Rechercher des exemples de stratégies d'autorisation IAM

Cette page contient des exemples de requêtes pour différents cas d'utilisation de la recherche de stratégies d'autorisation IAM. Certains exemples de cette page utilisent des commandes telles que grep et sed, qui sont disponibles dans Cloud Shell et dans les systèmes d'exploitation de type Unix.

Lister les stratégies d'autorisation IAM et formater le résultat

gcloud

gcloud asset search-all-iam-policies \
    --scope=SCOPE \
    --flatten="policy.bindings[].members[]" \
    --format="table(resource, policy.bindings.role, policy.bindings.members)"

Indiquez les valeurs suivantes :

SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Autres indicateurs:

Vous pouvez ajouter --query pour obtenir des résultats de recherche de ressources plus spécifiques.
Vous pouvez ajouter --asset-types pour obtenir des types de ressources plus spécifiques.
Vous pouvez supprimer --flatten et --format si vous ne souhaitez pas mettre en forme les résultats.
Vous pouvez utiliser csv au lieu de table pour générer les résultats au format CSV.
Vous pouvez ajouter --limit pour obtenir uniquement un sous-ensemble des résultats de recherche. Sans cet indicateur, l'inventaire des éléments cloud consulte automatiquement tous les résultats de recherche.

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
          "pageSize": PAGE_SIZE
         }' \
     https://cloudasset.googleapis.com/v1/SCOPE:searchAllIamPolicies

Remarque:Il s'agit d'une méthode GET. Toutefois, le serveur n'accepte pas de corps pour les méthodes GET, et l'URL de la requête est également limitée. Pour éviter les erreurs, utilisez plutôt un POST et définissez un en-tête X-HTTP-Method-Override: GET.

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Autres paramètres:

Vous pouvez ajouter une clé query au corps pour obtenir des résultats de recherche de ressources plus spécifiques.
Vous pouvez ajouter une clé assetTypes au corps pour obtenir des types de ressources plus spécifiques.

Répertorier les ressources dont le nom des stratégies d'autorisation IAM contient la mention "example"

gcloud

gcloud asset search-all-iam-policies \
    --scope=SCOPE \
    --query="resource:example"

Indiquez les valeurs suivantes :

SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
          "query": "resource:example"
         }' \
     https://cloudasset.googleapis.com/v1/SCOPE:searchAllIamPolicies

Indiquez les valeurs suivantes :

SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Répertorier les stratégies d'autorisation IAM définies sur les ressources de projet, de dossier ou d'organisation de votre organisation

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/ORGANIZATION_ID \
    --asset-types=cloudresourcemanager.*

Indiquez les valeurs suivantes :

ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Vous pouvez remplacer l'option --asset-types par cloudresourcemanager.googleapis.com/Project pour limiter la recherche aux ressources de projet uniquement ou cloudresourcemanager.googleapis.com/Folder pour les ressources de dossier.

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
          "assetTypes": "cloudresourcemanager.*"
         }' \
     https://cloudasset.googleapis.com/v1/organizations/ORGANIZATION_ID:searchAllIamPolicies

Indiquez les valeurs suivantes :

ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Vous pouvez remplacer la valeur assetTypes par cloudresourcemanager.googleapis.com/Project pour limiter la recherche aux ressources de projet uniquement ou par cloudresourcemanager.googleapis.com/Folder pour les ressources de dossier.

Lister les lecteurs d'un projet, d'un dossier ou d'une organisation

Cet appel renvoie les lecteurs des stratégies d'autorisation IAM définies directement sur le projet, mais ne s'étend pas à la recherche des stratégies d'autorisation héritées des ressources parentes du projet.

gcloud

gcloud asset search-all-iam-policies \
    --scope=SCOPE \
    --query="roles:roles/viewer" \
    --asset-types=cloudresourcemanager.* \
    --flatten="policy.bindings[].members[]" \
    --format="table(policy.bindings.members)"

Indiquez les valeurs suivantes :

SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
          "assetTypes": "cloudresourcemanager.*",
          "pageSize": PAGE_SIZE,
          "query": "roles:roles/viewer"
         }' \
     https://cloudasset.googleapis.com/v1/SCOPE:searchAllIamPolicies

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Lister les projets dans lesquels un utilisateur dispose du rôle de propriétaire

Cet appel renvoie les projets dont les stratégies d'autorisation IAM directes spécifient l'utilisateur et le rôle de propriétaire, mais ne s'étend pas à la recherche des stratégies d'autorisation héritées des ressources parentes des projets.

gcloud

gcloud asset search-all-iam-policies \
    --scope=SCOPE \
    --query="policy:(roles/owner USER_EMAIL_ADDRESS)" \
    --asset-types=cloudresourcemanager.googleapis.com/Project \
    --format="table(resource)"

Indiquez les valeurs suivantes :

SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"
USER_EMAIL_ADDRESS: adresse e-mail du compte Google Cloud que vous recherchez.

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
          "assetTypes": "cloudresourcemanager.googleapis.com/Project",
          "pageSize": PAGE_SIZE,
          "query": "policy:(roles/owner USER_EMAIL_ADDRESS)"
         }' \
     https://cloudasset.googleapis.com/v1/SCOPE:searchAllIamPolicies

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
USER_EMAIL_ADDRESS: adresse e-mail du compte Google Cloud que vous recherchez.
SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Lister les rôles dont dispose un utilisateur sur un projet

Cet appel renvoie les rôles issus des stratégies d'autorisation IAM directement définies sur le projet, mais ne s'étend pas à la recherche des stratégies d'autorisation héritées des ressources parentes du projet.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/PROJECT_ID \
    --query="policy:USER_EMAIL_ADDRESS" \
    --asset-types=cloudresourcemanager.googleapis.com/Project \
    --flatten="policy.bindings[]" \
    --format="table(policy.bindings.role)"

Indiquez les valeurs suivantes :

PROJECT_ID: ID du projet auquel l'utilisateur a accès.
USER_EMAIL_ADDRESS: adresse e-mail de l'utilisateur dont vous interrogez les rôles.

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
          "assetTypes": "cloudresourcemanager.googleapis.com/Project",
          "pageSize": PAGE_SIZE,
          "query": "policy:USER_EMAIL_ADDRESS"
         }' \
     https://cloudasset.googleapis.com/v1/projects/PROJECT_ID:searchAllIamPolicies

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
USER_EMAIL_ADDRESS: adresse e-mail de l'utilisateur dont vous interrogez les rôles.
PROJECT_ID: ID du projet auquel l'utilisateur a accès.

Lister les autorisations dont dispose un utilisateur sur un projet

Cet appel renvoie les autorisations de l'utilisateur obtenues à partir des stratégies d'autorisation IAM définies directement sur le projet, mais ne s'étend pas à la recherche des stratégies d'autorisation héritées des ressources parentes du projet.

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/PROJECT_ID \
    --query="policy:USER_EMAIL_ADDRESS policy.role.permissions:\"\"" \
    --asset-types=cloudresourcemanager.* \
    --format="default(explanation.matchedPermissions)"

Indiquez les valeurs suivantes :

PROJECT_ID: ID du projet auquel l'utilisateur a accès.
USER_EMAIL_ADDRESS: adresse e-mail de l'utilisateur dont vous interrogez les autorisations.

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
          "assetTypes": "cloudresourcemanager.*",
          "pageSize": PAGE_SIZE,
          "query": "policy:USER_EMAIL_ADDRESS  policy.role.permissions:\"\""
         }' \
     https://cloudasset.googleapis.com/v1/projects/PROJECT_ID:searchAllIamPolicies

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
USER_EMAIL_ADDRESS: adresse e-mail de l'utilisateur dont vous demandez les autorisations.
PROJECT_ID: ID du projet auquel l'utilisateur a accès.

Lister les utilisateurs pouvant accéder à un bucket Cloud Storage

gcloud

gcloud asset search-all-iam-policies \
    --scope=projects/PROJECT_ID \
    --query="policy.role.permissions:storage.buckets" \
    --asset-types=cloudresourcemanager.* \
    --flatten="policy.bindings[].members[]" \
    --format="table(policy.bindings.members)"

Indiquez les valeurs suivantes :

PROJECT_ID: ID du projet auquel l'utilisateur a accès.

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -d '{
          "assetTypes": "cloudresourcemanager.*",
          "pageSize": PAGE_SIZE,
          "query": "policy.role.permissions:storage.buckets"
         }' \
     https://cloudasset.googleapis.com/v1/projects/PROJECT_ID:searchAllIamPolicies

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
PROJECT_ID: ID du projet auquel l'utilisateur a accès.

Répertorier les comptes de service ayant le rôle de propriétaire afin de détecter les paramètres de stratégie d'autorisation risqués

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/ORGANIZATION_ID \
    --query="policy:(roles/owner serviceAccount)" \
    --flatten="policy.bindings[].members[]" \
    --format="table(resource.segment(3):label=RESOURCE_TYPE, resource.basename():label=RESOURCE, policy.bindings.members)" |
    grep serviceAccount

Indiquez les valeurs suivantes :

ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -s \
     -d '{
          "pageSize": PAGE_SIZE,
          "query": "policy:(roles/owner serviceAccount)"
         }' \
     https://cloudasset.googleapis.com/v1/organizations/ORGANIZATION_ID:searchAllIamPolicies |
     sed 's/^\s*//' | grep serviceAccount

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Lister les ressources auxquelles les utilisateurs de Gmail ont accès

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/ORGANIZATION_ID \
    --query="policy:gmail.com" \
    --flatten="policy.bindings[].members[]" \
    --format="csv(resource, policy.bindings.role, policy.bindings.members)" |
    grep @gmail.com

Indiquez les valeurs suivantes :

ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -s \
     -d '{
          "pageSize": PAGE_SIZE,
          "query": "policy:gmail.com"
         }' \
     https://cloudasset.googleapis.com/v1/organizations/ORGANIZATION_ID:searchAllIamPolicies |
     sed 's/^\s*//' | grep @gmail.com

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Lister les ressources disposant de rôles attribués à l'ensemble du domaine

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/ORGANIZATION_ID \
    --query="policy:\"domain:DOMAIN_NAME\"" \
    --flatten="policy.bindings[]" \
    --format="table(resource, policy.bindings.role)"

Indiquez les valeurs suivantes :

ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"
DOMAIN_NAME: nom de domaine associé à votre organisation.

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -s \
     -d '{
          "pageSize": PAGE_SIZE,
          "query": "policy:\"domain:DOMAIN_NAME\""
         }' \
     https://cloudasset.googleapis.com/v1/organizations/ORGANIZATION_ID:searchAllIamPolicies

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
DOMAIN_NAME: nom de domaine associé à votre organisation.
ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Lister les ressources disposant de rôles accordés au public

gcloud

gcloud asset search-all-iam-policies \
    --scope=SCOPE \
    --query="memberTypes:(allUsers OR allAuthenticatedUsers)" \
    --format="table(resource)"

Indiquez les valeurs suivantes :

SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -s \
     -d '{
          "pageSize": PAGE_SIZE,
          "query": "memberTypes:(allUsers OR allAuthenticatedUsers)"
         }' \
     https://cloudasset.googleapis.com/v1/SCOPE:searchAllIamPolicies |
     sed 's/^\s*//' | grep \"resource\":

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
SCOPE: un champ d'application peut être un projet, un dossier ou une organisation.

Les valeurs autorisées sont les suivantes :
- projects/PROJECT_ID
- projects/PROJECT_NUMBER
  Trouver un numéro de projet Google Cloud
  Console
  
  Pour trouver un numéro de projet Google Cloud, procédez comme suit:
  
  Accédez à la page Tableau de bord dans la console Google Cloud.
  
  Accéder à Google Dashboard
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Sélectionnez votre organisation dans la zone Sélectionner à partir de, puis recherchez le nom de votre projet.
  
  Cliquez sur le nom du projet pour basculer vers ce projet. Le numéro de projet est indiqué dans la fiche Informations sur le projet.
  
  gcloud CLI
  
  Vous pouvez récupérer un numéro de projet Google Cloud à l'aide de la commande suivante:
  
  gcloud projects describe PROJECT_ID --format="value(projectNumber)"
- folders/FOLDER_ID
  Trouver un ID de dossier Google Cloud
  Console
  
  Pour trouver un ID de dossier Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Recherchez le nom de votre dossier. L'ID du dossier est indiqué à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID de dossier Google Cloud situé au niveau de l'organisation à l'aide de la commande suivante:
  
  gcloud resource-manager folders list \ --organization=$(gcloud organizations describe ORGANIZATION_NAME \ --format="value(name.segment(1))") \ --filter='"DISPLAY_NAME":"TOP_LEVEL_FOLDER_NAME"' \ --format="value(ID)"
  
  Où TOP_LEVEL_FOLDER_NAME peut être une correspondance de chaîne complète ou partielle. Supprimez l'option --format pour afficher plus d'informations sur les dossiers trouvés.
  
  Pour obtenir l'ID d'un dossier dans un autre dossier, répertoriez les sous-dossiers:
  
  gcloud resource-manager folders list --folder=FOLDER_ID
- organizations/ORGANIZATION_ID
  Trouver un ID d'organisation Google Cloud
  Console
  
  Pour trouver un ID d'organisation Google Cloud, procédez comme suit:
  
  Accédez à Google Cloud Console.
  
  Accéder à la console Google Cloud
  
  Cliquez sur le sélecteur dans la barre de menu.
  
  Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.
  
  Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
  
  gcloud CLI
  
  Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:
  
  gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Lister les utilisateurs/groupes autorisés à modifier les stratégies d'autorisation IAM sur un projet, un dossier ou une organisation

gcloud

gcloud asset search-all-iam-policies \
    --scope=organizations/ORGANIZATION_ID \
    --query="policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)" \
    --format="json(resource, policy.bindings, explanation.matchedPermissions)"

Indiquez les valeurs suivantes :

ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

REST

curl -X POST \
     -H "X-HTTP-Method-Override: GET" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     -H "Content-Type: application/json" \
     -s \
     -d '{
          "pageSize": PAGE_SIZE,
          "query": "policy.role.permissions:(resourcemanager.organizations.setIamPolicy OR resourcemanager.folders.setIamPolicy OR resourcemanager.projects.setIamPolicy)"
         }' \
     https://cloudasset.googleapis.com/v1/organizations/ORGANIZATION_ID:searchAllIamPolicies

Indiquez les valeurs suivantes :

PAGE_SIZE : facultatif. Nombre de résultats à renvoyer par page. Le maximum est de 2 000. Si la valeur est définie sur 0 ou sur une valeur négative, une valeur par défaut appropriée est sélectionnée. Un nextPageToken est renvoyé pour récupérer les résultats suivants.
ORGANIZATION_ID: ID de l'organisation pour laquelle vous répertoriez les règles d'autorisation.
Trouver un ID d'organisation Google Cloud
Console

Pour trouver un ID d'organisation Google Cloud, procédez comme suit:

Accédez à Google Cloud Console.

Accéder à la console Google Cloud

Cliquez sur le sélecteur dans la barre de menu.

Cochez la case Sélectionner à partir de, puis sélectionnez votre organisation.

Cliquez sur l'onglet Tous. L'ID de l'organisation est affiché à côté de son nom.
gcloud CLI

Vous pouvez récupérer un ID d'organisation Google Cloud à l'aide de la commande suivante:

gcloud organizations describe ORGANIZATION_NAME --format="value(name.segment(1))"

Rechercher des exemples de stratégies d'autorisation IAM

Lister les stratégies d'autorisation IAM et formater le résultat

gcloud

Console

gcloud CLI

Console

gcloud CLI

Console

gcloud CLI

REST

Console

gcloud CLI

Console

gcloud CLI

Console

gcloud CLI

Répertorier les ressources dont le nom des stratégies d'autorisation IAM contient la mention "example"

gcloud

Console

gcloud CLI

Console

gcloud CLI

Console

gcloud CLI

REST

Console

gcloud CLI

Console

gcloud CLI

Console

gcloud CLI

Répertorier les stratégies d'autorisation IAM définies sur les ressources de projet, de dossier ou d'organisation de votre organisation

gcloud

Console

gcloud CLI

REST

Console

gcloud CLI

Lister les lecteurs d'un projet, d'un dossier ou d'une organisation

gcloud

Console

gcloud CLI

Console

gcloud CLI

Console

gcloud CLI

REST

Console

gcloud CLI

Console

gcloud CLI

Console

gcloud CLI

Lister les projets dans lesquels un utilisateur dispose du rôle de propriétaire

gcloud

Console

gcloud CLI

Console

gcloud CLI

Console

gcloud CLI

REST

Console

gcloud CLI

Console

gcloud CLI

Console

gcloud CLI

Lister les rôles dont dispose un utilisateur sur un projet

gcloud

REST

Lister les autorisations dont dispose un utilisateur sur un projet

gcloud

REST

Lister les utilisateurs pouvant accéder à un bucket Cloud Storage

gcloud

REST

Répertorier les comptes de service ayant le rôle de propriétaire afin de détecter les paramètres de stratégie d'autorisation risqués

gcloud

Console