Remova políticas de limite de acesso principal

As políticas de limite de acesso principal (PAB) permitem limitar os recursos aos quais um conjunto de principais é elegível para aceder. Se já não quiser que uma política de limite de acesso principal seja aplicada a um conjunto de principais, pode eliminar a associação de políticas que associa a política ao conjunto de principais. Se quiser remover uma política de limite de acesso principal de todos os conjuntos de principais aos quais está associada, pode eliminar a política.

A remoção de uma política de limite de acesso principal de um conjunto de principais tem um dos seguintes efeitos:

• Se os principais no conjunto de principais não estiverem sujeitos a outras políticas de limite de acesso principal, são elegíveis para aceder a todos osTrusted Cloud recursos.
• Se os diretores no conjunto de diretores estiverem sujeitos a outras políticas de limite de acesso de diretores, só serão elegíveis para aceder aos recursos nessas políticas.

Antes de começar

• Configurar autenticação.

  Select the tab for how you plan to use the samples on this page:

  gcloud

  Instale a CLI Google Cloud e, em seguida, inicie sessão na CLI gcloud com a sua identidade federada. Depois de iniciar sessão, inicialize a CLI gcloud executando o seguinte comando:

  gcloud init

  REST

  Para usar os exemplos da API REST nesta página num ambiente de desenvolvimento local, usa as credenciais que fornece à CLI gcloud.

  Instale a CLI Google Cloud e, em seguida, inicie sessão na CLI gcloud com a sua identidade federada. Depois de iniciar sessão, inicialize a CLI gcloud executando o seguinte comando:

  gcloud init

  Para mais informações, consulte o artigo Autenticar para usar REST na Trusted Cloud documentação de autenticação.

  Leia a vista geral das políticas de limite de acesso principal.

Funções necessárias para eliminar políticas de limite de acesso principal

Para receber a autorização de que precisa para eliminar políticas de limites de acesso principais, peça ao seu administrador para lhe conceder a função do IAM Administrador de limites de acesso principais (roles/iam.principalAccessBoundaryAdmin) na sua organização. Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Esta função predefinida contém a autorização iam.principalaccessboundarypolicies.delete , que é necessária para eliminar políticas de limite de acesso principal.

Também pode receber esta autorização com funções personalizadas ou outras funções predefinidas.

Funções necessárias para eliminar associações de políticas de limites de acesso principais

As autorizações de que precisa para eliminar associações de políticas de limites de acesso principais dependem do conjunto principal associado à política.

Para receber as autorizações de que precisa para eliminar associações de políticas para políticas de limites de acesso principais, peça ao seu administrador para lhe conceder as seguintes funções do IAM:

• Limite de acesso principal Utilizador (roles/iam.principalAccessBoundaryUser) na sua organização
• Elimine as associações de políticas para políticas de limite de acesso principal associadas a Workforce Identity Pools: Administrador do Workforce Pool da IAM (roles/iam.workforcePoolAdmin) no Workforce Identity Pool de destino
• Elimine as associações de políticas para políticas de limite de acesso principal associadas a Workload Identity Pools: Administrador do Workload Identity Pool da IAM (roles/iam.workloadIdentityPoolAdmin) no projeto proprietário do Workload Identity Pool de destino
• Obtenha o estado de uma operação de longa duração para eliminar uma associação que faça referência a um Workload Identity Pool: Visualizador de operações da IAM (roles/iam.operationViewer) no projeto proprietário do Workload Identity Pool de destino
• Elimine as associações de políticas para políticas de limite de acesso principal associadas a um domínio do Google Workspace: Administrador de IAM do conjunto do Workspace (roles/iam.workspacePoolAdmin) na organização
• Elimine as associações de políticas para as políticas de limite de acesso principal associadas ao conjunto de principais de um projeto: Administrador de IAM do projeto (roles/resourcemanager.projectIamAdmin) no projeto
• Obtenha o estado de uma operação de longa duração para eliminar uma associação que faça referência ao conjunto de principais de um projeto: Visualizador de operações do IAM (roles/iam.operationViewer) no projeto
• Elimine as associações de políticas para as políticas de limite de acesso principal associadas a um conjunto de principais de uma pasta: Administrador IAM da pasta (roles/resourcemanager.folderIamAdmin) na pasta
• Elimine as associações de políticas para as políticas de limite de acesso principal associadas a um conjunto de principais de uma organização: Administrador da organização (roles/resourcemanager.organizationAdmin) na organização

Para mais informações sobre a atribuição de funções, consulte o artigo Faça a gestão do acesso a projetos, pastas e organizações.

Estas funções predefinidas contêm as autorizações necessárias para eliminar associações de políticas para políticas de limite de acesso principal. Para ver as autorizações exatas que são necessárias, expanda a secção Autorizações necessárias:

Também pode conseguir estas autorizações com funções personalizadas ou outras funções predefinidas.

Prepare-se para remover uma política de limite de acesso principal

Antes de remover uma política de limite de acesso principal, decida que dos seguintes objetivos quer alcançar:

• Tornar os principais num conjunto de principais elegíveis para aceder a todos os recursos
• Reduza o número de recursos aos quais os diretores num conjunto de diretores são elegíveis para aceder

As secções seguintes descrevem os passos a seguir para alcançar cada um destes objetivos.

Tornar os principais elegíveis para aceder a todos os recursos

Se quiser tornar os principais num conjunto de principais elegíveis para aceder a todos os recursos, faça o seguinte:

1. Identifique todas as políticas de limite de acesso principal associadas ao conjunto principal.
2. Remova todas as políticas de limite de acesso principal associadas ao principal definido através da eliminação das associações de políticas relevantes.

Se um principal não estiver sujeito a nenhuma política de limite de acesso principal, o principal é elegível para aceder a todos os recursos do Trusted Cloud .

Ser elegível para aceder a um recurso não significa necessariamente que um utilizador consiga aceder a um recurso. Para mais informações, consulte a avaliação de políticas.

Reduza os recursos aos quais os diretores são elegíveis para aceder

Se os principais num conjunto de principais estiverem sujeitos a várias políticas de limite de acesso principal, pode reduzir o número de recursos aos quais os principais são elegíveis para aceder removendo uma ou mais das políticas de limite de acesso principal às quais estão sujeitos. No entanto, não remova, em nenhum momento, todas as políticas de limite de acesso principal às quais os principais estão sujeitos. Se o fizer, os principais vão ser elegíveis para aceder a todos os recursos Trusted Cloud .

Para remover uma política de limite de acesso principal e garantir que os principais num conjunto de principais estão sempre sujeitos a, pelo menos, uma política de limite de acesso principal, siga estes passos:

1. Identifique todas as políticas de limite de acesso principal associadas ao conjunto principal.

2. Identifique as políticas de limite de acesso principal que contêm apenas recursos que quer que os principais no conjunto de principais sejam elegíveis para aceder. Estas são as políticas que não vai remover do conjunto principal.

   Se não tiver nenhuma dessas políticas, crie uma nova política de limite de acesso principal com apenas os recursos aos quais quer que os principais sejam elegíveis para aceder. Em seguida, anexe a política ao conjunto principal.

3. Identifique as políticas de limite de acesso principais que contêm recursos aos quais não quer que os principais no conjunto de principais sejam elegíveis para aceder. Em seguida, remova essas políticas de limite de acesso principal eliminando a associação de políticas relevante.

   Se quiser reduzir o acesso para determinados responsáveis, adicione uma condição à associação da política em vez de a eliminar.

Se quiser reduzir o número de recursos aos quais um principal é elegível para aceder, mas não quiser remover nenhuma política de limite de acesso principal, pode, em alternativa, modificar as políticas de limite de acesso principal às quais o principal está sujeito. Para saber como modificar as políticas de limite de acesso principal, consulte o artigo Edite políticas de limite de acesso principal.

Teste a eliminação de uma política ou uma associação de limites de acesso principais

Antes de confirmar a eliminação de uma política ou uma associação de limites de acesso principais, recomendamos que teste como a alteração pode afetar o acesso dos seus principais. Pode usar o simulador de políticas para simular uma eliminação e ajudar a compreender o potencial impacto da mesma.

Para testar uma eliminação, consulte os seguintes procedimentos na documentação de Policy Intelligence:

• Simule a eliminação de regras de limite de acesso principal
• Simule a eliminação de uma política de limite de acesso principal
• Simule a eliminação de uma associação para uma política de limite de acesso principal

Para saber como testar políticas de limites de acesso principais com o Simulador de políticas, consulte o artigo Simulador de políticas para políticas de limites de acesso principais.

Remova uma política de limite de acesso principal de um conjunto de principais

Antes de remover uma política de limite de acesso principal de um conjunto de principais, primeiro prepare-se para a remoção da política. Em seguida, remova a política eliminando a associação de políticas que associa a política ao conjunto de principais.

Pode eliminar uma associação de políticas através da Trusted Cloud consola, da CLI gcloud ou da API REST IAM.

gcloud iam policy-bindings delete BINDING_ID \
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud iam policy-bindings delete BINDING_ID `
    --RESOURCE_TYPE=RESOURCE_ID --location=global

gcloud iam policy-bindings delete BINDING_ID ^
    --RESOURCE_TYPE=RESOURCE_ID --location=global

Delete request issued for: [example-binding]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374724030-6181fcd1520c5-d21b0a12-b704e1ce] to complete...done.
Deleted policyBinding [example-binding].

DELETE https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/RESOURCE_TYPE/RESOURCE_ID/locations/global/policyBindings/BINDING_ID" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-binding",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

Elimine uma política de limite de acesso principal

Antes de eliminar uma política de limite de acesso principal, recomendamos que identifique e elimine todas as associações de políticas de limite de acesso principal que referenciam a política de limite de acesso principal.

Se eliminar uma política de limite de acesso principal com associações de políticas existentes, essas associações acabam por ser eliminadas. No entanto, até serem eliminadas, as associações de políticas continuam a contar para o limite de 10 associações que podem referir-se a um único conjunto de principais.

Pode eliminar uma política de limite de acesso principal através da Trusted Cloud consola, da CLI gcloud ou da API REST IAM.

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID \
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID `
    --organization=ORG_ID --location=global FORCE_FLAG

gcloud iam principal-access-boundary-policies delete PAB_POLICY_ID ^
    --organization=ORG_ID --location=global FORCE_FLAG

Delete request issued for: [example-policy]
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...
Waiting for operation [organizations/123456789012/locations/global/operations/operation-1715374811191-6181fd2471ab4-f0947406-85778c43] to complete...done.
Deleted principalAccessBoundaryPolicy [example-policy].

DELETE https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE

curl -X DELETE \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method DELETE `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/organizations/ORG_ID/locations/global/principalAccessBoundaryPolicies/PAB_POLICY_ID?FORCE_DELETE" | Select-Object -Expand Content

{
  "name": "organizations/123456789012/locations/global/operations/operation-1715373190994-6181f71b4daad-6d8168c1-13cc6600",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-05-10T20:33:11.165728913Z",
    "target": "organizations/123456789012/locations/global/policyBindings/example-policy",
    "verb": "delete",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": false
}

Verifique o estado de uma operação de longa duração

Quando usa a API REST ou as bibliotecas cliente, qualquer método que altere uma política ou uma associação de limites de acesso principais devolve uma operação de longa duração (LRO). A operação de longa duração monitoriza o estado do pedido e indica se a alteração à política ou à associação está concluída.

GET https://iam.googleapis.com/v3/OPERATION_NAME

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     "https://iam.googleapis.com/v3/OPERATION_NAME"

$cred = gcloud auth print-access-token
$headers = @{ "Authorization" = "Bearer $cred" }

Invoke-WebRequest `
    -Method GET `
    -Headers $headers `
    -Uri "https://iam.googleapis.com/v3/OPERATION_NAME" | Select-Object -Expand Content

{
  "name": "organizations/314340013352/locations/global/operations/operation-1732752311821-627edd607a3df-9a62cdea-2a7d9f07",
  "metadata": {
    "@type": "type.googleapis.com/google.iam.v3.OperationMetadata",
    "createTime": "2024-11-28T00:05:12.006289686Z",
    "endTime": "2024-11-28T00:05:12.192141801Z",
    "target": "organizations/314340013352/locations/global/principalAccessBoundaryPolicies/example-policy",
    "verb": "create",
    "requestedCancellation": false,
    "apiVersion": "v3"
  },
  "done": true,
  "response": {
    PAB_POLICY
  }
}

O que se segue?

• Crie e aplique políticas de limite de acesso principal
• Veja as políticas de limite de acesso principal
• Edite políticas de limite de acesso principal