google.iam.v1 软件包

索引

AuditConfig（消息）
AuditLogConfig（消息）
AuditLogConfig.LogType（枚举）
Binding（消息）
GetIamPolicyRequest（消息）
GetPolicyOptions（消息）
Policy（消息）
SetIamPolicyRequest（消息）
TestIamPermissionsRequest（消息）
TestIamPermissionsResponse（消息）

AuditConfig

指定服务的审核配置。该配置决定要记录哪些权限类型，以及不记录哪些身份（若有）。AuditConfig 必须具有一个或多个 AuditLogConfig。

如果 allServices 和特定服务都具有 AuditConfig，则系统会将两个 AuditConfig 的并集用于该服务：每个 AuditConfig 中指定的 log_types 将被启用，而每个 AuditLogConfig 中的 exempted_members 将被排除。

以下示例显示了具有多个 AuditConfig 的政策：

{
  "audit_configs": [
    {
      "service": "allServices"
      "audit_log_configs": [
        {
          "log_type": "DATA_READ",
          "exempted_members": [
            "user:jose@example.com"
          ]
        },
        {
          "log_type": "DATA_WRITE",
        },
        {
          "log_type": "ADMIN_READ",
        }
      ]
    },
    {
      "service": "sampleservice.googleapis.com"
      "audit_log_configs": [
        {
          "log_type": "DATA_READ",
        },
        {
          "log_type": "DATA_WRITE",
          "exempted_members": [
            "user:aliya@example.com"
          ]
        }
      ]
    }
  ]
}

对于 sampleservice，此政策可为 DATA_READ、DATA_WRITE 和 ADMIN_READ 活动启用日志记录。此政策还在日志记录中排除 jose@example.com 的 DATA_READ 活动和 aliya@example.com 的 DATA_WRITE 活动。

字段

字段
`service`	`string` 指定将启用审核日志记录的服务。例如 `storage.googleapis.com`、`cloudsql.googleapis.com`。`allServices` 是一个涵盖所有服务的特殊值。
`audit_log_configs[]`	`AuditLogConfig` 对每种类型权限进行日志记录的配置。

service

string

指定将启用审核日志记录的服务。例如 storage.googleapis.com、cloudsql.googleapis.com。allServices 是一个涵盖所有服务的特殊值。

audit_log_configs[]

AuditLogConfig

对每种类型权限进行日志记录的配置。

AuditLogConfig

提供用于对一种类型的权限进行日志记录的配置。示例：

{
  "audit_log_configs": [
    {
      "log_type": "DATA_READ",
      "exempted_members": [
        "user:jose@example.com"
      ]
    },
    {
      "log_type": "DATA_WRITE",
    }
  ]
}

这会为“DATA_READ”和“DATA_WRITE”活动启用日志记录，同时从日志记录中排除 jose@example.com 的 DATA_READ 活动。

字段

字段
`log_type`	`LogType` 此配置启用的日志类型。
`exempted_members[]`	`string` 指定不会导致对这种权限进行日志记录的身份。遵循与 `Binding.members` 相同的格式。

log_type

LogType

此配置启用的日志类型。

exempted_members[]

string

指定不会导致对这种权限进行日志记录的身份。遵循与 Binding.members 相同的格式。

LogType

可以为其配置日志记录的有效权限类型的列表。管理员写入始终予以记录，但不可配置。

枚举
`LOG_TYPE_UNSPECIFIED`	默认设置。切勿使用此值。
`ADMIN_READ`	管理员读取。示例：CloudIAM getIamPolicy
`DATA_WRITE`	数据写入。示例：CloudSQL Users create
`DATA_READ`	数据读取。示例：CloudSQL Users list

Binding

将 members 与 role 关联。

字段

字段
`role`	`string` 分配给 `members` 的角色。例如 `roles/viewer`、`roles/editor` 或 `roles/owner`。
`members[]`	`string` 指定请求访问 Cloud Platform 资源的身份。`members` 可能具有以下值： `allUsers`：一个特殊的标识符，表示互联网上的任何人（无论是否拥有 Google 帐号）。 `allAuthenticatedUsers`：一个特殊的标识符，表示使用 Google 帐号或服务帐号进行身份验证的任何用户。 `user:{emailid}`：表示特定 Google 帐号的电子邮件地址。例如 `alice@example.com`。 `serviceAccount:{emailid}`：表示服务帐号的电子邮件地址。例如 `my-other-app@appspot.gserviceaccount.com`。 `group:{emailid}`：表示 Google 群组的电子邮件地址。例如 `admins@example.com`。 `deleted:user:{emailid}?uid={uniqueid}`：表示最近被删除的用户的电子邮件地址（以及唯一标识符）。例如 `alice@example.com?uid=123456789012345678901`。如果用户已恢复，则此值会恢复为 `user:{emailid}`，而且恢复的用户将保留绑定中的角色。 `deleted:serviceAccount:{emailid}?uid={uniqueid}`：表示最近被删除的服务帐号的电子邮件地址（以及唯一标识符）。例如 `my-other-app@appspot.gserviceaccount.com?uid=123456789012345678901`。如果恢复删除的服务帐号，则此值会还原为 `serviceAccount:{emailid}`，而且删除的服务帐号在恢复后将保留绑定中的角色。 `deleted:group:{emailid}?uid={uniqueid}`：表示最近被删除的 Google 群组的电子邮件地址（以及唯一标识符）。例如 `admins@example.com?uid=123456789012345678901`。如果群组已恢复，则此值会恢复为 `group:{emailid}`，而且恢复的群组将保留绑定中的角色。 `domain:{domain}`：G Suite 网域（主网域），表示该网域中的所有用户。例如，`google.com` 或 `example.com`。
`condition`	`Expr` 与此绑定关联的条件。如果条件的计算结果为 `true`，则此绑定会应用于当前请求。如果条件的计算结果为 `false`，则此绑定不会应用于当前请求。但是，不同的角色绑定可能会向此绑定中的一个或多个成员授予相同角色。如需了解哪些资源支持在其 IAM 政策中使用条件，请参阅 IAM 文档。

role

string

分配给 members 的角色。例如 roles/viewer、roles/editor 或 roles/owner。

members[]

string

指定请求访问 Cloud Platform 资源的身份。members 可能具有以下值：

allUsers：一个特殊的标识符，表示互联网上的任何人（无论是否拥有 Google 帐号）。
allAuthenticatedUsers：一个特殊的标识符，表示使用 Google 帐号或服务帐号进行身份验证的任何用户。
user:{emailid}：表示特定 Google 帐号的电子邮件地址。例如 alice@example.com。

serviceAccount:{emailid}：表示服务帐号的电子邮件地址。例如 my-other-app@appspot.gserviceaccount.com。
group:{emailid}：表示 Google 群组的电子邮件地址。例如 admins@example.com。
deleted:user:{emailid}?uid={uniqueid}：表示最近被删除的用户的电子邮件地址（以及唯一标识符）。例如 alice@example.com?uid=123456789012345678901。如果用户已恢复，则此值会恢复为 user:{emailid}，而且恢复的用户将保留绑定中的角色。
deleted:serviceAccount:{emailid}?uid={uniqueid}：表示最近被删除的服务帐号的电子邮件地址（以及唯一标识符）。例如 my-other-app@appspot.gserviceaccount.com?uid=123456789012345678901。如果恢复删除的服务帐号，则此值会还原为 serviceAccount:{emailid}，而且删除的服务帐号在恢复后将保留绑定中的角色。
deleted:group:{emailid}?uid={uniqueid}：表示最近被删除的 Google 群组的电子邮件地址（以及唯一标识符）。例如 admins@example.com?uid=123456789012345678901。如果群组已恢复，则此值会恢复为 group:{emailid}，而且恢复的群组将保留绑定中的角色。

domain:{domain}：G Suite 网域（主网域），表示该网域中的所有用户。例如，google.com 或 example.com。

condition

Expr

与此绑定关联的条件。

如果条件的计算结果为 true，则此绑定会应用于当前请求。

如果条件的计算结果为 false，则此绑定不会应用于当前请求。但是，不同的角色绑定可能会向此绑定中的一个或多个成员授予相同角色。

如需了解哪些资源支持在其 IAM 政策中使用条件，请参阅 IAM 文档。

GetIamPolicyRequest

GetIamPolicy 方法的请求消息。

字段

字段
`resource`	`string` 必需字段：要为其请求政策的资源。如需了解此字段的适当值，请参阅操作文档。
`options`	`GetPolicyOptions` 可选字段：用于指定 `GetIamPolicy` 选项的 `GetPolicyOptions` 对象。

resource

string

必需字段：要为其请求政策的资源。如需了解此字段的适当值，请参阅操作文档。

options

GetPolicyOptions

可选字段：用于指定 GetIamPolicy 选项的 GetPolicyOptions 对象。

GetPolicyOptions

封装提供给 GetIamPolicy 的设置。

字段

字段
`requested_policy_version`	`int32` 可选。要返回的政策格式版本。有效值包括 0、1 和 3。指定无效值的请求将被拒绝。对具有任何条件绑定的政策的请求必须指定版本 3。没有任何条件绑定的政策可以指定任何有效值，也可以不设置该字段。如需了解哪些资源支持在其 IAM 政策中使用条件，请参阅 IAM 文档。

requested_policy_version

int32

可选。要返回的政策格式版本。

有效值包括 0、1 和 3。指定无效值的请求将被拒绝。

对具有任何条件绑定的政策的请求必须指定版本 3。没有任何条件绑定的政策可以指定任何有效值，也可以不设置该字段。

如需了解哪些资源支持在其 IAM 政策中使用条件，请参阅 IAM 文档。

Policy

Identity and Access Management (IAM) 政策，用于指定 Google Cloud 资源的访问权限控制。

Policy 是 bindings 的集合。binding 会将一个或多个 members 绑定到单个 role。成员可以是用户帐号、服务帐号、Google 群组以及网域（例如 G Suite）。role 是命名的权限列表；每个 role 可以是 IAM 预定义角色或用户创建的自定义角色。

对于某些类型的 Google Cloud 资源，binding 还可以指定 condition，这是一个逻辑表达式。只有在此表达式的计算结果为 true 时才允许访问资源。条件可以根据请求和/或资源的特性添加限制条件。如需了解哪些资源支持在其 IAM 政策中使用条件，请参阅 IAM 文档。

JSON 示例：

{
  "bindings": [
    {
      "role": "roles/resourcemanager.organizationAdmin",
      "members": [
        "user:mike@example.com",
        "group:admins@example.com",
        "domain:google.com",
        "serviceAccount:my-project-id@appspot.gserviceaccount.com"
      ]
    },
    {
      "role": "roles/resourcemanager.organizationViewer",
      "members": [
        "user:eve@example.com"
      ],
      "condition": {
        "title": "expirable access",
        "description": "Does not grant access after Sep 2020",
        "expression": "request.time < timestamp('2020-10-01T00:00:00.000Z')",
      }
    }
  ],
  "etag": "BwWWja0YfJA=",
  "version": 3
}

YAML 示例：

bindings:
- members:
  - user:mike@example.com
  - group:admins@example.com
  - domain:google.com
  - serviceAccount:my-project-id@appspot.gserviceaccount.com
  role: roles/resourcemanager.organizationAdmin
- members:
  - user:eve@example.com
  role: roles/resourcemanager.organizationViewer
  condition:
    title: expirable access
    description: Does not grant access after Sep 2020
    expression: request.time < timestamp('2020-10-01T00:00:00.000Z')
- etag: BwWWja0YfJA=
- version: 3

如需了解 IAM 及其功能，请参阅 IAM 文档。

字段
`version`	`int32` 指定政策的格式。有效值为 `0`、`1` 和 `3`。指定无效值的请求将被拒绝。任何影响条件角色绑定的操作都必须指定版本 `3`。此要求适用于以下操作：获取包含条件角色绑定的政策向政策添加条件角色绑定更改政策中的条件角色绑定从包含条件的政策中移除任何角色绑定，而无论此绑定是否含有条件重要提示：如果您使用 IAM 条件，则必须在调用 `setIamPolicy` 时包含 `etag` 字段。如果您省略此字段，则 IAM 允许您使用版本 `1` 政策覆盖版本 `3` 政策，而且版本 `3` 政策中的所有条件都会丢失。如果政策不包含任何条件，则对该政策执行的操作可以指定任何有效版本，也可以不设置该字段。如需了解哪些资源支持在其 IAM 政策中使用条件，请参阅 IAM 文档。
`bindings[]`	`Binding` 将一系列 `members` 与 `role` 关联。（可选）可以指定一个 `condition` 以确定如何及何时应用 `bindings`。每个 `bindings` 必须至少包含一个成员。
`audit_configs[]`	`AuditConfig` 指定此政策的 Cloud Audit Logging 配置。
`etag`	`bytes` `etag` 用于乐观并发控制，可帮助防止同时对政策进行的更新相互覆盖。强烈建议系统在“读取-修改-写入”周期中使用 `etag` 来执行政策更新以避免冲突：返回 `etag` 来响应 `getIamPolicy`，系统应将该 etag 放入对 `setIamPolicy` 的请求中，以确保其更改将应用于同一版本的政策。重要提示：如果您使用 IAM 条件，则必须在调用 `setIamPolicy` 时包含 `etag` 字段。如果您省略此字段，则 IAM 允许您使用版本 `1` 政策覆盖版本 `3` 政策，而且版本 `3` 政策中的所有条件都会丢失。

SetIamPolicyRequest

SetIamPolicy 方法的请求消息。

字段

字段
`resource`	`string` 必需字段：要为其指定政策的资源。如需了解此字段的适当值，请参阅操作文档。
`policy`	`Policy` 必需字段：要应用于 `resource` 的完整政策。政策的大小限制为几十 KB。空政策是有效的政策，但可能被某些 Cloud Platform 服务（例如项目）拒绝。
`update_mask`	`FieldMask` 可选：用于指定要修改哪些政策字段的 FieldMask。只有掩码中的字段会被修改。如果未提供掩码，则使用以下默认掩码： `paths: "bindings, etag"`

resource

string

必需字段：要为其指定政策的资源。如需了解此字段的适当值，请参阅操作文档。

policy

Policy

必需字段：要应用于 resource 的完整政策。政策的大小限制为几十 KB。空政策是有效的政策，但可能被某些 Cloud Platform 服务（例如项目）拒绝。

update_mask

FieldMask

可选：用于指定要修改哪些政策字段的 FieldMask。只有掩码中的字段会被修改。如果未提供掩码，则使用以下默认掩码：

paths: "bindings, etag"

TestIamPermissionsRequest

TestIamPermissions 方法的请求消息。

字段

字段
`resource`	`string` 必需字段：要为其请求政策详情的资源。如需了解此字段的适当值，请参阅操作文档。
`permissions[]`	`string` 要用于检查 `resource` 的权限集。不允许使用带通配符（例如“”或“storage.”）的权限。如需了解详情，请参阅 IAM 概览。

resource

string

必需字段：要为其请求政策详情的资源。如需了解此字段的适当值，请参阅操作文档。

permissions[]

string

要用于检查 resource 的权限集。不允许使用带通配符（例如“*”或“storage.*”）的权限。如需了解详情，请参阅 IAM 概览。

TestIamPermissionsResponse

TestIamPermissions 方法的响应消息。

字段

字段
`permissions[]`	`string` 调用者可以使用的 `TestPermissionsRequest.permissions` 的子集。

permissions[]

string

调用者可以使用的 TestPermissionsRequest.permissions 的子集。