Zugriffsrichtlinie erstellen

Auf dieser Seite wird beschrieben, wie Sie eine Zugriffsrichtlinie auf Organisationsebene und beschränkte Richtlinien für die Ordner und Projekte in Ihrer Organisation erstellen.

Hinweis: Eine Organisation kann nur eine Zugriffsrichtlinie auf Organisationsebene und mehrere Bereichsrichtlinien für die Ordner und Projekte in der Organisation haben.

Hinweise

• Sie müssen die richtigen Berechtigungen für die Verwendung von Access Context Manager haben.

Zugriffsrichtlinie auf Organisationsebene erstellen

Sie können für eine Organisation keine Zugriffsrichtlinie auf Organisationsebene erstellen, wenn für diese Organisation eine Zugriffsrichtlinie auf Organisationsebene vorhanden ist.

Console

Wenn Sie eine Zugriffsebene erstellen, wird automatisch eine Standardzugriffsrichtlinie erstellt. Es sind keine zusätzlichen manuellen Schritte erforderlich.

gcloud

Verwenden Sie zum Erstellen einer Zugriffsrichtlinie auf Organisationsebene den Befehl create.

gcloud access-context-manager policies create \
--organization ORGANIZATION_ID --title POLICY_TITLE

Wobei:

• ORGANIZATION_ID ist die numerische ID Ihrer Organisation.

• POLICY_TITLE ist ein für Menschen lesbarer Titel für die Richtlinie

Die Ausgabe sollte in etwa so aussehen (wobei POLICY_NAME eine eindeutige numerische Kennung für die Richtlinie ist, die von Google Cloud zugewiesen wird):

Create request issued
Waiting for operation [accessPolicies/POLICY_NAME/create/1521580097614100] to complete...done.
Created.

Legen Sie als Nächstes eine Standardrichtlinie fest.

API

So erstellen Sie eine Zugriffsrichtlinie auf Organisationsebene:

1. Erstellen Sie einen Anfragetext.

   {
    "parent": "ORGANIZATION_ID",
    "title": "POLICY_TITLE"
   }
   

   Wobei:

   • ORGANIZATION_ID ist die numerische ID Ihrer Organisation.

   • POLICY_TITLE ist ein für Menschen lesbarer Titel für die Richtlinie

2. Erstellen Sie die Zugriffsrichtlinie, indem Sie accessPolicies.create aufrufen.

   POST https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

Antworttext

Bei erfolgreichem Ausführen enthält der Antworttext für den Aufruf eine Ressource Operation mit Informationen zum Vorgang POST.

Eine beschränkte Zugriffsrichtlinie erstellen und die Richtlinie delegieren

Nur VPC Service Controls unterstützt das Erstellen einer beschränkten Zugriffsrichtlinie. Für Google Cloud-Dienste wie Identity-Aware Proxy (IAP) müssen Sie weiterhin Richtlinien auf Organisationsebene verwenden.

Warnung: Wenn für Ihre Organisation keine Zugriffsrichtlinie auf Organisationsebene vorhanden ist, funktionieren bereichsspezifische Richtlinien, die Sie auf Ordner- oder Projektebene erstellen, nicht.

Console

1. Klicken Sie im Navigationsmenü der Google Cloud Console auf Sicherheit und dann auf VPC Service Controls.

   Zu „VPC Service Controls“

2. Wählen Sie Ihre Organisation, Ihren Ordner oder Ihr Projekt aus, wenn Sie dazu aufgefordert werden.

3. Wählen Sie auf der Seite VPC Service Controls die Zugriffsrichtlinie aus, die der übergeordneten Richtlinie übergeordnet ist. Sie können beispielsweise die Organisationsrichtlinie default policy auswählen.

4. Klicken Sie auf Richtlinien verwalten.

5. Klicken Sie auf der Seite VPC Service Controls verwalten auf Erstellen.

6. Geben Sie auf der Seite Zugriffsrichtlinie erstellen im Feld Name der Zugriffsrichtlinie einen Namen für die Zugriffsrichtlinie für den Bereich ein.

   Der Name der Zugriffsrichtlinie darf maximal 50 Zeichen lang sein, muss mit einem Buchstaben beginnen und darf nur lateinische ASCII-Buchstaben (a-z, A-Z), Zahlen (0-9) oder Unterstriche (_) enthalten. Beim Namen der Zugriffsrichtlinie wird zwischen Groß- und Kleinschreibung unterschieden und er muss innerhalb der Zugriffsrichtlinie einer Organisation eindeutig sein.

7. Klicken Sie auf Bereiche, um einen Bereich für die Zugriffsrichtlinie anzugeben.

8. Geben Sie entweder ein Projekt oder einen Ordner als Bereich der Zugriffsrichtlinie an.

   • So wählen Sie ein Projekt aus, das Sie dem Bereich der Zugriffsrichtlinie hinzufügen möchten:

     1. Klicken Sie unter Bereiche auf Projekt hinzufügen.

     2. Klicken Sie im Dialogfeld Projekt hinzufügen das Kästchen für dieses Projekt an.

     3. Klicken Sie auf Fertig. Das hinzugefügte Projekt wird im Abschnitt Bereiche angezeigt.

   • So wählen Sie einen Ordner aus, den Sie dem Bereich der Zugriffsrichtlinie hinzufügen möchten:

     1. Klicken Sie unter Bereiche auf Ordner hinzufügen.

     2. Klicken Sie im Dialogfeld Ordner hinzufügen das Kästchen für diese Ordner an.

     3. Klicken Sie auf Fertig. Der hinzugefügte Ordner wird im Abschnitt Bereiche angezeigt.

9. Klicken Sie auf Hauptkonten, um die Verwaltung der Zugriffsrichtlinie für den Bereich zu delegieren.

10. So geben Sie das Hauptkonto und die Rolle an, die Sie an die Zugriffsrichtlinie binden möchten:

    1. Klicken Sie im Bereich Hauptkonten auf Hauptkonten hinzufügen.

    2. Wählen Sie im Dialogfeld Hauptkonten hinzufügen ein Hauptkonto aus, z. B. einen Nutzernamen oder ein Dienstkonto.

    3. Wählen Sie die Rolle aus, die Sie dem Hauptkonto zuordnen möchten, z. B. Bearbeiter- und Leserollen.

    4. Klicken Sie auf Speichern. Das hinzugefügte Hauptkonto und die hinzugefügte Rolle werden im Abschnitt Hauptkonten angezeigt

11. Klicken Sie auf der Seite Zugriffsrichtlinie erstellen auf Zugriffsrichtlinie erstellen.

gcloud

Verwenden Sie den Befehl gcloud access-context-manager policies create, um eine Zugriffsrichtlinie für Bereiche zu erstellen.

gcloud access-context-manager policies create \
--organization ORGANIZATION_ID [--scopes=SCOPE] --title POLICY_TITLE

Wobei:

• ORGANIZATION_ID ist die numerische ID Ihrer Organisation.

• POLICY_TITLE ist ein für Menschen lesbarer Titel für die Richtlinie Der Name der Zugriffsrichtlinie darf maximal 50 Zeichen lang sein, muss mit einem Buchstaben beginnen und darf nur lateinische ASCII-Buchstaben (a-z, A-Z), Zahlen (0-9) oder Unterstriche (_) enthalten. Beim Namen der Zugriffsrichtlinie wird zwischen Groß- und Kleinschreibung unterschieden und er muss innerhalb der Zugriffsrichtlinie einer Organisation eindeutig sein.

• SCOPE ist der Ordner oder das Projekt, auf den diese Richtlinie angewendet wird. Sie können nur einen Ordner oder ein Projekt als Bereich angeben und der Bereich muss in der angegebenen Organisation vorhanden sein. Wenn Sie keinen Bereich angeben, gilt die Richtlinie für die gesamte Organisation.

Die folgende Ausgabe wird angezeigt, wobei POLICY_NAME eine eindeutige numerische Kennung für die Richtlinie ist, die von Google Cloud zugewiesen wird:

Create request issued
Waiting for operation [accessPolicies/POLICY_NAME/create/1521580097614100] to complete...done.
Created.

Verwenden Sie den Befehl add-iam-policy-binding, um die Verwaltung durch Binden eines Prinzips und einer Rolle mit einer Bereichszugriffsrichtlinie zu delegieren.

gcloud access-context-manager policies add-iam-policy-binding \
[POLICY] --member=PRINCIPAL --role=ROLE

Wobei:

• POLICY ist die ID der Richtlinie oder die vollqualifizierte Kennzeichnung für die Richtlinie.

• PRINCIPAL ist das Mitglied, für das die Bindung eingefügt werden soll. Geben Sie das folgende Format an: user|group|serviceAccount:email oder domain:domain.

• ROLE ist der Rollenname, der dem Hauptkonto zugewiesen werden soll. Der Rollenname ist der vollständige Pfad einer vordefinierten Rolle, z. B. roles/accesscontextmanager.policyReader, oder die Rollen-ID für eine benutzerdefinierte Rolle, z. B. organizations/{ORGANIZATION_ID}/roles/accesscontextmanager.policyReader.

API

So erstellen Sie eine Zugriffsrichtlinie für Bereiche:

1. Erstellen Sie einen Anfragetext.

   {
    "parent": "ORGANIZATION_ID",
    "scope": "SCOPE"
    "title": "POLICY_TITLE"
   }
   

   Wobei:

   • ORGANIZATION_ID ist die numerische ID Ihrer Organisation.

   • SCOPE ist der Ordner oder das Projekt, auf den diese Richtlinie angewendet wird.

   • POLICY_TITLE ist ein für Menschen lesbarer Titel für die Richtlinie Der Name der Zugriffsrichtlinie darf maximal 50 Zeichen lang sein, muss mit einem Buchstaben beginnen und darf nur lateinische ASCII-Buchstaben (a-z, A-Z), Zahlen (0-9) oder Unterstriche (_) enthalten. Beim Namen der Zugriffsrichtlinie wird zwischen Groß- und Kleinschreibung unterschieden und er muss innerhalb der Zugriffsrichtlinie einer Organisation eindeutig sein.

2. Erstellen Sie die Zugriffsrichtlinie, indem Sie accessPolicies.create aufrufen.

   POST https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

Antworttext

Bei erfolgreichem Ausführen enthält der Antworttext für den Aufruf eine Ressource Operation mit Informationen zum Vorgang POST.

So delegieren Sie die Verwaltung der Bereichszugriffsrichtlinie:

1. Erstellen Sie einen Anfragetext.

   {
    "policy": "IAM_POLICY",
   }
   

   Wobei:

   • IAM_POLICY ist eine Sammlung von Bindungen. Eine Bindung bindet ein oder mehrere Mitglieder oder Hauptkonten an eine einzelne Rolle. Hauptkonten können Nutzerkonten, Dienstkonten, Google-Gruppen und Domains sein. Eine Rolle ist eine benannte Liste von Berechtigungen. Dabei kann es sich um jede vordefinierte IAM-Rolle oder eine vom Nutzer erstellte benutzerdefinierte Rolle handeln.

2. Erstellen Sie die Zugriffsrichtlinie, indem Sie accessPolicies.setIamPolicy aufrufen.

   POST https://accesscontextmanager.googleapis.com/v1/accessPolicies
   

Antworttext

Wenn der Vorgang erfolgreich abgeschlossen wurde, enthält der Antworttext eine Instanz von policy.

Hinweis: Nachdem Sie eine beschränkte Richtlinie erstellt haben, können Sie den Geltungsbereich der Richtlinie nicht mehr ändern. Wenn Sie den Geltungsbereich einer vorhandenen Richtlinie ändern möchten, löschen Sie die Richtlinie und erstellen Sie sie mit dem neuen Geltungsbereich neu.

Nächste Schritte

• Zugriffsrichtlinie verwalten