Controllo dell'accesso per le risorse dell'organizzazione con IAM

Identity and Access Management (IAM) ti consente di fornire un accesso granulare a determinate risorse Cloud de Confiance by S3NS , impedendo al contempo l'accesso indesiderato ad altre risorse. Applicando il principio del privilegio minimo, concedi solo le autorizzazioni necessarie per i tuoi workload.

IAM controlla chi (utenti) ha quale accesso (ruoli) a quali risorse tramite policy di autorizzazione, che associano ruoli specifici agli utenti. Per gestire l'accesso nella gerarchia delle risorse, puoi configurare i ruoli IAM e le policy di autorizzazione a livello di organizzazione utilizzando l'API Cloud Resource Manager. Puoi anche definire policy di negazione per impedire alle entità di utilizzare autorizzazioni specifiche. Per saperne di più, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Autorizzazioni e ruoli

Per controllare l'accesso alle risorse, Cloud de Confiance by S3NS richiede che gli account che effettuano richieste API dispongano dei ruoli IAM appropriati. I ruoli IAM includono autorizzazioni che consentono agli utenti di eseguire azioni specifiche sulle risorseCloud de Confiance . Ad esempio, l'autorizzazione resourcemanager.organizations.get consente a un utente di ottenere dettagli sulla risorsa della propria organizzazione.

Non concedi direttamente le autorizzazioni agli utenti, ma assegni loro dei ruoli, che raggruppano una o più autorizzazioni.

Puoi concedere uno o più ruoli sulla stessa risorsa.

Utilizza i ruoli predefiniti

La tabella seguente elenca i ruoli che puoi concedere per accedere alle proprietà di una risorsa organizzazione, la descrizione di ciò che fa il ruolo e le autorizzazioni raggruppate all'interno di quel ruolo.

Creazione di ruoli personalizzati

• Le autorizzazioni di elenco e recupero, ad esempio resourcemanager.projects.get/list, devono essere sempre concesse in coppia.
• Quando il tuo ruolo personalizzato include le autorizzazioni folders.list e folders.get, deve includere anche projects.list e projects.get.
• Tieni presente che l'autorizzazione setIamPolicy per le risorse di organizzazione, cartella e progetto consente all'utente di concedere tutte le altre autorizzazioni, pertanto deve essere assegnata con attenzione.

Visualizza l'accesso esistente per una risorsa dell'organizzazione

Puoi visualizzare i ruoli concessi a un utente per una risorsa dell'organizzazione recuperando la policy di autorizzazione della risorsa. Puoi visualizzare la policy di autorizzazione per una risorsa dell'organizzazione utilizzando la console Cloud de Confiance , Google Cloud CLI o il metodo getIamPolicy().

gcloud organizations get-iam-policy \
ORGANIZATION_ID --format json > \
FILENAME.JSON

bindings:
- members:
- user:testuser1@gcp-test.com
role: roles/editor
- members:
- user:admin@gcp-test.com
role:roles/resourcemanager.organizationAdmin
- members:
- user:testuser2@gcp-test.com
role: roles/resourcemanager.projectCreator
etag": "BwU1aRxWk30="

POST
https://cloudresourcemanager.googleapis.com/v3/organizations/12345:getIamPolicy

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
        "user:email1@gmail.com"
    ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()
print json.dumps(policy, indent=2)

Concedi l'accesso a una risorsa dell'organizzazione

Gli Organization Administrator possono concedere ruoli IAM ai membri del team in modo che possano accedere alle risorse e alle API di un'organizzazione. Puoi concedere ruoli a un indirizzo email di un account utente, a un gruppo Google, a un account di servizio o a un dominio G Suite. Puoi utilizzare la console Cloud de Confiance , gcloud CLI o il metodo setIamPolicy() per concedere i ruoli.

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:admin@gcp-test.com",
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:testuser2@gcp-test.com"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:admin@gcp-test.com",
            "user:anotheradmin@gcp-test.com"
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:testuser20@gcp-test.com"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

gcloud organizations set-iam-policy \
ORGANIZATION_ID policy.json

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:setIamPolicy
{
    "policy": {
    "version": "0",
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
        "user:email2@gmail.com",
        "user:email3@gmail.com",
        "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
    }
}

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKJUiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()

admin_binding = next(
    (binding
        for binding in policy['bindings']
        if binding['role'] == 'roles/resourcemanager.organizationAdmin'),
        None)

# Add an empty Organization Administrator binding if not present.
if not admin_binding:
    admin_binding = {
        'role': 'roles/resourcemanager.organizationAdmin',
        'members': []
    }
policy['bindings'].append(admin_binding)

# Add the new Admin (if necessary).
new_admin = 'user:' + flags.adminEmail
if new_admin not in admin_binding['members']:
    admin_binding['members'].append(new_admin)
policy = crm.organizations().setIamPolicy(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'policy': policy
    }).execute()

print json.dumps(policy, indent=2)

Limita la visibilità dei progetti per gli utenti

Gli utenti possono visualizzare tutti i progetti a cui hanno accesso nella console Cloud de Confiance e nelle query di ricerca, indipendentemente dal fatto che si trovino o meno nella risorsa organizzazione selezionata dall'utente. Puoi utilizzare il servizio policy dell'organizzazione per limitare l'insieme di progetti restituiti nelle query e nella console Cloud de Confiance . In questo modo, puoi limitare gli utenti in modo che visualizzino i progetti solo all'interno del tuo dominio.

Il vincolo della policy dell'organizzazione constraints/resourcemanager.accessBoundaries è un vincolo di elenco applicato alla risorsa della tua organizzazione. Il vincolo accetta un elenco di ID risorsa dell'organizzazione, che definiscono l'insieme di risorse dell'organizzazione che rendono visibili le proprie risorse agli utenti in una query o nella console Cloud de Confiance .

I progetti vengono visualizzati in No organization se l'utente non dispone dell'autorizzazione resourcemanager.organizations.get sulla risorsa dell'organizzazione padre del progetto. In questo modo, un progetto che non fa parte della risorsa Organizzazione potrebbe sembrare non associato a nessuna risorsa Organizzazione. Se utilizzi il vincolo resourcemanager.accessBoundaries per non consentire una risorsa organizzazione, i progetti che appartengono a quella risorsa organizzazione non vengono visualizzati nelle query o nella console Cloud de Confiance . I progetti di cui non è ancora stata eseguita la migrazione a una risorsa dell'organizzazione non sono visibili se applichi questo vincolo.

Ti consigliamo di eseguire la migrazione dei progetti che si trovano in No organization alla tua risorsa organizzazione prima di applicare questo vincolo. Per informazioni sullo spostamento dei progetti in una risorsa organizzazione, consulta Spostamento di un progetto.

Per informazioni sull'impostazione di una policy dell'organizzazione, consulta Utilizzo dei vincoli.

Concedi l'accesso condizionale

Alcuni ruoli IAM, come Organization Policy Administrator (roles/orgpolicy.policyAdmin), possono essere concessi solo su una risorsa dell'organizzazione. A causa dell'ereditarietà delle policy, tutte le risorse dell'organizzazione normalmente ereditano questo ruolo.

Per un maggiore controllo sulle risorse a cui viene concesso il ruolo, puoi utilizzare le condizioni IAM. L'utilizzo dei tag con le condizioni ti consente di concedere l'accesso alle risorse solo se hanno il tag specificato. Ad esempio, la seguente policy di autorizzazione concede il ruolo Amministratore policy dell'organizzazione solo alle risorse con il tag environment: dev e non lo concede ad altre risorse:

{
  "bindings": [
    {
      "members": [
        "{dynamic print variables.examples.principal_group_api}"
      ],
      "role": "roles/orgpolicy.policyAdmin",
      "condition": {
          "title": "Dev_environment_only",
          "description": "Only granted in the development environment",
          "expression":
            "resource.matchTag('123456789012/env', 'dev')"
      }
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 3
}

Test delle autorizzazioni

Puoi testare le autorizzazioni IAM di un utente per una risorsa organizzazione con il metodo testIamPermissions(). Questo metodo prende l'URL della risorsa e l'insieme di autorizzazioni da testare. Restituisce il sottoinsieme di queste autorizzazioni a cui l'utente può accedere.

In genere non richiami testIamPermissions() se utilizzi la consoleCloud de Confiance direttamente per gestire le autorizzazioni. testIamPermissions() è destinato all'integrazione con il tuo software proprietario, ad esempio una Graphic User Interface personalizzata. Ad esempio, la console Cloud de Confiance utilizza testIamPermissions() internamente per determinare quale UI è disponibile per l'utente che ha eseguito l'accesso.

Request:

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:testIamPermissions

{
    "permissions":  [
        "resourcemanager.organizations.get",
        "resourcemanager.organizations.setIamPolicy"
    ]
}

Response:

{
    "permissions": [
        "resourcemanager.organizations.get"
    ]
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))

response = crm.organizations().testIamPermissions(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'permissions': [
            'resourcemanager.organizations.setIamPolicy',
            'resourcemanager.projects.patch'
        ]
    }).execute()

print json.dumps(response, indent=2)