Cerca i criteri di autorizzazione IAM nelle risorse

Puoi cercare i criteri di autorizzazione IAM per le tue risorse in un progetto, una cartella o un'organizzazione e filtrare i risultati restituiti utilizzando una query.

Nota: per trovare i criteri di rifiuto, puoi utilizzare una ricerca delle risorse.

Prima di iniziare

1. Abilita l'API Cloud Asset Inventory nel progetto da cui stai eseguendo i comandi di Cloud Asset Inventory.

   Abilita l'API Cloud Asset Inventory

2. Assicurati che il tuo account disponga del ruolo corretto per chiamare l'API Cloud Asset Inventory. Per le singole autorizzazioni per ogni tipo di chiamata, consulta Autorizzazioni.

Creare una query

Prima di creare una query, può essere utile iniziare con una richiesta di ricerca che non specifica una query. Utilizza i campi e i valori della risposta completa per creare una query utilizzando la sintassi della query di ricerca e perfezionala fino a quando non vengono restituiti i risultati che ti interessano.

I campi che possono essere utilizzati in una query sono descritti nella documentazione di riferimento di IamPolicySearchResult.

Tieni presente le seguenti limitazioni durante la creazione di una query:

• Il campo policy è un oggetto nidificato, pertanto può essere utilizzato solo con l'operatore :.

• Non tutti i tipi di asset sono disponibili per la ricerca. Consulta Tipi di risorse per verificare se un servizio non è disponibile nelle API di ricerca.

I seguenti campi aggiuntivi possono essere utilizzati anche per limitare i risultati a determinati tipi di entità, autorizzazioni o ruoli:

Campo	Descrizione
memberTypes	Contiene uno dei seguenti tipi di entità IAM: user group domain serviceAccount allUsers allAuthenticatedUsers Esempio memberTypes=user
policy.role.permissions	Contiene specifiche autorizzazioni IAM. Esempio policy.role.permissions=storage.buckets.create Nota: l'utente che effettua la chiamata deve disporre dell'autorizzazione iam.roles.get per le autorizzazioni da elencare in una risposta searchAllIamPolicies.
roles	Contiene ruoli IAM specifici. Esempio roles=roles/storage.objectAdmin

Cercare i criteri di autorizzazione IAM

Prima di creare una query, può essere utile iniziare con una richiesta di ricerca che non specifica una query. Utilizza i campi e i valori della risposta completa per creare una query utilizzando la sintassi della query di ricerca e perfezionala fino a quando non vengono restituiti i risultati che ti interessano.

Console

Per cercare i metadati dei criteri di autorizzazione IAM, completa i seguenti passaggi.

1. Vai alla pagina Inventario asset nella console Google Cloud.

   Vai ad Asset Inventory

2. Passa al progetto, alla cartella o all'organizzazione in cui vuoi eseguire la ricerca.
3. Fai clic sulla scheda Criterio IAM.

4. Per cercare i criteri consentiti, inserisci una query nel campo Filtro. Consulta Sintassi delle query di ricerca per scoprire come scrivere una query di ricerca.

   Per semplificare la creazione delle query, puoi fare clic sul campo Filtro per visualizzare e aggiungere alla query i campi disponibili per la ricerca.

Dopo aver eseguito una ricerca, i criteri di autorizzazione corrispondenti alla query sono elencati nella tabella Risultati. Fai doppio clic sulla query per modificarla oppure usa il riquadro Filtra risultati per applicare preimpostazioni di query rapide o limitare i risultati di ricerca in base a criteri specifici.

Per visualizzare la query come comando Google Cloud CLI, fai clic su Visualizza query.

Per esportare i risultati, fai clic su Scarica CSV.

gcloud

gcloud asset search-all-iam-policies \
    --scope=SCOPE_PATH \
    --query="QUERY" \
    --asset-types=ASSET_TYPE_1,ASSET_TYPE_2,... \
    --order-by="ORDER_BY"

Fornisci i seguenti valori:

• SCOPE_PATH: utilizza uno dei seguenti valori:

  I valori consentiti sono:

  • projects/PROJECT_ID, dove PROJECT_ID è l'ID del progetto che contiene asset con i criteri di autorizzazione IAM che vuoi cercare.

  • projects/PROJECT_NUMBER, dove PROJECT_NUMBER è il numero del progetto che contiene asset con i criteri di autorizzazione IAM che vuoi cercare.

    Come trovare il numero di un progetto Google Cloud

    Console Google Cloud

    Per trovare il numero di un progetto Google Cloud:

    1. Vai alla pagina Ti diamo il benvenuto nella console Google Cloud.

       Vai a Benvenuto

    2. Fai clic sulla casella di elenco selettore nella barra dei menu.

    3. Seleziona la tua organizzazione dalla casella di elenco, quindi cerca il nome del progetto. Il nome, il numero e l'ID progetto vengono visualizzati vicino all'intestazione Ti diamo il benvenuto.

       Vengono visualizzate fino a 4000 risorse. Se non vedi il progetto che stai cercando, vai alla pagina Gestisci risorse e filtra l'elenco utilizzando il nome del progetto.

    Interfaccia a riga di comando gcloud

    Puoi recuperare il numero di un progetto Google Cloud con il seguente comando:

    gcloud projects describe PROJECT_ID --format="value(projectNumber)"

  • folders/FOLDER_ID, dove FOLDER_ID è l'ID della cartella contenente gli asset con i criteri di autorizzazione IAM che vuoi cercare.

    Come trovare l'ID di una cartella Google Cloud

    Console Google Cloud

    Per trovare l'ID di una cartella Google Cloud:

    1. Vai alla console Google Cloud.

       Vai alla console Google Cloud

    2. Fai clic sulla casella di elenco selettore nella barra dei menu.
    3. Seleziona la tua organizzazione dalla casella di elenco.
    4. Cerca il nome della cartella. L'ID cartella viene visualizzato accanto al nome della cartella.

    Interfaccia a riga di comando gcloud

    Puoi recuperare l'ID di una cartella Google Cloud a livello di organizzazione con il seguente comando:

    gcloud resource-manager folders list \
        --organization=$(gcloud organizations describe ORGANIZATION_NAME \
          --format="value(name.segment(1))") \
        --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \
        --format="value(ID)"

    dove TOP_LEVEL_FOLDER_NAME è una corrispondenza parziale o completa della stringa per il nome della cartella. Rimuovi il flag --format per visualizzare ulteriori informazioni sulle cartelle trovate.

    Il comando precedente non restituisce gli ID delle sottocartelle all'interno delle cartelle. Per farlo, esegui il seguente comando utilizzando l'ID di una cartella di primo livello:

    gcloud resource-manager folders list --folder=FOLDER_ID

  • organizations/ORGANIZATION_ID, dove ORGANIZATION_ID è l'ID dell'organizzazione che contiene asset con i criteri di autorizzazione IAM che vuoi cercare.

    Come trovare l'ID di un'organizzazione Google Cloud

    Console Google Cloud

    Per trovare l'ID di un'organizzazione Google Cloud:

    1. Vai alla console Google Cloud.

       Vai alla console Google Cloud

    2. Fai clic sulla casella di elenco selettore nella barra dei menu.
    3. Seleziona la tua organizzazione dalla casella di elenco.
    4. Fai clic sulla scheda Tutti. L'ID organizzazione viene visualizzato accanto al nome dell'organizzazione.

    Interfaccia a riga di comando gcloud

    Puoi recuperare l'ID di un'organizzazione Google Cloud con il seguente comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

• QUERY: facoltativo. L'espressione di query. Se non è specificato o se è vuoto, vengono cercate tutte le risorse nell'ambito specificato. Per scoprire come scrivere una query di ricerca, consulta Sintassi delle query di ricerca.
• ASSET_TYPE_#: facoltativo. Un elenco separato da virgole di tipi di asset disponibili per la ricerca. Sono supportate le espressioni regolari compatibili con RE2. Se l'espressione regolare non corrisponde a nessun tipo di asset supportato, viene restituito un errore INVALID_ARGUMENT. Se --asset-types non è specificato, vengono restituiti tutti i tipi di asset.
• ORDER_BY: facoltativo. Un elenco di campi separati da virgole che specifica l'ordine di ordinamento dei risultati. L'ordine predefinito è crescente. Aggiungi DESC dopo il nome del campo per indicare l'ordine decrescente. Consulta la documentazione di riferimento per sapere quali campi possono essere ordinati.

Puoi utilizzare i flag --format e --flatten per formattare l'output dell'interfaccia alla gcloud CLI.

Consulta il riferimento all'interfaccia a riga di comando gcloud per tutte le opzioni.

Esempio

Esegui il seguente comando per ottenere un elenco di tutte le istanze Compute Engine (compute.googleapis.com/Instance) nel progetto my-project con un criterio di autorizzazione IAM che le associa all'utente [e-mail]. I risultati sono in ordine decrescente per risorsa (resource DESC).

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="policy:\"user:[e-mail]\"" \
    --asset-types=compute.googleapis.com/Instance \
    --order-by="resource DESC"

Risposta di esempio

---
assetType: compute.googleapis.com/Instance
folders:
- folders/0000000000000
organization: organizations/0000000000000
policy:
  bindings:
  - members:
    - user:[e-mail]
    role: roles/compute.viewer
  - members:
    - user:[e-mail]
    role: roles/editor
  - members:
    - user:[e-mail]
    role: roles/owner
project: projects/0000000000000
resource: //compute.googleapis.com/projects/my-project/zones/us-central1-a/instances/debian

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/SCOPE_PATH:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "query": "QUERY",
  "assetTypes": [
    "ASSET_TYPE_1",
    "ASSET_TYPE_2",
    "..."
  ],
  "orderBy": "ORDER_BY",
  "pageSize": "PAGE_SIZE",
  "pageToken": "PAGE_TOKEN"
}

Fornisci i seguenti valori:

• SCOPE_PATH: utilizza uno dei seguenti valori:

  I valori consentiti sono:

  • projects/PROJECT_ID, dove PROJECT_ID è l'ID del progetto che contiene asset con i criteri di autorizzazione IAM che vuoi cercare.

  • projects/PROJECT_NUMBER, dove PROJECT_NUMBER è il numero del progetto che contiene asset con i criteri di autorizzazione IAM che vuoi cercare.

    Come trovare il numero di un progetto Google Cloud

    Console Google Cloud

    Per trovare il numero di un progetto Google Cloud:

    1. Vai alla pagina Ti diamo il benvenuto nella console Google Cloud.

       Vai a Benvenuto

    2. Fai clic sulla casella di elenco selettore nella barra dei menu.

    3. Seleziona la tua organizzazione dalla casella di elenco, quindi cerca il nome del progetto. Il nome, il numero e l'ID progetto vengono visualizzati vicino all'intestazione Ti diamo il benvenuto.

       Vengono visualizzate fino a 4000 risorse. Se non vedi il progetto che stai cercando, vai alla pagina Gestisci risorse e filtra l'elenco utilizzando il nome del progetto.

    Interfaccia a riga di comando gcloud

    Puoi recuperare il numero di un progetto Google Cloud con il seguente comando:

    gcloud projects describe PROJECT_ID --format="value(projectNumber)"

  • folders/FOLDER_ID, dove FOLDER_ID è l'ID della cartella contenente gli asset con i criteri di autorizzazione IAM che vuoi cercare.

    Come trovare l'ID di una cartella Google Cloud

    Console Google Cloud

    Per trovare l'ID di una cartella Google Cloud:

    1. Vai alla console Google Cloud.

       Vai alla console Google Cloud

    2. Fai clic sulla casella di elenco selettore nella barra dei menu.
    3. Seleziona la tua organizzazione dalla casella di elenco.
    4. Cerca il nome della cartella. L'ID cartella viene visualizzato accanto al nome della cartella.

    Interfaccia a riga di comando gcloud

    Puoi recuperare l'ID di una cartella Google Cloud a livello di organizzazione con il seguente comando:

    gcloud resource-manager folders list \
        --organization=$(gcloud organizations describe ORGANIZATION_NAME \
          --format="value(name.segment(1))") \
        --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \
        --format="value(ID)"

    dove TOP_LEVEL_FOLDER_NAME è una corrispondenza parziale o completa della stringa per il nome della cartella. Rimuovi il flag --format per visualizzare ulteriori informazioni sulle cartelle trovate.

    Il comando precedente non restituisce gli ID delle sottocartelle all'interno delle cartelle. Per farlo, esegui il seguente comando utilizzando l'ID di una cartella di primo livello:

    gcloud resource-manager folders list --folder=FOLDER_ID

  • organizations/ORGANIZATION_ID, dove ORGANIZATION_ID è l'ID dell'organizzazione che contiene asset con i criteri di autorizzazione IAM che vuoi cercare.

    Come trovare l'ID di un'organizzazione Google Cloud

    Console Google Cloud

    Per trovare l'ID di un'organizzazione Google Cloud:

    1. Vai alla console Google Cloud.

       Vai alla console Google Cloud

    2. Fai clic sulla casella di elenco selettore nella barra dei menu.
    3. Seleziona la tua organizzazione dalla casella di elenco.
    4. Fai clic sulla scheda Tutti. L'ID organizzazione viene visualizzato accanto al nome dell'organizzazione.

    Interfaccia a riga di comando gcloud

    Puoi recuperare l'ID di un'organizzazione Google Cloud con il seguente comando:

    gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

• QUERY: facoltativo. L'espressione di query. Se non è specificato o se è vuoto, vengono cercate tutte le risorse nell'ambito specificato. Per scoprire come scrivere una query di ricerca, consulta Sintassi delle query di ricerca.
• ASSET_TYPE_#: facoltativo. Un array di tipi di asset disponibili per la ricerca. Sono supportate le espressioni regolari compatibili con RE2. Se l'espressione regolare non corrisponde a nessun tipo di asset supportato, viene restituito un errore INVALID_ARGUMENT. Se assetTypes non è specificato, vengono restituiti tutti i tipi di asset.
• ORDER_BY: facoltativo. Un elenco di campi separati da virgole che specifica l'ordine di ordinamento dei risultati. L'ordine predefinito è crescente. Aggiungi DESC dopo il nome del campo per indicare l'ordine decrescente. Consulta la documentazione di riferimento per sapere quali campi possono essere ordinati.

• PAGE_SIZE: facoltativo. Il numero di risultati da restituire per pagina. Il numero massimo è 500. Se il valore è impostato su 0 o su un valore negativo, viene selezionato un valore predefinito appropriato. Viene restituito un nextPageToken per recuperare i risultati successivi.

• PAGE_TOKEN: facoltativo. Le risposte alle richieste lunghe sono separate su più pagine. Se pageToken non è specificato, viene restituita la prima pagina. Le pagine successive possono essere chiamate utilizzando nextPageToken della risposta precedente come valore pageToken.

Per tutte le opzioni, consulta la sezione Documentazione di riferimento REST.

Esempi di comandi

Esegui uno dei seguenti comandi per ottenere un elenco di tutte le istanze Compute Engine (compute.googleapis.com/Instance) nel progetto my-project con un criterio di autorizzazione IAM che le associa all'utente [e-mail]. I risultati sono in ordine decrescente per risorsa (resource DESC).

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "query": "policy:\"user:[e-mail]\"",
            "assetTypes": ["compute.googleapis.com/Instance"],
            "orderBy": "resource DESC"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "query": "policy:\"user:[e-mail]\"",
  "assetTypes": ["compute.googleapis.com/Instance"],
  "orderBy": "resource DESC"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Risposta di esempio

{
  "resource": "//compute.googleapis.com/projects/my-project/zones/us-central1-a/instances/debian",
  "project": "projects/0000000000000",
  "policy": {
    "bindings": [
      {
        "role": "roles/compute.viewer",
        "members": [
          "user:[e-mail]"
        ]
      },
      {
        "role": "roles/editor",
        "members": [
          "user:[e-mail]"
        ]
      },
      {
        "role": "roles/owner",
        "members": [
          "user:[e-mail]"
        ]
      }
    ]
  },
  "assetType": "compute.googleapis.com/Instance",
  "folders": [
    "folders/0000000000000"
  ],
  "organization": "organizations/0000000000000"
}

C#

Per scoprire come installare e utilizzare la libreria client per Cloud Asset Inventory, consulta Librerie client di Cloud Asset Inventory.

Per autenticarti a Cloud Asset Inventory, configura le Credenziali predefinite dell'applicazione. Per ulteriori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.

using Google.Api.Gax;
using Google.Cloud.Asset.V1;
using System.Collections.Generic;
using System.Linq;

public class SearchAllIamPoliciesSample
{
    public SearchAllIamPoliciesResponse SearchAllIamPolicies(string scope, string query)
    {
        // Create the client.
        AssetServiceClient client = AssetServiceClient.Create();

        // Build the request.
        SearchAllIamPoliciesRequest request = new SearchAllIamPoliciesRequest
        {
            Scope = scope,
            Query = query,
        };

        // Call the API.
        PagedEnumerable<SearchAllIamPoliciesResponse, IamPolicySearchResult> response = client.SearchAllIamPolicies(request);

        // Return the first page.
        IEnumerable<SearchAllIamPoliciesResponse> byPages = response.AsRawResponses();
        return byPages.First();
    }
}

Vai

Per scoprire come installare e utilizzare la libreria client per Cloud Asset Inventory, consulta Librerie client di Cloud Asset Inventory.

Per autenticarti a Cloud Asset Inventory, configura le Credenziali predefinite dell'applicazione. Per ulteriori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.

// Sample search-all-iam-policies searches all IAM policies within the given scope.
package main

import (
	"context"
	"flag"
	"fmt"
	"log"

	asset "cloud.google.com/go/asset/apiv1"
	"cloud.google.com/go/asset/apiv1/assetpb"
	"google.golang.org/api/iterator"
)

func main() {
	scope := flag.String("scope", "", "Scope of the search.")
	query := flag.String("query", "", "Query statement.")
	flag.Parse()
	ctx := context.Background()
	client, err := asset.NewClient(ctx)
	if err != nil {
		log.Fatalf("asset.NewClient: %v", err)
	}
	defer client.Close()

	req := &assetpb.SearchAllIamPoliciesRequest{
		Scope: *scope,
		Query: *query,
	}
	it := client.SearchAllIamPolicies(ctx, req)
	for {
		policy, err := it.Next()
		if err == iterator.Done {
			break
		}
		if err != nil {
			log.Fatal(err)
		}
		fmt.Println(policy)
	}
}

Java

Per scoprire come installare e utilizzare la libreria client per Cloud Asset Inventory, consulta Librerie client di Cloud Asset Inventory.

Per autenticarti a Cloud Asset Inventory, configura le Credenziali predefinite dell'applicazione. Per ulteriori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.

import com.google.api.gax.rpc.ApiException;
import com.google.api.gax.rpc.InvalidArgumentException;
import com.google.cloud.asset.v1.AssetServiceClient;
import com.google.cloud.asset.v1.AssetServiceClient.SearchAllIamPoliciesPagedResponse;
import com.google.cloud.asset.v1.SearchAllIamPoliciesRequest;
import java.io.IOException;

public class SearchAllIamPoliciesExample {

  // Searches for all the iam policies within the given scope.
  public static void searchAllIamPolicies(String scope, String query) {
    // TODO(developer): Replace these variables before running the sample.
    int pageSize = 0;
    String pageToken = "";

    SearchAllIamPoliciesRequest request =
        SearchAllIamPoliciesRequest.newBuilder()
            .setScope(scope)
            .setQuery(query)
            .setPageSize(pageSize)
            .setPageToken(pageToken)
            .build();

    // Initialize client that will be used to send requests. This client only needs to be created
    // once, and can be reused for multiple requests. After completing all of your requests, call
    // the "close" method on the client to safely clean up any remaining background resources.
    try (AssetServiceClient client = AssetServiceClient.create()) {
      SearchAllIamPoliciesPagedResponse response = client.searchAllIamPolicies(request);
      System.out.println("Search completed successfully:\n" + response.getPage().getValues());
    } catch (IOException e) {
      System.out.println(String.format("Failed to create client:%n%s", e.toString()));
    } catch (InvalidArgumentException e) {
      System.out.println(String.format("Invalid request:%n%s", e.toString()));
    } catch (ApiException e) {
      System.out.println(String.format("Error during SearchAllIamPolicies:%n%s", e.toString()));
    }
  }
}

Node.js

Per scoprire come installare e utilizzare la libreria client per Cloud Asset Inventory, consulta Librerie client di Cloud Asset Inventory.

Per autenticarti a Cloud Asset Inventory, configura le Credenziali predefinite dell'applicazione. Per ulteriori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.

/**
 * TODO(developer): Uncomment these variables before running the sample.
 */
// const scope = '';
// const query = '';
// const pageSize = 0;
// const pageToken = '';

const util = require('util');
const {AssetServiceClient} = require('@google-cloud/asset');

const client = new AssetServiceClient();
const projectId = await client.getProjectId();

async function searchAllIamPolicies() {
  const request = {
    scope: `projects/${projectId}`,
    query: query,
    pageSize: pageSize,
    pageToken: pageToken,
  };
  const options = {
    autoPaginate: false,
  };

  // Handle the operation using the promise pattern.
  const result = await client.searchAllIamPolicies(request, options);
  // Do things with with the response.
  console.log(util.inspect(result, {depth: null}));
}

PHP

Per scoprire come installare e utilizzare la libreria client per Cloud Asset Inventory, consulta Librerie client di Cloud Asset Inventory.

Per autenticarti a Cloud Asset Inventory, configura le Credenziali predefinite dell'applicazione. Per ulteriori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.

use Google\Cloud\Asset\V1\Client\AssetServiceClient;
use Google\Cloud\Asset\V1\SearchAllIamPoliciesRequest;

/**
 * @param string $scope      Scope of the search
 * @param string $query      (Optional) Query statement
 * @param int    $pageSize   (Optional) Size of each result page
 * @param string $pageToken  (Optional) Token produced by the preceding call
 */
function search_all_iam_policies(
    string $scope,
    string $query = '',
    int $pageSize = 0,
    string $pageToken = ''
) {
    // Instantiate a client.
    $asset = new AssetServiceClient();

    // Run request
    $request = (new SearchAllIamPoliciesRequest())
        ->setScope($scope)
        ->setQuery($query)
        ->setPageSize($pageSize)
        ->setPageToken($pageToken);
    $response = $asset->searchAllIamPolicies($request);

    // Print the resources that the policies are set on
    foreach ($response->getPage() as $policy) {
        print($policy->getResource() . PHP_EOL);
    }
}

Python

Per scoprire come installare e utilizzare la libreria client per Cloud Asset Inventory, consulta Librerie client di Cloud Asset Inventory.

Per autenticarti a Cloud Asset Inventory, configura le Credenziali predefinite dell'applicazione. Per ulteriori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.

from google.cloud import asset_v1

# TODO scope = 'Scope of the search'
# TODO query = 'Query statement'
# TODO page_size = Size of each result page

client = asset_v1.AssetServiceClient()
response = client.search_all_iam_policies(
    request={"scope": scope, "query": query, "page_size": page_size}
)
for policy in response:
    print(policy)
    break

Ruby

Per scoprire come installare e utilizzare la libreria client per Cloud Asset Inventory, consulta Librerie client di Cloud Asset Inventory.

Per autenticarti a Cloud Asset Inventory, configura le Credenziali predefinite dell'applicazione. Per ulteriori informazioni, consulta Configurare l'autenticazione per un ambiente di sviluppo locale.

require "google/cloud/asset"

# scope = 'SCOPE_OF_THE_QUERY'
# query = 'QUERY_STATEMENT'
# page_size = 'SIZE_OF_EACH_RESULT_PAGE'
# page_token = 'TOKEN_PRODUCED_BY_THE_PRECEDING_CALL'
asset_service = Google::Cloud::Asset.asset_service

response = asset_service.search_all_iam_policies(
  scope:      scope,
  query:      query,
  page_size:  page_size,
  page_token: page_token
)
# Do things with the response
response.page.each do |policy|
  puts policy
end

Altri esempi di ricerca

I seguenti esempi di codice mostrano query di ricerca specifiche sia per gcloud sia per REST per aiutarti a creare le tue ricerche.

Risorse con criteri di autorizzazione IAM

L'esempio seguente mostra come cercare tutte le risorse con i criteri di autorizzazione IAM nel progetto my-project.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --flatten="policy.bindings[].members[]" \
    --format="table(resource, policy.bindings.role, policy.bindings.members)"

REST

Metodo HTTP e URL:

GET https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X GET \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "Authorization" = "Bearer $cred"
}


Invoke-WebRequest `
  -Method GET `
  -Headers $headers `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Risorse con nome con criteri di autorizzazione IAM

L'esempio riportato di seguito mostra come cercare tutte le risorse con example nel nome che hanno criteri di autorizzazione IAM.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="resource:example"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "pageSize": 1,
  "query": "resource:example"
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "resource:example"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "resource:example"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Criteri di autorizzazione IAM su progetti, cartelle e organizzazioni

L'esempio seguente mostra come cercare tutti i criteri IAM di autorizzazione in tutti i progetti e le cartelle dell'organizzazione con l'IDmy-organization-id.

Come trovare l'ID di un'organizzazione Google Cloud

Console Google Cloud

Per trovare l'ID di un'organizzazione Google Cloud:

1. Vai alla console Google Cloud.

   Vai alla console Google Cloud

2. Fai clic sulla casella di elenco selettore nella barra dei menu.
3. Seleziona la tua organizzazione dalla casella di elenco.
4. Fai clic sulla scheda Tutti. L'ID organizzazione viene visualizzato accanto al nome dell'organizzazione.

Interfaccia a riga di comando gcloud

Puoi recuperare l'ID di un'organizzazione Google Cloud con il seguente comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --asset-types=cloudresourcemanager.*

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.*",
            "pageSize": 1,
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Proprietari di un progetto

Il seguente esempio mostra come cercare le entità con il ruolo Proprietario (roles/owner) nel progetto my-project.

Questa richiesta restituisce solo le entità a cui è stato concesso il ruolo Proprietario nel progetto. Non sono incluse le entità che ereditano il ruolo Proprietario tramite l'eredità dei criteri.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="roles:roles/owner" \
    --asset-types=cloudresourcemanager.* \
    --flatten="policy.bindings[].members[]" \
    --format="table(policy.bindings.members)"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "roles:roles/owner"
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.*",
            "pageSize": 1,
            "query": "roles:roles/owner"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "roles:roles/owner"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Progetti in cui un'entità ha il ruolo di proprietario

Il seguente esempio mostra come cercare i progetti in cui [e-mail] ha il ruolo Proprietario (roles/owner) nell'organizzazione con ID my-organization-id.

Questa richiesta restituisce solo i progetti a cui è stato assegnato il ruolo Proprietario a [e-mail]. Non sono inclusi i progetti per i quali [e-mail] ha ereditato il ruolo Proprietario.

Come trovare l'ID di un'organizzazione Google Cloud

Console Google Cloud

Per trovare l'ID di un'organizzazione Google Cloud:

1. Vai alla console Google Cloud.

   Vai alla console Google Cloud

2. Fai clic sulla casella di elenco selettore nella barra dei menu.
3. Seleziona la tua organizzazione dalla casella di elenco.
4. Fai clic sulla scheda Tutti. L'ID organizzazione viene visualizzato accanto al nome dell'organizzazione.

Interfaccia a riga di comando gcloud

Puoi recuperare l'ID di un'organizzazione Google Cloud con il seguente comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="policy:(roles/owner [e-mail])" \
    --asset-types=cloudresourcemanager.googleapis.com/Project \
    --format="table(resource)"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "assetTypes": "cloudresourcemanager.googleapis.com/Project",
  "pageSize": 1,
  "query": "policy:(roles/owner [e-mail])"
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.googleapis.com/Project",
            "pageSize": 1,
            "query": "policy:(roles/owner [e-mail])"
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.googleapis.com/Project",
  "pageSize": 1,
  "query": "policy:(roles/owner [e-mail])"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Ruoli di un'entità in un progetto

L'esempio seguente mostra come cercare i ruoli di [e-mail] nel progetto my-project.

Questa richiesta restituisce solo i ruoli concessi a [e-mail] nel progetto. Non include i ruoli che [e-mail] ha ereditato tramite l'eredità delle norme.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="policy:[e-mail]" \
    --asset-types=cloudresourcemanager.googleapis.com/Project \
    --flatten="policy.bindings[]" \
    --format="table(policy.bindings.role)"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "assetTypes": "cloudresourcemanager.googleapis.com/Project",
  "pageSize": 1,
  "query": "policy:[e-mail]"
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.googleapis.com/Project",
            "pageSize": 1,
            "query": "policy:[e-mail]"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.googleapis.com/Project",
  "pageSize": 1,
  "query": "policy:[e-mail]"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Autorizzazioni di un'entità in un progetto

L'esempio seguente mostra come cercare le autorizzazioni di [e-mail] nel progetto my-project.

Questa richiesta restituisce solo le autorizzazioni di [e-mail] sul progetto. Non include le autorizzazioni [e-mail] tramite l'eredità dei criteri.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="policy:[e-mail] policy.role.permissions:\"\"" \
    --asset-types=cloudresourcemanager.* \
    --format="default(explanation.matchedPermissions)"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "policy:[e-mail]  policy.role.permissions:\"\""
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.*",
            "pageSize": 1,
            "query": "policy:[e-mail]  policy.role.permissions:\"\""
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "policy:[e-mail]  policy.role.permissions:\"\""
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Principali che possono accedere ai bucket Cloud Storage

L'esempio seguente mostra come cercare i principali che possono accedere ai bucket Cloud Storage nel progetto my-project.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/my-project \
    --query="policy.role.permissions:storage.buckets" \
    --asset-types=cloudresourcemanager.* \
    --flatten="policy.bindings[].members[]" \
    --format="table(policy.bindings.members)"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "policy.role.permissions:storage.buckets"
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "assetTypes": "cloudresourcemanager.*",
            "pageSize": 1,
            "query": "policy.role.permissions:storage.buckets"
          }' \
     https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "assetTypes": "cloudresourcemanager.*",
  "pageSize": 1,
  "query": "policy.role.permissions:storage.buckets"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/projects/my-project:searchAllIamPolicies" | Select-Object -Expand Content

Service account con un ruolo di proprietario

Il seguente esempio mostra come cercare gli account di servizio con il ruolo Proprietario (roles/owner) nell'organizzazione con my-organization-id. Puoi utilizzare questa query per contribuire a ridurre il tuo profilo di rischio.

Come trovare l'ID di un'organizzazione Google Cloud

Console Google Cloud

Per trovare l'ID di un'organizzazione Google Cloud:

1. Vai alla console Google Cloud.

   Vai alla console Google Cloud

2. Fai clic sulla casella di elenco selettore nella barra dei menu.
3. Seleziona la tua organizzazione dalla casella di elenco.
4. Fai clic sulla scheda Tutti. L'ID organizzazione viene visualizzato accanto al nome dell'organizzazione.

Interfaccia a riga di comando gcloud

Puoi recuperare l'ID di un'organizzazione Google Cloud con il seguente comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

Questo esempio utilizza il comando "grep", disponibile in Cloud Shell e nei sistemi operativi simili a Unix.

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="policy:(roles/owner serviceAccount)" \
    --flatten="policy.bindings[].members[]" \
    --format="table(resource.segment(3):label=RESOURCE_TYPE, resource.basename():label=RESOURCE, policy.bindings.members)" |
    grep serviceAccount

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "pageSize": 1,
  "query": "policy:(roles/owner serviceAccount)"
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "policy:(roles/owner serviceAccount)"
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "policy:(roles/owner serviceAccount)"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Risorse con ruoli concessi a un dominio

Il seguente esempio mostra come cercare le risorse con i ruoli concessi al dominio example.com nell'organizzazione con l'ID my-organization-id.

Come trovare l'ID di un'organizzazione Google Cloud

Console Google Cloud

Per trovare l'ID di un'organizzazione Google Cloud:

1. Vai alla console Google Cloud.

   Vai alla console Google Cloud

2. Fai clic sulla casella di elenco selettore nella barra dei menu.
3. Seleziona la tua organizzazione dalla casella di elenco.
4. Fai clic sulla scheda Tutti. L'ID organizzazione viene visualizzato accanto al nome dell'organizzazione.

Interfaccia a riga di comando gcloud

Puoi recuperare l'ID di un'organizzazione Google Cloud con il seguente comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="policy:\"domain:example.com\"" \
    --flatten="policy.bindings[]" \
    --format="table(resource, policy.bindings.role)"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "pageSize": 1,
  "query": "policy:\"domain:DOMAIN_NAME\""
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "policy:\"domain:DOMAIN_NAME\""
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "policy:\"domain:DOMAIN_NAME\""
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Risorse con ruoli concessi al pubblico

L'esempio seguente mostra come cercare risorse con ruoli concessi al pubblico nell'organizzazione con ID my-organization-id.

Come trovare l'ID di un'organizzazione Google Cloud

Console Google Cloud

Per trovare l'ID di un'organizzazione Google Cloud:

1. Vai alla console Google Cloud.

   Vai alla console Google Cloud

2. Fai clic sulla casella di elenco selettore nella barra dei menu.
3. Seleziona la tua organizzazione dalla casella di elenco.
4. Fai clic sulla scheda Tutti. L'ID organizzazione viene visualizzato accanto al nome dell'organizzazione.

Interfaccia a riga di comando gcloud

Puoi recuperare l'ID di un'organizzazione Google Cloud con il seguente comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="memberTypes:(allUsers OR allAuthenticatedUsers)" \
    --format="table(resource)"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "pageSize": 1,
  "query": "memberTypes:(allUsers OR allAuthenticatedUsers)"
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "memberTypes:(allUsers OR allAuthenticatedUsers)"
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "memberTypes:(allUsers OR allAuthenticatedUsers)"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content

Principali che possono modificare i criteri di autorizzazione IAM in un'organizzazione

L'esempio seguente mostra come cercare i principali che possono modificare i criteri di autorizzazione IAM nell'organizzazione con l'ID my-organization-id.

Come trovare l'ID di un'organizzazione Google Cloud

Console Google Cloud

Per trovare l'ID di un'organizzazione Google Cloud:

1. Vai alla console Google Cloud.

   Vai alla console Google Cloud

2. Fai clic sulla casella di elenco selettore nella barra dei menu.
3. Seleziona la tua organizzazione dalla casella di elenco.
4. Fai clic sulla scheda Tutti. L'ID organizzazione viene visualizzato accanto al nome dell'organizzazione.

Interfaccia a riga di comando gcloud

Puoi recuperare l'ID di un'organizzazione Google Cloud con il seguente comando:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/my-organization-id \
    --query="policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)" \
    --format="json(resource, policy.bindings, explanation.matchedPermissions)"

REST

Metodo HTTP e URL:

POST https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

Nota: per questa richiesta puoi utilizzare un metodo GET con parametri come stringa di query. Tuttavia, l'URL della richiesta è limitato in termini di lunghezza, il che significa che il server rifiuta la richiesta se la stringa di query è troppo lunga. Per evitare limitazioni di lunghezza, utilizza una richiesta POST , imposta un'intestazione X-HTTP-Method-Override: GET e utilizza un corpo JSON per i parametri.

Corpo JSON della richiesta:

{
  "pageSize": 1,
  "query": "policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)"
}

Esempi di comandi

curl (Linux, macOS o Cloud Shell)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso a gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login oppure utilizzando Cloud Shell, che ti consente di accedere automaticamente a gcloud CLI. Puoi controllare l'account attivo eseguendo gcloud auth list.

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json; charset=utf-8" \
     -d '{
            "pageSize": 1,
            "query": "policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)"
          }' \
     https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies

PowerShell (Windows)

Nota: il seguente comando presuppone che tu abbia eseguito l'accesso all'interfaccia alla gcloud CLI con il tuo account utente eseguendo gcloud init o gcloud auth login. Puoi controllare l'account attivo eseguendo il comando gcloud auth list.

$cred = gcloud auth print-access-token

$headers = @{ 
  "X-HTTP-Method-Override" = "GET";
  "Authorization" = "Bearer $cred"
}


$body = @"
{
  "pageSize": 1,
  "query": "policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)"
}
"@

Invoke-WebRequest `
  -Method POST `
  -Headers $headers `
  -ContentType: "application/json; charset=utf-8" `
  -Body $body `
  -Uri "https://cloudasset.googleapis.com/v1/organizations/my-organization-id:searchAllIamPolicies" | Select-Object -Expand Content