Zugriffssteuerung für Organisationsressourcen mit IAM

Google Cloud bietet Identity and Access Management (IAM), mit dem sich der Zugriff auf einzelne Google Cloud Ressourcen präzise steuern und unerwünschter Zugriff auf andere Ressourcen verhindern lässt. Durch IAM haben Sie die Möglichkeit, das Prinzip der geringsten Berechtigung anzuwenden und somit nur den notwendigen Zugriff auf Ihre Ressourcen zu gewähren.

Mit IAM können Sie durch Festlegung von Zulassungsrichtlinien steuern, wer (Nutzer) welchen Zugriff (Rollen) auf welche Ressourcen hat. Durch sie werden einem Nutzer bestimmte Rollen zugewiesen, mit denen wiederum gewisse Berechtigungen verknüpft sind.

Auf dieser Seite werden die IAM-Rollen erläutert, die für die Organisationsressource verfügbar sind. Außerdem erfahren Sie, wie Sie mit der Cloud Resource Manager API Zulassungsrichtlinien für Organisationsressourcen erstellen und verwalten. Weitere Informationen finden Sie unter Zugriff auf Projekte, Ordner und Organisationen verwalten.

Berechtigungen und Rollen

Damit der Zugriff auf die Ressourcen gesteuert werden kann, verlangt Google Cloud , dass Konten, die API-Anfragen senden, über entsprechende IAM-Rollen verfügen. IAM-Rollen beinhalten Berechtigungen, die es Nutzern erlauben, bestimmte Aktionen aufGoogle Cloud -Ressourcen durchzuführen. Mit der Berechtigung resourcemanager.organizations.get kann ein Nutzer beispielsweise Details zu seiner Organisationsressource abrufen.

Sie erteilen den Nutzern die Berechtigungen nicht direkt, sondern Sie weisen ihnen Rollen zu, die eine oder mehrere Berechtigungen enthalten.

Sie können für dieselbe Ressource eine oder mehrere Rollen zuweisen.

Vordefinierte Rollen verwenden

Die folgende Tabelle enthält die Rollen, die Sie zuweisen können, um auf die Eigenschaften einer Organisationsressource zuzugreifen, sowie eine Beschreibung der Rollen und die damit einhergehenden Berechtigungen.

Benutzerdefinierte Rollen erstellen

• Berechtigungen zum Auflisten und Abrufen, z. B. resourcemanager.projects.get/list, sollten immer als Paar von Berechtigungen zugewiesen werden.
• Wenn Ihre benutzerdefinierte Rolle die Berechtigungen folders.list und folders.get hat, sollte sie auch die Berechtigungen projects.list und projects.get einschließen.
• Beachten Sie, dass einem Nutzer mit der Berechtigung setIamPolicy für Organisations-, Ordner- und Projektressourcen auch alle anderen Berechtigungen erteilt werden. Überlegen Sie sorgfältig, ob dies nötig ist.

Bestehenden Zugriff für eine Organisationsressource ansehen

Welche Rollen einem Nutzer für eine Organisationsressource zugewiesen wurden, sehen Sie in der „allow“-Richtlinie der Ressource. Sie können die Zulassungsrichtlinie für eine Organisationsressource über die Google Cloud -Konsole, die Google Cloud CLI oder die Methode getIamPolicy() aufrufen.

gcloud alpha organizations get-iam-policy [ORGANIZATION_ID] --format json >
[FILENAME.JSON]

bindings:
- members:
- user:[email protected]
role: roles/editor
- members:
- user:[email protected]
role:roles/resourcemanager.organizationAdmin
- members:
- user:[email protected]
role: roles/resourcemanager.projectCreator
etag": "BwU1aRxWk30="

POST
https://cloudresourcemanager.googleapis.com/v3/organizations/12345:getIamPolicy

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
        "user:[email protected]"
    ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:[email protected]",
            "user:[email protected]",
            "serviceAccount:[email protected]"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()
print json.dumps(policy, indent=2)

Zugriff auf eine Organisationsressource gewähren

Organisationsadministratoren können Teammitgliedern IAM-Rollen zuweisen, sodass sie auf die Ressourcen und APIs einer Organisation zugreifen können. Sie können Rollen der E-Mail-Adresse eines Nutzerkontos, einer Google-Gruppe, einem Dienstkonto oder einer G Suite-Domain zuweisen. Mit der Google Cloud Console, der gcloud CLI oder der Methode setIamPolicy() können Sie Rollen zuweisen.

{
    "bindings": [
    {
        "members": [
            "user:[email protected]"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:[email protected]",
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:[email protected]"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

{
    "bindings": [
    {
        "members": [
            "user:[email protected]"
        ],
        "role": "roles/editor"
    },
    {
        "members": [
            "user:[email protected]",
            "user:[email protected]"
        ],
        "role": "roles/resourcemanager.organizationAdmin"
    },
    {
        "members": [
            "user:[email protected]"
        ],
        "role": "roles/resourcemanager.projectCreator"
    },
    ],
    "etag": "BwU1aRxWk30="
}

gcloud alpha organizations set-iam-policy [ORGANIZATION_ID] policy.json

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:setIamPolicy
{
    "policy": {
    "version": "0",
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:[email protected]"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
        "user:[email protected]",
        "user:[email protected]",
        "serviceAccount:[email protected]"
        ]
    }
    ]
    "etag": "BwUjHYKHHiQ="
    }
}

{
    "bindings": [
    {
        "role": "roles/resourcemanager.organizationAdmin",
        "members": [
            "user:[email protected]"
        ]
    },
    {
        "role": "roles/resourcemanager.projectCreator",
        "members": [
            "user:[email protected]",
            "user:[email protected]",
            "serviceAccount:[email protected]"
        ]
    }
    ]
    "etag": "BwUjHYKJUiQ="
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))
policy = crm.organizations().getIamPolicy(
    resource=flags.organizationId, body={}).execute()

admin_binding = next(
    (binding
        for binding in policy['bindings']
        if binding['role'] == 'roles/resourcemanager.organizationAdmin'),
        None)

# Add an empty Organization Administrator binding if not present.
if not admin_binding:
    admin_binding = {
        'role': 'roles/resourcemanager.organizationAdmin',
        'members': []
    }
policy['bindings'].append(admin_binding)

# Add the new Admin (if necessary).
new_admin = 'user:' + flags.adminEmail
if new_admin not in admin_binding['members']:
    admin_binding['members'].append(new_admin)
policy = crm.organizations().setIamPolicy(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'policy': policy
    }).execute()

print json.dumps(policy, indent=2)

Projektsichtbarkeit für Nutzer einschränken

Nutzer können alle Projekte in der Google Cloud Console und in Suchanfragen sehen, auf die sie Zugriff haben, unabhängig davon, ob sie sich in der ausgewählten Organisationsressource des Nutzers befinden. Mit dem Organisationsrichtliniendienst können Sie die Gruppe von Projekten einschränken, die in Abfragen und in der Google Cloud -Konsole zurückgegeben werden. Damit können Sie festlegen, dass Nutzer nur Projekte innerhalb Ihrer Domain sehen können.

Die Einschränkung der Organisationsrichtlinie constraints/resourcemanager.accessBoundaries ist eine Listeneinschränkung, die für Ihre Organisationsressource erzwungen wird. Die Einschränkung akzeptiert eine Liste von Organisationsressourcen-IDs, die die Organisationsressourcen definieren, die ihre Ressourcen für Nutzer in einer Abfrage oder in der Google Cloud -Konsole sichtbar machen.

Projekte werden unter No organization angezeigt, wenn der Nutzer nicht die Berechtigung resourcemanager.organizations.get für die übergeordnete Organisationsressource des Projekts hat. Dies kann den Anschein haben, dass ein Projekt, das nicht zu Ihrer Organisationsressource gehört, überhaupt nicht mit einer Organisationsressource verknüpft ist. Wenn Sie die Einschränkung resourcemanager.accessBoundaries verwenden, um eine Organisationsressource nicht zuzulassen, werden Projekte, die zu dieser Organisationsressource gehören, nicht in Abfragen oder in der Google Cloud Konsole angezeigt. Projekte, die noch nicht zu einer Organisationsressource migriert wurden, sind nicht sichtbar, wenn diese Einschränkung erzwungen wird.

Wir empfehlen, Projekte unter No organization zu Ihrer Organisationsressource zu migrieren, bevor Sie diese Einschränkung erzwingen. Informationen zum Migrieren von Projekten in eine Organisationsressource finden Sie unter Projekt verschieben.

Informationen zum Festlegen einer Organisationsrichtlinie finden Sie unter Einschränkungen verwenden.

Bedingten Zugriff gewähren

Bestimmte IAM-Rollen, z. B. „Organisationsrichtlinien-Administrator“ (roles/orgpolicy.policyAdmin), können nur für eine Organisationsressource gewährt werden. Aufgrund der Richtlinienübernahme wird diese Rolle normalerweise von allen Ressourcen in der Organisation übernommen.

Wenn Sie genauer steuern möchten, für welche Ressourcen die Rolle gewährt wird, können Sie IAM-Bedingungen verwenden. Wenn Sie Tags mit Bedingungen verwenden, können Sie nur dann Zugriff auf Ressourcen gewähren, wenn sie das angegebene Tag haben. Die folgende Zulassungsrichtlinie gewährt die Rolle „Administrator für Organisationsrichtlinien“ beispielsweise nur für Ressourcen mit dem Tag environment: dev und nicht für andere Ressourcen:

{
  "bindings": [
    {
      "members": [
        "group:[email protected]"
      ],
      "role": "roles/orgpolicy.policyAdmin",
      "condition": {
          "title": "Dev_environment_only",
          "description": "Only granted in the development environment",
          "expression":
            "resource.matchTag('123456789012/env', 'dev')"
      }
    }
  ],
  "etag": "BwWKmjvelug=",
  "version": 3
}

Berechtigungen testen

Mit der Methode testIamPermissions() können Sie IAM-Berechtigungen eines Nutzers für eine Organisationsressource testen. Diese Methode nimmt die Ressourcen-URL und den Satz der zu testenden Berechtigungen als Eingabeparameter an und gibt die Teilmenge dieser Berechtigungen zurück, die dem Nutzer zugänglich ist.

Wenn Sie Berechtigungen direkt über dieGoogle Cloud -Konsole verwalten, wird testIamPermission() in der Regel nicht aufgerufen. testIamPermissions() ist für die Verknüpfung mit Ihrer proprietären Software vorgesehen, etwa einer benutzerdefinierten grafischen Oberfläche. Beispielsweise verwendet die Google Cloud Console intern testIamPermissions(), um zu bestimmen, welche Benutzeroberfläche dem angemeldeten Nutzer zur Verfügung stehen soll.

Request:

POST https://cloudresourcemanager.googleapis.com/v3/organizations/12345:testIamPermissions

{
    "permissions":  [
        "resourcemanager.organizations.get",
        "resourcemanager.organizations.setIamPolicy"
    ]
}

Response:

{
    "permissions": [
        "resourcemanager.organizations.get"
    ]
}

crm = discovery.build(
    'cloudresourcemanager', 'v3', http=creds.authorize(httplib2.Http()))

response = crm.organizations().testIamPermissions(
    resource=flags.organizationId,
    body={
        'resource': flags.organizationId,
        'permissions': [
            'resourcemanager.organizations.setIamPolicy',
            'resourcemanager.projects.patch'
        ]
    }).execute()

print json.dumps(response, indent=2)