Controllo dell'accesso per le risorse dell'organizzazione con IAM

Trusted Cloud by S3NS offre Identity and Access Management (IAM), che consente di concedere un accesso più granulare a risorse Trusted Cloud specifiche e impedisce l'accesso indesiderato ad altre risorse. IAM ti consente di adottare il principio di sicurezza del privilegio minimo, in modo da concedere solo il livello di accesso necessario per le tue risorse.

IAM consente di controllare chi (utenti) ha quale accesso (ruoli) a quali risorse impostando le policy di autorizzazione. Le policy di autorizzazione concedono ruoli specifici a un utente, conferendogli determinate autorizzazioni.

Questa pagina descrive i ruoli IAM disponibili nella risorsa organizzazione e come creare e gestire le policy di autorizzazione per le risorse organizzazione utilizzando l'API Cloud Resource Manager. Per saperne di più, consulta la pagina Gestire l'accesso a progetti, cartelle e organizzazioni.

Autorizzazioni e ruoli

Per controllare l'accesso alle risorse, Trusted Cloud by S3NS è necessario che gli account che effettuano richieste API dispongano dei ruoli IAM appropriati. I ruoli IAM includono autorizzazioni che consentono agli utenti di eseguire azioni specifiche sulle risorseTrusted Cloud . Ad esempio, l'autorizzazione resourcemanager.organizations.get consente a un utente di ottenere dettagli sulla risorsa della propria organizzazione.

Non concedi direttamente le autorizzazioni agli utenti, ma assegni loro ruoli, che includono una o più autorizzazioni.

Puoi concedere uno o più ruoli sulla stessa risorsa.

Utilizzare i ruoli predefiniti

La tabella seguente elenca i ruoli che puoi concedere per accedere alle proprietà di una risorsa dell'organizzazione, la descrizione della funzione del ruolo e le autorizzazioni incluse in quel ruolo.

Creazione di ruoli personalizzati

• Elenca e ottieni autorizzazioni, ad esempio resourcemanager.projects.get/list, devono sempre essere concesse in coppia.
• Se il tuo ruolo personalizzato include le autorizzazioni folders.list e folders.get, deve includere anche projects.list e projects.get.
• Tieni presente che l'autorizzazione setIamPolicy per le risorse di organizzazione, cartella e progetto consente all'utente di concedere tutte le altre autorizzazioni, pertanto deve essere assegnata con attenzione.

Visualizzare l'accesso esistente per una risorsa dell'organizzazione

Puoi visualizzare i ruoli concessi a un utente per una risorsa dell'organizzazione recuperando il criterio di autorizzazione della risorsa. Puoi visualizzare la policy di autorizzazione per una risorsa organizzazione utilizzando la console Trusted Cloud , Google Cloud CLI o il metodo getIamPolicy().

gcloud alpha organizations get-iam-policy [ORGANIZATION_ID] --format json >
[FILENAME.JSON]

bindings:
- members:
- user:testuser1@gcp-test.com
role: roles/editor
- members:
- user:admin@gcp-test.com
role:roles/resourcemanager.organizationAdmin
- members:
- user:testuser2@gcp-test.com
role: roles/resourcemanager.projectCreator
etag": "BwU1aRxWk30="

POST
https://cloudresourcemanager.googleapis.com/v3/organizations/12345:getIamPolicy

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
        "user:email1@gmail.com"
    ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()
print json.dumps(policy, indent=2)

Concessione dell'accesso a una risorsa dell'organizzazione

Gli amministratori dell'organizzazione possono concedere ruoli IAM ai membri del team in modo che possano accedere alle risorse e alle API di un'organizzazione. Puoi concedere ruoli a un'email di un account utente, a un gruppo Google, a un account di servizio o a un dominio G Suite. Puoi utilizzare la console Trusted Cloud , gcloud CLI o il metodo setIamPolicy() per concedere i ruoli.

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:admin@gcp-test.com",
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:testuser2@gcp-test.com"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

{
    "bindings": [
    {
        "members": [
            "user:testuser1@gcp-test.com"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:admin@gcp-test.com",
            "user:anotheradmin@gcp-test.com"
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:testuser20@gcp-test.com"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

gcloud alpha organizations set-iam-policy [ORGANIZATION_ID] policy.json

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:setIamPolicy
{
    "policy": {
    "version": "0",
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
        "user:email2@gmail.com",
        "user:email3@gmail.com",
        "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
    }
}

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:email1@gmail.com"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:email2@gmail.com",
            "user:email3@gmail.com",
            "serviceAccount:my-other-app@appspot.s3ns-system.iam.gserviceaccount.com"
        ]
    }
    ]
    "etag": "BwUjHYKJUiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()

admin_binding = next(
    (binding
        for binding in policy['bindings']
        if binding['role'] == 'roles/resourcemanager.organizationAdmin'),
        None)

# Add an empty Organization Administrator binding if not present.
if not admin_binding:
    admin_binding = {
        'role': 'roles/resourcemanager.organizationAdmin',
        'members': []
    }
policy['bindings'].append(admin_binding)

# Add the new Admin (if necessary).
new_admin = 'user:' + flags.adminEmail
if new_admin not in admin_binding['members']:
    admin_binding['members'].append(new_admin)
policy = crm.organizations().setIamPolicy(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'policy': policy
    }).execute()

print json.dumps(policy, indent=2)

Limitare la visibilità del progetto per gli utenti

Gli utenti possono visualizzare tutti i progetti a cui hanno accesso nella console Trusted Cloud e nelle query di ricerca, indipendentemente dal fatto che si trovino o meno nella risorsa organizzativa selezionata dall'utente. Puoi utilizzare il servizio criteri dell'organizzazione per limitare l'insieme di progetti restituiti nelle query e nella console Trusted Cloud . Questo può essere utilizzato per limitare gli utenti alla visualizzazione dei soli progetti all'interno del tuo dominio.

Il vincolo del criterio dell'organizzazione constraints/resourcemanager.accessBoundaries è un vincolo di elenco che viene applicato alla risorsa dell'organizzazione. Il vincolo accetta un elenco di ID risorsa dell'organizzazione, che definiscono l'insieme di risorse dell'organizzazione che rendono le proprie risorse visibili agli utenti in una query o nella console. Trusted Cloud

I progetti vengono visualizzati in No organization se l'utente non dispone dell'autorizzazione resourcemanager.organizations.get sulla risorsa dell'organizzazione padre del progetto. In questo modo, un progetto che non fa parte della risorsa dell'organizzazione non sembra associato a una risorsa dell'organizzazione. Se utilizzi il vincolo resourcemanager.accessBoundaries per non consentire una risorsa organizzazione, i progetti che appartengono a quella risorsa organizzazione non vengono visualizzati nelle query o nella console Trusted Cloud . Qualsiasi progetto che non è ancora stato migrato a una risorsa dell'organizzazione non è visibile se questo vincolo viene applicato.

Ti consigliamo di eseguire la migrazione dei progetti che si trovano in No organization alla risorsa organizzazione prima di applicare questo vincolo. Per informazioni sulla migrazione dei progetti in una risorsa dell'organizzazione, consulta Spostamento di un progetto.

Per informazioni sull'impostazione di una policy dell'organizzazione, vedi Utilizzare i vincoli.

Concessione dell'accesso condizionale

Alcuni ruoli IAM, come Amministratore criteri dell'organizzazione (roles/orgpolicy.policyAdmin), possono essere concessi solo a una risorsa organizzazione. A causa dell'ereditarietà dei criteri, questo ruolo viene normalmente ereditato da tutte le risorse dell'organizzazione.

Per un maggiore controllo sulle risorse a cui viene concesso il ruolo, puoi utilizzare le condizioni IAM. L'utilizzo dei tag con le condizioni ti consente di concedere l'accesso alle risorse solo se hanno il tag specificato. Ad esempio, il seguente criterio consente di concedere il ruolo di amministratore dei criteri dell'organizzazione solo per le risorse che hanno il tag environment: dev e non lo concede per altre risorse:

{
  "bindings": [
    {
      "members": [
        "principalSet://iam.googleapis.com/locations/global/workforcePools/my-pool/group/my-group"
      ],
      "role": "roles/orgpolicy.policyAdmin",
      "condition": {
          "title": "Dev_environment_only",
          "description": "Only granted in the development environment",
          "expression":
            "resource.matchTag('123456789012/env', 'dev')"
      }
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 3
}

Test delle autorizzazioni

Puoi testare le autorizzazioni IAM su un utente per una risorsa dell'organizzazione con il metodo testIamPermissions(). Questo metodo accetta l'URL della risorsa e l'insieme di autorizzazioni che vuoi testare come parametri di input e restituisce il sottoinsieme di queste autorizzazioni a cui l'utente ha accesso.

In genere non richiami testIamPermission() se utilizzi la consoleTrusted Cloud direttamente per gestire le autorizzazioni. testIamPermissions() è destinato all'integrazione con il tuo software proprietario, ad esempio un'interfaccia utente grafica personalizzata. Ad esempio, la console Trusted Cloud utilizzatestIamPermissions()internamente per determinare quale UI deve essere disponibile per l'utente che ha eseguito l'accesso.

Request:

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:testIamPermissions

{
    "permissions":  [
        "resourcemanager.organizations.get",
        "resourcemanager.organizations.setIamPolicy"
    ]
}

Response:

{
    "permissions": [
        "resourcemanager.organizations.get"
    ]
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))

response = crm.organizations().testIamPermissions(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'permissions': [
            'resourcemanager.organizations.setIamPolicy',
            'resourcemanager.projects.patch'
        ]
    }).execute()

print json.dumps(response, indent=2)