Aggiungi condizioni IAM

Le condizioni IAM consentono di definire e applicare forzatamente il controllo dell'accesso condizionale basato su attributi per le risorse Google Cloud, incluse le risorse di Apigee Integration. Per saperne di più sulle condizioni IAM, consulta Panoramica delle condizioni IAM.

Nell'integrazione di Apigee, puoi imporre l'accesso condizionale in base ai seguenti attributi:

  • Attributi data/ora: utilizzali per impostare l'accesso temporaneo (in scadenza), pianificato o di durata limitata alle risorse Apigee Integration. Ad esempio, puoi consentire a un utente di accedere a un'integrazione fino a una data specificata. Per ulteriori informazioni, vedi Configurare l'accesso temporaneo.
  • Attributi delle risorse: consentono di configurare l'accesso condizionale in base al nome, al tipo di risorsa o agli attributi del servizio di risorsa. Ad esempio, puoi consentire a un utente di gestire le integrazioni create in una regione specifica. Per un elenco dei valori supportati. Per ulteriori informazioni, consulta Configurazione dell'accesso basato sulle risorse.

Aggiungi condizione IAM

Per aggiungere una condizione IAM a un'entità esistente (account utente, gruppo o di servizio), segui questi passaggi:

  1. Nella console Google Cloud, vai alla pagina IAM.

    Vai a IAM

  2. Seleziona il progetto, la cartella o l'organizzazione.
  3. Nell'elenco delle entità, trova quella per cui vuoi aggiungere la condizione IAM e fai clic su (Modifica entità).

    Viene visualizzato il riquadro Modifica accesso.

  4. Trova il ruolo a cui vuoi aggiungere la condizione IAM e fai clic su + Aggiungi condizione IAM.
  5. Nel riquadro Aggiungi condizione, fornisci le seguenti informazioni:
    1. Titolo: inserisci un nome per la condizione che stai aggiungendo al ruolo.
    2. Descrizione: (facoltativo) inserisci una descrizione per la condizione.
    3. Puoi aggiungere una condizione utilizzando il Generatore di condizioni o l'Editor condizioni.

      Il generatore di condizioni fornisce un'interfaccia interattiva per selezionare il tipo di condizione, l'operatore e altri dettagli applicabili sull'espressione. L'editor condizioni fornisce un'interfaccia di testo per inserire manualmente un'espressione di condizione utilizzando la sintassi CEL.

      Per istruzioni dettagliate su come utilizzare il Generatore di condizioni o l'Editor condizioni, consulta Configurare l'accesso basato sulle risorse.

    4. Fai clic su Salva per applicare la condizione.

      5. Per informazioni sugli attributi delle risorse supportati per Apigee Integration, vedi Valori degli attributi delle risorse

  6. Fai di nuovo clic su Salva dal riquadro Modifica accesso per aggiornare l'entità.

Valori degli attributi delle risorse

Nella tabella seguente sono elencati i valori che l'attributo tipo di risorsa può contenere per l'Apigee Integration:

Nome risorsa Tipo di risorsa Riferimento
Località SERVICE_ENDPOINT-integrations.googleapis.com/Location Riferimento API
Integrazione SERVICE_ENDPOINT-integrations.googleapis.com/Integration Riferimento API
IntegrationVersion SERVICE_ENDPOINT-integrations.googleapis.com/IntegrationVersion Riferimento API
Esecuzione SERVICE_ENDPOINT-integrations.googleapis.com/Execution Riferimento API
Sospensione SERVICE_ENDPOINT-integrations.googleapis.com/Suspension Riferimento API
AuthConfig SERVICE_ENDPOINT-integrations.googleapis.com/AuthConfig Riferimento API

Esempi di utilizzo delle condizioni IAM per l'Apigee Integration

Esempio 1: limitare l'accesso a qualsiasi risorsa IntegrationVersion in una regione

Puoi utilizzare la seguente espressione della condizione nell'Editor condizioni per limitare l'accesso alla risorsa IntegrationVersion. La limitazione dell'accesso include la limitazione delle operazioni create, delete, download, get, list, patch, publish, unpublish e upload alle versioni di integrazione nella regione.

!resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION/products/apigee/integrations/INTEGRATION_NAME")

Sostituisci quanto segue:

Esempio 2: consentire l'accesso a qualsiasi risorsa IntegrationVersion in una regione

Puoi utilizzare la seguente espressione di condizione nell'Editor condizioni per consentire l'accesso alla risorsa IntegrationVersion:

resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION/products/apigee/integrations/INTEGRATION_NAME") || resource.type == "cloudresourcemanager.googleapis.com/Project")

Sostituisci quanto segue:

Esempio 3: consentire l'accesso a una risorsa AuthConfig specifica

Puoi utilizzare la seguente espressione della condizione nell'editor condizioni per consentire l'accesso a una risorsa AuthConfig specifica:

(resource.name.extract("authConfigs/{end}" == "AUTH_CONFIG_NAME") || resource.type == "integrations.googleapis.com/Location" || resource.type == "cloudresourcemanager.googleapis.com/Project")

Sostituisci quanto segue:

Esempio 4: consenti l'accesso a tutte le risorse AuthConfig in una regione

Per consentire l'accesso a qualsiasi risorsa AuthConfig, puoi utilizzare la seguente espressione di condizione nell'editor condizioni:

(resource.name.startsWith("projects/PROJECT_ID/locations/LOCATION/products/apigee") && resource.type == "integrations.googleapis.com/AuthConfig" || resource.type == "integrations.googleapis.com/Location" || resource.type == "cloudresourcemanager.googleapis.com/Project")

Sostituisci quanto segue: