Control de acceso para los recursos de la organización con la IAM

Identity and Access Management (IAM) te permite proporcionar acceso detallado a recursos específicos de Cloud de Confiance by S3NS y, al mismo tiempo, evitar el acceso no deseado a otros recursos. Si aplicas el principio de privilegio mínimo, otorgas solo los permisos necesarios para tus cargas de trabajo.

IAM controla quién (usuarios) tiene qué acceso (roles) a qué recursos a través de políticas de permisos, que vinculan roles específicos a los usuarios. Para administrar el acceso en toda tu jerarquía de recursos, puedes configurar roles de IAM y políticas de permisos a nivel de la organización con la API de Cloud Resource Manager. También puedes definir políticas de denegación para evitar que las principales usen permisos específicos. Para obtener más información, consulta Administra el acceso a proyectos, carpetas y organizaciones.

Permisos y roles

Para controlar el acceso a los recursos, Cloud de Confiance by S3NS exige que las cuentas que realizan solicitudes a la API tengan los roles de IAM adecuados. Los roles de IAM incluyen permisos que permiten a los usuarios realizar acciones específicas en los recursos deCloud de Confiance . Por ejemplo, el permiso resourcemanager.organizations.get permite que un usuario obtenga detalles sobre el recurso de su organización.

No se otorgan permisos a los usuarios directamente, sino funciones, que incluyen uno o más permisos.

Puedes otorgar una o más funciones en el mismo recurso.

Usa roles predefinidos

En la siguiente tabla, se enumeran los roles que puedes otorgar para acceder a las propiedades de un recurso de organización, la descripción de lo que hace el rol y los permisos agrupados en él.

Crea funciones personalizadas

• Los permisos list y get, como resourcemanager.projects.get/list, siempre se deben otorgar como un par.
• Cuando tu rol personalizado incluye los permisos folders.list y folders.get, también debe incluir projects.list y projects.get.
• Ten en cuenta que el permiso setIamPolicy para los recursos de organización, carpeta y proyecto permite que el usuario otorgue todos los demás permisos, por lo que se debe asignar con cuidado.

Visualiza el acceso existente a un recurso de organización

Puedes ver qué roles se le otorgan a un usuario para un recurso de organización si obtienes la política de permisos de ese recurso. Puedes ver la política de permisos de un recurso de organización con la consola de Cloud de Confiance , Google Cloud CLI o el método getIamPolicy().

gcloud organizations get-iam-policy \
ORGANIZATION_ID --format json > \
FILENAME.JSON

bindings:
- members:
- user:testuser1@gcp-test.com
role: roles/editor
- members:
- user:admin@gcp-test.com
role:roles/resourcemanager.organizationAdmin
- members:
- user:testuser2@gcp-test.com
role: roles/resourcemanager.projectCreator
etag": "BwU1aRxWk30="

POST
https://cloudresourcemanager.googleapis.com/v3/organizations/12345:getIamPolicy

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
        "user:email1@gmail.com"
    ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()
print json.dumps(policy, indent=2)

Otorga acceso a un recurso de organización

Los administradores de la organización pueden otorgar roles de IAM a los miembros del equipo para que puedan acceder a los recursos y las APIs de una organización. Puedes otorgar roles a un correo electrónico de cuenta de usuario, un Grupo de Google, una cuenta de servicio o un dominio de G Suite. Puedes usar la consola de Cloud de Confiance , gcloud CLI o el método setIamPolicy() para otorgar roles.

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:admin@gcp-test.com",
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:testuser2@gcp-test.com"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:admin@gcp-test.com",
            "user:anotheradmin@gcp-test.com"
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:testuser20@gcp-test.com"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

gcloud organizations set-iam-policy \
ORGANIZATION_ID policy.json

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:setIamPolicy
{
    "policy": {
    "version": "0",
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
        "user:email2@gmail.com",
        "user:email3@gmail.com",
        "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
    }
}

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKJUiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()

admin_binding = next(
    (binding
        for binding in policy['bindings']
        if binding['role'] == 'roles/resourcemanager.organizationAdmin'),
        None)

# Add an empty Organization Administrator binding if not present.
if not admin_binding:
    admin_binding = {
        'role': 'roles/resourcemanager.organizationAdmin',
        'members': []
    }
policy['bindings'].append(admin_binding)

# Add the new Admin (if necessary).
new_admin = 'user:' + flags.adminEmail
if new_admin not in admin_binding['members']:
    admin_binding['members'].append(new_admin)
policy = crm.organizations().setIamPolicy(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'policy': policy
    }).execute()

print json.dumps(policy, indent=2)

Restringe la visibilidad de los proyectos para los usuarios

Los usuarios pueden ver todos los proyectos a los que tienen acceso en la consola de Cloud de Confiance y en las consultas de búsqueda, independientemente de si están o no en el recurso de organización seleccionado por el usuario. Puedes usar el servicio de políticas de la organización para restringir el conjunto de proyectos que se devuelven en las consultas y en la consola de Cloud de Confiance . Esto te permite restringir a los usuarios para que vean proyectos solo dentro de tu dominio.

La restricción de la política de la organización constraints/resourcemanager.accessBoundaries es una restricción de lista que se aplica al recurso de tu organización. La restricción acepta una lista de IDs de recursos de la organización, que definen el conjunto de recursos de la organización que hacen que sus recursos sean visibles para los usuarios en una consulta o en la consola de Cloud de Confiance .

Los proyectos aparecen en No organization si el usuario no tiene el permiso resourcemanager.organizations.get en el recurso de la organización superior del proyecto. Esto puede hacer que un proyecto que no forma parte de tu recurso de organización parezca no estar asociado con ningún recurso de organización. Si usas la restricción resourcemanager.accessBoundaries para inhabilitar un recurso de organización, los proyectos que pertenecen a ese recurso de organización no aparecen en las consultas ni en la consola de Cloud de Confiance . Los proyectos que aún no se migraron a un recurso de organización no son visibles si aplicas esta restricción.

Te recomendamos que migres los proyectos que están en No organization al recurso de tu organización antes de aplicar esta restricción. Para obtener información sobre cómo mover proyectos a un recurso de organización, consulta Traslada un proyecto.

Para obtener información sobre cómo configurar una política de la organización, consulta Usa restricciones.

Otorgar acceso condicional

Algunos roles de IAM, como el de administrador de políticas de la organización (roles/orgpolicy.policyAdmin), solo se pueden otorgar en un recurso de organización. Debido a la herencia de políticas, todos los recursos de la organización suelen heredar este rol.

Para tener más control sobre los recursos en los que se otorga el rol, puedes usar las condiciones de IAM. El uso de etiquetas con condiciones te permite otorgar acceso a los recursos solo si tienen la etiqueta especificada. Por ejemplo, la siguiente política de permisos otorga el rol de administrador de políticas de la organización solo en los recursos que tienen la etiqueta environment: dev y no lo otorga en ningún otro recurso:

{
  "bindings": [
    {
      "members": [
        "{dynamic print variables.examples.principal_group_api}"
      ],
      "role": "roles/orgpolicy.policyAdmin",
      "condition": {
          "title": "Dev_environment_only",
          "description": "Only granted in the development environment",
          "expression":
            "resource.matchTag('123456789012/env', 'dev')"
      }
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 3
}

Prueba los permisos

Puedes probar los permisos de IAM en un usuario para un recurso de organización con el método testIamPermissions(). Este método toma la URL del recurso y el conjunto de permisos que se probarán. Muestra el subconjunto de estos permisos a los que el usuario puede acceder.

Por lo general, no invocas testIamPermissions() si usas la consola deCloud de Confiance para administrar los permisos directamente. testIamPermissions() está diseñado para integrarse con tu software propio, como una interfaz gráfica de usuario personalizada. Por ejemplo, la consola de Cloud de Confiance usa testIamPermissions() de forma interna para determinar qué IU está disponible para el usuario que accedió.

Request:

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:testIamPermissions

{
    "permissions":  [
        "resourcemanager.organizations.get",
        "resourcemanager.organizations.setIamPolicy"
    ]
}

Response:

{
    "permissions": [
        "resourcemanager.organizations.get"
    ]
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))

response = crm.organizations().testIamPermissions(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'permissions': [
            'resourcemanager.organizations.setIamPolicy',
            'resourcemanager.projects.patch'
        ]
    }).execute()

print json.dumps(response, indent=2)