アクセスレベルの管理

このページでは、既存のアクセスレベルを管理する方法について説明します。次のことが可能です。

アクセスレベルを一覧表示する
アクセスレベルを一覧表示する（形式）
アクセスレベルを説明する
アクセスレベルを更新する
アクセスレベルを削除する

始める前に

gcloud コマンドラインツールを使用するためのデフォルトのアクセスポリシーを設定する。

または

ポリシーの名前を入手する。ポリシー名は、gcloud コマンドラインツールを使用して API 呼び出しを行うコマンドに必要です。デフォルトのアクセスポリシーを設定する場合は、gcloud コマンドラインツールのポリシーを指定する必要はありません。
アクセスレベルを管理できる、組織レベルの Identity and Access Management（IAM）の役割を持っていることを確認してください。管理者に、次のいずれかの役割の付与、または同じ権限を持つカスタム役割の割り当てを依頼します。
- アクセスレベルを表示するには: Access Context Manager 読み取り（roles/accesscontextmanager.policyReader）
- アクセスレベルを表示、変更するには:Access Context Manager 編集者（roles/accesscontextmanager.policyEditor）またはAccess Context Manager 管理者（roles/accesscontextmanager.policyAdmin）

アクセスレベルを一覧表示する

Console

すべてのアクセスレベルを一覧表示するには、Google Cloud コンソールの [Access Context Manager] ページを開き、プロンプトが表示されたら組織を選択します。組織のアクセスレベルは、各アクセスレベルの構成に関する詳細を含めて、ページ上のグリッドに表示されます。

[Access Context Manager] ページを開く

gcloud

すべてのアクセスレベルを一覧表示するには、list コマンドを使用します。

gcloud access-context-manager levels list \
  [--policy=POLICY_NAME]

ここで

POLICY_NAME は組織のアクセスポリシーの名前です。この値は、デフォルトのアクセスポリシーを設定していない場合にのみ必要です。

出力は、以下のようになります。

NAME             TITLE                  LEVEL_TYPE
Device_Trust     Device_Trust Extended  Basic
Service_Group_A  Service_Group_A        Basic

API

ポリシーのすべてのアクセスレベルを一覧表示するには、accessLevels.list を呼び出します。

GET https://accesscontextmanager.googleapis.com/v1alpha/accessPolicies/POLICY_NAME/accessLevels

ここで

POLICY_NAME は組織のアクセスポリシーの名前です。

リクエストの本文

リクエストの本文は空にする必要があります。

オプションパラメータ

必要に応じて、次のクエリパラメータを 1 つ以上含めます。

パラメータ

パラメータ
`pageSize`	`number` デフォルトでは、`accessLevels.list` によって返されるアクセスレベルのリストはページ分けされます。各ページは 100 のアクセスレベルに制限されています。このパラメータを使用して、ページごとに返されるアクセスレベルの数を変更できます。
`pageToken`	`string` 呼び出しによって返されたアクセスレベルの数がページサイズを超えた場合、レスポンスの本文にページトークンが含まれます。このパラメータを後続の呼び出しで使用して、結果の次のページを取得できます。
`accessLevelFormat`	`enum(LevelFormat)` 通常、アクセスレベルは、`BasicLevel` または `CustomLevel` として定義されているとおりに返されます。このパラメータに値 `CEL` を指定して、Cloud Common Expression Language で `BasicLevels` を `CustomLevels` として返すことができます。

pageSize

number

デフォルトでは、accessLevels.list によって返されるアクセスレベルのリストはページ分けされます。各ページは 100 のアクセスレベルに制限されています。

このパラメータを使用して、ページごとに返されるアクセスレベルの数を変更できます。

pageToken

string

呼び出しによって返されたアクセスレベルの数がページサイズを超えた場合、レスポンスの本文にページトークンが含まれます。

このパラメータを後続の呼び出しで使用して、結果の次のページを取得できます。

accessLevelFormat

enum(LevelFormat)

通常、アクセスレベルは、BasicLevel または CustomLevel として定義されているとおりに返されます。

このパラメータに値 CEL を指定して、Cloud Common Expression Language で BasicLevels を CustomLevels として返すことができます。

レスポンスの本文

成功した場合、呼び出しのレスポンス本文に、アクセスレベルを一覧表示する AccessLevels オブジェクトと nextPageToken 文字列が含まれています。nextPageToken は、返されるアクセスレベルの数がページサイズを超えた場合にのみ値を持ちます。それ以外の場合、nextPageToken は空の文字列として返されます。

アクセスレベルを一覧表示する（形式）

gcloud コマンドラインツールを使用すると、YAML または JSON 形式でアクセスレベルのリストを取得できます。

アクセスレベルの整形されたリストを取得するには、list コマンドを使用します。

gcloud access-context-manager levels list \
  --format=FORMAT \
  [--policy=POLICY_NAME]

ここで

FORMAT は次のいずれかの値です。
- list（YAML 形式）
- json（JSON 形式）
POLICY_NAME は組織のアクセスポリシーの名前です。この値は、デフォルトのアクセスポリシーを設定していない場合にのみ必要です。

YAML 出力は、以下のようになります。

- basic: {'conditions': [{'ipSubnetworks': ['8.8.0/24']}]}
  description: Level for corp access.
  name: accessPolicies/165717541651/accessLevels/corp_level
  title: Corp Level
- basic: {'combiningFunction': 'OR', 'conditions': [{'ipSubnetworks': ['8.8.0/24']}]}
  description: Level for net access.
  name: accessPolicies/165717541651/accessLevels/net_level
  title: Net Level

JSON 出力は、以下のようになります。

[
  {
    "basic": {
      "conditions": [
        {
          "ipSubnetworks": [
            "8.8.0/24"
          ]
        }
      ]
    },
    "description": "Level for corp access.",
    "name": "accessPolicies/165717541651/accessLevels/corp_level",
    "title": "Corp Level"
  },
  {
    "basic": {
      "combiningFunction": "OR",
      "conditions": [
        {
          "ipSubnetworks": [
            "8.8.0/24"
          ]
        }
      ]
    },
    "description": "Level for net access.",
    "name": "accessPolicies/165717541651/accessLevels/net_level",
    "title": "Net Level"
  }
]

アクセスレベルを説明する

Console

Google Cloud コンソールを使用してアクセスレベルを一覧表示する手順をご覧ください。アクセスレベルを一覧表示すると、表示されるグリッドに詳細が表示されます。

gcloud

アクセスレベルの一覧表示では、名前、タイトル、レベルの種類のみが表示されます。レベルの実際の動作に関する詳細情報を取得するには、describe コマンドを使用します。

gcloud access-context-manager levels describe LEVEL_NAME \
    [--policy=POLICY_NAME]

ここで

LEVEL_NAME は、説明するアクセスレベルの名前です。
POLICY_NAME は組織のアクセスポリシーの名前です。この値は、デフォルトのアクセスポリシーを設定していない場合にのみ必要です。

このコマンドでは、レベルに関する情報を YAML 形式で印刷します。たとえば、レベルによって特定のオペレーティングシステムバージョンへのアクセスが制限されている場合、出力は次のようになります。

basic:
  conditions:
  - devicePolicy:
      allowedEncryptionStatuses:
      - ENCRYPTED
      osConstraints:
      - minimumVersion: 10.13.6
        osType: DESKTOP_MAC
      - minimumVersion: 10.0.18219
        osType: DESKTOP_WINDOWS
      - minimumVersion: 68.0.3440
        osType: DESKTOP_CHROME_OS
      requireScreenlock: true
name: accessPolicies/330193482019/accessLevels/Device_Trust
title: Device_Trust Extended

API

アクセスレベルの一覧表示では、レベルの名前、タイトル、種類のみが表示されます。アクセスレベルに関する詳細情報を取得するには、accessLevels.get を呼び出します。

GET https://accesscontextmanager.googleapis.com/v1alpha/accessPolicies/POLICY_NAME/accessLevels/LEVEL_NAME

ここで

POLICY_NAME は組織のアクセスポリシーの名前です。
LEVEL_NAME は、説明するアクセスレベルの名前です。

リクエストの本文

リクエストの本文は空にする必要があります。

オプションパラメータ

必要に応じて、accessLevelFormat クエリパラメータを含めます。通常、アクセスレベルは、BasicLevel または CustomLevel として定義されているとおりに返されます。

このパラメータに値 CEL を指定して、Cloud Common Expression Language で BasicLevels を CustomLevels として返すことができます。

レスポンスの本文

成功した場合、呼び出しのレスポンス本文に、アクセスレベルで行われる内容、最後にレベルが更新されたのはいつかなどについての詳細を含めて AccessLevel リソースが含まれています。

アクセスレベルを更新する

このセクションでは、個々のアクセスレベルを更新する方法について説明します。1 つのオペレーションで組織のすべてのアクセスレベルを更新するには、アクセスレベルの一括変更をご覧ください。

Console

アクセスレベルを更新するには、次の手順を行います。

Google Cloud コンソールで [Access Context Manager] ページを開きます。

[Access Context Manager] ページを開く
プロンプトが表示されたら、組織を選択します。
グリッドで、更新するアクセスレベルの名前をクリックします。
[アクセスレベルの編集] ウィンドウで、アクセスレベルを変更します。

追加または変更できる属性の完全なリストについては、アクセスレベルの属性をお読みください。
[保存] をクリックします。

既存の条件の更新や削除だけでなく、新しい条件を追加したり、既存の条件に新しい属性を追加したりできます。

gcloud

アクセスレベルを更新するには、update コマンドを使用します。

ベーシックアクセスレベル:

gcloud access-context-manager levels update LEVEL_NAME \
    --basic-level-spec=FILE \
    [--policy=POLICY_NAME]

カスタムアクセスレベル:

gcloud access-context-manager levels update LEVEL_NAME \
    --custom-level-spec=FILE \
    [--policy=POLICY_NAME]

ここで

LEVEL_NAME は、更新するアクセスレベルの名前です。
FILE は、アクセスレベルの条件を定義する（ベーシックアクセスレベルの場合）、または単一のブール値に解決される CEL 式を定義する（カスタムアクセスレベルの場合）、.yaml ファイルの名前です。

ベーシックアクセスレベル条件で使用できる属性の完全なリストについては、アクセスレベルの属性をお読みください。
POLICY_NAME は組織のアクセスポリシーの名前です。この値は、デフォルトのアクセスポリシーを設定していない場合にのみ必要です。

以下のオプションを 1 つ以上指定できます。

オプション

オプション
`combine-function`	このオプションはベーシックアクセスレベルでのみ使用します。条件を組み合わせる方法を決定します。有効な値: `AND`、`OR`
`description`	アクセスレベルの詳細な説明。
`title`	アクセスレベルの短いタイトル。アクセスレベルのタイトルは Google Cloud コンソールに表示されます。

combine-function

このオプションはベーシックアクセスレベルでのみ使用します。

条件を組み合わせる方法を決定します。

有効な値: AND、OR

description

アクセスレベルの詳細な説明。

title

アクセスレベルの短いタイトル。アクセスレベルのタイトルは Google Cloud コンソールに表示されます。

gcloud 向けフラグを含めることが可能です。

コマンドの例

gcloud access-context-manager levels update Device_Trust \
    --basic-level-spec=corpdevspec.yaml \
    --combine-function=OR \
    --description='Access level that conforms to updated corporate spec.' \
    --title='Device_Trust Extended' \
    --policy=1034095178592

API

アクセスレベルを更新するには、accessLevels.patch を呼び出します。

PATCH https://accesscontextmanager.googleapis.com/v1/accessPolicies/POLICY_NAME/accessLevels/LEVEL_NAME?updateMask=FIELDS

ここで

POLICY_NAME は組織のアクセスポリシーの名前です。
LEVEL_NAME は、説明するアクセスレベルの名前です。
FIELDS は、更新中の完全修飾されたフィールド名のカンマ区切りリストです。

リクエストの本文

リクエストの本文には、アクセスレベルに加える変更を指定する AccessLevel リソースを含める必要があります。

レスポンスの本文

成功した場合、呼び出しのレスポンス本文に PATCH 操作に関する詳細を提供する Operation リソースが含まれます。

アクセスレベルを削除する

Console

アクセスレベルを削除するには、次の手順を行います。

Google Cloud コンソールで [Access Context Manager] ページを開きます。

[Access Context Manager] ページを開く
プロンプトが表示されたら、組織を選択します。
グリッドで、削除するアクセスレベルの行のボタンをクリックします。
[削除] をクリックします。
表示されるダイアログボックスで、アクセスレベルを削除することを確認します。

注: アクセスレベルは互いに参照できます。別のアクセスレベルから参照されているアクセスレベルを削除しようとすると、エラーが発生します。

gcloud

アクセスレベルを削除するには、次の手順を行います。

アクセスレベルを削除するには、delete コマンドを使用します。
```
gcloud access-context-manager levels delete LEVEL_NAME \
    [--policy=POLICY_NAME]
```
ここで
- LEVEL_NAME は、削除するアクセスレベルの名前です。
- POLICY_NAME は組織のアクセスポリシーの名前です。この値は、デフォルトのアクセスポリシーを設定していない場合にのみ必要です。

アクセスレベルを削除することを確認します。

次に例を示します。

You are about to delete level Device_Trust

Do you want to continue (Y/n)?

You should see output similar to the following:

Waiting for operation [accessPolicies/330193482019/accessLevels/Device_Trust/delete/1531171874311645] to complete...done.
Deleted level [Device_Trust].

注: アクセスレベルは互いに参照できます。別のアクセスレベルから参照されているアクセスレベルを削除しようとすると、エラーが発生します。

API

アクセスレベルを削除するには、accessLevels.delete を呼び出します。

DELETE https://accesscontextmanager.googleapis.com/v1alpha/accessPolicies/POLICY_NAME/accessLevels/LEVEL_NAME

ここで

POLICY_NAME は組織のアクセスポリシーの名前です。
LEVEL_NAME は、説明するアクセスレベルの名前です。

リクエストの本文

リクエストの本文は空にする必要があります。

レスポンスの本文

成功した場合、呼び出しのレスポンス本文に削除オペレーションに関する詳細を説明する Operation リソースが含まれています。

アクセスレベルの管理

始める前に

アクセスレベルを一覧表示する

Console

gcloud

API

リクエストの本文

オプション パラメータ

レスポンスの本文

アクセスレベルを一覧表示する（形式）

アクセスレベルを説明する

Console

gcloud

API

リクエストの本文

オプション パラメータ

レスポンスの本文

アクセスレベルを更新する

Console

gcloud

コマンドの例

API

リクエストの本文

レスポンスの本文

アクセスレベルを削除する

Console

gcloud

API

リクエストの本文

レスポンスの本文

オプションパラメータ

オプションパラメータ