Este documento descreve os diferentes métodos que os administradores podem usar para identificar e resolver erros de permissão para usuários na organização.
Resolver erros de permissão em solicitações de acesso
Se você for um administrador, talvez receba pedidos de acesso de usuários que encontraram erros de permissão no console Cloud de Confiance . Esses pedidos geralmente são enviados para as seguintes pessoas:
O contato técnico essencial da sua organização. Se a sua organização tiver ativado os Contatos essenciais e permitir e-mails de solicitação de acesso gerados automaticamente, os usuários que encontrarem erros de permissão no consoleCloud de Confiance poderão enviar uma solicitação de acesso gerada automaticamente para o contato técnico essencial da organização.
Contatos configurados no sistema de gerenciamento de solicitações que você preferir. Os usuários que encontrarem erros de permissão no console Cloud de Confiance podem copiar uma mensagem de solicitação de acesso e enviá-la usando o sistema de gerenciamento de solicitações preferido.
Essas mensagens geralmente têm o seguinte formato:
user@example.com is requesting a role on the resource example.com:example-project.
Requestor's message:
"I need access to example-project to complete my work."
You may be able to resolve this request by granting access directly at:
ACCESS_REQUEST_PANEL_URL
Or use the Policy Troubleshooter to determine what's preventing access for user@example.com:
POLICY_TROUBLESHOOTER_URL
Você pode atender a essas solicitações das seguintes maneiras:
Resolver o acesso diretamente: as solicitações de acesso contêm um link para um painel de solicitação de acesso no console do Cloud de Confiance . Se o erro de permissão for causado por uma política de permissão, você poderá resolver o acesso diretamente nesse painel.
No painel de solicitação de acesso, você pode analisar os detalhes e escolher como responder. Você pode responder das seguintes maneiras:
- Conceder a função solicitada
- Adicionar o usuário a um grupo que já tenha o acesso necessário
- Recusar o pedido
Ver mais detalhes no solucionador de problemas de políticas: as solicitações de acesso contêm um link para o solucionador de problemas de políticas, que permite ver quais políticas estão bloqueando o acesso do usuário. Use essas informações para decidir como resolver o problema de acesso do usuário. Para mais informações, consulte Identificar políticas que causam erros de permissão nesta página.
Corrigir problemas de acesso com o solucionador de problemas de políticas (prévia): as solicitações de acesso também contêm um link para um resumo da correção de políticas, que descreve os detalhes da solicitação, incluindo o principal, o recurso e a permissão solicitados. No resumo da correção de violações de políticas, você pode resolver diretamente pedidos de acesso que envolvem políticas de permissão e receber mais informações sobre as políticas que estão bloqueando o acesso do usuário.
Para mais informações sobre como resolver solicitações de acesso usando o resumo da correção da política, consulte Corrigir problemas de acesso.
Resolver erros de permissão manualmente
Se você for um administrador com permissão para modificar as políticas relacionadas ao acesso na sua organização, poderá usar essas estratégias para resolver erros de permissão, seja qual for o tipo de política que está causando o problema.
Para resolver erros de permissão, primeiro determine quais políticas (de permissão ou negação) estão causando o erro. Em seguida, resolva o erro.
Identificar políticas que causam erros de permissão
Para determinar quais políticas estão causando um erro de permissão, use o solucionador de problemas de políticas.
O solucionador de problemas de políticas ajuda a entender se uma conta principal pode acessar um recurso. Com um principal, um recurso e uma permissão, o solucionador de problemas de políticas examina as políticas de permissão, negação e limite de acesso do principal, na sigla em inglês (PAB) que afetam o acesso do principal. Em seguida, ele informa se, com base nessas políticas, o principal pode usar a permissão especificada para acessar o recurso. Ele também lista as políticas relevantes e explica como elas afetam o acesso do principal.Para saber como resolver problemas de acesso e interpretar os resultados do solucionador de problemas de políticas, consulte Resolver problemas de permissões do IAM.
As mensagens de erro no console do Cloud de Confiance contêm um link para uma página de correção do solucionador de problemas de políticas (Prévia) para o principal, as permissões e o recurso envolvidos na solicitação. Para ver esse link, clique em Ver detalhes da solução de problemas e em Solucionador de problemas de políticas. Para mais informações, consulte Corrigir solicitações de acesso.
Atualizar o acesso para resolver erros de permissão
Depois de saber quais políticas estão causando um erro de permissão, siga as etapas para resolver o problema.
Muitas vezes, resolver um erro envolve criar ou atualizar políticas de permissão ou negação.
No entanto, há outras opções para resolver erros que não envolvem a atualização de políticas. Por exemplo, você pode adicionar o usuário a um grupo que tenha as permissões necessárias ou adicionar tags para isentar um recurso de uma política.
Para saber as diferentes maneiras de resolver erros de permissão causados por cada um dos tipos de política, consulte o seguinte:
- Resolver erros de permissão da política de permissão
- Resolver erros de permissão da política de negação
Resolver erros de permissão da política de permissão
Para resolver erros de permissão causados por políticas de permissão, faça o seguinte:
Conceder um papel com as permissões necessárias
Para encontrar e conceder um papel com as permissões necessárias, faça o seguinte:
Identifique um papel do IAM que contenha as permissões ausentes.
Para conferir todos os papéis em que uma determinada permissão está incluída, pesquise a permissão no índice de papéis e permissões do IAM e clique no nome dela.
Se nenhum papel predefinido corresponder ao seu caso de uso, crie um papel personalizado.
Identifique um principal para conceder o papel:
- Se o usuário for a única pessoa que precisa da permissão, conceda a função diretamente a ele.
- Se o usuário fizer parte de um grupo do Google com usuários que precisam de permissões semelhantes, considere conceder o papel ao grupo. Se você conceder o papel ao grupo, todos os membros poderão usar essa permissão, a menos que tenham sido explicitamente impedidos de usá-la.
Conceda o papel ao principal.
Adicionar o usuário a um grupo do Google
Se um grupo do Google receber um papel em um recurso, todos os membros desse grupo poderão usar as permissões desse papel para acessar o recurso.
Se um grupo já tiver recebido um papel com as permissões necessárias, adicione o usuário a esse grupo para conceder as permissões necessárias:
Identifique um grupo que tenha um papel com as permissões necessárias. Se você já usou o Solucionador de problemas de políticas para resolver o problema da solicitação, revise os resultados dele para identificar um grupo com as permissões necessárias.
Se preferir, use a Análise de políticas para identificar um grupo com as permissões necessárias.
Resolver erros de permissão da política de negação
Para resolver erros de permissão relacionados a políticas de negação, faça o seguinte:
Se isentar de uma política de negação
Se uma regra de negação estiver bloqueando o acesso de um usuário a um recurso, faça uma das seguintes ações para isentar o usuário da regra:
Adicione o usuário como principal de exceção na regra de negação. Os principais de exceção não são afetados pela regra de negação, mesmo que façam parte de um grupo incluído nela.
Para adicionar um principal de exceção a uma regra de proibição, siga as etapas para atualizar a política de proibição. Ao atualizar a política de negação, encontre a regra que bloqueia o acesso e adicione o identificador principal do usuário como um principal de exceção.
Adicione o usuário a um grupo isento da regra. Se um grupo for listado como um principal de exceção, todos os membros dele serão isentos da regra de negação.
Para adicionar o usuário a um grupo isento, faça o seguinte:
- Use o Solucionador de problemas de políticas para identificar as políticas de negação que estão bloqueando o acesso ao recurso.
- Confira a política de negação.
- Confira a lista de principais de exceção para grupos.
- Se você identificar um grupo isento, adicione o usuário a ele.
Remover a permissão da política de negação
As regras de negação impedem que os principais listados usem permissões específicas. Se uma regra de negação estiver bloqueando o acesso de um usuário a um recurso, remova as permissões necessárias da regra de negação.
Para remover permissões de uma regra de negação, siga as etapas para atualizar a política de negação. Ao atualizar a política de negação, encontre a regra de negação que bloqueia o acesso e faça uma destas ações:
- Se a política de negação listar as permissões necessárias individualmente, encontre-as e remova-as da regra de negação.
- Se a regra de negação usar grupos de permissões, adicione as permissões necessárias como exceções. As permissões de exceção são aquelas que não são bloqueadas pela regra de negação, mesmo que façam parte de um grupo de permissões incluído na regra.
Excluir o recurso da política de negação
É possível usar condições em políticas de negação para aplicar uma regra de negação com base nas tags de um recurso. Se as tags do recurso não atenderem à condição na regra de negação, ela não será aplicada.
Se uma regra de negação estiver bloqueando o acesso a um recurso, edite as condições na regra de negação ou as tags no recurso para garantir que a regra não se aplique a ele.
Para saber como usar condições em uma regra de negação, consulte Condições em políticas de negação.
Para saber como atualizar políticas de negação, consulte Atualizar uma política de negação.
Para saber como editar as tags de um recurso, consulte Como criar e gerenciar tags.
Desativar e-mails de solicitação de acesso gerados automaticamente
É possível desativar os pedidos de acesso gerados automaticamente para impedir que os usuários os enviem diretamente ao contato técnico essencial da sua organização. Depois que esse recurso for desativado, os usuários que encontrarem erros de permissão ainda poderão copiar a solicitação de acesso e enviá-la manualmente a um administrador.
Para desativar as solicitações de acesso geradas automaticamente, faça o seguinte:
No console do Cloud de Confiance , acesse a página Configurações.
Na seção Solicitações de correção automática, selecione Desativado.