Cómo quitar las políticas de Límite de Acceso de las Entidades

Las políticas de Límite de Acceso de las Entidades (PAB) te permiten establecer límites a los recursos a los que puede acceder un conjunto de entidades. Si ya no quieres que se aplique una política de Límite de Acceso de las Principales a un conjunto de principales, puedes borrar la vinculación de la política que la vincula al conjunto de principales. Si quieres quitar una política de Límite de Acceso de la Entidad de todos los conjuntos de entidades a los que está vinculada, puedes borrarla.

Quitar una Política de Límite de Acceso de las Entidades de un conjunto de entidades tiene uno de los siguientes efectos:

• Si las principales del conjunto de principales no están sujetas a ninguna otra política de Límite de acceso de la principal, podrán acceder a todos los recursos deCloud de Confiance .
• Si las entidades del conjunto de entidades están sujetas a otras políticas de Límite de Acceso de la Entidad, solo podrán acceder a los recursos de esas políticas.

Antes de comenzar

• Configura la autenticación.

  Selecciona la pestaña que corresponda a la forma en que planeas usar las muestras de esta página:

  gcloud

  Instala Google Cloud CLI y, luego, accede a gcloud CLI con tu identidad federada. Después de acceder, inicializa Google Cloud CLI con el siguiente comando:

  gcloud init

  REST

  Para usar las muestras de la API de REST incluidas en esta página en un entorno de desarrollo local, debes usar las credenciales que proporciones a la gcloud CLI.

  Instala Google Cloud CLI y, luego, accede a gcloud CLI con tu identidad federada.

  Para obtener más información, consulta Autentícate para usar REST en la documentación de autenticación de Cloud de Confiance .

• Lee la descripción general de las Políticas de Límite de Acceso de las Entidades.

Roles necesarios para borrar Políticas de Límite de Acceso de las Principales

Para obtener el permiso que necesitas para borrar las políticas de límite de acceso de las principales, pídele a tu administrador que te otorgue el rol de IAM de Administrador de límites de acceso principal (roles/iam.principalAccessBoundaryAdmin) en tu organización. Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Este rol predefinido contiene el permiso iam.principalaccessboundarypolicies.delete, que se requiere para borrar las Políticas de Límite de Acceso de las Principales.

También puedes obtener este permiso con roles personalizados o con otros roles predefinidos.

Roles necesarios para borrar vinculaciones de Políticas de Límite de Acceso de las Principales

Los permisos que necesitas para borrar vinculaciones de políticas de las Políticas de Límite de Acceso de las Principales dependen del conjunto de principales vinculado a la política.

Para obtener los permisos que necesitas para borrar vinculaciones de políticas para las políticas de límite de acceso de las principales, pídele a tu administrador que te otorgue los siguientes roles de IAM:

• Usuario del límite de acceso de la entidad (roles/iam.principalAccessBoundaryUser) en tu organización
• Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a los grupos de identidades de personal: Administrador de grupos de trabajadores de IAM (roles/iam.workforcePoolAdmin) en el grupo de identidades de personal de destino
• Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a los grupos de identidades para cargas de trabajo: Administrador de grupos de identidades para cargas de trabajo de IAM (roles/iam.workloadIdentityPoolAdmin) en el proyecto al que pertenece el grupo de identidades para cargas de trabajo de destino
• Obtén el estado de una operación de larga duración para borrar una vinculación que hace referencia a un grupo de identidades para cargas de trabajo: Visualizador de operaciones de IAM (roles/iam.operationViewer) en el proyecto al que pertenece el grupo de identidades para cargas de trabajo de destino
• Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas a un dominio de Google Workspace: Administrador de IAM de grupos de espacios de trabajo (roles/iam.workspacePoolAdmin) en la organización
• Borra las vinculaciones de políticas para las políticas de límite de acceso de la principal vinculadas al conjunto de principales de un proyecto: Administrador de IAM del proyecto (roles/resourcemanager.projectIamAdmin) en el proyecto
• Obtener el estado de una operación de larga duración para borrar una vinculación que hace referencia al conjunto de principales de un proyecto: Visualizador de operaciones de IAM (roles/iam.operationViewer) en el proyecto
• Borra las vinculaciones de políticas para las políticas de límite de acceso de las principales vinculadas al conjunto de principales de una carpeta: Administrador de IAM de la carpeta (roles/resourcemanager.folderIamAdmin) en la carpeta
• Borra las vinculaciones de políticas para las políticas de Límite de Acceso de las Principales vinculadas al conjunto de principales de una organización: Administrador de la organización (roles/resourcemanager.organizationAdmin) en la organización

Para obtener más información sobre cómo otorgar roles, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Estos roles predefinidos contienen los permisos necesarios para borrar las vinculaciones de políticas de las políticas de Límite de Acceso de la Principal. Para ver los permisos exactos que son necesarios, expande la sección Permisos requeridos:

También puedes obtener estos permisos con roles personalizados o con otros roles predefinidos.

Prepárate para quitar una Política de Límite de Acceso de las Entidades

Antes de quitar una política de Límite de Acceso de las Principales, decide cuál de los siguientes objetivos quieres lograr:

• Cómo hacer que las principales de un conjunto de principales sean aptas para acceder a todos los recursos
• Reduce la cantidad de recursos a los que pueden acceder las principales de un conjunto de principales

En las siguientes secciones, se describen los pasos que debes seguir para lograr cada uno de estos objetivos.

Cómo hacer que las principales sean aptas para acceder a todos los recursos

Si quieres que las principales de un conjunto de principales sean aptas para acceder a todos los recursos, haz lo siguiente:

1. Identifica todas las políticas de Límite de Acceso de las Entidades vinculadas al conjunto de entidades.
2. Borra las vinculaciones de políticas pertinentes para quitar todas las políticas de límite de acceso de las principales vinculadas al conjunto de principales.

Si una principal no está sujeta a ninguna política de límite de acceso de la principal, entonces la principal es apta para acceder a todos Cloud de Confiance los recursos.

Ser apto para acceder a un recurso no significa necesariamente que un usuario pueda acceder a él. Para obtener más información, consulta Evaluación de políticas.

Reduce los recursos a los que pueden acceder las principales

Si las principales de un conjunto de principales están sujetas a varias políticas de límite de acceso de las principales, puedes reducir la cantidad de recursos a los que pueden acceder quitando una o más de las políticas de límite de acceso de las principales a las que están sujetas. Sin embargo, no quites, en ningún momento, todas las políticas de Límite de Acceso de las Entidades a las que están sujetas las entidades principales. Si lo haces, las entidades principales podrán acceder a todos los recursos de Cloud de Confiance .

Para quitar una Política de Límite de Acceso de las Entidades y, al mismo tiempo, garantizar que las entidades de un conjunto de entidades siempre estén sujetas a al menos una Política de Límite de Acceso de las Entidades, sigue estos pasos:

1. Identifica todas las políticas de Límite de Acceso de las Entidades vinculadas al conjunto de entidades.

2. Identifica las políticas de límite de acceso de la entidad principal que contienen solo los recursos a los que deseas que las entidades principales del conjunto de entidades principales puedan acceder. Estas son las políticas que no quitarás del conjunto de principales.

   Si no tienes ninguna política de este tipo, crea una nueva política de Límite de Acceso de la Principal solo con los recursos a los que deseas que las principales puedan acceder. Luego, adjunta la política al conjunto de principales.

3. Identifica las políticas de límite de acceso de las principales que contienen recursos a los que no quieres que puedan acceder las principales del conjunto de principales. Luego, borra las vinculaciones de políticas pertinentes para quitar esas Políticas de Límite de Acceso de las Entidades.

   Si quieres reducir el acceso para principales específicos, agrega una condición a la vinculación de la política en lugar de borrarla.

Si quieres reducir la cantidad de recursos a los que una principal puede acceder, pero no quieres quitar ninguna Política de Límite de Acceso de las Principales, puedes modificar las Políticas de Límite de Acceso de las Principales a las que está sujeta la principal. Para obtener información sobre cómo modificar las Políticas de Límite de Acceso de las Entidades, consulta Edita las Políticas de Límite de Acceso de las Entidades.

Prueba la eliminación de una política o vinculación de límite de acceso de la entidad principal

Antes de confirmar la eliminación de una política o vinculación de límite de acceso de la principal, te recomendamos que pruebes cómo podría afectar el cambio al acceso de tus principales. Puedes usar Policy Simulator para simular una eliminación y comprender su posible impacto.

Para probar un borrado, consulta los siguientes procedimientos en la documentación de Policy Intelligence:

• Simula el borrado de reglas de límite de acceso de la entidad
• Simula el borrado de una política de Límite de Acceso de las Principales
• Simula la eliminación de una vinculación para una política de Límite de Acceso a la Principal

Para obtener más información sobre cómo probar las políticas de Límite de Acceso de la Principal con Policy Simulator, consulta Simulador de políticas para las políticas de Límite de Acceso de la Principal.

Quita una Política de Límite de Acceso de las Entidades de un conjunto de entidades

Antes de quitar una política de límite de acceso de la entidad principal de un conjunto de entidades principales, primero prepárate para quitar la política. Luego, borra la política quitando la vinculación de la política que la vincula al conjunto de principales.

Puedes borrar una vinculación de políticas con la Cloud de Confiance consola, la gcloud CLI o la API de REST de IAM.

gcloud iam policy-bindings delete BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud iam policy-bindings delete BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud iam policy-bindings delete BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global

Delete request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374724030-6181fcd1520c5-d21b0a12-b704e1ce] to complete...done.
Deleted policyBinding [example-binding].

DELETE https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

Borra una política de Límite de Acceso de las Entidades

Antes de borrar una política de Límite de Acceso de la Principal, te recomendamos que identifiques y borres todas las vinculaciones de políticas de Límite de Acceso de la Principal que hagan referencia a la política de Límite de Acceso de la Principal.

Si borras una política de límite de acceso de la principal con vinculaciones de políticas existentes, esas vinculaciones se borrarán con el tiempo. Sin embargo, hasta que se borren, las vinculaciones de políticas seguirán contando para el límite de 10 vinculaciones que pueden hacer referencia a un solo conjunto de principales.

Puedes borrar una política de Límite de Acceso de las Principales con la Cloud de Confiance consola, gcloud CLI o la API de REST de IAM.

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID \
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID `
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID ^
    --organization=ORG_ID --location=global FORCE_FLAG

Delete request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...done.
Deleted principalAccessBoundaryPolicy [example-policy].

DELETE https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

Revisa el estado de una operación de larga duración

Cuando usas la API de REST o las bibliotecas cliente, cualquier método que cambie una política o vinculación de Principal Access Boundary devuelve una operación de larga duración (LRO). La operación de larga duración realiza un seguimiento del estado de la solicitud y también indica si se completó el cambio en la política o la vinculación.

GET https://iam.googleapis.com/v3/OPERATION_NAME

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/OPERATION_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/OPERATION_NAME" | Select-Object -Expand Content

{
  "name": "organizations/314340013352/locations/global/operations/operation-1732752311821-627edd607a3df-9a62cdea-2a7d9f07",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-11-28T00:05:12.006289686Z",
    "endTime": "2024-11-28T00:05:12.192141801Z",
    "target": "organizations/314340013352/locations/global/principalAccessBoundaryPolicies/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": true,
  "response": {
    PAB_POLICY
  }
}

¿Qué sigue?

• Crea y aplica Políticas de Límite de Acceso de las Entidades
• Consulta las Políticas de Límite de Acceso de las Entidades
• Edita las políticas de Límite de Acceso de la Principal