריך להשתמש, אפשר לעיין במאמר סוגי חשבונות משתמש נתמכים.

• ‫RESOURCE_ID: המזהה של הפרויקט, התיקייה או הארגון שהקישור למדיניות הוא צאצא שלהם. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• ‫ORG_ID: המזהה של הארגון שבבעלותו המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) שרוצים לקשר לקבוצת חשבונות המשתמשים. מזהי ארגונים הם מספרים, למשל 123456789012.
• ‫PAB_POLICY_ID: המזהה של מדיניות הגבלת הגישה של החשבון הראשי שרוצים לקשר לקבוצת החשבונות הראשיים. לדוגמה, example-pab-policy. אי אפשר לשנות את הערך הזה אחרי שיוצרים את הקישור למדיניות.
• ‫PRINCIPAL_SET: קבוצת החשבונות שרוצים לקשר אליה את המדיניות. רשימת הסוגים החוקיים של חשבונות משתמשים מופיעה במאמר קבוצות חשבונות משתמשים נתמכות. אי אפשר לשנות את הערך הזה אחרי שיוצרים את הקישור למדיניות.
• ‫DISPLAY_NAME: אופציונלי. תיאור קריא של הקישור – לדוגמה, Example binding. השם המוצג יכול לכלול עד 63 תווים.

• ‫CONDITION_DETAILS: אופציונלי. ביטוי תנאי שמציין אילו חשבונות משתמשים בקבוצת חשבונות המשתמשים המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) נאכפת לגביהם. מכיל את השדות הבאים:

  • ‫expression: ביטוי תנאי שמשתמש בתחביר של Common Expression Language ‏ (CEL). הביטוי צריך להתייחס למאפיינים principal.type או principal.subject. אין תמיכה במאפיינים אחרים.

    הביטוי יכול להכיל עד 10 אופרטורים לוגיים (&&,‏ ||,‏ !) ואורכו יכול להיות עד 250 תווים.

  • ‫title: אופציונלי. סיכום קצר של מטרת התנאי.
  • description: אופציונלי. תיאור ארוך יותר של התנאי.

מריצים את הפקודה הבאה:

gcloud iam policy-bindings create BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global \
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" \
    --target-principal-set=PRINCIPAL_SET_ID \
    --display-name=DISPLAY_NAME \
    CONDITION_DETAILS

gcloud iam policy-bindings create BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global `
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" `
    --target-principal-set=PRINCIPAL_SET_ID `
    --display-name=DISPLAY_NAME `
    CONDITION_DETAILS

gcloud iam policy-bindings create BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global ^
    --policy="organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID" ^
    --target-principal-set=PRINCIPAL_SET_ID ^
    --display-name=DISPLAY_NAME ^
    CONDITION_DETAILS

התשובה מכילה פעולה ממושכת שמייצגת את הבקשה שלכם. בקטע בדיקת הסטטוס של פעולה ממושכת שבדף הזה מוסבר איך מקבלים את הסטטוס של פעולה ממושכת.

Create request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374545618-6181fc272c6f9-55ff07f4-97d0ac76] to complete...done.
Created policyBinding [example-binding].

REST

השיטה policyBindings.create יוצרת קשר בין מדיניות לבין משאב.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫RESOURCE_TYPE: סוג המשאב במנהל המשאבים (פרויקט, תיקייה או ארגון) שה-policy binding הוא צאצא שלו. אפשר להשתמש בערך projects,‏ folders או organizations

  סוג המשאב תלוי בישות (principal) שמוגדרת בקשירת המדיניות. כדי לראות באיזה סוג משאב צריך להשתמש, אפשר לעיין במאמר סוגי חשבונות משתמש נתמכים.

• ‫RESOURCE_ID: המזהה של הפרויקט, התיקייה או הארגון שהקישור למדיניות הוא צאצא שלהם. מזהי פרויקטים הם מחרוזות אלפאנומריות, כמו my-project. מזהי תיקיות וארגונים מכילים רק ספרות, למשל 123456789012.
• ‫BINDING_ID: שם ייחודי לקשירת המדיניות, לדוגמה, example-binding.
• ‫DISPLAY_NAME: אופציונלי. תיאור קריא של הקישור – לדוגמה, Example binding. השם המוצג יכול לכלול עד 63 תווים.
• ‫PRINCIPAL_SET: קבוצת החשבונות שרוצים לקשר אליה את המדיניות. רשימת הסוגים החוקיים של חשבונות משתמשים מופיעה במאמר קבוצות חשבונות משתמשים נתמכות. אי אפשר לשנות את הערך הזה אחרי שיוצרים את הקישור למדיניות.
• ‫ORG_ID: המזהה של הארגון שבבעלותו המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) שרוצים לקשר לקבוצת חשבונות המשתמשים. מזהי ארגונים הם מספרים, למשל 123456789012.
• ‫PAB_POLICY_ID: המזהה של מדיניות הגבלת הגישה של החשבון הראשי שרוצים לקשר לקבוצת החשבונות הראשיים. לדוגמה, example-pab-policy. אי אפשר לשנות את הערך הזה אחרי שיוצרים את הקישור למדיניות.

• ‫CONDITION_DETAILS: אופציונלי. ביטוי תנאי שמציין אילו חשבונות משתמשים בקבוצת חשבונות המשתמשים המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) נאכפת לגביהם. מכיל את השדות הבאים:

  • ‫expression: ביטוי תנאי שמשתמש בתחביר של Common Expression Language ‏ (CEL). הביטוי צריך להתייחס למאפיינים principal.type או principal.subject. אין תמיכה במאפיינים אחרים.

    הביטוי יכול להכיל עד 10 אופרטורים לוגיים (&&,‏ ||,‏ !) ואורכו יכול להיות עד 250 תווים.

  • ‫title: אופציונלי. סיכום קצר של מטרת התנאי.
  • description: אופציונלי. תיאור ארוך יותר של התנאי.

ה-method של ה-HTTP וכתובת ה-URL:

POST https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID

תוכן בקשת JSON:

{
  "displayName": DISPLAY_NAME,
  "target": {
    "principalSet": PRINCIPAL_SET
  },
  "policyKind": "PRINCIPAL_ACCESS_BOUNDARY",
  "policy": "organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID",
  "condition": {
    CONDITION_DETAILS
  }
}

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

curl -X POST \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d @request.json \
     "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method POST `
    -Headers $headers `
    -ContentType: "application/json; charset=utf-8" `
    -InFile request.json `
    -Uri "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings?policyBindingId=BINDING_ID" | Select-Object -Expand Content

התשובה מכילה פעולה ממושכת שמייצגת את הבקשה שלכם. בקטע בדיקת הסטטוס של פעולה ממושכת שבדף הזה מוסבר איך מקבלים את הסטטוס של פעולה ממושכת.

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373120647-6181f6d8371d2-83309b71-2b8a7532",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:32:00.898809495Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

REST

השיטה operations.get מחזירה את הסטטוס של פעולה ממושכת.

לפני שמשתמשים בנתוני הבקשה, צריך להחליף את הנתונים הבאים:

• ‫OPERATION_NAME: השם המלא של הפעולה. השם הזה מופיע בתגובה לבקשה המקורית.

  שם הפעולה הוא בפורמט הבא:

        RESOURCE_TYPE/RESOURCE_ID/locations/global/operations/OPERATION_ID
      

ה-method של ה-HTTP וכתובת ה-URL:

GET https://iam.googleapis.com/v3/OPERATION_NAME

כדי לשלוח את הבקשה צריך להרחיב אחת מהאפשרויות הבאות:

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/OPERATION_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/OPERATION_NAME" | Select-Object -Expand Content

אתם אמורים לקבל תגובת JSON שדומה לזו:

{
  "name": "organizations/314340013352/locations/global/operations/operation-1732752311821-627edd607a3df-9a62cdea-2a7d9f07",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-11-28T00:05:12.006289686Z",
    "endTime": "2024-11-28T00:05:12.192141801Z",
    "target": "organizations/314340013352/locations/global/principalAccessBoundaryPolicies/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": true,
  "response": {
    PAB_POLICY
  }
}

אם השדה done של הפעולה לא מופיע, אפשר לבצע את הפעולה שוב ושוב כדי להמשיך לעקוב אחר הסטטוס שלה. צריך להשתמש בהשהיה מעריכית (exponential backoff) קטועה לפני ניסיון חוזר כדי ליצור עיכוב בין כל בקשה. כשהערך של השדה done מוגדר בתור true, הפעולה הושלמה ואפשר להפסיק לבצע אותה.