Как составить список, найти или выполнить поиск политик iam по службам (API), типам ресурсов и проектам в облачной платформе Google (GCP)?

Question

В Google Cloud Platform (GCP) вы можете получить политику IAM только для указанного c ресурса, вызвав getIamPolicy (get-iam-policy в gcloud).

Есть ли способ перечислить , искать, перечислять, искать или находить политики IAM в ресурсах, службах или проектах?

Это необходимо для ответа на такие вопросы, как:

• Какие роли выполняет служебная учетная запись?
• Какие ресурсы являются общедоступными?
• Содержат ли политики удаленных пользователей?
• Появляется ли пользователь в каких-либо политиках после ухода из моей компании?
• Имеет ли пользователь данную роль?

Answer 1

Вы можете использовать search-all-iam-policy для поиска всех политик IAM по службам, типам ресурсов, проектам в проекте, папке или организации.

Для просмотра политик в проекте с номером 123 (обратите внимание, что поддерживаются только политики для перечисленных типов ресурсов ):

gcloud beta asset search-all-iam-policies --scope=projects/123

Чтобы узнать, кто имеет роль Владелец в организации с номером 456:

gcloud beta asset search-all-iam-policies --scope=organizations/456 --query="policy:roles/owner"

Чтобы узнать, какие роли имеет учетная запись службы:

--query="policy:123-compute@developer.gserviceaccount.com"

Чтобы узнать, какие ресурсы являются общими для общего доступа:

--query="policy:(allUsers OR allAuthenticatedUsers)"

Чтобы узнать, содержат ли политики удаленные учетные записи:

--query="policy:deleted"

Чтобы узнать, присутствует ли amy@bar.com в какой-либо политике:

--query="policy:amy@bar.com"

Чтобы узнать, имеет ли роль amy@bar.com Владелец:

--query="policy:(roles/owner amy@bar.com)"

Чтобы просмотреть политики IAM только для определенного типа ресурса (например, проектов):

--query="policy:roles/owner resource://cloudresourcemanager.googleapis.com/projects"

Чтобы узнать, имеет ли какая-либо учетная запись gmail роль Владелец:

`--query="policy:(roles/owner *gmail*)"

Вы можете изменить область видимости для папки или проекта.

Для использования запятой d, вы должны:

• включить API облачных активов и

• иметь разрешение cloudasset.assets.searchAllIamPolicies для области, включенной в эти роли :

  • Роли / cloudasset.viewer
  • Роли / cloudasset.owner
  • Роли / просмотра
  • Роли / редактор
  • Роли / владелец

Документация: https://cloud.google.com/asset-inventory/docs/searching-iam-policies

Поддерживаемые типы ресурсов: https://cloud.google.com/asset-inventory/docs/supported-asset-types#searchable_asset_types