הסרה של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB)

המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) מאפשרת להגביל את המשאבים שקבוצה של חשבונות משתמשים יכולה לגשת אליהם. אם אתם כבר לא רוצים לאכוף מדיניות של גבול גישה לחשבונות משתמשים (PAB) על קבוצת חשבונות משתמשים, אתם יכולים למחוק את הקישור של המדיניות לקבוצת החשבונות. אם רוצים להסיר מדיניות של הגבלת גישה לישויות מורשות מכל קבוצות הישויות המורשות שהיא מקושרת אליהן, אפשר למחוק את המדיניות.

הסרה של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) מקבוצת חשבונות משתמשים גורמת לאחת מהתוצאות הבאות:

• אם חשבונות המשתמש בקבוצת חשבונות המשתמש לא כפופים למדיניות אחרת של גבולות גישה לחשבונות משתמש, הם יוכלו לגשת לכל המשאבים שלCloud de Confiance .
• אם החשבונות הראשיים בקבוצת החשבונות הראשיים כפופים למדיניות אחרת של גבולות גישה לחשבונות ראשיים, הם יוכלו לגשת רק למשאבים שמוגדרים במדיניות הזו.

לפני שמתחילים

• מגדירים אימות.

  צריך לבחור את הכרטיסייה הרלוונטית לאופן שבו תכננתם להשתמש בדוגמאות בדף הזה:

  gcloud

  התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם. אחרי שנכנסתם לחשבון, אתחלו את ה-CLI של Google Cloud באמצעות הפקודה הבאה:

  gcloud init

  REST

  כדי להשתמש בסביבת פיתוח מקומית בדוגמאות של API בארכיטקטורת REST שבדף הזה, צריך להשתמש בפרטי הכניסה שאתם נותנים ל-CLI של gcloud.

  התקינו את ה-CLI של Google Cloud ואז היכנסו ל-CLI של gcloud באמצעות הזהות המאוחדת שלכם.

  מידע נוסף מופיע במאמר אימות לשימוש ב-REST במסמכי האימות של Cloud de Confiance .

• כדאי לקרוא את הסקירה הכללית של המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB).

תפקידים שנדרשים למחיקת מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB)

כדי לקבל את ההרשאה שנדרשת למחיקת כללי מדיניות של בקרת גישה לישויות מורשות (PAB), צריך לבקש מהאדמין להקצות לכם את תפקיד ה-IAM‏ Principal Access Boundary Admin (roles/iam.principalAccessBoundaryAdmin) בארגון. כדי לקרוא הסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקיד המוגדר מראש הזה כולל את ההרשאה iam.principalaccessboundarypolicies.delete, שנדרשת כדי למחוק מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB).

יכול להיות שתוכלו לקבל את ההרשאה הזו גם בתפקידים בהתאמה אישית או בתפקידים אחרים שמוגדרים מראש.

תפקידים שנדרשים למחיקת קישורי מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB)

ההרשאות שנדרשות כדי למחוק קישורי מדיניות של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) תלויות בקבוצת חשבונות המשתמשים שמקושרת למדיניות.

כדי לקבל את ההרשאות שדרושות למחיקת קישורי מדיניות של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB), אתם צריכים לבקש מהאדמין להקצות לכם את תפקידי ה-IAM הבאים:

• בקרת גישה לישויות מורשות (PAB) משתמש (roles/iam.principalAccessBoundaryUser) בארגון שלכם
• מחיקת קשרי מדיניות (policy bindings) למדיניות של גבולות גישה של חשבונות ראשיים שקשורים למאגרי זהויות של כוח עבודה: אדמין של מאגר זהויות של כוח עבודה ב-IAM (roles/iam.workforcePoolAdmin) במאגר הזהויות של כוח העבודה
• מחיקת מדיניות IAM שמקושרת למאגרי זהויות של כוח עבודה: אדמין של מאגר זהויות של כוח עבודה ב-IAM (roles/iam.workloadIdentityPoolAdmin) בפרויקט שבבעלותו מאגר הזהויות של כוח העבודה
• קבלת הסטטוס של פעולה ארוכת טווח למחיקת קישור שמפנה למאגר זהויות של כוח עבודה: צפייה בפעולות ב-IAM (roles/iam.operationViewer) בפרויקט שכולל את מאגר הזהויות של כוח העבודה
• מחיקת קשרי מדיניות למדיניות של גבולות גישה למשתמשים שקשורים לדומיין ב-Google Workspace: אדמין של מאגר זהויות ב-Workspace ב-IAM (roles/iam.workspacePoolAdmin) בארגון
• כדי למחוק קישורי מדיניות של מדיניות לקביעת הגישה לישויות מורשות שקשורים לקבוצת הישויות המורשות של הפרויקט: אדמין IAM של פרויקט (roles/resourcemanager.projectIamAdmin) בפרויקט
• קבלת הסטטוס של פעולה ממושכת למחיקת קישור שמפנה לקבוצת חשבונות משתמש בפרויקט: IAM Operation Viewer (roles/iam.operationViewer) on the project
• מחיקת קשרי מדיניות של מדיניות לקביעת הגישה לישויות מורשות (PAB) שקשורים לקבוצת הישויות המורשות של תיקייה מסוימת: אדמין IAM של תיקיות (roles/resourcemanager.folderIamAdmin) בתיקייה
• כדי למחוק את הקישורים למדיניות של מדיניות לקביעת הגישה לישויות מורשות שקשורה לקבוצת הישויות המורשות של הארגון: אדמין ארגוני (roles/resourcemanager.organizationAdmin) בארגון

להסבר על מתן תפקידים, ראו איך מנהלים את הגישה ברמת הפרויקט, התיקייה והארגון.

התפקידים המוגדרים מראש האלה מכילים את ההרשאות שנדרשות למחיקת קישורי מדיניות של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB). כדי לראות בדיוק אילו הרשאות נדרשות, אפשר להרחיב את הקטע ההרשאות הנדרשות:

יכול להיות שתקבלו את ההרשאות האלה באמצעות תפקידים בהתאמה אישית או תפקידים מוגדרים מראש אחרים.

הכנה להסרה של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB)

לפני שמסירים מדיניות של גבולות גישה לישויות מורשות, צריך להחליט איזו מהמטרות הבאות רוצים להשיג:

• הגדרת חשבונות משתמשים בקבוצת חשבונות משתמשים כבעלי הרשאה לגשת לכל המשאבים
• צמצום מספר המשאבים שחשבונות המשתמשים בקבוצת חשבונות משתמשים יכולים לגשת אליהם

בקטעים הבאים מפורטים השלבים שצריך לבצע כדי להשיג כל אחת מהמטרות האלה.

הגדרת ישויות ראשיות שעומדות בדרישות לגישה לכל המשאבים

אם רוצים לתת לחשבונות הראשיים בקבוצת חשבונות ראשיים אפשרות לגשת לכל המשאבים, צריך לבצע את הפעולות הבאות:

1. זיהוי כל המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) שקשורה לקבוצת חשבונות המשתמשים.
2. מסירים את כל המדיניות לקביעת גבול הגישה לחשבונות משתמשים שקשורה לקבוצת החשבונות שמוגדרת על ידי מחיקת הקישורים הרלוונטיים למדיניות.

אם חשבון משתמש לא כפוף למדיניות של גבולות גישה לחשבונות משתמש, הוא יכול לגשת לכל המשאבים Cloud de Confiance .

העובדה שלמשתמש יש זכאות לגשת למשאב לא אומרת בהכרח שהוא יכול לגשת אליו. מידע נוסף מופיע במאמר בנושא הערכת מדיניות.

צמצום המשאבים שחשבונות המשתמשים יכולים לגשת אליהם

אם חשבונות המשתמשים בקבוצת חשבונות משתמשים כפופים לכמה כללי מדיניות לקביעת הגישה לישויות מורשות (PAB), אפשר לצמצם את מספר המשאבים שחשבונות המשתמשים יכולים לגשת אליהם על ידי הסרה של אחד או יותר מכללי המדיניות לקביעת הגישה לישויות מורשות שהם כפופים להם. עם זאת, אל תסירו בשום שלב את כל כללי המדיניות של גבולות הגישה לחשבונות הראשיים שחלים על החשבונות הראשיים – אם תעשו זאת, החשבונות הראשיים יוכלו לגשת לכל המשאבים של Cloud de Confiance .

כדי להסיר מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) ולוודא שחשבונות המשתמשים בקבוצת חשבונות משתמשים תמיד כפופים למדיניות אחת לפחות לקביעת גבול הגישה לחשבונות משתמשים, פועלים לפי השלבים הבאים:

1. זיהוי כל המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) שקשורה לקבוצת חשבונות המשתמשים.

2. מזהים את המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) שמכילה רק משאבים שרוצים שחשבונות משתמשים בקבוצת החשבונות יוכלו לגשת אליהם. אלה כללי המדיניות שלא תסירו מקבוצת חשבונות המשתמשים.

   אם אין לכם כללי מדיניות כאלה, צריך ליצור כלל מדיניות חדש של גבולות גישה לחשבונות משתמש עם משאבים שאתם רוצים שחשבונות המשתמש יוכלו לגשת אליהם. לאחר מכן, מצרפים את המדיניות לקבוצת המשתמשים.

3. מזהים את המדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) שמכילה משאבים שלא רוצים שחשבונות משתמשים בקבוצת החשבונות יוכלו לגשת אליהם. לאחר מכן, מסירים את המדיניות לקביעת גבול הגישה לחשבונות משתמשים על ידי מחיקת קישור המדיניות הרלוונטי.

   אם רוצים לצמצם את הגישה של חשבונות משתמשים ספציפיים, מוסיפים תנאי לקישור המדיניות במקום למחוק אותו.

אם רוצים לצמצם את מספר המשאבים שחשבון משתמש יכול לגשת אליהם, אבל לא רוצים להסיר מדיניות לקביעת גבול הגישה לחשבונות משתמשים, אפשר לשנות את המדיניות הזו שחלה על חשבון המשתמש. במאמר עריכת מדיניות לקביעת גבול הגישה לחשבונות משתמשים מוסבר איך לשנות את המדיניות לקביעת גבול הגישה לחשבונות משתמשים.

בדיקת המחיקה של מדיניות או קישור של Principal Access Boundary

לפני שמוחקים מדיניות או קשירה של גבול גישה לחשבונות משתמשים, מומלץ לבדוק איך השינוי ישפיע על הגישה של חשבונות המשתמשים. אפשר להשתמש בסימולטור המדיניות כדי לדמות מחיקה ולהבין את ההשפעה הפוטנציאלית שלה.

כדי לבדוק מחיקה, אפשר לעיין בהליכים הבאים במסמכי המידע בנושא Policy Intelligence:

• סימולציה של מחיקת כללים של גבולות גישה לחשבונות משתמשים
• סימולציה של מחיקת מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB)
• סימולציה של מחיקת קישור למדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB)

מידע נוסף על בדיקת מדיניות של גבולות גישה של ישויות באמצעות סימולטור המדיניות זמין במאמר סימולטור המדיניות בנושא מדיניות של גבולות גישה של ישויות.

הסרת מדיניות לקביעת גבול הגישה לישויות מורשות (PAB) מקבוצת ישויות מורשות

לפני שמסירים מדיניות לקביעת גבול הגישה לחשבונות משתמשים מקבוצת חשבונות משתמשים, צריך קודם להכין את ההסרה של המדיניות. לאחר מכן, מסירים את המדיניות על ידי מחיקת קישור המדיניות שמקשר את המדיניות לקבוצת חשבונות המשתמשים.

אפשר למחוק קישור למדיניות באמצעות מסוף Cloud de Confiance ,‏ ה-CLI של gcloud או IAM API בארכיטקטורת REST.

gcloud iam policy-bindings delete BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud iam policy-bindings delete BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud iam policy-bindings delete BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global

Delete request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374724030-6181fcd1520c5-d21b0a12-b704e1ce] to complete...done.
Deleted policyBinding [example-binding].

DELETE https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

מחיקה של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB)

לפני שמוחקים מדיניות לקביעת גבול הגישה לחשבונות משתמשים, מומלץ לזהות ולמחוק את כל הקישורים למדיניות לקביעת גבול הגישה לחשבונות משתמשים שמפנים למדיניות הזו.

אם מוחקים מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) עם קישורי מדיניות קיימים, הקישורים האלה יימחקו בסופו של דבר. עם זאת, עד שהם יימחקו, קשרי המדיניות עדיין ייספרו במגבלה של 10 קשרים שיכולים להתייחס לקבוצת משתמשים אחת.

אפשר למחוק מדיניות של גבולות גישה של בעלי הרשאות באמצעות מסוף Cloud de Confiance ,‏ ה-CLI של gcloud או IAM API בארכיטקטורת REST.

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID \
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID `
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID ^
    --organization=ORG_ID --location=global FORCE_FLAG

Delete request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...done.
Deleted principalAccessBoundaryPolicy [example-policy].

DELETE https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

בדיקת הסטטוס של פעולה ממושכת

כשמשתמשים ב-API בארכיטקטורת REST או בספריות הלקוח, כל שיטה שמשנה מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) או קישור מחזירה פעולה ממושכת (LRO). הפעולה הממושכת עוקבת אחרי הסטטוס של הבקשה ומציינת אם השינוי במדיניות או בהרשאה הושלם.

GET https://iam.googleapis.com/v3/OPERATION_NAME

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/OPERATION_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/OPERATION_NAME" | Select-Object -Expand Content

{
  "name": "organizations/314340013352/locations/global/operations/operation-1732752311821-627edd607a3df-9a62cdea-2a7d9f07",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-11-28T00:05:12.006289686Z",
    "endTime": "2024-11-28T00:05:12.192141801Z",
    "target": "organizations/314340013352/locations/global/principalAccessBoundaryPolicies/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": true,
  "response": {
    PAB_POLICY
  }
}

המאמרים הבאים

• יצירה של מדיניות לקביעת גבול הגישה לחשבונות משתמשים (PAB) והחלתה
• צפייה במדיניות לקביעת הגישה לישויות מורשות
• עריכת מדיניות לקביעת הגישה לישויות מורשות (PAB)